Todo lo que vale la pena saber, nada que no lo sea.
Qué es un OTP
Una OTP es un código corto de un solo uso —generalmente de 4 a 8 dígitos— que es válido una sola vez y por un breve período de tiempo. Se envía a un dispositivo que el usuario posee, con mayor frecuencia por SMS, pero también por WhatsApp, llamada de voz, llamada instantánea, correo electrónico o generado localmente por una aplicación de autenticación. Dado que caduca y no se puede reutilizar, una OTP demuestra, en ese momento, que el usuario controla el canal por el que se envió.
- Un código de un solo uso, válido una sola vez y por un breve periodo de tiempo.
- Se entrega mediante SMS, WhatsApp, llamada de voz, llamada instantánea, correo electrónico o una aplicación.
- Demuestra el control del canal al que fue enviado.
- Su fecha de caducidad y su único uso son lo que lo convierten en un producto de "un solo uso".
¿Qué es la autenticación de dos factores (2FA)?
La autenticación de dos factores requiere dos pruebas de diferentes categorías: algo que sabes (una contraseña o PIN), algo que tienes (un teléfono, una llave de seguridad, un código OTP) o algo que eres (una huella dactilar o tu rostro). La clave reside en la independencia: un atacante que robe tu contraseña seguirá sin tener el segundo factor. Una contraseña más un código OTP por SMS constituyen la autenticación de dos factores; dos contraseñas no, porque son del mismo tipo de factor.
- Dos factores de diferentes categorías: saber / tener / ser.
- Contraseña + código OTP por SMS = autenticación de dos factores; contraseña + PIN = no es autenticación de dos factores.
- La independencia es la garantía que importa.
- El análisis factorial múltiple (AFM) generaliza el análisis factorial de dos factores (AF2F) a dos o más factores.
Cómo se relacionan
Una contraseña de un solo uso (OTP) suele ser el factor de "algo que tienes" en una configuración de autenticación de dos factores (2FA), pero es solo una opción, y no la más segura. La OTP por SMS es vulnerable al phishing, al intercambio de SIM y al fraude de envío masivo de SMS, razón por la cual las guías como NIST SP 800-63B tratan a los SMS como un autenticador restringido y por la que existen alternativas como la llamada instantánea, la autenticación silenciosa de red, las aplicaciones de autenticación y las claves de hardware. Puedes tener una OTP sin 2FA (inicio de sesión sin contraseña de un solo factor mediante código) y 2FA sin OTP (contraseña más huella digital).
- La contraseña de un solo uso (OTP) suele ser el factor determinante, pero no el único.
- La seguridad de la autenticación de un solo uso por SMS es menor que la de las aplicaciones o los factores relacionados con el hardware.
- La norma NIST SP 800-63B restringe el uso de SMS como método de autenticación.
- Existen tanto la opción de usar OTP sin autenticación de dos factores (2FA) como la de usar 2FA sin OTP.
OTP vs 2FA de un vistazo
| OTP | 2FA | |
|---|---|---|
| Qué es | Un código de un solo uso | Un modelo de seguridad de dos factores |
| Alcance | Un mecanismo de autenticación | Una política que combina dos factores |
| Ejemplos | Código por SMS, por voz o por app | Contraseña + OTP, contraseña + huella dactilar |
| Entrega / métodos | SMS, WhatsApp, voz, flash call, app | Dos tipos de factor independientes cualesquiera |
| Relación | Puede ser el segundo factor de la 2FA | Puede usar un OTP, o no |