Todo lo que vale la pena saber, nada que no lo sea.
De qué protege realmente cada uno
Un código basado en el tiempo, generado por una aplicación de autenticación en el dispositivo a partir de una clave secreta compartida, nunca viaja por la red, por lo que es inmune al intercambio SIM, la interceptación SS7 y el espionaje a nivel de red. Un código SMS viaja por la red del operador, lo que significa que puede ser redirigido mediante un intercambio SIM y, en rutas poco protegidas, interceptado en la capa de señalización. Ambos métodos son eficaces contra la reutilización de contraseñas y el relleno de credenciales, que son, con diferencia, los ataques más comunes.
Lo que te cuesta cada uno en usuarios
Las aplicaciones de autenticación presentan un proceso de registro complejo: el usuario debe instalar la aplicación, escanear un código y conservar el dispositivo. Un porcentaje significativo no completará este proceso, y quienes pierden el dispositivo generan una mayor carga de soporte. SMS en cambio, no requieren ningún paso de registro: el usuario ya tiene el número que usted tiene. En mercados con menor penetración de smartphones o donde los usuarios cambian de teléfono con frecuencia, SMS no son la peor opción, sino la única que funciona.
Una jerarquía sensata
Ofrezca claves de acceso o una aplicación de autenticación como factor principal y haga que el registro sea atractivo. Mantenga SMS como respaldo para que nadie se quede sin acceso. Reserve los flujos de máxima seguridad (transferencias de dinero, cambios de cuenta de pago, desactivación de controles de seguridad) solo para el factor fuerte, y agregue una verificación del estado de la línea para que un cambio reciente SIM obligue a un nivel superior. De esta manera, el factor débil nunca protege lo que más se perdería.
Si solo puedes enviar uno
Envíe códigos OTP SMS de forma eficaz: con rutas directas del operador para que el código llegue en segundos en lugar de minutos, una vida útil corta, un límite de intentos bajo y una opción de respuesta por voz para el pequeño porcentaje de mensajes que no llegan. Un código SMS bien entregado es más efectivo que una aplicación de autenticación en la que el usuario nunca se haya registrado, y puede añadir un factor de autenticación más robusto posteriormente sin eliminar la opción de respuesta por voz.