Google Authenticator explicado: cómo funcionan sus códigos de 2FA

Cada 30 segundos, más o menos, cambia un número corto en tu celular, y un sitio web al que nunca le mostraste ese celular, de alguna manera, sabe cuál debería ser el nuevo número. Parece magia, pero es un sencillo truco basado en un secreto compartido.

Así funcionan Google Authenticator y otras apps similares. A continuación, te contamos cómo se generan los códigos, por qué funcionan sin conexión a Internet, cómo se relaciona la app con la Verificación en 2 pasos de Google y qué puede proteger y qué no.

Cómo se generan los códigos

Cuando agregás una cuenta a una app de autenticación, el servicio te da un secreto, generalmente en forma de código QR o clave de configuración, y la app lo guarda. A partir de ese momento, tanto el servicio como tu celular tienen el mismo secreto. Para generar un código, la app combina ese secreto con la hora actual, y el servicio hace el mismo cálculo por su lado. Si los dos resultados coinciden, se acepta el código.

Este método es un estándar publicado llamado TOTP, sigla de contraseña de un solo uso basada en el tiempo, definido en IETF RFC 6238. Se basa en un método anterior que usaba un contador, al que reemplaza por un valor derivado de la hora. El estándar establece que la app y el servicio deben usar el mismo intervalo de tiempo, y recomienda un valor predeterminado de 30 segundos; por eso, el código suele actualizarse aproximadamente dos veces por minuto.

Por qué funciona sin conexión a Internet

El código se calcula en tu celular a partir del secreto guardado y de su reloj, así que no hace falta enviar nada al teléfono. La ficha de la app de Google indica que se pueden generar códigos incluso sin conexión a una red o a la red celular. El servicio solo tiene que hacer el mismo cálculo cuando ingresás el código.

La consecuencia es que la hora importa. Si la hora de tu celular está muy desfasada de la hora real, los dos cálculos no van a coincidir y se rechazará el código, aunque la app esté funcionando según lo previsto.

Cómo se relaciona con la Verificación en 2 pasos de Google

Es fácil confundir ambas cosas. La Verificación en 2 pasos es la función de una Cuenta de Google que solicita un segundo paso cuando iniciás sesión. Google Authenticator es una app que puede proporcionar ese paso y que, según Google, también puede generar códigos para otros sitios y apps que admiten la verificación mediante apps de autenticación. Otras apps de autenticación siguen el mismo estándar, así que los códigos en sí no están vinculados a una sola empresa.

Podés usar la app con una Cuenta de Google o sin ella. Si iniciás sesión, podés sincronizar tus códigos entre tus dispositivos, y Google dice que, aunque no tengas una cuenta, podés transferirlos manualmente a un dispositivo nuevo. Los códigos sincronizados dependen de esa Cuenta de Google, por lo que su propia protección es más importante. Google también recomienda configurar formas adicionales de Verificación en 2 pasos para que no te quedes sin acceso a tu cuenta.

Qué protege y qué no

Según CISA, los códigos de una app de autenticación son mejores que los mensajes de texto, pero siguen siendo vulnerables al phishing. Una página de inicio de sesión falsa y convincente puede capturar un código cuando lo escribís y usarlo de inmediato; solo los métodos basados en FIDO, como las llaves de seguridad y las claves de acceso, resisten ese tipo de ataque. Revisar la dirección de un sitio antes de ingresar un código también forma parte de la protección.

El secreto que está detrás de tus códigos también es confidencial. Quien tenga el código QR o la clave de configuración puede generar los mismos códigos, así que una captura de pantalla debe tratarse como una contraseña. Además, una app de autenticación protege las cuentas en las que iniciás sesión a través de un servicio. No puede proteger la frase semilla ni la clave privada de una billetera.

Recordatorio de WEEX: tratá la clave de configuración como una contraseña

WEEX les recuerda a los usuarios que nunca compartan un código de un solo uso, un código QR ni una clave de configuración con nadie, incluidas las personas que dicen ser del equipo de soporte, ya que un servicio legítimo nunca necesita esos datos. Revisá la dirección de un sitio antes de ingresar un código y guardá cualquier clave de respaldo o código de respaldo en un lugar seguro y sin conexión, no en una captura de pantalla ni en una nota en la nube. Nada de lo que se incluye aquí constituye asesoramiento financiero.

Conclusión

Google Authenticator genera un código de corta duración a partir de un secreto compartido con el servicio y de la hora actual; por eso funciona sin conexión y la hora importa. Es una de varias apps que usan el mismo estándar, es mejor que los mensajes de texto, pero sigue siendo vulnerable al phishing, y su secreto de configuración merece el mismo cuidado que una contraseña. Si se usa junto con contraseñas seguras y hábitos prudentes, hace que sea más difícil que alguien tome el control de una cuenta.

Preguntas frecuentes

1. ¿Qué es Google Authenticator?
Es una app que genera códigos de un solo uso para utilizar como segundo paso al iniciar sesión, tanto en Cuentas de Google como en otros sitios y apps que admiten la verificación mediante apps de autenticación.

2. ¿Cómo genera códigos Google Authenticator sin Internet?
Los calcula en tu celular a partir de un secreto guardado y de la hora actual. El servicio hace el mismo cálculo para verificar el código, así que no hace falta enviar nada a tu celular.

3. ¿Necesito una Cuenta de Google para usar Google Authenticator?
No. Google dice que podés usarlo sin una cuenta. Si iniciás sesión, podés sincronizar tus códigos entre dispositivos; si no tenés una cuenta, podés transferirlos manualmente a un dispositivo nuevo.

4. ¿Google Authenticator es lo mismo que la Verificación en 2 pasos de Google?
No. La Verificación en 2 pasos es una función de una Cuenta de Google, y la app es una de las formas de proporcionar el segundo paso. La app también funciona con otros sitios que admiten códigos de apps de autenticación.

5. ¿Google Authenticator es más seguro que los códigos por SMS?
Según CISA, los códigos de apps de autenticación son mejores que los mensajes de texto, pero todavía pueden ser objeto de phishing. Las llaves de seguridad y las claves de acceso ofrecen una protección más sólida contra el phishing.