Google Authenticator: cómo funcionan sus códigos 2FA

Cada 30 segundos aproximadamente, cambia un número corto en tu teléfono, y un sitio web al que nunca le mostraste ese teléfono sabe de alguna manera cuál debería ser el nuevo número. Parece magia, pero es un sencillo truco basado en un secreto compartido.

Así funcionan Google Authenticator y otras aplicaciones similares. Aquí explicamos cómo se generan los códigos, por qué funcionan sin conexión a internet, cómo se relaciona la aplicación con la propia Verificación en 2 pasos de Google y qué puede y qué no puede proteger.

Cómo se generan los códigos

Cuando agregas una cuenta a una aplicación de autenticación, el servicio te proporciona un secreto, normalmente mediante un código QR o una clave de configuración, y la aplicación lo almacena. A partir de ese momento, el servicio y tu teléfono tienen el mismo secreto. Para generar un código, la aplicación combina ese secreto con la hora actual, y el servicio realiza el mismo cálculo por su lado. Si los dos resultados coinciden, se acepta el código.

Este método es un estándar publicado llamado TOTP, abreviatura de contraseña de un solo uso basada en el tiempo, definido en el IETF RFC 6238. Se basa en un método anterior basado en un contador y lo reemplaza por un valor derivado de la hora. El estándar establece que la aplicación y el servicio deben usar el mismo intervalo de tiempo, y recomienda un valor predeterminado de 30 segundos, por eso el código suele actualizarse aproximadamente dos veces por minuto.

Por qué funciona sin conexión a internet

El código se calcula en tu teléfono a partir del secreto almacenado y su reloj, así que no hace falta enviar nada al teléfono. La ficha de la propia aplicación de Google indica que es posible generar códigos incluso sin conexión a una red o a datos móviles. El servicio solo tiene que realizar el mismo cálculo cuando ingresas el código.

La consecuencia es que la hora importa. Si la hora de tu teléfono está muy alejada de la hora real, los dos cálculos no coincidirán y se rechazará el código, aunque la aplicación esté funcionando según lo previsto.

Cómo se relaciona con la propia Verificación en 2 pasos de Google

Es fácil confundir ambas cosas. La Verificación en 2 pasos es la función de una Cuenta de Google que solicita un segundo paso cuando inicias sesión. Google Authenticator es una aplicación que puede proporcionar ese paso y, según Google, también puede generar códigos para otros sitios y aplicaciones que admiten la verificación mediante aplicaciones de autenticación. Varias otras aplicaciones de autenticación siguen el mismo estándar, así que los códigos en sí no están vinculados a una sola empresa.

Puedes usar la aplicación con o sin una Cuenta de Google. Si inicias sesión, tus códigos se sincronizan entre tus dispositivos, y Google indica que, incluso sin una cuenta, puedes transferirlos manualmente a un dispositivo nuevo. Los códigos sincronizados dependen de esa Cuenta de Google, por lo que su propia protección cobra más importancia. Google también sugiere configurar otras formas de Verificación en 2 pasos para que no pierdas el acceso a tu cuenta.

Qué protege y qué no

Según CISA, los códigos de una aplicación de autenticación son mejores que los mensajes de texto, pero siguen siendo vulnerables al phishing. Una página de inicio de sesión falsa y convincente puede capturar un código cuando lo escribes y usarlo de inmediato; solo los métodos basados en FIDO, como las llaves de seguridad y las llaves de acceso, resisten ese tipo de ataque. Comprobar la dirección de un sitio antes de ingresar un código también forma parte de la protección.

El secreto que está detrás de tus códigos también es información sensible. Quien tenga el código QR o la clave de configuración puede generar los mismos códigos, así que debes tratar una captura de pantalla como si fuera una contraseña. Además, una aplicación de autenticación protege las cuentas a las que se inicia sesión mediante un servicio. No puede proteger la frase semilla ni la clave privada de una billetera.

Recordatorio de WEEX: trata la clave de configuración como una contraseña

WEEX recuerda a los usuarios que nunca deben compartir con nadie un código de un solo uso, un código QR o una clave de configuración, ni siquiera con personas que afirmen ser del equipo de soporte, ya que un servicio legítimo nunca los necesita. Comprueba la dirección de un sitio antes de ingresar un código y guarda cualquier clave de respaldo o código de respaldo en un lugar seguro y sin conexión, no en una captura de pantalla ni en una nota en la nube. Este contenido no constituye asesoramiento financiero.

Conclusión

Google Authenticator genera un código de corta duración a partir de un secreto compartido con el servicio y de la hora actual; por eso funciona sin conexión y por eso importa el reloj. Es una de varias aplicaciones que usan el mismo estándar, es mejor que los mensajes de texto, pero sigue siendo vulnerable al phishing, y su secreto de configuración merece el mismo cuidado que una contraseña. Si se usa junto con contraseñas seguras y hábitos cuidadosos, hace que sea más difícil tomar el control de una cuenta.

Preguntas frecuentes

1. ¿Qué es Google Authenticator?
Es una aplicación que genera códigos de un solo uso para utilizarlos como segundo paso al iniciar sesión, tanto en Cuentas de Google como en otros sitios y aplicaciones que admiten la verificación mediante aplicaciones de autenticación.

2. ¿Cómo genera códigos Google Authenticator sin internet?
Los calcula en tu teléfono a partir de un secreto almacenado y de la hora actual. El servicio realiza el mismo cálculo para verificar el código, así que no hace falta enviar nada a tu teléfono.

3. ¿Necesito una Cuenta de Google para usar Google Authenticator?
No. Google indica que puedes usarlo sin una cuenta. Si inicias sesión, tus códigos se sincronizan entre dispositivos; sin una cuenta, puedes transferirlos manualmente a un dispositivo nuevo.

4. ¿Google Authenticator es lo mismo que la Verificación en 2 pasos de Google?
No. La Verificación en 2 pasos es una función de una Cuenta de Google, y la aplicación es una de las maneras de proporcionar el segundo paso. La aplicación también funciona con otros sitios que admiten códigos de aplicaciones de autenticación.

5. ¿Google Authenticator es más seguro que los códigos SMS?
Según CISA, los códigos de aplicaciones de autenticación son mejores que los mensajes de texto, pero aún pueden ser víctimas de phishing. Las llaves de seguridad y las llaves de acceso ofrecen una protección más sólida contra el phishing.