¿Cómo funciona la autenticación multifactor (técnicamente)?

Creo que tiene una idea incorrecta acerca de cómo funciona la autenticación multifactor.

Si llama a su banco, por ejemplo, ellos usan múltiples factores para autenticarlo usualmente, al preguntarle su nombre, su cumpleaños y los últimos 4 números de algo que le dieron (su tarjeta bancaria). Esto es un ejemplo. Cada uno de esos pasos es una autenticación.

El MFA moderno para aplicaciones y videojuegos enfatiza múltiples canales de comunicación.

¿Quién dice que es, cuál es la contraseña que nos dio y tiene el teléfono del que nos habló? Al hacer que cada uno de ellos sea un autenticador, podemos asegurar que usted es quien nos dice, porque cada uno de ellos es difícil de falsificar por separado, pero en conjunto es casi (pero no completamente) imposible.

La biometría también incluye varias formas de multifactor (huellas digitales) cuando se combina con una contraseña y una tarjeta de acceso.

Multifactor es solo la idea de que tener una forma de autenticidad es buena, dos es mejor, más es mejor que eso.

¡Espero que esto ayude!

La autenticación multifactor proporciona una capa adicional de protección a su cuenta. Por lo general, los usuarios usan solo la contraseña: es el primer factor, algo que usted sabe. Pero su contraseña puede ser forzada o incluso supervisada. Por lo tanto, muchos usuarios habilitan la autenticación de dos factores. Significa que usa el segundo factor: algo que tiene o algo que es. El segundo factor más popular es una OTP (contraseña de un solo uso). Por lo general, es una contraseña de 6 u 8 dígitos, que podría entregarse a los usuarios por SMS o correo electrónico o generarse mediante un token de software o hardware.

Uno de los siguientes algoritmos se utiliza para generar un OTP: TOTP, HOTP u OCRA. Consideremos la situación en la que el token de hardware o software genera la OTP. Los tokens de hardware y software no requieren conexión a Internet ni número de teléfono. Utiliza su teléfono para escanear el código QR, que tiene una clave secreta (semilla). Entonces, el token y el servidor conocen la misma clave secreta (semilla) y generan la misma OTP. El token genera el OTP y el servidor verifica si es correcto. Cuando se utiliza el algoritmo TOTP, la OTP es válida solo por un corto período de tiempo (generalmente, 30 o 60 segundos). En el caso del algoritmo HOTP, la OTP es válida hasta que no se haya utilizado. Si la OTP que ingresa es correcta, obtiene acceso a su cuenta.

Consulte el artículo de la wiki Algoritmo de contraseña de un solo uso basado en el tiempo – Wikipedia

Esto es para el código que cambia en un marco de tiempo establecido. También hay algoritmos para generar basados ​​en un recuento en lugar de tiempo.

Básicamente es una función hash con una clave secreta compartida y la hora. Tanto el servidor como el cliente tienen la clave, por lo que no es necesario intercambiar datos al generar el código. Sin embargo, puede ser necesario que haya sincronización entre los relojes del cliente y del servidor.

La respuesta corta, se basa en al menos dos cosas, a menudo algo que tienes y algo que sabes. Por ejemplo, su tarjeta de crédito es algo que tiene y el PIN es algo que sabe. Puede volverse más sofisticado con tres factores, pero esa es la base.