Enlace mágico o contraseña: comparamos a fondo cuál es más seguro

Los problemas estructurales de la autenticación por contraseña

La autenticación por contraseña es un mecanismo antiguo que se remonta a los sistemas de tiempo compartido de la década de 1960, y sigue siendo el estándar de la autenticación digital. Sin embargo, a pesar de su larga historia, la autenticación por contraseña tiene varias vulnerabilidades estructurales.

El primer problema es que depende de la memoria de las personas. Si se da prioridad a la seguridad, lo ideal es usar cadenas largas y aleatorias distintas para cada servicio, pero cuantas más cuentas de uso diario tienes, menos realista es recordarlas todas. Como resultado, es fácil acabar reutilizando la misma contraseña en varios servicios.

El segundo problema es que las contraseñas se guardan en el servidor. Si se guardan con un hash adecuado, se evita la filtración directa, pero si se filtra la base de datos, existe el riesgo de que se recuperen las contraseñas originales mediante ataques de fuerza bruta o con tablas arcoíris. Los incidentes de filtración de credenciales guardadas se publican con frecuencia en las noticias.

El tercer problema es la vulnerabilidad al phishing. El método de hacer que alguien introduzca su contraseña en un sitio falso que imita la página de inicio de sesión legítima funciona aunque no sea técnicamente sofisticado. Salvo que el usuario tenga la costumbre de comprobar con atención la URL, la autenticación por contraseña es vulnerable por naturaleza al phishing.

Cómo funciona la autenticación por enlace mágico y por qué es segura

La autenticación por enlace mágico es un método que confirma tu identidad con un enlace temporal enviado por correo en lugar de una contraseña. Cuando el usuario introduce su dirección de correo electrónico, el servidor genera una URL que contiene un token único y la envía a esa dirección. Cuando el usuario hace clic en el enlace, se verifica el token y se completa la autenticación.

Veamos cómo resuelve este método los 3 problemas de la autenticación por contraseña.

El problema de la memoria desaparece. Lo único que el usuario tiene que recordar es su dirección de correo electrónico. Tampoco hace falta un gestor de contraseñas. El riesgo de guardarlas en el servidor también se reduce. El token del enlace mágico deja de ser válido en cuanto se usa una vez, y también cuando pasa su breve plazo de validez. Aunque se filtrara la base de datos, los tokens usados o caducados ya no son válidos, así que el margen para reutilizarlos tal cual es limitado.

También mejora la resistencia al phishing. Con la autenticación por contraseña, la contraseña introducida en un sitio falso se usa de forma indebida tal cual. Con la autenticación por enlace mágico, aunque introduzcas tu dirección de correo electrónico en un sitio falso, el enlace llega a tu dirección de correo legítima. Para interceptar el enlace, el atacante tendría que comprometer la propia cuenta de correo del usuario, lo que hace el ataque mucho más difícil.

Los puntos débiles de la autenticación por enlace mágico y cómo cubrirlos

La autenticación por enlace mágico no es infalible. Cuando se habla de seguridad, es importante reconocer con honestidad los puntos débiles.

El mayor punto débil es la dependencia de la cuenta de correo. Si alguien se hace con tu cuenta de correo, el enlace mágico también le llega al atacante. Es el mismo riesgo que el del «correo para restablecer la contraseña» de la autenticación por contraseña, pero con la autenticación por enlace mágico cada inicio de sesión pasa por el correo, así que la seguridad de la cuenta de correo influye de forma más directa. Como medida, activa siempre la verificación en dos pasos en tu cuenta de correo. Los principales servicios de correo permiten activar la verificación en dos pasos desde la pantalla de ajustes de seguridad, así que revisa los ajustes del servicio que uses.

El segundo punto débil es que se pierde la inmediatez del inicio de sesión. Con la autenticación por contraseña puedes iniciar sesión en unos segundos, pero con el enlace mágico hay que esperar a que llegue el correo. Normalmente llega en unos segundos o en menos de 1 minuto, pero puede retrasarse por demoras del servidor de correo o porque el filtro de spam lo detecte por error. En los servicios en los que se inicia / cierra sesión con frecuencia, esta demora puede resultar molesta.

El tercer punto débil es que el correo se envía en texto plano. Gran parte de la comunicación entre servidores de correo está cifrada con TLS, pero no está garantizado que todos los tramos estén cifrados. En teoría, el riesgo de que intercepten el correo por el camino no es cero. Eso sí, como el token tiene un plazo de validez breve y solo se puede usar 1 vez, el margen de tiempo entre la interceptación y el uso indebido es muy limitado.

Comparación de comodidad y experiencia de usuario

No solo la seguridad: la facilidad de uso en el día a día también influye al elegir un método de autenticación.

La experiencia de crear una cuenta es más ligera con el enlace mágico. Con la autenticación por contraseña, se pide crear una contraseña (8 caracteres o más, con mayúsculas, minúsculas, números y símbolos, etc.) y también escribirla otra vez para confirmarla. La experiencia de recibir un error por no cumplir los requisitos de la contraseña hace que los usuarios abandonen. Con el enlace mágico, basta con introducir la dirección de correo electrónico y hacer clic en el enlace.

La experiencia de iniciar sesión tiene ventajas e inconvenientes. La autenticación por contraseña, combinada con el autocompletado del navegador o un gestor de contraseñas, permite iniciar sesión con un clic. Con el enlace mágico, hay que mirar el correo cada vez. Eso sí, el procedimiento para restablecer la contraseña cuando la olvidas (recibir por correo un enlace para restablecerla y crear una contraseña nueva) es casi igual que el procedimiento de inicio de sesión del enlace mágico. Para los usuarios que olvidan la contraseña a menudo, el enlace mágico resulta incluso más fluido.

Desde el punto de vista del coste de soporte, el enlace mágico sale ganando. En los servicios con autenticación por contraseña, las consultas del tipo «he olvidado la contraseña», «mi cuenta está bloqueada» o «quiero cambiarla» suponen una parte constante. Con el enlace mágico, este tipo de consultas apenas se produce.

Cómo elegir el método de autenticación según la naturaleza del servicio

Qué método de autenticación es mejor depende de la naturaleza del servicio. No se puede decir sin más que «el enlace mágico es lo mejor».

El enlace mágico es adecuado para servicios en los que se inicia sesión con poca frecuencia. En servicios como el buzón de preguntas, en los que solo se inicia sesión para crear el buzón de preguntas y para mirar el panel, el esfuerzo de comprobar el correo es asumible. Al contrario, precisamente porque solo se inicia sesión de vez en cuando, es fácil olvidar la contraseña, y la experiencia es mejor con el enlace mágico.

La autenticación por contraseña (o con llaves de acceso) es adecuada para servicios en los que se inicia sesión con mucha frecuencia. En servicios en los que se inicia sesión muchas veces al día, como clientes de correo, herramientas de chat o sistemas de trabajo, el esfuerzo de comprobar el correo cada vez se va acumulando. Para estos servicios son adecuadas la integración con un gestor de contraseñas o la autenticación con llaves de acceso basada en FIDO2/WebAuthn.

En servicios que exigen un nivel alto de seguridad, como los servicios financieros o los datos médicos, a veces el enlace mágico por sí solo no basta. Lo deseable es combinar el enlace mágico con una autenticación de dos factores por SMS o mediante una aplicación.

El método de autenticación no debería elegirse por «el método más seguro», sino por «el método más adecuado para el patrón de uso y el nivel de riesgo del servicio». En un servicio informal como el buzón de preguntas, el enlace mágico ofrece el equilibrio óptimo entre seguridad y comodidad.