Autenticación de dos factores

La autenticación de dos factores protege las cuentas incluso cuando una contraseña es robada o adivinada: después de su contraseña, el usuario debe presentar un segundo factor.

Se aplica a las cuentas cuya contraseña verifica el propio Cyberwatch, es decir, las cuentas locales y las cuentas LDAP. Las cuentas que se conectan mediante SAML u OpenID Connect se basan en su proveedor de identidad, que gestiona entonces por sí mismo el segundo factor.

Segundos factores disponibles

Segundo factor	Funcionamiento
Aplicación de autenticación	Una aplicación como Google Authenticator o Microsoft Authenticator muestra un código de 6 dígitos, renovado cada 30 segundos (TOTP).
Clave de acceso	El teléfono, el ordenador, el gestor de contraseñas o una llave de seguridad FIDO2 confirma la identidad del usuario mediante huella, rostro o código PIN (passkey, WebAuthn).
Códigos de recuperación	Diez códigos de un solo uso, generados con el primer segundo factor, permiten conectarse en caso de pérdida del teléfono o de la llave.

Un usuario puede configurar una aplicación de autenticación y varias claves de acceso.

Requisitos previos de las claves de acceso

Una clave de acceso está vinculada a la dirección de Cyberwatch. Para usarlas:

• Cyberwatch debe abrirse mediante un nombre de dominio en HTTPS, en la dirección configurada para el nodo en Administración > Nodos. Las claves de acceso no funcionan cuando Cyberwatch se abre mediante una dirección IP;
• el certificado TLS de Cyberwatch debe ser reconocido por el navegador;
• el navegador debe ser reciente: Chrome o Edge 129, Firefox 119, Safari 18.4 o versiones posteriores.

Cuando no se cumplen estas condiciones, la aplicación de autenticación sigue disponible.

Cambiar la dirección del nodo inutiliza las claves de acceso registradas para la dirección anterior. Cyberwatch se lo advierte al administrador que modifica la dirección. Los usuarios afectados se conectan entonces con su aplicación de autenticación o un código de recuperación y, a continuación, registran una nueva clave de acceso.

Configurar su segundo factor

1. Abrir su perfil desde el menú situado en la parte superior derecha de la interfaz
2. En el recuadro «Autenticación de dos factores», hacer clic en «Gestionar»

Añadir, sustituir o retirar un segundo factor, o generar nuevos códigos de recuperación, requiere confirmar la contraseña. Esta confirmación sigue siendo válida durante 10 minutos.

Aplicación de autenticación

1. En el recuadro «Aplicación de autenticación», hacer clic en «Configurar»
2. Escanear el código QR con la aplicación, o introducir la clave que se muestra debajo del código QR
3. Introducir el código de 6 dígitos que muestra la aplicación y hacer clic en «Activar»

Los códigos dependen de la hora. Si se rechaza un código, comparar la hora del teléfono con la hora del servidor que se muestra debajo del formulario: una diferencia de más de 30 segundos impide la verificación.

Claves de acceso

1. En el recuadro «Claves de acceso», hacer clic en «Añadir una clave de acceso»
2. Dar un nombre a la clave, por ejemplo «Teléfono» o «Llave de seguridad»
3. Hacer clic en «Crear la clave de acceso» y seguir las instrucciones del navegador

Cada clave puede después renombrarse o retirarse desde la misma página.

Códigos de recuperación

Los códigos de recuperación se muestran una sola vez, al configurar el primer segundo factor. Deben conservarse en un lugar seguro, por ejemplo en un gestor de contraseñas: los botones «Copiar al portapapeles» y «Descargar» facilitan guardarlos.

Cada código solo sirve una vez. El recuadro «Códigos de recuperación» indica el número de códigos restantes, y el botón «Generar nuevos códigos» sustituye todos los códigos existentes.

Notificaciones

Un correo electrónico avisa al usuario cuando se añade o se retira un segundo factor, cuando se regeneran sus códigos de recuperación, cuando se usa un código de recuperación o cuando un administrador restablece sus segundos factores. El envío requiere un servidor SMTP configurado.

Conectarse

Tras introducir la contraseña, Cyberwatch solicita el segundo factor:

• hacer clic en «Usar una clave de acceso», si se ha registrado una clave;
• o introducir el código de la aplicación de autenticación;
• o introducir uno de los códigos de recuperación.

Tras cinco códigos o claves rechazados en 15 minutos, la introducción del segundo factor se bloquea hasta 15 minutos para esta cuenta.

Conexión sin contraseña

Un usuario local que ha registrado una clave de acceso puede conectarse sin introducir identificador ni contraseña, con el botón «Iniciar sesión con una clave de acceso» de la página de inicio de sesión. El navegador también puede proponer la clave directamente en el campo identificador.

La clave de acceso verifica entonces la identidad del usuario mediante huella, rostro o código PIN, lo que equivale a una autenticación de dos factores.

Esta conexión no se propone a las cuentas LDAP, cuya contraseña debe ser verificada por el directorio en cada conexión.

Imponer la autenticación de dos factores

Por defecto, la autenticación de dos factores es opcional. Para imponerla:

1. Ir al menú Administración > Proveedor de identidad > Configuración global
2. En la sección «Autenticación de dos factores», elegir el segundo factor:
   • «Opcional»: cada usuario elige si configura un segundo factor;
   • «Impuesta a los administradores»: los usuarios del rol Administrador deben configurar uno;
   • «Impuesta a todos los usuarios»: todas las cuentas locales y LDAP deben configurar uno.
3. Hacer clic en «Guardar»

Un usuario afectado que todavía no tiene segundo factor debe configurar uno en su próxima conexión, antes de acceder a Cyberwatch. Las sesiones ya abiertas no se cierran.

Cuando la autenticación de dos factores está impuesta, un usuario no puede retirar su último segundo factor. En cambio, puede sustituirlo.

Antes de imponer la autenticación de dos factores, se recomienda que el administrador configure su propio segundo factor. Un aviso se lo recuerda en la configuración global.

Seguir la adopción

La columna «MFA» de la lista de usuarios indica quién ha configurado un segundo factor. Permanece vacía para las cuentas SAML y OpenID Connect, así como para las cuentas sin contraseña.

El atributo mfa_enabled de la API /api/v3/users proporciona la misma información.

Restablecer los segundos factores de un usuario

Cuando un usuario ha perdido su teléfono, sus claves de acceso y sus códigos de recuperación, un administrador puede restablecer sus segundos factores:

1. Ir al menú Administración > Usuarios
2. Abrir la ficha del usuario
3. En el recuadro «Autenticación de dos factores», hacer clic en «Restablecer» y confirmar

El usuario se conecta entonces solo con su contraseña y luego configura un nuevo segundo factor, durante su conexión si la autenticación de dos factores está impuesta. El restablecimiento queda anotado en el registro de acciones y el usuario recibe un aviso por correo electrónico.

Un administrador no puede restablecer sus propios segundos factores desde la interfaz.