{"id":1560,"date":"2026-08-07T19:28:45","date_gmt":"2026-08-07T17:28:45","guid":{"rendered":"https:\/\/all-solutions.de\/?p=1560"},"modified":"2026-08-08T13:02:57","modified_gmt":"2026-08-08T11:02:57","slug":"ayer-las-contrasenas-eran-clave-para-iniciar-sesion-para-la-autenticacion-de-dos-factores-y-para-el-acceso-a-los-edificios","status":"publish","type":"post","link":"https:\/\/all-solutions.de\/es\/passwoerter-waren-gestern-ein-schluessel-fuer-login-2fa-und-gebaeudezutritt\/","title":{"rendered":"Las contrase\u00f1as son cosa del pasado: una sola clave para iniciar sesi\u00f3n, autenticaci\u00f3n de dos factores y acceso al edificio."},"content":{"rendered":"
\"Presentaci\u00f3n<\/figure>\n\n\n\n

Un empleado llega a la empresa por la ma\u00f1ana. En la puerta de entrada, acerca una peque\u00f1a llave de seguridad al lector. La puerta se abre. Unos minutos despu\u00e9s, usa la misma llave en su puesto de trabajo: para iniciar sesi\u00f3n en su ordenador, en un servicio en la nube protegido o como segundo factor al acceder a datos confidenciales de la empresa.<\/p>\n\n\n\n

Sin chip de acceso adicional. Sin c\u00f3digo de un solo uso en un tel\u00e9fono inteligente personal. Sin tarjeta de contrase\u00f1a debajo del teclado. Un solo dispositivo combina la identidad f\u00edsica y digital del empleado.<\/p>\n\n\n\n

A primera vista, esto podr\u00eda parecer una simple mejora en cuanto a comodidad. En realidad, se basa en un concepto de seguridad que puede resolver varios problemas empresariales comunes. Quer\u00edamos comprobar si esta promesa se cumpl\u00eda en la pr\u00e1ctica, as\u00ed que probamos la Swissbit iShield Key 2 Pro MIFARE tanto como llave de seguridad digital como para nuestra propia aplicaci\u00f3n de control de acceso sin contacto.<\/p>\n\n\n\n

Tres mundos clave que hoy en d\u00eda est\u00e1n mayormente separados.<\/h2>\n\n\n\n

En muchas empresas, un empleado dispone de varios m\u00e9todos de acceso independientes: una contrase\u00f1a para su ordenador, una aplicaci\u00f3n o c\u00f3digo para la autenticaci\u00f3n de dos factores y una tarjeta o chip para acceder al edificio. Se a\u00f1aden contrase\u00f1as adicionales para otras aplicaciones.<\/p>\n\n\n\n

Esto funciona, pero es costoso. Los nuevos empleados deben configurarse en m\u00faltiples sistemas. En caso de p\u00e9rdida, varios departamentos deben reaccionar. Si alguien deja la empresa, las cuentas digitales y los derechos de acceso f\u00edsico deben bloquearse de forma segura y, de ser posible, simult\u00e1nea.<\/p>\n\n\n\n

Una clave de seguridad combinada no crea autom\u00e1ticamente un sistema de gesti\u00f3n \u00fanico. Sin embargo, puede servir como medio com\u00fan donde convergen los permisos de un empleado: digitalmente mediante FIDO2 y f\u00edsicamente mediante MIFARE DESFire EV3.<\/p>\n\n\n\n

Por qu\u00e9 una contrase\u00f1a puede seguir siendo insegura a pesar de tener reglas complejas.<\/h2>\n\n\n\n

Una contrase\u00f1a es un secreto que un usuario comparte con una p\u00e1gina de inicio de sesi\u00f3n. Precisamente ah\u00ed radica el problema: un sitio web falsificado profesionalmente puede parecer casi id\u00e9ntico al original. Si el empleado introduce su contrase\u00f1a y, quiz\u00e1s, incluso un c\u00f3digo de un solo uso, un atacante puede robar ambos.<\/p>\n\n\n\n

Reglas como el uso de doce caracteres, caracteres especiales y cambios frecuentes dificultan adivinar la contrase\u00f1a. Sin embargo, no impiden que alguien introduzca su contrase\u00f1a correcta en un sitio web equivocado.<\/p>\n\n\n\n

El phishing ya no es un problema marginal.<\/h2>\n\n\n\n

La perspectiva europea ilustra claramente la frecuencia con la que este tipo de ataques sirven como punto de entrada. Para su Informe sobre el panorama de amenazas de 2025, la Agencia Europea de Ciberseguridad (ENISA) analiz\u00f3 un total de 4875 incidentes ocurridos entre julio de 2024 y junio de 2025. El informe identific\u00f3 d\u00f3nde se pod\u00eda evaluar el punto de entrada inicial. El phishing representa alrededor del 60 por ciento.<\/a> La explotaci\u00f3n de vulnerabilidades t\u00e9cnicas fue el m\u00e9todo m\u00e1s com\u00fan. Le sigui\u00f3 la explotaci\u00f3n de vulnerabilidades t\u00e9cnicas con un 21,3 por ciento.<\/p>\n\n\n\n

El phishing ya no se limita a correos electr\u00f3nicos mal redactados con enlaces sospechosos. La ley ENISA tambi\u00e9n incluye archivos adjuntos maliciosos, publicidad manipulada y estafas telef\u00f3nicas. Gracias a los servicios de "phishing como servicio", incluso los atacantes con poca experiencia t\u00e9cnica pueden desplegar paquetes de ataque prefabricados.<\/p>\n\n\n\n

CERT-EU tambi\u00e9n observa esta tendencia entre las instituciones y los socios de la Uni\u00f3n Europea: la proporci\u00f3n de intentos cl\u00e1sicos de spear phishing por correo electr\u00f3nico entre los intentos de acceso iniciales observados disminuy\u00f3 en 2025. del 41 al 31 por ciento<\/a>. Al mismo tiempo, se incrementaron otros m\u00e9todos, como el phishing telef\u00f3nico, la manipulaci\u00f3n de los procesos de inicio de sesi\u00f3n y el abuso de los procedimientos de autorizaci\u00f3n leg\u00edtimos. Por lo tanto, el ataque no est\u00e1 desapareciendo; simplemente se est\u00e1 volviendo m\u00e1s vers\u00e1til y profesional.<\/p>\n\n\n\n

Para las empresas, esto significa que simplemente advertir a los empleados sobre correos electr\u00f3nicos sospechosos ya no es suficiente. Si el proceso de inicio de sesi\u00f3n est\u00e1 dise\u00f1ado para minimizar el uso de contrase\u00f1as robadas y c\u00f3digos de un solo uso, la mera vigilancia se convierte en una medida de seguridad t\u00e9cnica.<\/p>\n\n\n\n

FIDO2 adopta un enfoque diferente. En pocas palabras, la clave de seguridad genera una clave digital \u00fanica para cada servicio. Esta clave solo funciona con el servicio original, al igual que la llave de un edificio solo abre la cerradura correspondiente. Una copia enga\u00f1osamente realista de la p\u00e1gina de inicio de sesi\u00f3n no posee la clave digital correcta y, por lo tanto, no puede interceptar el acceso.<\/p>\n\n\n\n

Autenticaci\u00f3n de dos factores o ninguna contrase\u00f1a.<\/h2>\n\n\n\n

El iShield Key 2 Pro MIFARE se puede usar de dos maneras. Con la autenticaci\u00f3n cl\u00e1sica de dos factores, la contrase\u00f1a permanece igual. Adem\u00e1s, el empleado debe tener la llave de hardware registrada y confirmar el inicio de sesi\u00f3n en el dispositivo. En ese caso, una contrase\u00f1a robada ya no es suficiente.<\/p>\n\n\n\n

Si la aplicaci\u00f3n admite el inicio de sesi\u00f3n sin contrase\u00f1a, la llave de hardware puede sustituirla por completo. El usuario inicia sesi\u00f3n con el dispositivo y, seg\u00fan la configuraci\u00f3n, con un PIN local. Esto no solo resulta m\u00e1s c\u00f3modo, sino que tambi\u00e9n elimina la contrase\u00f1a como posible objetivo de ataques de phishing.<\/p>\n\n\n\n

La opci\u00f3n m\u00e1s viable depende de las aplicaciones utilizadas, los servicios en la nube y la gesti\u00f3n de usuarios existente. Por lo tanto, lo ideal es que la implementaci\u00f3n comience con un inventario, y no con la compra masiva de un paquete completo de tokens.<\/p>\n\n\n\n

Lo que intentamos en la pr\u00e1ctica<\/h2>\n\n\n\n

No nos interesaba \u00fanicamente la ficha t\u00e9cnica. Quer\u00edamos saber c\u00f3mo funcionaba la llave en el uso diario y con nuestra propia integraci\u00f3n t\u00e9cnica.<\/p>\n\n\n\n

En primer lugar, registramos la iShield Key 2 Pro MIFARE como una clave de seguridad FIDO2 y la utilizamos para la autenticaci\u00f3n de dos factores. El proceso es sencillo para el usuario: basta con conectar la clave o usarla sin contacto, iniciar sesi\u00f3n y confirmar con el token. Los procesos criptogr\u00e1ficos se ejecutan en segundo plano.<\/p>\n\n\n\n

A continuaci\u00f3n, analizamos el segundo aspecto del dispositivo: la funci\u00f3n sin contacto MIFARE DESFire. Esto resulta especialmente interesante para los sistemas de control de acceso, ya que no solo requiere un n\u00famero de tarjeta f\u00e1cilmente legible. En cambio, el sistema de control de acceso puede verificar si el token posee la clave secreta correspondiente.<\/p>\n\n\n\n

Por qu\u00e9 esto es m\u00e1s seguro que un simple chip RFID.<\/h2>\n\n\n\n

Muchas soluciones sencillas de control de acceso solo reconocen el n\u00famero de serie del chip. Esto es similar a que un portero deje entrar a alguien simplemente porque proporciona el n\u00famero de empleado correcto. Si este n\u00famero ha sido copiado, es posible que el sistema no pueda distinguir entre el original y la copia.<\/p>\n\n\n\n

DESFire permite una verificaci\u00f3n criptogr\u00e1fica real. En pocas palabras, el token no solo conoce el n\u00famero de identificaci\u00f3n del empleado, sino que tambi\u00e9n puede responder a una pregunta que solo se puede resolver con la clave secreta almacenada. No es necesario extraer la clave secreta del token ni transmitirla abiertamente durante cada verificaci\u00f3n.<\/p>\n\n\n\n

Adem\u00e1s, se pueden crear \u00e1reas de datos separadas y protegidas. Estas podr\u00edan contener, por ejemplo, un identificador de autorizaci\u00f3n interno, datos de ubicaci\u00f3n u otra informaci\u00f3n necesaria para la aplicaci\u00f3n. Los datos apropiados siempre dependen del concepto de seguridad espec\u00edfico.<\/p>\n\n\n\n

Nuestro vistazo bajo el cap\u00f3<\/h2>\n\n\n\n

Para la prueba t\u00e9cnica, utilizamos un Identiv uTrust 3700 F CL como lector USB sin contacto. Esto se realiz\u00f3 a trav\u00e9s de PC\/SC, Python y pyscard<\/code> Nos comunicamos directamente con el token de prueba.<\/p>\n\n\n\n

A continuaci\u00f3n, creamos una aplicaci\u00f3n independiente con un \u00e1rea de datos protegida y reemplazamos la clave inicial por una clave AES generada a medida. Posteriormente, los datos de prueba solo pod\u00edan leerse y modificarse tras una autenticaci\u00f3n exitosa. Finalmente, restablecimos el token de prueba designado de forma controlada.<\/p>\n\n\n\n

Para quienes tienen inter\u00e9s en los aspectos t\u00e9cnicos, esto demostr\u00f3 la crucial cadena de funciones. Para el usuario final, simplemente significa que el sistema no verifica cualquier n\u00famero, sino la autenticidad de la autorizaci\u00f3n.<\/p>\n\n\n\n

Lo que una empresa gana con esto<\/h2>\n\n\n\n

La mayor ventaja no reside en una sola caracter\u00edstica t\u00e9cnica, sino en la interacci\u00f3n entre ellas:<\/p>\n\n\n\n

    \n
  • Menor superficie de ataque:<\/strong> FIDO2 proporciona una protecci\u00f3n significativamente mejor para el acceso digital contra los ataques de phishing cl\u00e1sicos.<\/li>\n\n\n\n
  • Una rutina de trabajo diaria m\u00e1s sencilla:<\/strong> Un \u00fanico dispositivo puede utilizarse para edificios, lugares de trabajo y servicios en l\u00ednea compatibles.<\/li>\n\n\n\n
  • Menos problemas con las contrase\u00f1as:<\/strong> Dependiendo del sistema, la clave puede proteger las contrase\u00f1as o reemplazarlas por completo.<\/li>\n\n\n\n
  • Procesos m\u00e1s claros:<\/strong> La emisi\u00f3n, devoluci\u00f3n, p\u00e9rdida y bloqueo pueden planificarse como un proceso de identidad coherente.<\/li>\n\n\n\n
  • Integraci\u00f3n flexible:<\/strong> La tecnolog\u00eda USB y NFC permite su uso con diferentes dispositivos y sistemas de acceso.<\/li>\n<\/ul>\n\n\n\n

    Esto puede reducir la carga de trabajo tanto para los usuarios como para el departamento de TI. Sin embargo, una implementaci\u00f3n correcta es fundamental. Simplemente integrar varias soluciones independientes existentes en el mismo hardware sin conectar los procesos subyacentes supone un desperdicio significativo de los beneficios potenciales.<\/p>\n\n\n\n

    M\u00e1s que iniciar sesi\u00f3n y abrir la puerta<\/h2>\n\n\n\n

    La versi\u00f3n Pro-MIFARE no solo combina FIDO2 con el control de acceso a edificios. Gracias a su funci\u00f3n de tarjeta inteligente PIV, tambi\u00e9n puede proporcionar certificados para el inicio de sesi\u00f3n en Windows, firmas digitales o cifrado. En un entorno de Active Directory y certificados configurado adecuadamente, el token se convierte as\u00ed en un portador de identidad seguro para otras tareas.<\/p>\n\n\n\n

    La funci\u00f3n DESFire sin contacto tambi\u00e9n puede utilizarse fuera de la puerta de entrada. La misma llave de empleado puede usarse, por ejemplo, en impresoras para FollowMe o Secure Print, para el control horario o en \u00e1reas especialmente protegidas, como las salas de servidores. Para el empleado, sigue siendo un \u00fanico dispositivo; en segundo plano, los derechos de acceso correspondientes permanecen claramente diferenciados.<\/p>\n\n\n\n

    Un puente para sistemas m\u00e1s antiguos<\/h2>\n\n\n\n

    No todas las aplicaciones existentes son compatibles con FIDO2. Por lo tanto, la versi\u00f3n Pro ofrece c\u00f3digos de un solo uso basados en tiempo y contador (TOTP y HOTP), as\u00ed como la opci\u00f3n de mostrar datos de acceso est\u00e1ticos seleccionados mediante un teclado virtual. Esto permite integrar interfaces de administraci\u00f3n antiguas, dispositivos de red u otros sistemas que a\u00fan no son compatibles con los m\u00e9todos de autenticaci\u00f3n modernos.<\/p>\n\n\n\n

    Estas caracter\u00edsticas constituyen una soluci\u00f3n provisional pr\u00e1ctica, pero no el objetivo de seguridad definitivo. Los c\u00f3digos de un solo uso y las contrase\u00f1as est\u00e1ticas a\u00fan pueden ser interceptados o introducidos en un sitio web falso. Cuando FIDO2 es posible, la autenticaci\u00f3n criptogr\u00e1fica vinculada al servicio real sigue siendo la opci\u00f3n mucho mejor.<\/p>\n\n\n\n

    La segunda clave forma parte del concepto.<\/h2>\n\n\n\n

    Un dispositivo con m\u00faltiples puntos de acceso plantea una pregunta leg\u00edtima: \u00bfQu\u00e9 sucede si se pierde? En el caso del iShield Key 2 Pro MIFARE, la ausencia de una opci\u00f3n de exportaci\u00f3n para los datos de acceso protegidos es una medida de seguridad intencionada. Las claves privadas, las contrase\u00f1as, los certificados y los datos OTP no deber\u00edan poder simplemente salir del token y copiarse a otro dispositivo.<\/p>\n\n\n\n

    Esto protege contra la copia no detectada, pero tambi\u00e9n significa que no se puede generar una clave de reemplazo despu\u00e9s de que la original se haya perdido por duplicaci\u00f3n. Primero debe emitirse por separado y registrarse o configurarse para las cuentas y funciones necesarias.<\/p>\n\n\n\n

    Si se pierde un token, sus claves de acceso digitales y derechos de acceso f\u00edsico deben bloquearse de inmediato. Se recomienda contar con una segunda clave de hardware para las cuentas importantes. Como alternativa, se necesita un procedimiento de recuperaci\u00f3n administrativa controlado que no dependa del token perdido.<\/p>\n\n\n\n

    Por lo tanto, el despliegue incluye no solo los dispositivos en s\u00ed, sino tambi\u00e9n reglas claras para su emisi\u00f3n, personalizaci\u00f3n, reemplazo, devoluci\u00f3n y bloqueo. La segunda clave no es una duplicaci\u00f3n innecesaria, sino una parte integral del concepto de seguridad y operaci\u00f3n.<\/p>\n\n\n\n

    Nuestra conclusi\u00f3n: \u00bfPor qu\u00e9 seguimos haciendo esto por separado?<\/h2>\n\n\n\n

    Nuestra prueba comenz\u00f3 con la curiosidad t\u00e9cnica de saber qu\u00e9 se pod\u00eda implementar en el iShield Key 2 Pro MIFARE. Sin embargo, el resultado es particularmente interesante desde una perspectiva organizativa: el inicio de sesi\u00f3n digital y el acceso al edificio no tienen por qu\u00e9 seguir siendo dos mundos separados para el empleado.<\/p>\n\n\n\n

    Un solo dispositivo puede desbloquear la puerta por la ma\u00f1ana, asegurar el lugar de trabajo y proteger el acceso a aplicaciones cr\u00edticas. FIDO2 reduce la dependencia de las contrase\u00f1as y dificulta el phishing. DESFire EV3 permite un control de acceso criptogr\u00e1ficamente seguro que va mucho m\u00e1s all\u00e1 de la simple lectura de un n\u00famero de chip.<\/p>\n\n\n\n

    La tecnolog\u00eda existe y funciona. Por lo tanto, la pregunta m\u00e1s interesante para muchas empresas ya no es: "\u00bfEs posible algo as\u00ed?", sino m\u00e1s bien: "\u00bfPor qu\u00e9 seguimos gestionando la identidad digital y el acceso a los edificios por separado?".\u201e<\/p>\n\n\n\n

    <\/p>","protected":false},"excerpt":{"rendered":"

    Un dispositivo abre la puerta de la empresa por la ma\u00f1ana y luego protege el lugar de trabajo y los servicios en l\u00ednea. Probamos c\u00f3mo el iShield Key 2 Pro combina MIFARE FIDO2 con el control de acceso seguro DESFire.<\/p>","protected":false},"author":1,"featured_media":1577,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-1560","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-allgemein"],"blocksy_meta":{"styles_descriptor":{"styles":{"desktop":"","tablet":"","mobile":""},"google_fonts":[],"version":8}},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t