Tema 3 de 5
Autenticación en Microsoft Entra ID
La autenticación verifica la identidad de una persona antes de darle acceso a un recurso, app, dispositivo o red. Entra ID ofrece muchos métodos que equilibran seguridad, usabilidad y despliegue. El examen pregunta qué método es resistente a phishing, cuál sirve como factor primario, qué viene gratis y cómo funcionan SSPR y la protección de contraseñas.
Contenido
Métodos de autenticación
Las contraseñas son el método más común y el más débil cuando se usan solas: si son fáciles de recordar, son fáciles de comprometer; si son fuertes, se olvidan y bajan la productividad. Microsoft recomienda complementarlas o reemplazarlas, y el objetivo final es eliminarlas (passwordless).
SMS
El usuario recibe un código por mensaje de texto. Puede ser factor primario (inicio de sesión por SMS) o secundario en MFA y SSPR.
Llamada de voz
Llamada automática al número registrado; el usuario pulsa # para completar. Solo factor secundario, nunca primario.
OATH TOTP
Estándar abierto de códigos de un solo uso basados en tiempo. Software (Authenticator u otras apps; Entra genera la semilla) o hardware (llavero con un código que cambia cada 30 o 60 segundos). Solo secundario.
Temporary Access Pass (TAP)
Código con tiempo limitado que emite un administrador para iniciar sesión y registrar otros métodos, incluidos los sin contraseña. Útil para incorporar usuarios o recuperar el acceso.
Código QR
Pensado para trabajadores de primera línea en dispositivos compartidos: escanean un QR (por ejemplo, en la credencial) e introducen un PIN numérico.
OTP por correo
Código enviado al correo. Factor secundario en SSPR; también se puede configurar para el inicio de sesión de invitados.
Authenticator Lite
Capacidad integrada en apps como Outlook móvil para completar MFA con push o códigos sin instalar Microsoft Authenticator.
Métodos de autenticación externos
Integran un proveedor de MFA de terceros (por ejemplo, Duo o RSA SecurID) para cumplir MFA con una solución que ya tiene la organización.
Microsoft recomienda dejar SMS y llamadas para MFA y pasar a métodos modernos como Microsoft Authenticator o passkeys.
Sin contraseña
Los métodos sin contraseña reemplazan la contraseña por algo que tienes combinado con algo que eres o algo que sabes.
Windows Hello for Business
Combina una clave o certificado ligado al dispositivo con un PIN o biometría. El gesto usa una clave privada para firmar los datos que se envían al proveedor de identidad. Un atacante necesita el dispositivo y el PIN o la biometría.
Passkeys (FIDO2)
Criptografía de clave pública: al registrarse se crea un par de claves; la privada se guarda de forma segura y la pública se registra en Entra ID. Dos tipos:
- Ligadas al dispositivo: la clave privada nunca sale de un dispositivo físico. Ejemplos: llaves FIDO2 (USB, Bluetooth, NFC) y passkeys en Microsoft Authenticator.
- Sincronizadas: la clave se sincroniza entre los dispositivos del usuario mediante un proveedor en la nube, como iCloud Keychain o Google Password Manager.
Microsoft Authenticator
App gratuita para iOS y Android con cuatro modos: passkey (resistente a phishing), inicio sin contraseña (el usuario hace coincidir un número y confirma con biometría o PIN), notificación push con coincidencia de números (como segundo factor) y códigos OATH.
Autenticación basada en certificados (CBA)
Certificados X.509 directamente contra Entra ID, sin necesidad de infraestructura federada como AD FS. Sirve como método primario sin contraseña y, configurado, como MFA.
Platform Credential para macOS
Credencial respaldada por el Secure Enclave del Mac que da inicio sin contraseña y SSO entre apps, desbloqueada con Touch ID o contraseña.
Resistentes a phishing
Con el auge de los ciberataques impulsados por IA, el MFA tradicional por SMS o código por correo es cada vez más vulnerable al phishing remoto. Los métodos resistentes a phishing usan clave pública y la credencial queda ligada al dominio de origen donde se registró: el autenticador verifica el dominio antes de responder, así que la credencial no sirve en un sitio falso, no se puede reutilizar ni compartir.
La lista oficial
Windows Hello for Business · Platform Credential para macOS · passkeys sincronizadas (FIDO2) · llaves de seguridad FIDO2 · passkeys en Microsoft Authenticator · CBA
SMS, llamada, OTP por correo, OATH y push de Authenticator no son resistentes a phishing.
Factor primario y secundario
Algunos métodos sirven para iniciar sesión (primario); otros solo como segundo factor en MFA o SSPR:
| Método | Primario | Secundario |
|---|---|---|
| Windows Hello, passkeys, CBA, Platform Credential | Sí | MFA |
| Authenticator (sin contraseña) | Sí | No |
| Authenticator (push) | Sí | MFA y SSPR |
| Authenticator Lite | No | MFA |
| OATH hardware y software | No | MFA y SSPR |
| Métodos externos | No | MFA |
| SMS | Sí | MFA y SSPR |
| Llamada de voz | No | MFA y SSPR |
| TAP | Sí | MFA |
| Código QR | Sí | No |
| OTP por correo | No | SSPR |
| Verified ID | No | Recuperación de cuenta |
| Contraseña | Sí | No |
Autenticación multifactor
MFA pide otra forma de identificación durante el inicio de sesión. Si solo usas contraseña y esta es débil o se filtró, un atacante puede entrar; un segundo factor no es fácil de obtener ni duplicar. Combina dos o más de:
Algo que sabes
Contraseña o PIN
Algo que tienes
Teléfono o llave de hardware difícil de duplicar
Algo que eres
Huella o reconocimiento facial
Entra ID pide y procesa MFA automáticamente, sin cambios en las apps. El usuario elige entre los métodos que registró; el administrador puede exigir ciertos métodos y el usuario puede editarlos en MyAccount.
Valores predeterminados de seguridad
Base gratuita. Para quien no sabe por dónde empezar o usa Entra ID Free.
Acceso condicional
Control granular: MFA según ubicación, estado del dispositivo, riesgo o sensibilidad de la app. Requiere P1 o P2.
Valores predeterminados de seguridad
Mecanismos básicos recomendados por Microsoft que se aplican automáticamente al activarlos, sin costo extra, y que vienen habilitados por defecto en tenants nuevos. Según Microsoft, MFA más bloquear la autenticación heredada frena más del 99,9 % de los ataques comunes de identidad.
- Todos los usuarios deben registrarse en MFA
- Los administradores deben hacer MFA
- Los usuarios hacen MFA cuando hace falta
- Se bloquean los protocolos de autenticación heredados
- Se protegen actividades privilegiadas como el acceso al portal de Azure
Al pedir MFA, Authenticator muestra un número que el usuario debe escribir: la coincidencia de números evita los ataques de fatiga de MFA, en los que el atacante envía avisos hasta que la víctima aprueba uno.
Restablecimiento de contraseña de autoservicio (SSPR)
Permite al usuario cambiar o restablecer su contraseña sin el administrador ni el help desk, por ejemplo si se bloqueó o la olvidó. Reduce llamadas y pérdida de productividad, y sus registros de auditoría se pueden llevar a un SIEM mediante una API.
El usuario entra al portal de SSPR
Entra comprueba que la cuenta es válida y que SSPR está habilitado para ella.
Comprueba los métodos registrados
El usuario debe haber registrado los métodos exigidos.
Determina dónde se gestiona la contraseña
En la nube o en AD local (con escritura diferida).
Guía el restablecimiento
Si todo pasa, el usuario verifica sus métodos y elige la nueva contraseña.
Requisitos del usuario
- Licencia de Microsoft Entra ID
- SSPR habilitado por un administrador
- Métodos registrados (se recomiendan dos o más)
Métodos admitidos
Push de Authenticator, OATH software, OATH hardware (preview), SMS, llamada de voz, OTP por correo y preguntas de seguridad (se retiran en marzo de 2027).
- El administrador decide si se exigen uno o dos métodos. Con un solo método, Authenticator solo admite código de verificación.
- Los administradores tienen SSPR habilitado por defecto con dos métodos obligatorios y no pueden usar preguntas de seguridad.
- Se puede obligar a registrarse en el siguiente inicio de sesión y pedir que se reconfirmen los métodos cada cierto tiempo (de 0 a 730 días).
- Notificaciones: el usuario recibe un correo cuando se restablece su contraseña, y los Global Administrators cuando otro administrador restablece la suya.
- Escritura diferida (writeback, con P1): en entornos híbridos, el cambio se escribe en AD local sea con PHS, PTA o federación. También se puede permitir desbloquear la cuenta local sin restablecer la contraseña.
Recuperación de cuenta
SSPR cubre a quien olvidó la contraseña pero conserva al menos un método. Si el usuario perdió todos sus métodos (por ejemplo, perdió el teléfono y no tiene respaldo), entra la recuperación de cuenta, que restablece la confianza con verificación completa de identidad.
| SSPR | Recuperación de cuenta | |
|---|---|---|
| Caso | Olvidó la contraseña, conserva métodos | Perdió todos los métodos |
| Requisito | Al menos un método registrado | Verificación con un proveedor certificado (IDV) |
| Alcance | Solo la contraseña | Restablece todos los métodos |
Los proveedores de verificación están en el Microsoft Security Store. Verified ID con Face Check compara una selfie en tiempo real con la foto del documento oficial y solo comparte el resultado, no los datos. Al quitar el juicio humano, evita la ingeniería social típica de la recuperación por help desk.
Protección de contraseñas
Microsoft Entra Password Protection detecta y bloquea contraseñas débiles conocidas y sus variantes, y también términos débiles propios de la organización, cuando el usuario cambia o restablece la contraseña. No sustituye a MFA: una contraseña fuerte sola no es tan segura como varias capas.
Lista global de contraseñas prohibidas
La mantiene el equipo de ID Protection con telemetría de Entra y ataques reales de password spray, no con fuentes externas. Se aplica a todos los usuarios automáticamente: no se configura ni se puede desactivar.
Lista personalizada
Términos propios: marcas, productos, ubicaciones como la sede, términos internos y siglas. Máximo 1.000 términos, combinados con la global. Mejor términos base que listas enormes: las variantes se bloquean solas.
Cómo se evalúa una contraseña nueva:
Normalización
Minúsculas y sustituciones comunes (@ → a, $ → s, 1 → l, 0 → o).
Coincidencia difusa
Distancia de edición de uno: detecta variantes con un carácter cambiado, añadido o quitado.
Coincidencia de subcadena
Busca el nombre y apellido del usuario y el nombre del tenant (términos de al menos 4 caracteres).
Puntuación
Un punto por término prohibido y uno por cada carácter restante. Hace falta al menos 5 puntos, así que una contraseña larga puede aceptarse aunque contenga un término prohibido.
Password spray
En vez de probar muchas contraseñas contra una cuenta, el atacante prueba unas pocas contraseñas comunes contra muchas cuentas, para no disparar el bloqueo. La lista global bloquea justo las contraseñas que se usan en estos ataques.
En entornos híbridos se extiende a AD DS con un servicio proxy (reenvía la descarga de políticas) y un agente DC en los controladores de dominio, que revisa cada hora si su política tiene más de una hora. Los controladores no se conectan a internet, no hace falta cambiar el esquema y complementa (no reemplaza) las políticas de AD DS.
Escenarios de examen
| Situación | Respuesta | Por qué |
|---|---|---|
| Un empleado nuevo debe registrar una llave FIDO2 el primer día | Temporary Access Pass | Código temporal emitido por un admin para iniciar sesión y registrar métodos. |
| Trabajadores de planta en tablets compartidas, sin escribir contraseñas | Autenticación con código QR | Escanean el QR de su credencial e introducen un PIN. |
| Exigir el método más fuerte contra sitios de phishing con IA | Passkeys / FIDO2, WHfB o CBA | Están ligados al dominio de origen. |
| Una empresa con Entra ID Free quiere MFA para todos | Valores predeterminados de seguridad | Gratis; el acceso condicional requiere P1. |
| Usuarios aprueban notificaciones de MFA sin mirar (fatiga de MFA) | Coincidencia de números en Authenticator | El usuario debe escribir el número de la pantalla. |
| Un usuario perdió el teléfono y todos sus métodos | Recuperación de cuenta con Verified ID | SSPR exige al menos un método registrado. |
| Bloquear contraseñas que incluyan el nombre de la empresa | Lista personalizada de contraseñas prohibidas | Términos propios de la organización, hasta 1.000. |
| Restablecer la contraseña y que se aplique en AD local | SSPR con escritura diferida | Requiere P1; funciona con PHS, PTA o federación. |
Trampas frecuentes del examen
❓ ¿Una notificación push con coincidencia de números es resistente a phishing?
No. Ayuda contra la fatiga de MFA, pero los métodos resistentes a phishing son WHfB, passkeys, llaves FIDO2, Platform Credential y CBA.
❓ ¿La llamada de voz puede ser el método primario de inicio de sesión?
No. Solo es secundario para MFA y SSPR. El SMS sí puede ser primario.
❓ Una organización con Entra ID Free quiere exigir MFA a todos. ¿Qué usa?
Valores predeterminados de seguridad. El acceso condicional necesita P1 o P2.
❓ ¿Se puede desactivar la lista global de contraseñas prohibidas?
No. Se aplica siempre a todos los usuarios. La lista personalizada es la que configuras tú.
❓ ¿Un administrador puede usar preguntas de seguridad en SSPR?
No. Los administradores usan dos métodos obligatorios y no pueden usar preguntas de seguridad.
❓ ¿SSPR sirve si el usuario perdió todos sus métodos?
No. Hace falta la recuperación de cuenta con verificación de identidad.
❓ ¿Quién emite un Temporary Access Pass?
Un administrador. Es un código temporal para iniciar sesión y registrar métodos.
❓ ¿Una contraseña con un término prohibido siempre se rechaza?
No. Si la puntuación total llega a 5 puntos, puede aceptarse.
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Un empleado olvidó su contraseña un domingo y quiere restablecerla sin llamar al help desk. En la empresa, las cuentas se sincronizan desde AD local. ¿Qué combinación lo permite?
¿Listo para poner a prueba "Autenticación, MFA y SSPR"?
Preguntas originales, cada una con su explicación.
Empezar un simulacro