¿Qué es un token de hardware? YubiKey, Duo y RSA comparados
Un token de hardware es un dispositivo físico que se usa como factor de autenticación: el «algo que tienes» que demuestra tu identidad, normalmente además de una contraseña y, cada vez más, por sí solo. El problema es que «token de hardware» abarca varias tecnologías bastante distintas, y no todas son igual de fuertes.
¿No sabes qué tipo encaja con tus usuarios? Prueba el selector de tokens de hardware.
Token físico frente a token de software
Un token físico (hard token) es un dispositivo: un llavero OTP, una llave de seguridad FIDO2/U2F o una tarjeta inteligente. Un token de software (soft token) es software que hace el mismo trabajo, casi siempre una app de autenticación en un teléfono o un portátil que genera códigos de un solo uso. Un token OTP físico y uno de software son igual de vulnerables al phishing, porque ambos producen un código que escribes; el token físico está aislado del malware de tu teléfono o tu portátil, mientras que el de software gana en coste y comodidad. El gran salto de seguridad no está entre físico y software, sino entre código y criptografía: una llave de seguridad FIDO2, o una passkey, es resistente al phishing, y un código OTP no.
Los tres tipos de token de hardware
Meterlos todos en el mismo saco provoca la mayor parte de la confusión, así que conviene separarlos con claridad.
- Tokens OTP. Generan un código de un solo uso. La mayoría se basan en el tiempo (un código de seis dígitos que cambia cada 30 segundos: el esquema TOTP, el mismo que usa una app de autenticación), aunque algunos se basan en eventos (un código nuevo cada vez que pulsas un botón). Lees el código en una pantallita y lo escribes en la página de inicio de sesión. El hardware es solo un lugar dedicado donde ejecutar el algoritmo OTP.
- Llaves de seguridad FIDO2 / U2F. El estándar moderno: llaves USB, NFC o Bluetooth. En lugar de mostrarte un código, la llave guarda una clave privada y se autentica firmando un desafío criptográfico. Nunca lees ni escribes un secreto: tocas la llave para aprobar. La clave privada nunca sale del dispositivo. Como solo quien la tiene puede producir esa firma, la misma idea sustenta el no repudio en ciberseguridad: la prueba de que una persona concreta aprobó una acción.
- Tarjetas inteligentes. Una tarjeta con chip que guarda un certificado y una clave privada y que se lee con un lector de contacto o sin contacto, normalmente dentro de una PKI. Son habituales en la administración pública y en las grandes empresas, y a menudo sirven también como tarjeta de identificación.
Los tres aportan el mismo beneficio básico (un atacante necesita el dispositivo físico, no solo una contraseña robada), por eso cualquiera de ellos es una autenticación multifactor más fuerte que una contraseña sola. Pero el parecido termina en una propiedad que importa muchísimo: la resistencia al phishing.
La línea divisoria de la resistencia al phishing
Es lo más importante que hay que entender sobre los tokens de hardware, porque determina si de verdad detienen los ataques modernos.
Los tokens OTP son vulnerables al phishing. El secreto que presentas es un código legible por una persona, y un código no sabe qué sitio lo recogió. Una página de phishing convincente simplemente te pide el código y lo retransmite al sitio real en tiempo real, antes de que caduque. No es una debilidad teórica: los kits de phishing con retransmisión en tiempo real (adversary-in-the-middle) hacen exactamente esto. Un token OTP de hardware no es mejor aquí que una app de autenticación: ambos producen un código que se puede escribir y que un atacante puede interceptar y reutilizar.
Las llaves de seguridad FIDO2 / U2F son resistentes al phishing por diseño. La autenticación es una firma criptográfica que el navegador liga al origen (el dominio real) del sitio que se visita. Si te engañan para entrar en un dominio parecido, la llave no producirá una firma válida para el sitio real. No hay nada que el atacante pueda capturar y reutilizar, porque la respuesta solo funciona en el origen auténtico. La resistencia al phishing es una propiedad del protocolo, no de que el usuario se dé cuenta de que la URL es incorrecta. Es el mismo enfoque de clave pública, y la misma vinculación al origen, que hace que las passkeys FIDO2 para la plantilla sean una mejora tan importante frente a los códigos.
Tarjetas inteligentes y PKI
Las tarjetas inteligentes se parecen más a las llaves de seguridad que a los tokens OTP: la clave privada vive en el chip y nunca sale de él, y la autenticación se basa en certificados en lugar de en un código que se escribe. Su entorno natural es una organización que ya gestiona una infraestructura de clave pública (administración pública, defensa, grandes empresas), donde la tarjeta también puede servir de credencial física y admitir firmas digitales. La contrapartida es el peso operativo: lectores que desplegar, certificados que emitir y revocar, y una PKI que gestionar. Esa carga es la razón por la que las tarjetas inteligentes aparecen donde la infraestructura ya existe y no en organizaciones más pequeñas, que suelen recurrir a llaves FIDO2.
Tokens de hardware frente a apps de autenticación
Una comparación justa depende de a qué token de hardware te refieras.
- Frente al phishing: una llave FIDO2 de hardware gana con claridad a una app de autenticación, porque la app sigue produciendo un OTP vulnerable al phishing. Un token OTP de hardware no ofrece ninguna ventaja frente al phishing respecto a la app: son equivalentes.
- Frente al malware y el SIM swapping: ganan los tokens de hardware. Un dispositivo dedicado no está expuesto al malware del teléfono ni depende de un número de teléfono que se puede secuestrar con un SIM swap, la debilidad que convierte al SMS en el peor segundo factor de uso común.
- En coste y logística: ganan las apps de autenticación. El hardware cuesta dinero, hay que distribuirlo y hay que reponerlo cuando se pierde, y un token perdido sin respaldo puede dejar fuera a un usuario.
- En usabilidad: más o menos empate. Una llave de seguridad es un toque; una app es un vistazo y escribir. Ambas superan al SMS.
Elijas lo que elijas, la ruta de recuperación de la cuenta importa tanto como el token. Un atacante que no puede vencer a tu llave de seguridad atacará el flujo de «he perdido mi llave», que es justo el tipo de hueco que una revisión del riesgo de identidad está pensada para sacar a la luz.
YubiKey frente a Duo frente a RSA SecurID: tokens de hardware habituales comparados
La mayoría de las búsquedas de un token de hardware terminan en uno de tres nombres. Son tipos de dispositivo distintos, así que compara lo que hace realmente cada uno y no la marca:
| Token | Tipo | Cómo funciona | ¿Resistente al phishing? |
|---|---|---|---|
| Token OTP genérico (llavero OATH HOTP o TOTP) | Código de un solo uso | Muestra un código derivado de un secreto compartido: HOTP (RFC 4226) avanza con cada pulsación del botón y TOTP (RFC 6238) cambia con un temporizador, normalmente cada 30 segundos. Escribes el código después de tu contraseña. | No: una página de inicio de sesión falsa puede pedir el código y reutilizarlo. |
| Token de hardware RSA SecurID (por ejemplo, el llavero SID700) | Código de un solo uso basado en el tiempo | Muestra un tokencode que cambia con un temporizador (normalmente cada 60 segundos), generado con el algoritmo propio de RSA a partir de una semilla que guardan el token y el servidor de RSA. Suele combinarse con un PIN. | No: el mismo riesgo de retransmisión que cualquier código que se escribe. Los registros de semillas también son un objetivo: RSA reveló en 2011 que unos atacantes habían robado información relacionada con SecurID. |
| Token de hardware de Duo (Duo D-100) | Código de un solo uso basado en eventos (HOTP) | Un llavero que genera un código al pulsar el botón, para usuarios que no pueden o no quieren usar la app Duo Mobile. Duo también acepta tokens OATH de terceros y llaves de seguridad FIDO2/WebAuthn, incluidas las YubiKey. | El código del D-100: no. Una llave de seguridad registrada en Duo: sí. |
| YubiKey (Yubico) | Llave de seguridad multiprotocolo | Los modelos actuales hablan FIDO2/WebAuthn y U2F, y muchos también hacen Yubico OTP, OATH HOTP/TOTP (con la app Yubico Authenticator) e inicio de sesión con tarjeta inteligente PIV. Tocas la llave para aprobar. | Sí en modo FIDO2/U2F, que está ligado al sitio web real. Sus modos OTP son tan vulnerables al phishing como cualquier código. |
El patrón es el mismo que en el resto de esta guía: lo que importa es el protocolo, no la marca. Un llavero RSA SecurID, un Duo D-100 y una YubiKey usada para OTP producen todos un código que una página de phishing puede retransmitir; una YubiKey (o cualquier llave FIDO2) usada con WebAuthn no se puede reutilizar en un dominio parecido. Los precios varían según el modelo, el volumen y la licencia, así que consulta los precios del fabricante para tener cifras actuales.
La recomendación práctica
Tres reglas cubren la mayoría de las situaciones. Primera: prefiere llaves de seguridad FIDO2 o passkeys para todo lo que importe (cuentas de administración, correo, finanzas y cualquier identidad que dé acceso a otras), porque solo los factores resistentes al phishing detienen de forma fiable los ataques modernos a las credenciales. Segunda: trata cualquier OTP, de hardware o de app, como mejor que el SMS pero aún vulnerable al phishing; sube el listón, pero no lo confundas con la resistencia al phishing. Tercera: registra siempre un factor de respaldo (una segunda llave de seguridad guardada en un lugar seguro o un proceso de recuperación documentado), para que perder un token sea una molestia y no un bloqueo, y para que la ruta de recuperación no sea el eslabón más débil.
La conclusión
Un token de hardware es un factor de autenticación físico, pero la etiqueta esconde una división real. Los tokens OTP y las apps de autenticación producen códigos que los atacantes pueden capturar con phishing y reutilizar; las llaves de seguridad FIDO2 y las tarjetas inteligentes se autentican con criptografía ligada al origen, que no se puede reutilizar en un sitio falso. Para una protección que aguante frente al phishing actual, elige el tipo criptográfico, y ten un respaldo.
Preguntas frecuentes
¿Qué es un token de hardware? Un dispositivo físico que se usa como factor de autenticación de «algo que tienes» (un token OTP, una llave de seguridad FIDO2/U2F o una tarjeta inteligente) y que demuestra la identidad, normalmente junto a una contraseña o como credencial sin contraseña.
¿Token OTP o llave de seguridad FIDO2? Un token OTP muestra un código que se escribe (como una app de autenticación); una llave FIDO2 firma un desafío criptográfico ligado al origen y no revela ningún secreto. La llave es resistente al phishing; el código OTP no.
¿Por qué las llaves de seguridad son resistentes al phishing y los tokens OTP no? Una llave FIDO2 liga su firma al dominio del sitio real, así que no produce nada utilizable en uno falso. Un código OTP funciona donde se escriba, así que un sitio de phishing puede retransmitirlo en tiempo real.
¿Dónde encajan las tarjetas inteligentes? Guardan un certificado y una clave privada en un chip dentro de una PKI y ofrecen una autenticación fuerte basada en certificados; son habituales en la administración pública y en las grandes empresas donde la infraestructura ya existe.
¿Son mejores los tokens de hardware que una app de autenticación? Una llave FIDO2 lo es, gracias a su resistencia al phishing y a su inmunidad al malware y al SIM swapping. Un token OTP de hardware es más o menos equivalente a una app. Registra siempre un factor de respaldo.
Preguntas frecuentes
¿Cuál es la diferencia entre un token físico y un token de software?
Un token físico es un dispositivo de autenticación físico, como un llavero OTP, una llave de seguridad FIDO2/U2F o una tarjeta inteligente. Un token de software es software que hace el mismo trabajo, normalmente una app de autenticación en un teléfono o un portátil que genera códigos de un solo uso basados en el tiempo. Un token OTP físico y uno de software dan la misma protección frente al phishing, porque ambos producen un código que un atacante puede retransmitir; el token físico está aislado del malware de tu teléfono o tu ordenador, mientras que el de software es más barato y más fácil de desplegar. Para tener resistencia al phishing, elige una llave de seguridad FIDO2 o una passkey en lugar de cualquiera de los dos tipos de OTP.
¿Qué es un token de hardware?
Un token de hardware es un dispositivo físico que se usa para autenticar a un usuario: un factor de «algo que tienes» que demuestra la identidad, normalmente como segundo factor junto a una contraseña o, cada vez más, como credencial sin contraseña por derecho propio. El término abarca varios tipos: tokens de código de un solo uso (OTP) que muestran un código que cambia, llaves de seguridad FIDO2/U2F que se autentican con criptografía de clave pública y tarjetas inteligentes que guardan un certificado en un chip. La idea común es que un atacante necesita el dispositivo físico, no solo una contraseña robada, para entrar; por eso los tokens de hardware son una forma fuerte de autenticación multifactor.
¿Cuál es la diferencia entre un token OTP y una llave de seguridad FIDO2?
Un token OTP genera un código de un solo uso (a menudo un código de seis dígitos basado en el tiempo que cambia cada 30 segundos) que lees en el dispositivo y escribes en la página de inicio de sesión. Es el mismo esquema que usa una app de autenticación, solo que en un hardware dedicado. Una llave de seguridad FIDO2/U2F es fundamentalmente distinta: guarda una clave privada y se autentica firmando un desafío criptográfico y, lo que es crucial, la firma está ligada al origen del sitio web real. No lees ni escribes nada secreto. La consecuencia práctica es que un código OTP se puede capturar con phishing (se escribe en un sitio falso y se reutiliza), mientras que la respuesta de una llave FIDO2 no sirve en el dominio equivocado, lo que la hace resistente al phishing.
¿Por qué las llaves de seguridad son resistentes al phishing y los tokens OTP no?
Por cómo se usa el secreto. Con un token OTP, el secreto que presentas es un código legible por una persona. Un sitio de phishing convincente puede simplemente pedirlo y retransmitirlo al sitio real en tiempo real antes de que caduque: el código funciona sea cual sea el sitio que lo recogió. Con una llave de seguridad FIDO2/U2F, la autenticación es una firma criptográfica que el navegador liga al origen (dominio) del sitio que realmente se visita. Si llegas a un dominio parecido, la llave no producirá una firma válida para el sitio real, así que no hay nada que un atacante pueda capturar y reutilizar. La resistencia al phishing es una propiedad del protocolo, no de que el usuario tenga cuidado.
¿Dónde encajan las tarjetas inteligentes?
Una tarjeta inteligente es un token de hardware en formato tarjeta: un chip guarda un certificado y una clave privada, y un lector (de contacto o sin contacto) lo usa para autenticar, normalmente dentro de una infraestructura de clave pública (PKI). Son habituales en la administración pública, la defensa y las grandes empresas, y a menudo sirven también como tarjeta de identificación física y admiten firmas digitales. Como en las llaves FIDO2, la clave privada se queda en el chip y nunca sale de él, así que ofrecen una autenticación fuerte basada en certificados. La contrapartida es operativa: las tarjetas inteligentes necesitan lectores, registro y una PKI para gestionar los certificados, por eso suelen aparecer donde esa infraestructura ya existe y no en organizaciones pequeñas.
¿Son mejores los tokens de hardware que una app de autenticación?
Para la protección más fuerte, sí, pero con matices. Una llave de seguridad FIDO2 de hardware es resistente al phishing de un modo en que no lo es una app de autenticación OTP, y un token de hardware también es inmune a los ataques de malware y de SIM swap que pueden socavar los métodos basados en el teléfono. Sin embargo, un token OTP de hardware no ofrece ninguna ventaja de resistencia al phishing frente a una app de autenticación: ambos producen solo un código que se escribe. Los tokens de hardware cuestan dinero, hay que distribuirlos y reponerlos cuando se pierden, y requieren un método de respaldo. La postura sensata: usa llaves de seguridad FIDO2 o passkeys para todo lo que importe, trata cualquier OTP (de hardware o de app) como mejor que el SMS pero aún vulnerable al phishing, y registra siempre un factor de respaldo.