Contraseña de un solo uso
Un código de un solo uso enviado por SMS para comprobar quién controla un número de teléfono, con caducidad breve y límite de intentos.
Solo definiciones: un término explicado aquí no es un servicio que vendamos.
Una contraseña de un solo uso (OTP) es un código que sirve una sola vez y caduca en minutos. Demuestra el control del número en ese momento, no la identidad, así que la seguridad recae en los límites que la rodean.
La caducidad, el número de intentos, la política de reenvío y la validación del número importan más que el propio código.
Entrega y fallos
La aplicación genera un código aleatorio, lo hashea junto con una caducidad y envía el código en claro por SMS A2P a través de un centro de mensajes o un agregador. La seguridad procede de la lógica de la aplicación, no del transporte SMS. Un código puede llegar tarde, ir a un número equivocado o acabar en manos de otra persona tras un SIM swap; la página sobre entrega de OTP por SMS describe ese recorrido.
Por dónde viaja el código
- Aplicación
- Pasarela SMPP
- SMSC
- HLR / HSS
- MSC / MME
- Teléfono
- Acuse de entrega
Descripción en texto
La aplicación entrega el mensaje a una pasarela SMPP, que lo pasa al SMSC. Después el recorrido pasa por el HLR/HSS y el MSC/MME hasta el teléfono, y el acuse de entrega es el nodo final.
Qué comprobar
Limite la velocidad por número, IP y dispositivo, acote los intentos y fije una caducidad corta. Decida el mecanismo alternativo antes del lanzamiento: una llamada de voz, una aplicación de autenticación o una revisión manual.