MFA

Qué es: el MFA añade algo que tienes a la contraseña que sabes. AWS admite tres tipos: passkeys y llaves de seguridad (estándar FIDO, resistentes al phishing y las recomendadas), apps de autenticación que generan códigos de seis dígitos (TOTP) y tokens de hardware TOTP. Ya no se puede activar MFA por SMS. El usuario raíz y cada usuario de IAM pueden tener hasta ocho dispositivos; basta uno para entrar.

Analogía: el cajero automático: la tarjeta es algo que tienes y el PIN, algo que sabes. Robar solo uno no basta. Dónde falla la analogía: el cajero bloquea la tarjeta tras varios PIN incorrectos. IAM no permite una política de bloqueo por intentos fallidos; por eso AWS insiste en combinar contraseña fuerte y MFA.

Ejemplo real: la administradora de Estudio Nébula escribe su contraseña en una página falsa que imita la de AWS. El atacante no logra entrar: su MFA es una passkey, que solo responde al sitio real de AWS.

Úsalo cuando: cualquier persona entre a la consola: MFA siempre, y passkey si puedes. Registra dos dispositivos en las identidades con más poder. No lo uses cuando: creas que MFA da permisos; solo refuerza la autenticación, como viste en la Sesión 4.