Acabo de migrar a una nueva empresa de correo electrónico y ofrecen un tipo de 2FA que nunca antes había encontrado.
Tradicionalmente, en 2FA ingresas username y password y luego aparece una pantalla que solicita el código generado token . A veces, simplemente agrega el token al password para veces que una segunda página no es posible, las VPN, por ejemplo, a menudo usan eso.
La nueva empresa con la que estoy tratando le hace crear un 4% PIN y cuando habilita 2FA ya no inicia sesión con su contraseña, sino que usa PIN + token ingresado en el campo de contraseña en formulario de inicio de sesión. La cuenta todavía tiene un password para acceso IMAP, SMTP, POP3, etc.
Esto me parece mucho menos seguro, pero no estoy seguro de si tengo razón. Mi idea es que una contraseña adecuadamente compleja (digamos 32 caracteres de letras, números y símbolos) seguida del token que cambia cada 30 segundos va a demorar infinitamente más tiempo que una cifra numérica de 4 dígitos PIN combinada con el mismo token .
En este caso, ¿sería más seguro usar una contraseña adecuadamente compleja sin 2FA habilitado que cambie cada par de semanas que la implementación de 2FA con PIN + token ?
Nota: La propia compañía se refiere a este sistema como 2FA y OTP de manera intercambiable, pero no estoy completamente seguro de cuál debería ser la terminología correcta.