Estoy considerando la implementación de un sistema de autenticación de dos factores para mi sitio web, utilizando el teléfono celular de un usuario como "algo que tienes" como parte de un sistema de dos factores. Parece que hay dos enfoques típicos para hacer esto:
- Envíe un código por SMS o mensaje de voz al usuario y pídale que ingrese el código en una página web para completar el inicio de sesión.
- Use una aplicación en el teléfono para generar un token TOTP y pida a los usuarios que ingresen el token para completar el inicio de sesión.
Me gustaría evitar el gasto y la complejidad de enviar un código por voz o SMS, pero ¿hay algún beneficio de seguridad o incluso de usabilidad que obtengo al respaldar la opción # 1? Por supuesto, un beneficio es una gama más amplia de teléfonos compatibles, ya que los SMS y la voz funcionan con los teléfonos con funciones y con los teléfonos inteligentes. Sin embargo, a medida que aumenta la adopción de teléfonos inteligentes, ese beneficio se reducirá. ¿Hay otros beneficios que proporciona SMS / voz? Si no es así, ¿la autenticación de dos fases con SMS / voz está muerta de forma efectiva?