Token de hardware.

Un token de hardware es un dispositivo físico resistente a manipulación que genera o almacena credenciales para probar la identidad. Ejemplos son las llaves FIDO2 (YubiKey, Google Titan, SoloKey), los fobs OATH TOTP/HOTP, las tarjetas PIV/CAC y las tarjetas de pago EMV con chip. Son más fuertes que las contraseñas o el TOTP en aplicación porque la clave privada nunca sale del elemento seguro, y las llaves FIDO2/WebAuthn vinculan criptográficamente cada aserción al origen del sitio, de modo que una credencial capturada en un dominio parecido es simplemente inservible; por eso FIDO2 es la referencia de la «MFA resistente a phishing».

El hardware no hace infalible al token. La brecha de RSA en 2011 expuso registros de semillas de SecurID y facilitó intrusiones en contratistas de defensa. El fallo ROCA (CVE-2017-15361) en la generación de claves RSA de Infineon debilitó claves en la YubiKey 4 y muchas tarjetas inteligentes. Más recientemente, EUCLEAK (CVE-2024-45678, NinjaLab 2024) recuperó claves ECDSA de dispositivos YubiKey 5 con firmware anterior a 5.7.0 mediante un canal lateral electromagnético en la biblioteca de Infineon, aunque el ataque exige acceso físico y desmontar el dispositivo. El riesgo práctico lo dominan la pérdida, el robo y la manipulación en la cadena de suministro, así que la inscripción, la atestación, el inventario y la revocación rápida importan tanto como la criptografía.

flowchart TD
  U[Usuario en el inicio de sesión] --> S[El servidor envía un reto]
  S --> T[Token de hardware]
  T --> P{Presencia del usuario + PIN/biometría}
  P -->|verificado| K[Firma el reto con clave privada ligada al origen]
  K --> V[El servidor verifica con la clave pública]
  V --> A[Acceso concedido]
  P -->|fallido| D[Denegado]