FIDO: muerte a las #contraseñas! (II)

El Día Mundial de la Contraseña de este año, que tradicionalmente se celebra el primer jueves de mayo, coincidió con noticias relacionadas de tres importantes empresas tecnológicas: Google, Microsoft y Apple anunciaron planes para que FIDO, una nueva tecnología pueda reemplazar las contraseñas.

El problema de las contraseña, por supuesto, está lejos de ser nuevo, por lo que la mayoría de los servicios ya no se basan en una sola contraseña, sino que utilizan algún tipo de autenticación de múltiples factores. Al iniciar sesión en servicios de Internet, redes sociales, cuentas bancarias, etc., generalmente se le solicita un código de un solo uso después de ingresar sus credenciales. Este código se envía en un mensaje de texto o se envía a la aplicación bancaria de su teléfono o a una aplicación especial para la autenticación de usuarios de múltiples factores, como Google Authenticator. Los sistemas muy complejos utilizan una clave de hardware que se inserta en un puerto USB de la computadora o se conecta a su teléfono inteligente a través de Bluetooth o NFC.

En algunos casos, no se necesita una contraseña en absoluto. Por ejemplo, cuando inicia sesión en una cuenta de Microsoft, se le envía una contraseña de un solo uso por correo electrónico. De forma predeterminada, la aplicación de mensajería Telegram utiliza autenticación basada en códigos de un solo uso enviados en mensajes de texto, sin necesidad de una contraseña (aunque se recomienda una como medida de seguridad adicional).

En la mayoría de los casos, sin embargo, las contraseñas todavía están allí como una forma de autenticación de respaldo. Pero confiar únicamente en códigos de acceso basados en texto (con mucho, la forma más común y comprensible para el usuario de 2FA) tampoco es una gran idea por varias razones. En resumen, hace tiempo que se entendió que el futuro no pertenece a las contraseñas. Ahora, por fin, parece que ese futuro está a la vuelta de la esquina.

Autenticación sin contraseña tal como la concibe FIDO/W3C

Para simplificarlo, el nuevo estándar de autenticación sin contraseña hace que la contraseña (o más bien, la clave de paso, que es un par de claves de cifrado, privada y pública) sea un elemento puramente técnico que el usuario ya no ve. Esto permite el uso de claves sólidas y únicas y una potente criptografía. Esto, a su vez, dificulta la vida de los delincuentes y garantiza que si se hackea una cuenta, no se perderá ninguna más, y hace que sea imposible divulgar el "secreto" a los phishers.

Para los usuarios, parecerá que están confirmando un inicio de sesión en una red social, una cuenta de correo electrónico o un servicio de banca en línea desde nuestro teléfono inteligente. Será como hacer un pago con un teléfono inteligente hoy: desbloqueas el dispositivo a través del PIN o la autenticación de rostro/huella digital y confirmas la "transacción", solo que, en lugar de pagar, estás iniciando sesión en tu cuenta. Al hacerlo, un desbloqueo exitoso verifica que eres tú. ¡Suena bien!

Además, el estándar que está desarrollando FIDO tiene una característica adicional en forma de autenticación Bluetooth en múltiples dispositivos. Por ejemplo, el inicio de sesión en una cuenta en una computadora portátil es más rápido si el dispositivo "ve" un teléfono inteligente confiable cerca. Este emocionante sistema de autenticación funcionará para la gran mayoría de los usuarios, excepto quizás para aquellos que continúan usando un teléfono de botón por principio. Con el apoyo de tres gigantes de Internet, esta característica seguramente se volverá universal en el corto plazo. Entonces, ¿será bueno para la seguridad? Veamos los pros y los contras de la nueva tecnología.

Ventajas de la autenticación sin contraseña

El soporte de Google, Apple y Microsoft da motivos para creer que los dos principales servicios (Gmail, YouTube, iCloud, Xbox) y todos los dispositivos iOS, Android y Windows pronto comenzarán a pasar a la autenticación sin contraseña. Dado que el estándar es unificado y abierto, la autenticación debería funcionar de manera idéntica en cualquier dispositivo. Además, se promete la opción de cambiar de un dispositivo a otro. ¿Cambiaste tu iPhone por un Samsung Galaxy? No hay problema: puede designar el nuevo teléfono inteligente como su dispositivo de verificación de inicio de sesión.

El principal beneficio del nuevo método es que complica seriamente el phishing. El robo tradicional de contraseñas funciona creando un banco falso u otro sitio web y atrayendo a la víctima hacia él. Allí, el usuario ingresa sus credenciales de inicio de sesión (a veces, incluso se tiene en cuenta 2FA), y eso es todo: el atacante tiene acceso a la cuenta bancaria. Además de autenticar al usuario, el nuevo estándar comprueba la autenticidad del propio servicio. Simplemente enviar una solicitud de autenticación en el recurso web de otra persona no funcionará. Las filtraciones de contraseñas tampoco supondrán una amenaza para los usuarios.

Por último, el nuevo sistema promete ser simple e intuitivo. Si se implementa correctamente, el reemplazo de contraseñas, incluso para las cuentas existentes, debería ser muy sencillo, y el soporte de nivel de sistema operativo prometido en los teléfonos inteligentes ni siquiera requerirá la instalación de ninguna aplicación. Simplemente vaya al sitio que desee, ingrese su identificador y confirme la solicitud en su teléfono inteligente. ¡Todo listo!

Problemas que no se resolverán sin contraseña

Estrictamente hablando, esto no debería considerarse un problema, pero muchas personas seguramente harán la pregunta: ¿qué pasa si alguien tiene en sus manos mi teléfono inteligente "confiable" y aprueba el inicio de sesión en todas mis cuentas? La respuesta es muy sencilla: en un modelo de seguridad realista, no existen soluciones irrompibles. Cualquier cosa puede ser hackeada; la única pregunta es qué recursos está dispuesto a gastar el intruso en ello. Después de todo, incluso si almacena sus contraseñas aleatorias verdaderas de 128 caracteres exclusivamente en su cabeza, existen formas comprobadas de extraerlas de usted.

Es probable que haya intentos de hackear teléfonos inteligentes individuales para obtener acceso a las cuentas. Pero tales ataques serán individuales, dirigidos a objetivos de alto perfil, una especie de ataques boutique. Cuando se trata del mercado masivo, es decir, las amenazas cotidianas de la vida real, el robo de contraseñas está mucho más extendido que el robo de teléfonos inteligentes y el uso de su contenido digital. Y la nueva tecnología está dirigida a resolver este problema preciso.

Recuerde que se expresaron dudas similares sobre la introducción masiva de la biometría. En ese entonces, muchas personas estaban igualmente preocupadas de que alguien robara su huella digital (en la versión más dura, cortándose el dedo) y desbloqueara su teléfono inteligente. Troy Hunt, creador del HaveIBeenPwned antes mencionado, escribió un artículo completo el año pasado sobre un tema relacionado: en un modelo de seguridad realista, la biometría es más fuerte que las contraseñas.

Pero el problema real que el acceso sin contraseña no resolverá es la pérdida de teléfonos inteligentes. Claro, el nuevo estándar hace posible transferir el sistema de autenticación de un dispositivo a otro. La forma más fácil de hacer esto es cuando tiene dos dispositivos, por ejemplo, un teléfono antiguo y uno nuevo. Si se pierde el teléfono antiguo, sin duda tendrá que utilizar algún tipo de método de copia de seguridad para demostrar que es usted. Pero aún no está claro qué tipo de método de copia de seguridad puede ser; lo más probable es que dependa de la configuración del servicio en cuestión.

En conclusión, vale la pena hacerse la pregunta: ¿el nuevo sistema no hará que los usuarios sean más dependientes de la funcionalidad de sus cuentas que tienen con ese mismísimo Google o Apple? ¿El bloqueo de una cuenta de Google provocará la pérdida de acceso a todos los recursos en línea en general? Incluso si asumimos que el estándar es abierto, los sistemas operativos de los teléfonos inteligentes, sin mencionar la infraestructura, lo son menos.

Un futuro brillante (más o menos)

Incluso un escéptico se vería en apuros para argumentar que las contraseñas son mejores que las que no tienen contraseña. El concepto de contraseña obsoleta ha necesitado durante mucho tiempo una revisión. El estándar sin contraseña de FIDO promete aclarar muchas cosas, pero mucho también depende de los implementadores: Google, Apple, Microsoft, et al. Si lo hacen bien, nuestras vidas digitales serán un poco más fáciles y seguras. Pero es poco probable que suceda de la noche a la mañana: las contraseñas están tan arraigadas en Internet hoy en día que llevará muchos años borrarlas por completo, incluso con un nuevo sistema mejorado.

Fuente: Kaspersky

Suscríbete a nuestro Boletín