La gente tiene una larga historia de uso de contraseñas.Recapitulemos el desarrollo de contraseñas y tecnologías de autenticación (2FA, MFA, OTP, U2F, FIDO2)Además, puede encontrar nuestro manual sobre cómo dejar de tener contraseña en 2020
Contenido
El auge (¿y la caída?) de las contraseñas
El auge (¿y la caída?) de las contraseñas
La gente tiene una larga historia de uso de contraseñas.De la batalla entre las tribus de Galaad y Efraín descrita en el capítulo 12 del libro bíblico de los Jueces, se utilizaron para autenticar aliados y detectar enemigos.Posteriormente, los militares desarrollaron el proceso mediante el uso de una contraseña y una contracontraseña que funcionaba como un modelo de desafío-respuesta.
Además de restringir el acceso físico, las contraseñas se usaban para mantener en secreto una comunicación o alguna información.No es de extrañar que las contraseñas se convirtieran en una parte esencial de las computadoras en los primeros días del desarrollo informático.El primer inicio de sesión con contraseña en un sistema informático se implementó en 1961
Sin embargo, el primer hackeo de la contraseña de la computadora ocurrió solo un año después de su presentación.En 1962, debido a un error de software, una lista de usuarios y sus contraseñas saludaba a todos los que iniciaban sesión en el sistema.Ups
A pesar de los continuos ataques y filtraciones, las contraseñas ahora están en todas partes: PC, teléfonos, sitios web, aplicaciones, juegos, banca, etc.Y la gente ha sido implacable en encontrar una manera de hacer que la autenticación sea más segura.
Autenticación 101
Hoy en día, hay una plétora de métodos de autenticaciónRepasemos los enfoques más comunes:
- Autenticación de factor único es la forma de autenticación más simple y comúnPara acceder a un servicio o sistema, debe proporcionar solo un método de autenticación, como una contraseña, PIN, tarjeta PIV, etc.Este tipo de simplicidad no garantiza un nivel de seguridad adecuado porque, en la mayoría de los casos, los estafadores pueden adivinar o robar fácilmente las credenciales.
- La autenticación de segundo factor es una recomendación general para la protección de cuentasLa investigación encontró que 2FA puede prevenir el 80% de las violaciones de datosAgrega otra capa de verificación que requiere un PIN, una contraseña de un solo uso, un token de hardware, etc.encima de la contraseñaLa desventaja : 2FA requiere un paso adicional, lo que significa más tiempo y esfuerzo cognitivo
- La autenticación multifactor es el método más sofisticado que requiere que un usuario proporcione dos o más factores independientes.Por lo general, MFA aprovecha dos o tres elementos de la lista:
- Algo que sepa – una contraseña, PIN, pregunta de seguridad;
- Algo que tenga – un token de hardware como Hideez Key, teléfono móvil, tarjeta inteligente;
- Algo que eres – huella digital, FaceID, escaneo del iris;
- Algo que haces – velocidad de escritura, información de ubicación, etc.
Además de la cantidad de factores, existen múltiples tecnologías y protocolos de autenticación en el mercado
La forma más fácil de manejar las credenciales personales es registrarlasDado que las revistas no son tan seguras, bóvedas de contraseñas se introdujeronHay varios productos disponibles, de forma gratuita o mediante suscripción con almacenamiento cifrado en una nube o dispositivo localLos administradores de contraseñas y las bóvedas son excelentes para recordar contraseñas, pero no simplifican ni protegen el proceso de autenticación.
Para deshacerse de varias contraseñas, los desarrolladores inventaron Single Sign-On (SSO)Ahora es una de las soluciones empresariales más comunes que permite usar un conjunto de credenciales para acceder a múltiples servicios y aplicaciones.Los empleados ahorran tiempo al ingresar contraseñas y un administrador de TI obtiene más control sobre el acceso a los servicios empresariales y menos solicitudes relacionadas con contraseñas.SSO puede reducir el riesgo de un ciberataque exitoso al reducir la cantidad de credenciales en riesgo
Dado que el uso de la autenticación de un solo factor generalmente está mal visto en los círculos de seguridad, Las contraseñas de un solo uso (OTP) se convirtieron en un 2FA estándar para servicios que contienen información confidencial, como banca en línea, portales médicos, etc.Por lo general, OTP es una cadena de números que es válida para una sesión o transacciónDado que OTP cambia dinámicamente la secuencia exacta, este método de autenticación no es vulnerable a los ataques de reproducción.Existen varios métodos de generación de OTP:
- Sincronización de tiempo entre el servidor de autenticación y el cliente que proporciona la contraseña, lo que significa que las OTP solo son válidas durante un breve período de tiempo
- Algoritmo matemático que genera una nueva contraseña basada en la anterior, formando una cadena
- Un algoritmo matemático que forma una nueva contraseña basada en un desafío (por ejemplo, un número aleatorio elegido por el servidor de autenticación o los detalles de la transacción)
Para fortalecer y simplificar 2FA, los desarrolladores crearon un protocolo U2F (Universal Second Factor)Conecta un dispositivo Bluetooth, USB o NFC con un servicio en línea y realiza una autenticación de desafío-respuesta utilizando métodos de criptografía de clave pública y una clave de dispositivo únicaEn el lado del usuario, es tan simple como presionar un botón en el dispositivo o tocar NFCDado que U2F requiere un dispositivo físico para la autenticación, es resistente a los ataques y protege incluso las contraseñas simplificadas.
Un nuevo enfoque
Todos estos métodos suenan muy bien y brindan una mejor seguridad para sus datos.Pero en el camino hacia la seguridad, constantemente comprometemos la usabilidad.Así que aquí hay un pensamiento: "¿Podemos proteger nuestros datos sin contraseñas?"
Un grupo de entusiastas dijo "Sí" y desarrolló el marco FIDO2
Reemplaza las contraseñas por completo con un nuevo tipo de credenciales que no se pueden robar
FIDO2 consta del estándar W3C Web Authentication (WebAuthn) y el FIDO Client to Authenticator Protocol (CTAP)Juntos crean un proceso en el que un autenticador criptográfico controlado por el usuario se conecta con una parte dependiente de WebAuthn (un servidor FIDO2) a través de un agente de usuario web (un navegador)
Durante el registro, se genera un par de claves públicas y privadasLa clave privada se almacena en el dispositivo, mientras que el servidor FIDO2 registra la clave pública en una base de datosDurante la autenticación, la clave pública se ingresa para el servicio web y se verifica con la clave privada desbloqueada por la acción de un usuario
Ocurren muchas cosas en segundo plano, pero un usuario solo debe presionar el botón, escanear una huella digital o realizar otra acción de autenticación.El único inconveniente del marco FIDO2 es que aún no es ampliamente compatible.
Volver a la realidad
El verdadero enfoque sin contraseña es inalcanzable en el mundo real porque tenemos demasiados sistemas, plataformas y servicios.No existe una bala de plata que pueda cumplir con todos los requisitos, ser segura y simpleEs como la paradoja bueno-rápido-baratoLo que podemos hacer es tomar una idea básica de un trabajo de fondo complicado que se inicia con una acción simple.
Es similar a la forma en que operan las redes celularesUna vez que se enciende un teléfono, comienza a buscar una señal de las estaciones transceptoras basePara establecer una conexión, su teléfono envía su identificador único a la estaciónMantienen su contacto mediante un intercambio periódico de paquetes según protocolos analógicos (AMPS, NAMPS, NMT-450) o digitales (DAMPS, CDMA, GSM, UMTS)
El dueño promedio de un teléfono no tiene idea de cómo funcionaÉl/ella acaba de encender el teléfono
El cambio de juego
¿Qué pasa si te digo que ya existe una experiencia tan fluida? Sí, tienes razónPuede disfrutar de una experiencia 'sin contraseña' para sus sitios web, aplicaciones e incluso archivos protegidos con una solución simpleOcultar
Hideez Enterprise Solution y Hideez Key for Individuals administran todas las tareas relacionadas con la autenticación en segundo plano, sin tener que pensar en contraseñas
- Paso 1Hideez funciona como una bóveda de contraseñas recordando todas tus contraseñas (¡alrededor de 2000!) y manteniéndolas seguras con varias capas de cifrado
- Paso 2Hideez ingresa sus credenciales en segundosHay varios modos que puede usar: a) presione el botón en Hideez Key, yb) use teclas de acceso rápido personalizadas¡Voila!
-
Bonificación: no tienes que preocuparte nunca más por phishing ataquesHideez no expondrá sus credenciales a un sitio web o aplicación falsos
- Paso 3Puedes usar la solución Hideez para bloquear y desbloquear tu PCNuevamente, hay varias opciones disponibles: a) proximidad: acérquese a su PC o aléjese; b) toque: toque nuestro dongle Bluetooth para desbloquear y presione el botón para bloquear su PC; c) RFID: desbloquee su PC con un lector RFID
- Paso 4Hideez Enterprise Solution permite a los administradores actualizar las contraseñas de los empleados en el servidor, por lo que los usuarios finales ni siquiera sabrán que algo ha cambiado, y el departamento de TI de una empresa no se ocupará de múltiples solicitudes para restablecer contraseñas recién creadas.
- Paso 5Siguiendo las mejores prácticas de ciberseguridad y las recomendaciones del NIST, Hideez proporciona 2FA con un OTP integrado generador
Ese fue nuestro breve manual sobre cómo puede lograr una experiencia fluida sin contraseña en 2020
Una claveun botónMúltiples personalizacionesTodas sus credenciales están sanas y salvas, y la autenticación funciona en segundo plano
Si no puede esperar para probar Hideez usted mismo, complete el formulario a continuaciónAgregue un código "Sin contraseña" para obtener una oferta especial como agradecimiento por terminar esta larga lectura :)
