¿Qué es la autenticación?
Métodos de autenticación y mejores prácticas
Desde el amanecer de la civilización, la humanidad ha buscado formas seguras pero convenientes de autenticar identidades para permitir el acceso solo a aquellos que están autorizados y mantenerse un paso adelante de los actores maliciosos. Las características faciales, tokens, criptografía, firmas, huellas dactilares y contraseñas fueron solo algunos de los métodos de autenticación utilizados antes de la era digital. Una evolución de estas técnicas alimenta la autenticación hoy en día.
Por ejemplo, en lugar de confiar en el ojo humano para reconocer las características faciales, confiamos en herramientas de biometría para autenticar a una persona por su iris, retina, huella digital, voz u otras características biológicas distintas. De manera similar, en lugar de tokens físicos, los sistemas de seguridad emiten tokens digitales a usuarios que hayan comprobado exitosamente sus identidades.
Sin embargo, los actores de amenazas continúan encontrando formas de eludir la autenticación. En otra época, los criminales podían falsificar sellos para burlar la seguridad. Hoy en día, más ciberdelincuentes están robando tokens de autenticación para eludir MFA (autenticación multifactor), a veces con efectos devastadores. Por ejemplo, hackers secuestraron tokens de sesión para, de manera espectacular, tomar el control de tres canales de YouTube de Linus Media Group.
Los equipos de ciberseguridad en gigantes tecnológicos como Google, Microsoft, y Apple están constantemente buscando mejorar sus sistemas de autenticación para proteger a sus usuarios y a las organizaciones de ataques cibernéticos cada vez más ingeniosos y frecuentes.
Sin embargo, muchos usuarios prefieren más comodidad antes que seguridad, lo que explicaría la lenta adopción de MFA por parte de los usuarios de Microsoft a pesar de los 25.6 mil millones de intentos de secuestro de cuentas usando contraseñas robadas por fuerza bruta en 2021. También puede explicar por qué Microsoft deshabilitó la autentificación básica para Exchange Online a favor de la autenticación moderna, que ofrece opciones como MFA, tarjetas inteligentes, autenticación basada en certificados (CBA) y proveedores de identidad Security Assertion Markup Language (SAML) de terceros.
Lea nuestra guía detallada para más información sobre:
- Significado de autenticación.
- Autenticación de dos factores vs autenticación multifactor.
- Autenticación vs autorización.
- Métodos de autenticación.
- Autenticación sin contraseña.
Significado de autenticación
La autenticación es un método de ciberseguridad que ayuda a verificar la identidad de un sistema o un usuario. El método de autenticación más común es a través de nombres de usuario y contraseñas. Otros métodos de autenticación, como la verificación biométrica, son más sofisticados y exhaustivos. Un ejemplo de autenticación sería si intentas acceder a tu correo electrónico, necesitarás ingresar tu nombre de usuario y contraseña para entrar a tu buzón.
¿Por qué es importante la autenticación?
La autenticación es crítica para proteger nuestra seguridad y privacidad. Realizamos muchos tipos diferentes de acciones en línea, desde trabajar y comunicarse hasta comprar o almacenar datos privados, típicamente de manera remota. La autenticación ayuda a preservar la integridad de cualquier espacio digital, como bancos, plataformas de computación en la nube, páginas de redes sociales, entre otros, al mitigar el riesgo de acceso no autorizado. Es gracias a la autenticación que podemos confiar en sistemas e identidades físicamente no visibles.
Algunas herramientas de autenticación también pueden desacelerar o detener un ciberataque. Por ejemplo, un ciberdelincuente con un nombre de usuario y contraseña robados puede infringir una cuenta para robar datos, insertar malware o iniciar un ataque de Man-in-the-Middle (MitM). Sin embargo, sus movimientos laterales pueden ser detenidos en un sistema con protocolos de autenticación más profundos.
La autenticación también es esencial porque incrementa la responsabilidad del usuario. Un usuario autenticado puede ser menos propenso a participar en actividades maliciosas porque sabe que está siendo rastreado. La autenticación puede ayudar a las organizaciones de algunas industrias a cumplir con las leyes de seguridad y privacidad al mejorar la seguridad de los datos.
¿Para qué se utiliza la autenticación?
La autenticación se puede utilizar para varios propósitos:
- Seguridad de dispositivos: Todo tipo de dispositivos con sistemas operativos implementan autenticación para la seguridad, incluyendo escritorios, laptops, teléfonos inteligentes, tabletas e incluso una amplia gama de dispositivos de Internet de las Cosas (IoT).
- Seguridad de cuentas: Múltiples plataformas utilizan autenticación para mejorar la seguridad de las cuentas. Por ejemplo, las cuentas de correo electrónico y redes sociales usan autenticación para evitar que usuarios no autorizados accedan a las cuentas. Las plataformas financieras protegen la banca en línea, los pagos digitales y el comercio electrónico del fraude mediante la autenticación.
- Computación en nube: A medida que más organizaciones cambian a plataformas de computación en nube como Microsoft Azure, la autenticación se utiliza para la seguridad de activos, datos y operaciones. La autenticación también se utiliza para la seguridad de organizaciones con activos locales, como redes y sistemas que adoptan el trabajo remoto.
- Control de acceso: No solo se utiliza la autenticación para la seguridad externa, sino también para la seguridad interna. Las organizaciones pueden usar la autenticación para asegurar que el personal pueda acceder a redes, aplicaciones y datos sobre una base de necesidad de conocer.
Autenticación vs autorización
Aunque la autenticación y la autorización parecen similares, y los dos términos a veces se usan incorrectamente de manera intercambiable, son dos conceptos diferentes en la ciberseguridad. La explicación larga es que la autorización es el proceso de verificar la identidad mediante credenciales de inicio de sesión, características faciales, voz o un token de autenticación. La autorización es lo que sucede después de la autenticación. Una vez que el sistema ha autenticado la identidad de un sistema o persona, permite a la entidad acceder a recursos o realizar acciones en función de sus privilegios.
La explicación corta de autenticación vs autorización es que la primera determina si una entidad está permitida para acceder, y la segunda determina con qué recursos pueden interactuar después de la autorización.
Factores de autenticación comúnmente utilizados
Cualquiera que haya usado un sistema operativo moderno o trabajado en una plataforma de computación en la nube sabe que hay muchos tipos diferentes de métodos y herramientas de autenticación, como PINs (números de identificación personal), huellas dactilares, tokens y direcciones IP. Estos métodos o herramientas se clasifican en diferentes categorías llamadas factores de autenticación.
Factores de conocimiento
Un factor de conocimiento se considera cualquier cosa que un usuario sepa, como una contraseña o una respuesta a una pregunta de seguridad. Los factores de conocimiento son típicamente rápidos pero vulnerables a la piratería. Por ejemplo, las contraseñas pueden ser robadas. Las contraseñas débiles son susceptibles a ataques de fuerza bruta como ataques de diccionario.
Recomendamos encarecidamente que aprendas cómo crear una contraseña fuerte para proteger tus cuentas. También podrías considerar usar un administrador de contraseñas de calidad para gestionar tu lista de credenciales de inicio de sesión complejas.
Factores de posesión
Un factor de posesión puede ser más seguro que un factor de conocimiento porque requiere que un usuario posea cierto ítem, como un token o un smartphone, para probar su identidad. Por ejemplo, un sistema puede enviar una contraseña de un solo uso al dispositivo inteligente de un usuario cuando están tratando de obtener acceso. Sin embargo, los factores de posesión tampoco son perfectos, ya que los objetos pueden ser secuestrados o robados.
Factores de herencia
Uno de los factores de autenticación más seguros es el factor de herencia porque confía en las características físicas únicas de un usuario, como una huella dactilar o iris.
El mayor inconveniente de depender de factores de herencia es que el hardware del sistema debe ser capaz de absorber y procesar datos biométricos, aunque la mayoría de los dispositivos modernos tienen tales características.
Un factor de herencia también puede resultar ser demasiado efectivo en raras circunstancias. Por ejemplo, ha habido múltiples casos en los que los familiares directos no pudieron acceder a las criptomonedas de su hijo fallecido porque su dispositivo está protegido por un factor de herencia.
Factores de ubicación
Una organización, como un servicio de streaming, puede usar un factor de ubicación, como el bloqueo geográfico, para restringir el acceso a usuarios de ubicaciones específicas. Por ejemplo, un servicio de streaming como Netflix USA puede bloquear a usuarios de Canadá para que no vean cierto contenido. Sin embargo, los factores de ubicación usualmente tienen maneras de ser sorteados. Por ejemplo, alguien en Canadá podría teóricamente utilizar una VPN privada para ocultar su ubicación y acceder a Netflix USA.
Factores de comportamiento
Un factor de autenticación basado en comportamiento requiere que un usuario realice ciertas acciones para demostrar su identidad. Por ejemplo, se les puede solicitar trazar ciertos patrones o resolver un rompecabezas rudimentario para probar que son humanos y no bots. El reCAPTCHA de Google utiliza un motor de análisis de riesgo y rastrea los movimientos del mouse para verificar el comportamiento humano.
Tipos de autenticación
Autenticación basada en contraseñas
La forma más común de autenticación, la autenticación basada en contraseñas, es el proceso de verificar la identidad de un usuario pidiéndole que proporcione una contraseña que coincida completamente con la almacenada. El sistema rechazará una contraseña que no coincida con la almacenada aunque sea por un solo carácter.
Como se mencionó, los hackers pueden adivinar contraseñas débiles muy rápidamente utilizando las últimas herramientas. Por eso, los usuarios deberían establecer contraseñas que tengan al menos 10 caracteres de largo y sean complejas, y cambiar las contraseñas periódicamente.
Autenticación multifactor (AMF)
MFA nació de la necesidad. Incluso la contraseña más sofisticada puede ser robada. Con la autenticación multifactor, los usuarios no autorizados pueden tener que autenticar su identidad de otra manera si activan el sistema de seguridad del sistema. Por ejemplo, si el sistema identifica un nuevo dispositivo o dirección IP durante un intento de inicio de sesión, puede solicitar un PIN o un token, incluso si el usuario presenta las credenciales de inicio de sesión correctas.
Autenticación de dos factores (2FA)
Mucha gente se pregunta sobre la diferencia entre 2FA y MFA. La respuesta es que 2FA es esencialmente un subconjunto de MFA. Como se mencionó, MFA pide dos o más factores de autenticación. 2FA solo pide dos, típicamente una contraseña y un código de acceso enviado a una cuenta de correo electrónico o dispositivo móvil. Puedes leer sobre los conceptos básicos de la autenticación de dos factores para aprender más.
Mientras los usuarios de páginas de redes sociales utilizan 2FA para proteger sus cuentas, algunas plataformas, desafortunadamente, están monetizando la seguridad de las cuentas. Por ejemplo, puede que hayas leído sobre Twitter y la autenticación de dos factores, donde la plataforma está sacudiendo dramáticamente la configuración de seguridad. Desde el 19 de marzo, los usuarios no pueden usar 2FA basada en SMS sin pagar una suscripción.
Sin embargo, los usuarios tienen otras opciones (por ahora). Por ejemplo, pueden configurar la autenticación de dos factores en Twitter usando una llave de hardware para una seguridad avanzada. Una llave de hardware es una mejor herramienta de seguridad que el SMS, que es vulnerable a un ataque de SIM swapping.
Autenticación de un solo factor (SFA)
Como su nombre indica, la SFA solo requiere que los usuarios proporcionen una pieza de autenticación. Normalmente, una contraseña es el tipo más común de SFA. Aunque la SFA puede ser más conveniente que la MFA, puede ser significativamente menos segura, especialmente si el tipo de autenticación es débil. La SFA también es vulnerable a ataques de ingeniería social como el phishing.
Autenticación basada en certificados
En este tipo de autenticación, un sistema utiliza un certificado digital. La autenticación basada en certificados es más segura que las contraseñas porque los certificados son sofisticados, utilizan claves, y pueden ser revocados por la autoridad emisora. Organizaciones de alto perfil como los gobiernos utilizan esta técnica criptográfica para una mayor seguridad.
Autenticación biométrica
Como se mencionó, la autenticación biométrica se basa en características físicas únicas como huellas digitales, voces e iris para proteger los sistemas. La autenticación biométrica es la forma más segura y conveniente de autenticación.
Autenticación basada en tokens
Las aplicaciones web, APIs, y otros sistemas a menudo utilizan tokens para autenticar a los usuarios. En pocas palabras, un token es un identificador único que se emite a un usuario autorizado. Aunque el uso de los tokens está aumentando debido al alza de los entornos de trabajo híbridos, también está creciendo el robo de tokens.
Autenticación básica
Un sistema de autenticación básica solo pide un nombre de usuario y contraseña para autenticar a un usuario. Los sistemas que utilizan métodos básicos son más susceptibles a los hackers. Solo los recursos de prueba internos o sistemas públicos como el WiFi público utilizan la autenticación básica hoy en día. La autenticación básica es principalmente la razón por la cual los usuarios deben tener más cuidado al usar el WiFi público.
Autenticación sin contraseña
A medida que los usuarios y las organizaciones requieren más comodidad con seguridad, las opciones de autenticación sin contraseña como los biométricos, llaves de seguridad, tokens y códigos de un solo uso están ganando popularidad en entornos empresariales y plataformas de uso en consumidores.
Además de más comodidad, la autenticación sin contraseña puede ofrecer más seguridad porque muchos usuarios siguen utilizando contraseñas débiles o caen víctimas de ataques de phishing que atacan las credenciales.
Autenticación basada en conocimiento (KBA)
La KBA es un tipo de autenticación que evalúa el conocimiento de una persona sobre la información que han guardado para autenticar su identidad. Ejemplos de KBA incluyen responder preguntas sobre la calle en la que crecieron, su color favorito, o el apellido de soltera de su madre.
Hay varias razones por las que la KBA es un método de autenticación débil. Con más datos de usuario disponibles públicamente en foros y plataformas sociales como LinkedIn y Facebook, es más fácil para un atacante recolectar los datos necesarios para eludir la KBA. Además, es menos probable que los usuarios establezcan respuestas complejas a las preguntas secretas que establezcan contraseñas complejas.
Autenticación mutua
La autenticación mutua, también conocida como autenticación de dos vías, es un tipo de autenticación donde ambas partes en una conexión se verifican mutuamente, típicamente con certificados digitales. Aunque la autenticación mutua se utiliza más comúnmente en los protocolos de comunicación como Transport Layer Security (TLS) y Secure Sockets Layer (SSL), muchos dispositivos de Internet de las Cosas (IoT) también utilizan esta técnica en conexiones de dispositivo a dispositivo.
Autenticación mediante SMS
La autenticación SMS utiliza mensajes de texto como un componente de MFA. La autenticación SMS funciona mejor cuando los métodos de autenticación están intactos. Por ejemplo, un proveedor de servicios inalámbricos tuvo una idea brillante de mezclar autenticación SMS con un anuncio, lo que podría permitir a los actores de amenazas diseñar ataques de smishing más convincentes.
Autenticación de red o servidor
La autenticación de red se refiere a la identificación de usuarios que intentan obtener acceso a una red o servidor. Este tipo de autenticación se utiliza en protocolos de comunicación, VPNs, firewalls y sistemas que controlan el acceso a aplicaciones.
Autenticación con clave secreta
En un sistema que utiliza autenticación con clave secreta, el usuario y el sistema comparten una clave de sesión criptográfica que solo es conocida por las dos partes. Estas claves son simétricas. En otras palabras, funcionan para el cifrado y descifrado. Protocolos de comunicación como Secure Sockets Layer (SSL) utilizan autorización con clave secreta para garantizar la seguridad de la transferencia de datos, como entre un navegador web y un sitio web.
Clave de seguridad física
Una clave de seguridad física es un dispositivo que ayuda a un usuario a probar su identidad y es un ejemplo de factor de posesión. Una clave de seguridad física generalmente genera un código único que se comparte con un sistema para la autenticación. Las llaves de seguridad física solían ser utilizadas solo por organizaciones de alto perfil, como bancos y agencias de inteligencia, hace más de una década.
Sin embargo, muchos tipos diferentes de plataformas, como los juegos, el comercio electrónico y las redes sociales, permiten a los usuarios proteger sus cuentas con llaves de seguridad física hoy en día. Por ejemplo, los usuarios pueden habilitar la autenticación con llave de hardware en Facebook para iOS y Android para una capa adicional de seguridad de factor de posesión alrededor de sus cuentas.
Mejores prácticas de autenticación
- Cuidado con el malware diseñado para robar credenciales o datos sensibles, como algunos tipos de troyanos, spyware y registradores de teclas. También aprenda cómo eliminar un registrador de teclas porque puede registrar pulsaciones de teclado, capturas de pantalla, y otra información para engañar a un sistema de autenticación.
- Establezca contraseñas que tengan al menos diez caracteres de longitud y contengan una mezcla de números, símbolos y letras.
- Evite usar patrones conocidos en sus contraseñas, como una fecha de nacimiento o el nombre de un famoso favorito.
- Nunca almacene sus credenciales de inicio de sesión a la vista, como en un papel sobre su escritorio. Cifre las contraseñas en los dispositivos.
- Dé un impulso a su contraseña utilizando métodos MFA como identificación biométrica o una llave de seguridad.
- Tenga cuidado con los ataques de ingeniería social diseñados para robar sus credenciales.
- Evite reutilizar su contraseña; de lo contrario, una contraseña robada puede resultar en violaciones de múltiples cuentas.
- Cambie su contraseña regularmente. Intente usar un administrador de contraseñas de buena reputación para mayor comodidad.
- Anime al administrador de la red de su organización a limitar la duración de las sesiones para evitar el secuestro de sesiones.
- Los administradores deben monitorear los registros de autenticación y los datos de la red para reaccionar rápidamente ante actividades sospechosas, como intentos múltiples de acceso desde direcciones IP sospechosas.
- Las organizaciones deben considerar adoptar una arquitectura de confianza cero para mayor seguridad.
