La ciberseguridad del pasado

La ciberseguridad del pasado

En los últimos tiempos encontramos que las contraseñas que utilizamos en la red se han vuelto una parte fundamental en nuestra vida. Tenemos tantas y tan variadas que a veces nos hacen perder la cabeza probando cual va  en cada lugar o incluso llegamos a perder información por olvidarnos de ellas. Además son necesarias para todo, desde una compra online hasta el acceso a nuestro lugar de trabajo.

Por eso hoy os traemos un nuevo paradigma de seguridad muy prometedor: el conocido como passwordless en inglés, esto es, “sin contraseña”. ¡Adiós a encadenar el nombre de tu perro con el de tus hijos o a perder tiempo metiendo los 4-5 juegos de contraseñas que conocemos hasta dar con la correcta!

El concepto passwordless lleva tiempo con nosotros (Incibe publicó artículos al respecto ya a finales de 2019), pero pese a sus claras ventajas no está teniendo la adopción mayoritaria que se esperaba en su momento, y creo que es debido a la falta de haber acercado estos conceptos de manera sencilla a los usuarios

¿Cómo funciona un sistema passwordless?

La idea está basada en los mismos mecanismos criptográficos robustos que siguen los protocolos de cifrado. Para ello, tendremos que generar unas claves que se usen en la comunicación:

– una clave privada que solo tendremos nosotros como usuarios en el dispositivo, y que no tenemos necesidad de recordar, ya que nunca abandonará el dispositivo ni tendremos que introducirla.

-una clave pública que tendrá el servicio. Si ésta se viera comprometida por algún atacante, no habría forma de obtener la clave privada desde ésta, a diferencia de lo que pasa con los habituales robos de contraseñas cuando consiguen hackear algún servicio web.

Una vez creado este par de claves, proceso que se llama “Registro”, cada vez que accedamos al servicio, la página o web a la que queramos acceder nos mandará un mensaje en clave, al que sólo podremos responder acertadamente si tenemos la clave privada única (es como un acertijo que solo se puede solucionar con cierta información previa, nuestra clave). Para ello, usamos nuestra huella dactilar, reconocimiento facial o cualquier otro factor biométrico para poder resolverlo y lo mandamos de vuelta, pero solo la solución.

Como veréis, el sistema elimina el tedio y la inseguridad de las contraseñas. Ahora bien, ¿es un sistema totalmente seguro o carente de desventajas? Claramente, la respuesta es no. Lo primero es que genera un par de claves por cada usuario y cada dispositivo desde el que se conecte, lo que quiere decir que hay que registrar, en el inicio, una clave por cada dispositivo desde el que se pretenda acceder. Esto se ha intentado solucionar con unas llaves USB denominadas llaves FIDO *, que buscan hacer que el propio USB sea el único dispositivo, pudiendo conectarte desde cualquier sistema que admita un USB. Por otro lado, tienen la desventaja de que, con acceso al móvil y una persona que tenga su huella metida, se podría suplantar la identidad del acceso (se entiende que una persona a la que hemos incluido su huella en nuestro teléfono es de confianza pero ¿qué hay de un móvil de segunda mano que vendemos y no borramos adecuadamente?). Por último, los sistemas biométricos, aunque seguros, no son invulnerables a fallos o a fraude (moldes del dedo en 3D, fotografías que engañan al FaceID, etc.).

En resumen, conociendo las debilidades que el propio sistema tiene, creo que sigue siendo una mejor solución que cualquiera de las todavía hoy más usadas (es una mera cuestión de probabilidad), por lo que invito a cualquiera de vosotros a que profundice en su uso pues es posible que, si los usuarios nos familiarizamos rápido con el concepto, lo podamos empezar a emplear de manera más intensiva, incluso en las empresas, para beneficio de todos.

Fuente: Blog