Las contraseñas están en vía de extinción

En todos los sitios donde se brinda algún servicio en Internet nos piden un usuario y una contraseña para acceder a los servicios que ofrecen, sin embargo, la mayoría de usuarios tomamos esto como una medida de seguridad, pero no es así, la combinación usuario y contraseña se creó y funciona como un mecanismo de control de acceso.

Esta confusión ha generado que los usuarios sientan una falsa sensación de seguridad en Internet, pues en su mayoría las personas creen que su contraseña protege toda su información, sin tener en cuenta que cada día son más las contraseñas que han sido robadas de sitios web muy reconocidos, nada más por nombrar algunos casos críticos podemos nombrar las siguientes:

• Agosto, 2014: 1’200 millones de contraseñas publicadas por la mafia rusa, tras afectar más de 420.000 sitios web. (http://www.nytimes.com/2014/08/06/technology/russian-gang-said-to-amass-more-than-a-billion-stolen-internet-credentials.html?ref=technology&_r=0)
• Octubre, 2015: Se publicaron los datos de acceso de 13 millones de usuarios de LinkedIn (http://www.forbes.com/sites/thomasbrewster/2015/10/28/000webhost-database-leak/#4025fc1e17c1)
• Enero, 2016: Sitio web de e-bay un fallo en el sistema permite robo de credenciales a través de un XSS indetectable para el cliente (http://news.softpedia.com/news/ebay-bug-allows-hackers-to-steal-user-passwords-498793.shtml)

 

Sin contar que todos los días son robadas cientos o miles de credenciales de varios sitios, que son comprometidos por bajos niveles de seguridad, exponiendo a sus usuarios a que su información sea publicada o usada para otros fines. Existen sitios que se encargan de mostrar las publicaciones de estas fugas de información en tiempo real, como el que vemos a continuación que es de 2016.

 

 

 

Estas fugas de información generan un riesgo crítico a nivel empresarial, debido a que la mayoría de usuarios solo tienen una contraseña para entrar a todos los servicios en línea que usan, con lo cual un delincuente que obtenga acceso a una de esas contraseñas tendría la capacidad de suplantar la vida digital de la víctima, incluidos sus perfiles laborales.

Por esta razón, las organizaciones que consideran la información como un pilar de su funcionamiento han tomado medidas para mitigar este riesgo generado por sus usuarios, dentro de las que se tienen el forzar el cambio de contraseña cada 3 meses y forzar que contengan características que compliquen su creación, pero ¿qué tan eficientes son estas medidas?

Desafortunadamente estas medidas no son efectivas, debido a que la vulnerabilidad sigue siendo generada por el usuario y su falsa creencia de seguridad que le da la contraseña, esto lleva a que el usuario continúe usando contraseñas simples, un ejemplo claro de esto se presentó en Noviembre del 2014, cuando el FBI pudo descifrar la evidencia que tenía para condenar a un ciberdelincuente, porque éste usaba el nombre de su gato como contraseña de cifrado.

¿Qué alternativas tenemos para asegurar el acceso a nuestra información?

En realidad se han generado grandes estudios para el desarrollo de sistemas que brinden una mayor seguridad que una contraseña y adicionalmente sirvan como control de acceso. Llegando a la conclusión que para garantizar la identificación y autenticación de un usuario el servicio debe solicitar:

• Algo que eres. Es el componente basado en la biometría de cada individuo, como la firma, la huella dactilar, la huella palmar, la forma de las venas en la mano, entre otras.
• Algo que tienes. Es el componente físico de los requerimientos, puede ser una tarjeta inteligente, una llave USB, entre otras.
• Algo que sabes. Es el componente de conocimiento que debe tener el individuo, puede ser un valor numérico o alpha-numérico único o variable con el tiempo.

Estos tres componentes nos garantizan la identidad y autenticidad del usuario al momento de solicitar el acceso a un servicio y resta la complicación al usuario de tener que recordar o memorizar contraseñas para cada sitio, lo cual cada día es más inviable.

 

Estos componentes le dan la posibilidad a las empresas de integrar las identidades de su personal con sus sistemas de información, controlando así la posibilidad de fraudes internos o de cuentas que se usen de forma compartida entre varios usuarios y brindando a los usuarios la simplicidad de autenticarse en los diferentes sistemas de información usando componentes de uso común.

En la actualidad, existen desarrollos para que los usuarios validen su identidad a través de su dispositivo móvil, donde los servicios web pueden integrar de forma simple la autenticación con un sistema que garantiza la identidad del usuario con algo que tiene como es su dispositivo movil, con algo que sabe como un PIN y con algo que es como los datos cargados en el sistema del proveedor de telefónica móvil, este es el concepto fundamental de mobile connect.

 

 

Diego Espitia

CSA – Chief Security Ambassador

@dsespitia