Seguridad de autenticación: cómo los métodos en evolución generan nuevos riesgos
La autenticación ha avanzado mucho en la última década. Las organizaciones han dejado de depender únicamente de contraseñas para implementar la autenticación multifactor (MFA), mientras que las claves de acceso ahora emergen como la próxima evolución en la seguridad de la identidad.
Sin duda, cada uno de estos desarrollos ha fortalecido la seguridad y ha hecho más difícil para los atacantes comprometer las cuentas de los usuarios. Sin embargo, cada nueva capa de protección introduce más desafíos, ya sean relacionados con la usabilidad, los procesos de recuperación, la interoperabilidad o la gestión de identidades.
A medida que la autenticación continúa evolucionando, las empresas deben pensar más allá de implementar la última tecnología y considerar no sólo cómo funcionan estas soluciones en la práctica, sino también dónde pueden surgir nuevos riesgos.
Las contraseñas más seguras no siempre crean una mejor seguridad
Si bien las empresas continúan madurando sus prácticas de seguridad, los requisitos de contraseña cada vez más estrictos pueden conducir involuntariamente a una mala higiene de las contraseñas.
Se pide a las personas que creen contraseñas de cierta longitud -generalmente 12 caracteres o más- con un cierto nivel de complejidad, evitando secuencias repetitivas y alternándolas cada 60 a 90 días. Al mismo tiempo, se espera que recuerden todas estas contraseñas sin tener que escribirlas.
Para el ser humano medio, esto es extremadamente difícil. Y el desafío se vuelve aún mayor cuando la mayoría de los usuarios tienen múltiples sistemas en los que iniciar sesión, y todos requieren el mismo nivel de complejidad.
Debido a que es tan difícil, la gente naturalmente comienza a buscar soluciones alternativas y atajos. Un usuario puede elegir una contraseña segura y adecuada de su elección y luego realizar cambios incrementales. El problema con este enfoque es que los atacantes entienden estos patrones y sus scripts de infracción están diseñados para probar estas variaciones automáticamente.
Otras prácticas comunes incluyen escribir contraseñas, reutilizar la misma contraseña en múltiples sistemas o almacenar contraseñas en archivos de texto en computadoras o en aplicaciones para tomar notas no cifradas en teléfonos celulares.
Como humanos, estamos programados para elegir el camino de menor resistencia la mayor parte del tiempo. También tendemos a juzgar la seguridad de la contraseña en función del valor percibido de la información que se protege, lo que puede llevar a la idea errónea de que la información personal no es tan valiosa como la información corporativa. Ciertamente este no es el caso.
El peligro es que una vez que las personas se sienten cómodas con un patrón de contraseña particular, a menudo también lo utilizan fuera de la empresa, tal vez en foros, blogs o sitios de suscripción. Cuando una de estas plataformas se ve comprometida, la seguridad de la contraseña se reduce efectivamente a nada.
MFA ha subido el listón, pero no es infalible
La adopción generalizada de la autenticación multifactor (MFA) ha mejorado significativamente la seguridad de la identidad. Incluso si un atacante roba una contraseña, seguirá necesitando un segundo factor de autenticación para obtener acceso. Esto significa que las combinaciones robadas de nombre de usuario y contraseña compradas en la web oscura ya no son suficientes por sí solas.
MFA también puede mitigar los ataques de phishing hasta cierto punto. Incluso si un usuario ingresa credenciales sin saberlo en una página de inicio de sesión falsa, es probable que un atacante aún no pueda completar la autenticación, dependiendo del segundo factor utilizado. Las claves de seguridad de hardware, por ejemplo, son particularmente efectivas porque no pueden copiarse ni robarse fácilmente a través de páginas de phishing.
Además, muchos marcos regulatorios y de cumplimiento ahora requieren MFA, lo que lo convierte en un control importante para las organizaciones que necesitan cumplir requisitos de auditoría.
Sin embargo, no todas las formas de HMA brindan el mismo nivel de protección. Algunas empresas todavía dependen de la autenticación basada en SMS, que sigue siendo vulnerable a ataques de intercambio de SIM. Las aplicaciones de autenticación también pueden presentar desafíos de recuperación. Si los usuarios pierden o reemplazan sus teléfonos, el proceso de recuperación suele ser menos seguro que el proceso de autenticación original.
De hecho, en muchos casos, es posible que la recuperación solo requiera verificar el correo electrónico y los datos personales, lo que los atacantes pueden aprovechar para eludir las protecciones MFA.
La comodidad nunca debe ir a expensas de la vigilancia
Otro desafío al que se enfrentan las organizaciones es la fatiga de la ciberseguridad. Todos los días, los usuarios deben ingresar nombres de usuario y contraseñas, aprobar solicitudes biométricas, recuperar contraseñas de un solo uso y repetir el mismo proceso una y otra vez en múltiples sistemas y aplicaciones.
Al principio, los usuarios pueden estar alerta y atentos, pero con el tiempo se produce la desensibilización. Las personas se acostumbran a hacer clic en varios mensajes simplemente para obtener acceso, lo que puede hacer que pasen de estar alerta a irritarse, luego adormecerse y, finalmente, ser imprudentes.
En este punto, un intento de phishing cuidadosamente elaborado que parezca una página de inicio de sesión genuina puede engañar fácilmente a alguien para que proporcione sus credenciales. Las consecuencias pueden ser importantes porque potencialmente le dan al atacante acceso directo a los sistemas organizacionales.
La misma fatiga también puede afectar a los equipos de seguridad nacional. Los analistas del Centro de operaciones de seguridad (SOC) procesan enormes volúmenes de alertas todos los días, muchas de las cuales parecen muy similares. Con el tiempo, puede ocurrir el mismo proceso de desensibilización. Un analista que inicialmente investiga cuidadosamente cada alerta puede eventualmente dejar de prestar tanta atención a las notificaciones repetitivas y clasificar incorrectamente una amenaza genuina como un falso positivo.
Ya sea que afecte a los usuarios o a los analistas de seguridad, la fatiga puede crear oportunidades para los atacantes que las empresas deben reconocer y abordar.
Las claves de acceso pueden no ser la respuesta completa
Las claves de acceso representan un avance importante en la autenticación porque la tecnología subyacente, basada en criptografía de claves públicas y privadas, es altamente segura. Sin embargo, no son la respuesta completa.
Hay consideraciones prácticas en torno a la adopción. Las claves de acceso vinculadas a un ecosistema no siempre se integran perfectamente con otros, mientras que el costo y la adopción siguen siendo barreras para muchas organizaciones.
Desde una perspectiva empresarial, las empresas también deben considerar cómo encajan las claves de acceso en los procesos de entrada, cambio y salida. Deberían pensar en cómo se emiten las claves de acceso a los nuevos usuarios, cómo se revocan cuando los empleados se van y, quizás lo más importante, cómo verifican que un individuo es realmente quien dice ser antes de emitir las credenciales.
Esto se vuelve particularmente desafiante en entornos de trabajo remotos e híbridos, donde la verificación de identidad en persona no siempre es posible.
Además, las mismas críticas dirigidas a la autenticación de dos factores también pueden aplicarse a las claves de acceso. Los procesos de recuperación y reinicio generalmente no son más sólidos que los que se utilizan actualmente en los sistemas MFA.
Hasta que estos procesos de recuperación maduren aún más, un modelo híbrido que utilice claves de acceso y MFA juntos probablemente proporcionará el enfoque más sólido.
Las tecnologías de autenticación seguirán evolucionando, pero implementarlas con éxito implica mucho más que adoptar las últimas innovaciones. Cada avance fortalece la seguridad, pero también introduce nuevas consideraciones operativas, desde procesos de recuperación y verificación de identidad hasta la gestión del ciclo de vida del usuario. Las empresas que reconozcan y planifiquen estas realidades estarán en mejor posición para fortalecer la seguridad de la identidad sin crear nuevas vulnerabilidades en el proceso.
Escrito Por Patrick Munsami, director de ingeniería y arquitectura de seguridad de Datacentrix
