¿Son las aplicaciones de autenticación el mejor método 2FA para sus usuarios?

Las contraseñas por sí solas son débiles. Expertos lo saben desde hace mucho tiempo, y el resto de nosotros nos estamos dando cuenta, a medida que aumentan las filtraciones de seguridad y los casos de fraude ha saltado a los titulares. Como resultado, las empresas que registran a sus usuarios digitalmente reconocen ahora la necesidad de una forma de autenticación de dos factores (2FA) -explicada a continuación- para garantizar que los usuarios son quienes dicen ser.
‍

Pero con tantas soluciones 2FA disponibles, puede resultar desalentador decidir cuál es la mejor forma de autenticar a los usuarios reales. Las aplicaciones de autenticación ofrecen una alternativa más sólida a la autenticación vulnerable por correo electrónico y SMS, pero ¿son la opción adecuada para su verificación?
‍

En este blog, explicaremos los puntos fuertes y débiles de los códigos generados por aplicaciones en lo que se refiere a seguridad, accesibilidad y riesgo de compromiso, y los compararemos con el inicio de sesión sin contraseña con autenticación basada en SIM. (También puedes ver un comparación de un vistazo.) Para empezar, veamos por qué se desarrollaron los autenticadores.

‍

¿Cómo demuestra una aplicación su identidad?

Para una seguridad robusta, es recomendado por muchas autoridades, como la autenticación fuerte del cliente de UK Finance directrices, para reforzar su método o credencial de identidad inicial con uno de los tres factores para demostrar la identidad:
‍

• Conocimientos (algo que sabes, por ejemplo, una contraseña o una respuesta secreta)
• Inherencia (algo que eres, por ejemplo, una huella dactilar o un escáner facial)
• Posesión (algo que tienes, por ejemplo, un código o un teléfono móvil).
  ‍

Las contraseñas son un tipo de basado en el conocimiento seguridad, que es defectuosa porque el conocimiento puede ser compartido o robado. Y no todos los usuarios pueden (o quieren) compartir datos biométricos. inherencia información como su huella dactilar, por lo que para un segundo factor, la mayoría de las empresas recurren a posesiónNormalmente se trata de un código generado aleatoriamente conocido como OTP (contraseña de un solo uso).
‍

Pero, ¿cuándo una posesión no es una posesión? Se considera que el usuario posee la OTP, aunque sea digital, porque acaba de ser generada y enviada "sólo" a él. Sin embargo, cuando estos códigos se envían por SMS o correo electrónico, pueden ser robados fácilmente por un mal actor. Los usuarios pueden ser engañados para que envíen la OTP a un delincuente, como en las estafas de phishing, o los delincuentes pueden interceptar directamente la OTP con un ataque MITM (man-in-the-middle) o mediante cometer fraude de intercambio de SIM.
‍

Las aplicaciones Authenticator se desarrollaron específicamente para abordar estas vulnerabilidades generando la OTP dentro del entorno (supuestamente) protegido de la aplicación, e imponiendo una limitación basada en el tiempo. Pero sigue habiendo un problema con esto...

¿Es lo mismo una acción pasada que una comprobación presente?

Las aplicaciones de autenticación suelen funcionar así:
‍

• El usuario crea una cuenta para el Servicio A con un nombre de usuario y una contraseña
• Habilitan 2FA a través de App B
• Abren la aplicación B y se conectan al servicio A, utilizando ese nombre de usuario y contraseña para demostrar inicialmente su identidad.
• La aplicación B puede ahora generar una TOTP (contraseña de un solo uso basada en el tiempo) que el usuario podrá utilizar para autenticarse en el futuro en el servicio A.
  ‍

Sin embargo, hay un fallo: La aplicación B no está conectada activamente con ninguna forma de identidad. Lo único que demuestra es que, en el pasado, el usuario autorizó la aplicación utilizando el primer conjunto de credenciales.
‍

El objetivo de las aplicaciones autenticadoras es demostrar que el usuario está en posesión de un dispositivo que previamente ha autorizado. Entonces, ¿qué ocurre si el dispositivo se pierde o lo roban? La mayoría de las contraseñas de los teléfonos móviles son fáciles de adivinar, lo que significa que cualquiera con ese dispositivo podría acceder rápidamente a un TOTP, incluso si el usuario toma medidas para llamar a su operador y desactivar su SIM.
‍

La falta de conexión entre la identidad y el dispositivo también significa que la tecnología podría utilizarse contra una víctima: un atacante que conozca las credenciales de una víctima podría configurar 2FA para esa cuenta en el propio teléfono del atacante, bloqueando al usuario de forma remota.

‍

¿Es una aplicación externa la mejor experiencia para el usuario?

Todos sabemos que cualquier fricción en la experiencia del usuario (UX) provoca su abandono, especialmente en la incorporación. Desde el punto de vista de la experiencia de usuario, las aplicaciones de autenticación suponen una gran exigencia: requieren que el usuario disponga de un smartphone con capacidad de almacenamiento y que dedique tiempo a descargar una aplicación externa.
‍

Esto excluye a muchos usuarios que, o bien no pueden descargarse una aplicación, o no están dispuestos a dedicarle tiempo y esfuerzo, o no entienden el proceso. En efecto, supone una barrera para los usuarios de cierta edad o nivel de comodidad con la tecnología, los mismos usuarios que a menudo son los más vulnerables a actores maliciosos.
‍

Incluso si el usuario hace el esfuerzo de descargar y registrarse en un software externo, tendrá que cambiar de aplicación para recuperar su código cada vez. Además, como los códigos son sensibles al tiempo y el proceso requiere ir y venir entre dos servicios, es inevitable que los usuarios tecleen mal los códigos.
‍

En definitiva, se trata de una experiencia de usuario larga y frustrante, por lo que no es realista esperar una alta adopción de 2FA si sólo se admite la autenticación basada en aplicaciones.

‍

La alternativa: Autenticación basada en SIM

‍La buena noticia es que existe un nuevo método de verificación que es nativo para móviles, universal, proporciona una mejor experiencia de usuario y está diseñado para mantener alejados a los actores maliciosos. Lo llamamos autenticación basada en SIM.
‍

El funcionamiento es sencillo: el usuario introduce su número de teléfono móvil en su aplicación o sitio web, que se comunica instantáneamente con el MNO (operador de red móvil) para verificar que ese número es efectivamente el vinculado a la tarjeta SIM del dispositivo móvil. No se procesa ni almacena ningún dato del usuario.
‍

Dado que no hay contraseña ni código de por medio, es un factor de posesión poderoso y presente, que no puede ser comprometido por malos actores. IDlayr también puede comprobar activamente la actividad de intercambio de SIM para mitigar el riesgo de fraude de intercambio de SIM.
‍

El usuario sólo tiene que esperar un par de segundos, se verifica su identidad y puede continuar: no hay que cambiar de aplicación, ni largas esperas, ni memorizar códigos, ni molestias. A diferencia de las aplicaciones, no supone ninguna comodidad con la tecnología por parte del usuario. El resultado es una experiencia de autenticación invisible y sin esfuerzo, con una seguridad reforzada que parece mágica.

‍

Cómo empezar

Los productos de ‍IDlayr se integran fácilmente en cualquier arquitectura de aplicación cliente-servidor mediante API restful y SDK para iOS, Android, React Native y Mobile Web.
‍

Los desarrolladores pueden encontrar todo lo que necesitan para empezar en nuestro documentaciónque incluye guías de integración para todos nuestros productos. Simplemente inscríbete para iniciar la integración y realizar pruebas gratuitas hoy mismo, o bien Contacto Ventas para descubrir cómo IDlayr puede ayudar a su empresa.