¿Es el hardware MFA el futuro?

La autenticación multifactor (AMF) ha sido un componente clave de la arquitectura de seguridad de las empresas modernas. Cada vez son más las normas, como la NIST 800-63 serie, la Mitre D3FEND y normas más específicas como la PCI-DSS para el procesamiento financiero, todos promueven el uso de la AMF para mejorar la seguridad.

La autenticación de individuos se centra en algo que tienen (un factor de posesión), algo que saben (un factor de conocimiento como una contraseña o un PIN) y algo que son (un factor de inherencia, a menudo basado en la biometría). La AMF requeriría al menos dos de los tres métodos. Durante más de 40 años, la autenticación de la mayoría de los sistemas comerciales se ha basado en nombres de usuario y contraseñas, pero una búsqueda rápida en Google de "por qué son malas las contraseñas" arroja 24,8 millones de resultados. Las limitaciones de seguridad y usabilidad de la autenticación basada en contraseñas son bien conocidas, y han llevado a las organizaciones a cambiar a la AMF para mejorar la seguridad y la satisfacción de los usuarios.

Un factor clave que ya está mejorando las prácticas de seguridad de las organizaciones es la eliminación de fricciones y limitaciones de usabilidad con los eventos de inicio de sesión de los usuarios o los retos de seguridad.

El omnipresente auge del software AMF

En los últimos 5 años, hemos visto una miríada de enfoques basados en software para la AMF, incluyendo tanto el generador de contraseñas de un solo uso (OTP) basado en aplicaciones como el uso de notificaciones push. Los otros enfoques semiblandos con los que muchos están familiarizados incluyen el envío de una OTP a través de un mensaje de texto SMS o correo electrónico. Sin embargo, ambos enfoques son activamente desaconsejados por el NIST debido a las vulnerabilidades en la forma en que se entrega la OTP.

¿Nos enfrentamos a la fatiga de las aplicaciones y las notificaciones?

Pero con el zumbido constante de la tecnología omnipresente y una mentalidad de "siempre conectado" con respecto al trabajo y la actividad en línea, ¿nos enfrentamos a la fatiga de las aplicaciones? El bombardeo de material en línea, redes sociales, contenidos y publicidad está llevando a muchos a recurrir a la función "no molestar" durante largos periodos del día para evitar distracciones. El uso de notificaciones push tanto para mensajería como para publicidad bien podría estar creando una "ceguera de la nieve" cuando se trata de notificaciones paralelas referidas a eventos de inicio de sesión y seguridad.

El mayor uso de técnicas de interrupción para captar la atención del usuario final podría ir en detrimento de la seguridad de la organización, debido a una posible mayor falta de cuidado y atención y a la aceptación continua de la mensajería entrante. En resumen, los usuarios responden afirmativamente a cualquier notificación o alerta de seguridad para despejarla de la afluencia, sin percatarse de las que son auténticas amenazas.

¿Puede ayudar la AMF por hardware?

La AMF por hardware suele adoptar la forma de tarjetas inteligentes, llaves de seguridad USB y generadores de OTP. Muchas organizaciones han aprovechado la seguridad basada en hardware para los usuarios y eventos de más alto riesgo, pero el despliegue ha sido a menudo bastante focalizado, debido al coste, la complejidad o como resultado de los cálculos de impacto y probabilidad realizados durante la gestión de riesgos.

Las principales ventajas de los enfoques basados en hardware eran una mayor resistencia a la manipulación y la dificultad de clonación. La otra cara de la moneda era la necesidad de un nuevo modelo operativo para gestionar la emisión de hardware y, por supuesto, el inevitable caso de pérdida del dispositivo, ya fuera por robo, extravío o daño.

El panorama típico de la AMF por hardware amplifica la paradoja de la seguridad y la usabilidad: ¿cómo se puede mejorar un aspecto sin que afecte al otro?

El hardware parece mejorar la seguridad, pero conlleva costes operativos y una experiencia de usuario potencialmente más intrusiva, especialmente en lo que respecta a los aspectos de incorporación y restablecimiento del ciclo de vida de las credenciales.

¿Es posible combinar las ventajas del software (rapidez de comercialización, bajo coste marginal de instalación por usuario y actualizaciones y mejoras más sencillas) con las del hardware (mayor seguridad y menor dependencia de notificaciones e interrupciones de aplicaciones)?

¿Software o hardware? Cómo decidir

Estamos empezando a ver un movimiento hacia modalidades de autenticación sin contraseña, en las que el evento de autenticación sigue conteniendo dos de los tres componentes de autenticación, pero no empieza con un secreto compartido ni depende de él. La biometría como inherencia factor, a través de una aplicación nativa asociada al dispositivo móvil, y el propio dispositivo móvil actuando como el posesión factor. Estos son los más comunes.

¿Puede aprovecharse aún más el factor de posesión, que se basa en el hardware del dispositivo, la tarjeta SIM y los servicios integrados al operador de red móvil, para ofrecer más seguridad reforzada por el hardware?

AMF basada en software

‍

‍AMF basada en hardware

‍

Un planteamiento ideal es combinar las ventajas de la seguridad mejorada del hardware con los factores que contribuyen a la felicidad del usuario final del software. Puede lograrse una experiencia de usuario final combinada aprovechando los componentes de hardware existentes en lugar de requerir otros nuevos, y ofrecer una experiencia de usuario más segura y menos onerosa?

Además, cualquier análisis de un método AMF o de una solución de autenticación basada en credenciales debe tener en cuenta cómo se comporta la modalidad elegida durante el ciclo de vida de su uso, desde la inscripción hasta la retirada y eliminación.

Por lo que respecta a los usuarios finales, estamos entrando en una fase en la que el uso de la AMF se desencadena por cada vez más eventos externos, tanto para los consumidores -que realizan compras, transacciones en línea y comparten información personal- como para los empleados de las empresas, con la creciente aparición de redes de confianza cero y modelos de trabajo distribuidos.

Como resultado, la modalidad de autenticación elegida requiere la autosuficiencia del usuario final para los casos de uso de adición y restablecimiento, y ofrece una mejor seguridad y gestión operativa desde la perspectiva del servicio.

‍

Sobre el autor

Simon Moffatt es fundador y analista de The Cyber Hut. Es autor con más de 20 años de experiencia en los sectores cibernético y de gestión de identidades y accesos. Su libro más reciente, "Consumer Identity & Access Management: Design Fundamentals", está disponible en Amazon. Es CISSP, CCSP, CEH y CISA. También es postgraduado a tiempo parcial en el programa certificado GCHQ MSc. Information Security en la Royal Holloway University, Reino Unido. Su diario de investigación 2021 se centra en "Cómo matar la contraseña", "Tecnología de autorización de próxima generación" y "Cómo las contramedidas IAM pueden defender contra la ciberguerra". Para más información aquí.

La cabaña cibernética es una empresa líder de análisis del sector centrada en la tecnología de identidad, acceso y ciberseguridad. Es una empresa británica de alcance mundial especializada en ayudar tanto a los compradores como a los vendedores a optimizar su comprensión de las complejas soluciones de ciberseguridad. Para más información aquí.