Por qué no existe una contraseña segura

En este artículo, explicamos cómo el aumento de la complejidad de las contraseñas se ha convertido en su propia debilidad.
‍

Desde las consignas que utilizaban los soldados romanos hasta los complejos sistemas de cifrado actuales, los seres humanos llevan miles de años utilizando contraseñas. En los primeros años de la tecnología informática, parecían ideales para la seguridad de las cuentas: fáciles de configurar, universales en distintas plataformas y sin exigir demasiado al usuario.
‍

Sin embargo, hoy en día, crear una nueva contraseña es muy complicado. Cada vez que nos registramos en un nuevo servicio, tenemos que memorizar una nueva cadena de caracteres aleatorios. que con autenticación multifactor o de dos factores (MFA o 2FA).
‍

¿No deberían los avances tecnológicos facilitarnos la vida? El problema es que las contraseñas dependen de nuestra capacidad mental, pero los atacantes pueden utilizar la potencia de los ordenadores. Y, como predijo Bill Gates hace casi 20 añosno es una guerra que podamos ganar. Como explica el director general de IDlayr, Paul McGuire, en un podcast con Cybercrime Magazine, el eslabón más débil de la seguridad somos nosotros, los humanos.
‍

Siga leyendo para averiguar cómo la dependencia de las contraseñas ha llegado a este doloroso punto, los problemas que causa tanto para la experiencia del usuario como para la seguridad, y qué tipo de alternativa sin contraseña ya es posible.

‍

La incesante búsqueda de la complejidad 

Las primeras contraseñas solían ser sencillas, como el nombre de un hijo o una mascota. Pero con semejante previsibilidad del comportamiento humano, la delincuencia de identidad era inevitable.

Con el crecimiento masivo de Internet, el pirateo criminal selectivo no sólo se ha hecho más deseable, sino que se ha convertido en un fenómeno cada vez más extendido. fácil. Unas contraseñas tan débiles no resistían un poco de adivinación o investigación básica. Pronto, los atacantes ni siquiera necesitaron adivinar o conocer su objetivo: los bots podían intentar todas las palabras del diccionario (y sus permutaciones) imaginables.

Los servicios en línea tuvieron que reforzar su seguridad en respuesta, bloqueando a los usuarios tras demasiados intentos incorrectos, lo que provocó inevitables problemas de experiencia de usuario. También empezaron a pedir elementos complejos, como números, mayúsculas y símbolos, para que a los ordenadores les resultara más difícil "adivinarlos" (y así mantener alejados a los actores maliciosos). Pero en el proceso, las contraseñas se alejaron de su atractivo original como algo que podemos recordar fácilmente.

El problema de la memoria humana

Hoy en día, casi todos los sitios web o aplicaciones requieren una contraseña, y todas ellas deben ser diferentes entre sí si no queremos que un conjunto de credenciales violadas dé lugar a muchos más. La persona media tiene una asombrosa 100 contraseñas o más - pero las contraseñas "fuertes" son difíciles de memorizar para los humanos.

Existen herramientas de gestión de contraseñas que nos ayudan a estar al tanto de todo, pero tienen una barrera de accesibilidad y a menudo no funcionan en diferentes dispositivos. IDlayr preguntó a los usuarios de Twitter cómo gestionan las contraseñas, y la mayoría (40%) dijo que utilizan un sistema mental para controlar las contraseñas en lugar de una herramienta de este tipo - con 21% de los encuestados incluso admitiendo que simplemente reutilizan la misma contraseña.

‍

 

La mente humana simplemente comete errores que un ordenador no comete: una investigación de IBM descubrió que 95% de las brechas de ciberseguridad se deben a errores humanos. No es de extrañar cuando la mayoría de los usuarios son increíblemente laxos: los dos más comúnmente encontrados en las brechas siguen siendo "123456" y "contraseña", ambos han estado a la primero de la lista desde que SplashData empezó a recopilarla hace una década. Está claro que mucha gente siempre elegirá la opción más fácil, y los atacantes lo saben.

El coste de las contraseñas

Todos estos errores humanos se acumulan. Investigación Gartner Group descubrió que 40% de todas las llamadas al servicio de asistencia técnica son para restablecer contraseñas, y Forrester Research descubrió que el coste medio de un solo restablecimiento de contraseña en una empresa es de aproximadamente $70, lo que supone millones para las grandes organizaciones.

Según Verizonen un solo mes, Microsoft tuvo que restablecer 686.000 contraseñas de empleados, lo que supuso más de $12 millones en costes de soporte. No es de extrañar que el Director de Seguridad de Identidades de Microsoft, Alex Weinert, haya escrito en repetidas ocasiones sobre la vulnerabilidad de contraseñas.

La mala noticia: las contraseñas "seguras" no importan

‍

Por mucho que nos esforcemos en crear y memorizar contraseñas seguras, lo cierto es que los atacantes pueden burlarlas de todas formas. Las contraseñas se basan simplemente en el conocimiento, y no hay nada que impida que el conocimiento sea robado y compartido.

Dado que los ciberdelincuentes perfeccionan constantemente sus técnicas, incluso los usuarios más experimentados pueden ser engañados para que compartan esta información a través de estafas de phishing (mensajes falsos y convincentes que engañan a los usuarios para que introduzcan sus credenciales en sitios web falsos) o de ataques selectivos. ataques de usurpación de cuentas. Pero ni siquiera hace falta que el usuario se equivoque para que le roben la contraseña.

Para verificar que una contraseña es correcta, un servicio tiene que almacenarla en una base de datos. Naturalmente, estas bases de datos se convirtieron a su vez en objetivos. En los años 70, se inventaron el "hashing" y el "salting" para reforzar la seguridad de las contraseñas, añadiendo cifrado y caracteres aleatorios para hacerlas indescifrables. Sin embargo, las claves de cifrado también se filtran con regularidad, lo que significa que los hash de la mayoría de las contraseñas también están disponibles en Internet para que los delincuentes hagan ingeniería inversa.

¿Cuál es la alternativa a las contraseñas?

‍

La buena noticia es que su empresa puede mejorar la seguridad y la experiencia de los usuarios, reduciendo los costes de asistencia técnica, prescindiendo de las contraseñas. Ahora existe una método de verificación sin contraseña que es móvil, universal y criptográficamente seguro. La llamamos Autenticación basada en SIM.
‍

El funcionamiento es sencillo: el usuario introduce su número de teléfono móvil en su aplicación o sitio web, que se comunica instantáneamente con el MNO (operador de red móvil) para verificar que ese número es efectivamente el que está vinculado a la tarjeta SIM del dispositivo móvil. Esto puede usarse como segundo factor para respaldar otras comprobaciones de seguridad, o para prescindir totalmente de la contraseña. Mientras tanto, no se procesa ni se conserva ningún dato del usuario, por lo que no se puede filtrar ni robar nada.
‍

Como no hay contraseñas ni códigos implicados, se trata de una comprobación potente y basada en la posesión, que no puede ser comprometida por malos actores ni infiltrada de forma remota. IDlayr también puede comprobar activamente la actividad de intercambio de SIM para mitigar el riesgo de fraude en el canje de SIM.
‍

La comprobación se realiza silenciosamente en segundo plano, y el riesgo de seguridad por ser humano se reduce considerablemente. El resultado es una experiencia de autenticación invisible y sin esfuerzo, con una seguridad más sólida que parece mágica.

Cómo empezar

‍

Los productos IDlayr se integran fácilmente en cualquier arquitectura de aplicación cliente-servidor utilizando APIs restful y SDKs de iOS, Android, React Native y Mobile Web.
‍

Los desarrolladores pueden encontrar todo lo que necesitan para empezar en nuestro documentaciónque incluye guías de integración para todos nuestros productos. Simplemente inscríbete para iniciar la integración y realizar pruebas gratuitas hoy mismo, o bien Contacto Ventas para descubrir cómo IDlayr puede ayudar a su empresa.