Autenticacion multifactor
- 1. NEWSLETTER seguridad autenticación Cómo actúa la autenticación multifactor contra el fraude online El fraude es un pecado tan antiguo como la humanidad. El engaño se adapta perfectamente a los cambios y las nuevas tecnologías. Si se le pone una barrera, no parará hasta derribarla. Una carrera que no parece tener fin. Por ello, cuán- tas más barreras se le pongan más seguridad se tendrá. La autenticación multifactor amplía el número de capas de protección para evitar el fraude online, el phishing, y garantizar transaccio-
- 2. L a proliferación del acceso remoto a través de las redes y los dispositivos móvi- les a datos sensibles y aplicaciones corporativas; el incremento en el uso de cloud computing; y el auge del comercio electrónico y la banca online son un buen caldo de cultivo para el fraude online. La autenticación con una sola capa ha quedado to- talmente obsoleta, el tradicional método de “Nombre de usuario y Contraseña” que todos conocemos, o lo que es lo mismo: una sola capa de autenticación. La autenticación de un solo factor comporta diferentes vulnerabilidades, entre ellas: • Pobres contraseñas de usuario (ej. pepito, en lugar de otra más compleja como @@PEPito153@) • Usar la misma contraseña para procesos comerciales que para asuntos personales • Utilizar contraseñas creadas por un software de clave de registro • El phishing • Los ataques man-in-the-middle y man-in-the browser •… Para poner freno a estas amenazas el sistema de autenticación multifactor (MFA) añade capas críticas de seguridad para los inicios de sesión de usuario y las transac- ciones. Funciona con dos o más de estos parámetros: • La contraseña • Un dispositivo móvil de confianza • Verificación biométrica mediante la huella de voz, la escritura, o patrones oculares. O bien verificación con frases secretas y/o preguntas de seguri dad. Primer factor: la contraseña Debe ser compleja, y no coincidir con ninguna otra que utilicemos para asuntos per- sonales. Evitar las generadas por programas de clave de registro, y procurar actuali- zarlas y cambiarlas cada cierto tiempo. Segundo factor: el dispositivo de confianza Debe ser un dispositivo difícil de duplicar, portable y de uso común para los usuarios: un smartphone o una tableta electrónica son dispositivos ideales para este fin ya que cumplen con los requisitos. En la autenticación de doble capa se venía utilizando como dispositivo de confianza el token de seguridad. Sin embargo, estos aparatos -conocidos como generadores de contraseñas dinámi- Leader cas- son bastante engorrosos para los departamentos TIC, además de ser más fáci- Redes y Comunicaciones les de duplicar, y ya existen amenazas sofisticadas capaces de derrotarlos. Y como Calle San Vicente Mártir no son dispositivos que se utilicen para la vida diaria son fácilmente olvidados o per- núm 130 piso 1, pta 1 didos por los usuarios, a diferencia de los dispositivos móviles. Por otra parte, los CP: 46007 costos de propiedad de una solución token pueden ser elevados. Valencia (España) Los teléfonos inteligentes ofrecen mayor flexibilidad porque se pueden reemplazar Télf: 902 158 500 fácilmente; dan acceso desde cualquier lugar (locales con Internet, el WIFI del aero- comercial@lnm.es www.leader-network.com puerto, oficinas remotas o sitios de clientes); presentan una amplia gama de mo- delos; y, por sus características interactivas, ofrecen una gran variedad de opciones multifactoriales que irán en aumento conforme avance la tecnología móvil.
- 3. Además la red telefónica también proporciona un canal de comunicación bidirec- cional para la autenticación de la información específica, añadiendo otra capa de seguridad, el tercer factor, que con los métodos out-of-band complementa la auten- ticación. Tercer factor: Verificación La verificación ofrece diversas opciones. Puede realizarse a partir de parámetros biométricos como una llamada del programa de autenticación al usuario para ve- rificar su huella de voz; con la verificación de transacciones; con la confirmación de la posesión del dispositivo de confianza en manos del usuario autorizado mediante una llamada automatizada; con el envío de un mensaje de texto con un código OTP (One Time Password) que el usuario debe responder con el código facilitado; o bien pulsando sobre una notificación enviada por el sistema al dispositivo del usuario que éste debe pulsar para autenticar. Las posibilidades de verificación son amplias. Las aplicaciones MFA permiten un fácil despliegue con un mínimo mantenimiento y una configuración sencilla que puede realizar el mismo usuario. Además, permiten una rápida implementación y una gran flexibilidad. Ofrecen una perfecta integra- ción con un gran número de aplicaciones incluyendo las principales soluciones VPN de acceso remoto y las de inicio de sesión; aplicaciones en la nube; la banca online; sitios web; y aplicaciones personalizadas. Imponer múltiples factores de autenticación presenta un reto significativo para los atacantes. Incluso si un atacante logra hacerse con la contraseña del usuario, es in- útil sin poseer el dispositivo de confianza, el teléfono inteligente. Y a la inversa, si el usuario pierde el dispositivo, el que lo encuentre no será capaz de utilizarlo a menos que conozca la contraseña. Estos sistemas de autenticación multifactor están dirigidos a pymes que utilicen el sistema de Usuario/Contraseña para autenticarse; para empresas u organismos que tendrían problemas en su actividad si los hackers accedieran y robaran sus datos sensibles como puede ser el caso del sector de la salud, empresas industriales re- lacionadas con patentes como laboratorios farmacéuticos, empresas de seguros, servicios o retail, y por supuesto, la banca online. Leader Redes y Comunicaciones Calle San Vicente Mártir núm 130 piso 1, pta 1 CP: 46007 Valencia (España) Télf: 902 158 500 comercial@lnm.es www.leader-network.com Portada photo credit: Dev.Arka via photopin cc