{"id":109205,"date":"2022-09-22T14:13:42","date_gmt":"2022-09-22T14:13:42","guid":{"rendered":"https:\/\/eldigitaldeasturias.com\/magazine365\/?p=109205"},"modified":"2022-09-22T14:13:42","modified_gmt":"2022-09-22T14:13:42","slug":"un-futuro-sin-contrasenas-para-inicios-de-sesion-rapidos-y-seguros","status":"publish","type":"post","link":"https:\/\/eldigitaldeasturias.com\/magazine365\/un-futuro-sin-contrasenas-para-inicios-de-sesion-rapidos-y-seguros\/","title":{"rendered":"Un futuro sin contrase\u00f1as para inicios de sesi\u00f3n r\u00e1pidos y seguros"},"content":{"rendered":"

(dpa) – La lista de reglas para generar buenas contrase\u00f1as<\/span><\/a><\/strong> es larga: deben tener el mayor n\u00famero posible de caracteres y no ser utilizadas varias veces para diferentes servicios. Para muchas personas, esto es obviamente demasiado trabajo.<\/p>\n

\"contrase\u00f1as\"
Quien dispone de muchas cuentas online tiene que pensar en contrase\u00f1as seguras una y otra vez. Este problema tal vez llegue a su fin. Foto: Jens B\u00fcttner\/dpa<\/figcaption><\/figure>\n

En 2021, \u00ab123456\u00bb volvi\u00f3 a encabezar la lista anual de las diez contrase\u00f1as m\u00e1s populares del Instituto Hasso Plattner<\/strong>, un centro de excelencia alem\u00e1n especializado en tecnolog\u00edas de la informaci\u00f3n. Por otro lado, incluso las contrase\u00f1as fuertes y peculiares pueden ser interceptadas o robadas.<\/p>\n

El inicio de sesi\u00f3n en dos pasos<\/strong> (autenticaci\u00f3n en dos pasos o 2FA), en el que se comprueba un segundo factor adem\u00e1s de la contrase\u00f1a (por ejemplo, un c\u00f3digo generado por una app 2FA o la huella dactilar), aumenta la seguridad, pero no hace que el inicio de sesi\u00f3n sea menos complicado.<\/strong><\/p>\n

Existe una soluci\u00f3n a estos problemas que simplemente har\u00e1 que la contrase\u00f1a en s\u00ed sea superflua. Se trata de Fido (Fast Identity Online), que significa identificaci\u00f3n r\u00e1pida en l\u00ednea. La Alianza Fido, una organizaci\u00f3n internacional de car\u00e1cter no comercial, apuesta por est\u00e1ndares abiertos y sin licencia con el objetivo de cambiar la forma de autenticaci\u00f3n online para hacerla m\u00e1s segura y r\u00e1pida.<\/p>\n

La \u00faltima especificaci\u00f3n de la alianza, Fido 2, se cre\u00f3 con el objetivo de permitir un acceso seguro y sin contrase\u00f1a a los servicios en l\u00ednea. La contrase\u00f1a podr\u00eda entonces ser una cosa del pasado. \u00bfPero c\u00f3mo funciona?<\/strong><\/p>\n

Quien quiera iniciar sesi\u00f3n con ayuda de Fido 2 debe registrar primero un dispositivo en el servicio correspondiente<\/strong>. Esto puede hacerse con un m\u00f3vil, una tableta o un ordenador. Durante el registro, se generan dos cadenas de caracteres criptogr\u00e1ficos mediante procedimientos matem\u00e1ticos, que juntos forman un par: la clave p\u00fablica y la privada. La clave p\u00fablica se entrega al servicio, la clave secreta se almacena en el dispositivo, que se convierte as\u00ed en el llamado autentificador.<\/p>\n

En el momento de iniciar sesi\u00f3n, el dispositivo crea una firma digital utilizando la clave secreta.<\/strong> Acto seguido, el servicio comprueba la autenticidad de esta firma utilizando la clave p\u00fablica.<\/p>\n

En principio, funciona como la cl\u00e1sica firma en papel, explica el profesor Markus D\u00fcrmuth, del Instituto de Seguridad Inform\u00e1tica de la Universidad Leibniz, en la ciudad alemana de Hannover. \u00abSolo yo s\u00e9 c\u00f3mo escribo mi firma, y su autenticidad se puede comprobar f\u00e1cilmente con una prueba caligr\u00e1fica\u00bb, precisa el catedr\u00e1tico.<\/strong><\/p>\n

En comparaci\u00f3n con las contrase\u00f1as, este m\u00e9todo es seguro porque la clave privada solo la tiene el usuario. Las contrase\u00f1as, en cambio, son secretos que se introducen a trav\u00e9s de los teclados y pueden ser interceptados localmente o en su camino a trav\u00e9s de la red.<\/p>\n

D\u00fcrmuth se\u00f1ala asimismo que las contrase\u00f1as tambi\u00e9n se almacenan de forma encriptada en el servicio correspondiente para poder cotejar la contrase\u00f1a introducida por el usuario. Durante el cotejo, sin embargo, la contrase\u00f1a queda brevemente expuesta, lo que supone un riesgo de seguridad.<\/strong><\/p>\n

Fido 2, por el contrario, ofrece a\u00fan m\u00e1s seguridad. D\u00fcrmuth explica que la firma digital incluye un sello de tiempo, y que incluso si los piratas inform\u00e1ticos fueran capaces de interceptar la firma, no podr\u00edan utilizarla posteriormente.<\/p>\n

Adem\u00e1s, la clave privada, tambi\u00e9n llamada secreta, est\u00e1 segura en los dispositivos autenticadores: la clave se almacena en los dispositivos en un m\u00f3dulo TPM, o m\u00f3dulo de plataforma confiable, explica Jan Mahn, de la revista especializada alemana \u00abc’t\u00bb. \u00abSon procesadores seguros que protegen la informaci\u00f3n confidencial en su interior\u00bb, especifica el experto.<\/p>\n

Mahn explica que la clave privada se calcula y queda almacenada en el dispositivo, y que, al iniciar sesi\u00f3n, solo la firma sale del dispositivo, no la propia clave privada. Los TPM con chips criptogr\u00e1ficos se encuentran ahora en la gran mayor\u00eda de los tel\u00e9fonos inteligentes, as\u00ed como en los nuevos ordenadores y port\u00e1tiles. Microsoft incluso ha convertido el TPM en un requisito previo para instalar Windows 11 en los ordenadores.<\/strong><\/p>\n

Aquellos que a\u00fan tengan un ordenador o un m\u00f3vil m\u00e1s antiguo sin TPM tambi\u00e9n pueden guardar la clave privada en memorias que se conectan por USB al ordenador o bien por NFC al m\u00f3vil. Estas memorias con chips criptogr\u00e1ficos incorporados tambi\u00e9n se denominan \u00abtokens\u00bb y en Fido 2 tienen varios usos.<\/p>\n

Dependiendo del servicio, un token USB tambi\u00e9n puede servir como segundo factor. Una vez conectada la memoria al dispositivo, solo hay que introducir un PIN o autenticarse mediante la huella dactilar si la memoria dispone de un sensor para ello. Por cierto, la autenticaci\u00f3n 2FA tambi\u00e9n forma parte de los est\u00e1ndares de Fido.<\/p>\n

Pero, \u00bfqu\u00e9 pasa si un usuario pierde el m\u00f3vil en el que est\u00e1 almacenada la clave privada? \u00abLa recomendaci\u00f3n oficial de Fido 2 es registrar dos dispositivos\u00bb, se\u00f1ala D\u00fcrmuth.<\/strong> El segundo dispositivo no tiene que ser necesariamente un m\u00f3vil o un ordenador. Un token USB almacenado de forma segura tambi\u00e9n puede utilizarse como copia de seguridad.<\/p>\n

Jahn Mahn menciona otra forma de iniciar sesi\u00f3n en caso de emergencia: muchos servicios asignan al usuario un c\u00f3digo de seguridad al registrarse; lo mejor es escribirlo en un papel y guardarlo en un lugar seguro.<\/p>\n

Una idea relativamente nueva para resolver el problema de la p\u00e9rdida y para hacer los inicios de sesi\u00f3n m\u00e1s c\u00f3modos es guardar adicionalmente la clave privada en la nube, es decir, en servidores de Internet, o sincronizarla en diferentes dispositivos a trav\u00e9s de Internet. As\u00ed es como Apple, por ejemplo, implementa el est\u00e1ndar Fido 2.<\/p>\n

Seg\u00fan Markus D\u00fcrmuth, en la ruta a trav\u00e9s de la nube se pierde un poco de seguridad, pero esto es justificable en vista de la mayor facilidad de uso de Fido 2. Adem\u00e1s, a\u00f1ade, el almacenamiento en la nube tambi\u00e9n est\u00e1 especialmente protegido.<\/p>\n

Son muchas ya las empresas, proveedores de servicios y autoridades que se han adherido a la Alianza Fido. A principios de mayo de 2022, Apple, Google y Microsoft declararon conjuntamente su intenci\u00f3n de ampliar su apoyo al est\u00e1ndar Fido 2 a partir de 2023.<\/strong><\/p>\n

El nuevo compromiso incluye la posibilidad de acceder a las credenciales de usuario autom\u00e1ticamente en varios dispositivos -incluidos los nuevos- sin tener que volver a iniciar sesi\u00f3n en cada cuenta. Adem\u00e1s se quiere permitir iniciar sesi\u00f3n en una aplicaci\u00f3n o sitio web en otro dispositivo cercano utilizando un dispositivo m\u00f3vil como autentificador, independientemente del sistema operativo o del navegador.<\/p>\n

Microsoft ya ha introducido el inicio de sesi\u00f3n sin contrase\u00f1a, entre otros, para la versi\u00f3n web de Outlook y para su red de juegos Xbox Live. Este se puede activar en la configuraci\u00f3n de seguridad avanzada de la cuenta de Microsoft.<\/p>\n

Dropbox, Google o Twitter<\/span><\/a> ya utilizan Fido 2 como segundo factor a trav\u00e9s de token USB, app o SMS<\/strong>, aunque no llaman a esta funcionalidad Fido 2, sino claves de seguridad o \u00abpasskeys\u00bb.<\/p>\n

La Oficina Federal de Seguridad de la Informaci\u00f3n (BSI) de Alemania tambi\u00e9n es miembro de la Alianza Fido. Seg\u00fan un portavoz de la agencia, muchos aspectos de la norma Fido 2 son positivos.<\/strong> Sin embargo, prosigue, solo se gana en seguridad si el dispositivo autenticador est\u00e1 debidamente protegido.<\/p>\n

Seg\u00fan la BSI, los niveles de seguridad m\u00e1s altos tambi\u00e9n requieren pruebas y certificaciones independientes sobre c\u00f3mo se aplica la norma Fido 2, por ejemplo, en un sitio web. La agencia se\u00f1ala que la seguridad siempre depende de c\u00f3mo implemente el respectivo proveedor Fido 2 para su servicio.<\/strong><\/p>\n

\u00abEn el mejor de los casos, la seguridad inform\u00e1tica debe representar un obst\u00e1culo para el atacante\u00bb, afirma Jahn Mahn, y molestar a los usuarios lo menos posible. \u00abFido 2 lo consigue, especialmente con las nuevas implementaciones\u00bb, asevera el experto, y a\u00f1ade que con la mayor\u00eda de los dispositivos Android, iOS y MacOS, as\u00ed como con Windows, es muy f\u00e1cil utilizar Fido 2 con el hardware existente.<\/p>\n

Mahn aconseja comprobar en la secci\u00f3n \u00abSeguridad\u00bb de la configuraci\u00f3n de la cuenta del respectivo servicio qu\u00e9 opciones est\u00e1n disponibles y utilizar Fido 2 siempre que sea posible: ya sea como sustituto de la contrase\u00f1a o como segundo factor.<\/p>\n

Por Jean-Pierre Fellmer (dpa)<\/span><\/i><\/p>\n","protected":false},"excerpt":{"rendered":"

(dpa) – La lista de reglas para generar buenas contrase\u00f1as es larga: deben tener el mayor n\u00famero posible de caracteres y no ser utilizadas varias veces para diferentes servicios. Para muchas personas, esto es obviamente demasiado trabajo. En 2021, \u00ab123456\u00bb volvi\u00f3 a encabezar la lista anual de las diez contrase\u00f1as m\u00e1s populares del Instituto Hasso<\/p>\n","protected":false},"author":1,"featured_media":109206,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[181],"tags":[343,348],"class_list":{"0":"post-109205","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-internet","8":"tag-internet","9":"tag-tecnologia"},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t