{"id":32662,"date":"2019-10-31T21:48:16","date_gmt":"2019-10-31T18:48:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami\/"},"modified":"2019-10-31T21:48:16","modified_gmt":"2019-10-31T18:48:16","slug":"chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","title":{"rendered":"\u00bfQu\u00e9 pasar\u00e1 con la autenticaci\u00f3n y las contrase\u00f1as? Traducci\u00f3n del informe de Javelin \"Estado de la Autenticaci\u00f3n Fuerte\" con comentarios","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"\u00bfQu\u00e9
\n
\nEl spoiler del t\u00edtulo del informe \u00abEl n\u00famero de casos de uso de la autenticaci\u00f3n fuerte ha aumentado debido a las amenazas de nuevos riesgos y requisitos regulatorios\u00bb.
\nLa empresa de investigaci\u00f3n \u00abJavelin Strategy & Research\u00bb ha publicado el informe \u00abEl Estado de la Autenticaci\u00f3n Fuerte 2019\u00bb ( el original en formato pdf se puede descargar aqu\u00ed<\/a><\/noindex>). Este informe indica qu\u00e9 porcentaje de empresas estadounidenses y europeas utilizan contrase\u00f1as (y por qu\u00e9 las contrase\u00f1as est\u00e1n siendo cada vez menos utilizadas); por qu\u00e9 est\u00e1 aumentando tan r\u00e1pidamente el uso de la autenticaci\u00f3n de dos factores basada en tokens criptogr\u00e1ficos; y por qu\u00e9 los c\u00f3digos de un solo uso enviados por SMS son inseguros.<\/p>\n

A todos los interesados en el presente, pasado y futuro de la autenticaci\u00f3n en empresas y aplicaciones de usuarios, bienvenidos.
\n<\/a><\/noindex>
\nDel traductor<\/b><\/p>\n

Lamentablemente, el lenguaje en el que est\u00e1 escrito este informe es bastante \u00abseco\u00bb y formal. Y el uso quintuple de la palabra \u00abautenticaci\u00f3n\u00bb en una sola oraci\u00f3n corta no es un fallo (o falta de capacidad) del traductor, sino un capricho de los autores. Al traducir entre dos opciones: ofrecer a los lectores un texto m\u00e1s cercano al original o uno m\u00e1s interesante, a veces eleg\u00ed la primera, a veces la segunda. Pero tengan paciencia, queridos lectores, el contenido del informe vale la pena.<\/p>\n

Se han eliminado algunos fragmentos poco significativos e innecesarios para la narrativa, de lo contrario, la mayor\u00eda no podr\u00eda soportar todo el texto. Aquellos que deseen leer el informe \u00absin censura\u00bb pueden hacerlo en el idioma original, siguiendo el enlace.<\/p>\n

Desafortunadamente, los autores no siempre son cuidadosos con la terminolog\u00eda. As\u00ed, a veces llaman a las contrase\u00f1as de un solo uso (One Time Password - OTP) \u00abcontrase\u00f1as\u00bb y otras veces \u00abc\u00f3digos\u00bb. Con los m\u00e9todos de autenticaci\u00f3n es a\u00fan peor. No siempre es f\u00e1cil para un lector no preparado darse cuenta de que \u00abautenticaci\u00f3n con claves criptogr\u00e1ficas\u00bb y \u00abautenticaci\u00f3n fuerte\u00bb son lo mismo. He tratado de unificar los t\u00e9rminos tanto como sea posible; adem\u00e1s, en el mismo informe hay un fragmento con sus descripciones.<\/p>\n

Sin embargo, se recomienda encarecidamente leer el informe, ya que contiene resultados de investigaci\u00f3n \u00fanicos y conclusiones correctas. <\/b><\/p>\n

Todas las cifras y hechos se presentan sin ning\u00fan cambio, y si no est\u00e1s de acuerdo con ellos, es mejor discutir con los autores del informe que con el traductor. Mis comentarios (dise\u00f1ados como citas y marcados en el texto en cursiva<\/i>) son mi juicio cr\u00edtico, y estar\u00e9 encantado de debatir sobre cada uno de ellos (y sobre la calidad de la traducci\u00f3n). <\/p><\/blockquote>\n

<\/p>\n

Rese\u00f1a<\/h2>\n

\nEn la actualidad, los canales digitales de comunicaci\u00f3n con los clientes son m\u00e1s importantes que nunca para las empresas. Adem\u00e1s, dentro de la empresa, la comunicaci\u00f3n entre empleados est\u00e1 m\u00e1s orientada hacia el entorno digital que en cualquier otro momento. Y la seguridad de estas interacciones depende del m\u00e9todo de autenticaci\u00f3n de usuarios elegido. Los delincuentes aprovechan una autenticaci\u00f3n d\u00e9bil para realizar hackeos masivos de cuentas de usuarios. En respuesta, las autoridades reguladoras est\u00e1n endureciendo los est\u00e1ndares para obligar a las empresas a proteger mejor las cuentas y los datos de los usuarios.<\/p>\n

Las amenazas relacionadas con la autenticaci\u00f3n no se limitan a las aplicaciones de consumo; los delincuentes tambi\u00e9n pueden acceder a aplicaciones que operan dentro de las empresas. Esta operaci\u00f3n les permite hacerse pasar por usuarios corporativos. Los delincuentes pueden robar datos y realizar otras actividades fraudulentas utilizando puntos de acceso con autenticaci\u00f3n d\u00e9bil. Afortunadamente, hay medidas para combatir esto. Una autenticaci\u00f3n rigurosa puede reducir significativamente el riesgo de ataques por parte de delincuentes, tanto en aplicaciones de consumo como en sistemas empresariales.<\/p>\n

Este estudio analiza: c\u00f3mo las empresas implementan la autenticaci\u00f3n para proteger aplicaciones de usuarios y sistemas empresariales; los factores que consideran al elegir una soluci\u00f3n de autenticaci\u00f3n; el papel que juega la autenticaci\u00f3n rigurosa en sus organizaciones; los beneficios que obtienen estas organizaciones.<\/p>\n

Curr\u00edculum<\/h2>\n

<\/p>\n

Conclusiones Principales<\/h3>\n

\nDesde 2017, ha aumentado dr\u00e1sticamente el porcentaje de uso de autenticaci\u00f3n rigurosa. <\/b> Con el aumento de las vulnerabilidades que afectan a las soluciones de autenticaci\u00f3n tradicionales, las organizaciones est\u00e1n fortaleciendo sus capacidades de autenticaci\u00f3n mediante autenticaci\u00f3n rigurosa. El n\u00famero de organizaciones que utilizan autenticaci\u00f3n multifactor con criptograf\u00eda (MFA) se ha triplicado desde 2017 en aplicaciones de consumo y ha aumentado casi un 50% en aplicaciones empresariales. El crecimiento m\u00e1s r\u00e1pido se observa en la autenticaci\u00f3n m\u00f3vil debido a la creciente disponibilidad de la autenticaci\u00f3n biom\u00e9trica.<\/p>\n

Aqu\u00ed vemos una ilustraci\u00f3n del dicho \u00abcuando el trueno no suena, el hombre no se cruza\u00bb. Cuando los expertos advert\u00edan sobre la inseguridad de las contrase\u00f1as, nadie se apresur\u00f3 a implementar la autenticaci\u00f3n de dos factores. En cuanto los hackers comenzaron a robar contrase\u00f1as, la gente empez\u00f3 a adoptar la autenticaci\u00f3n de dos factores.<\/p>\n

Sin embargo, los particulares son mucho m\u00e1s activos en la implementaci\u00f3n de 2FA. En primer lugar, es m\u00e1s f\u00e1cil para ellos calmar sus miedos, confiando en la autenticaci\u00f3n biom\u00e9trica integrada en los smartphones, que en realidad es bastante poco fiable. A las organizaciones les resulta necesario gastar en la adquisici\u00f3n de tokens y llevar a cabo trabajos (que en realidad son bastante simples) para su implementaci\u00f3n. En segundo lugar, casi todos han o\u00eddo hablar de las filtraciones de contrase\u00f1as de servicios como Facebook y Dropbox, pero los directores de TI de estas organizaciones no compartir\u00e1n historias sobre c\u00f3mo les robaron contrase\u00f1as (y qu\u00e9 pas\u00f3 despu\u00e9s) bajo ninguna circunstancia. <\/p><\/blockquote>\n

\nAquellos que no utilizan autenticaci\u00f3n estricta subestiman su riesgo para el negocio y los clientes. <\/b> Algunas organizaciones que actualmente no emplean autenticaci\u00f3n estricta tienden a considerar los nombres de usuario y contrase\u00f1as como uno de los m\u00e9todos de autenticaci\u00f3n de usuarios m\u00e1s efectivos y f\u00e1ciles de usar. Otras no ven el valor de los activos digitales que poseen. Es importante tener en cuenta que a los ciberdelincuentes les interesa cualquier informaci\u00f3n de consumo y empresarial. Dos tercios de las empresas que utilizan solo contrase\u00f1as para autenticar a sus empleados lo hacen porque creen que las contrase\u00f1as son lo suficientemente buenas para el tipo de informaci\u00f3n que protegen.<\/p>\n

Sin embargo, las contrase\u00f1as est\u00e1n en camino de \u00abmorir\u00bb. <\/b> En el \u00faltimo a\u00f1o, la dependencia de las contrase\u00f1as ha disminuido significativamente, tanto para aplicaciones de consumo como corporativas (del 44% al 31% y del 56% al 47%, respectivamente), ya que las organizaciones ampl\u00edan el uso de MFA tradicional y autenticaci\u00f3n estricta.
\nSin embargo, si se eval\u00faa la situaci\u00f3n en su conjunto, sigue predominando el uso de m\u00e9todos de autenticaci\u00f3n vulnerables. Aproximadamente una cuarta parte de las organizaciones emplea SMS OTP (c\u00f3digo de un solo uso) junto con preguntas secretas para la autenticaci\u00f3n de usuarios. Como resultado, se deben implementar medidas de seguridad adicionales para protegerse de las vulnerabilidades, lo que incrementa los costos. M\u00e9todos de autenticaci\u00f3n mucho m\u00e1s seguros, como las claves criptogr\u00e1ficas de hardware, se utilizan mucho menos, en alrededor del 5% de las organizaciones.<\/p>\n

El entorno normativo en evoluci\u00f3n promete acelerar la implementaci\u00f3n de autenticaci\u00f3n estricta para aplicaciones de consumidores. <\/b> Con la introducci\u00f3n de PSD2, as\u00ed como nuevas regulaciones de protecci\u00f3n de datos en la UE y en varios estados de EE. UU., como California, las empresas sienten que la presi\u00f3n est\u00e1 aumentando. Casi el 70% de las empresas est\u00e1n de acuerdo en que enfrentan una fuerte presi\u00f3n regulatoria para garantizar autenticaci\u00f3n estricta para sus clientes. M\u00e1s de la mitad de las empresas creen que en unos pocos a\u00f1os sus m\u00e9todos de autenticaci\u00f3n no ser\u00e1n suficientes para cumplir con los est\u00e1ndares normativos.<\/p>\n

Se nota claramente la diferencia en los enfoques de los legisladores rusos y anglosajones respecto a la protecci\u00f3n de los datos personales de los usuarios de programas y servicios. Los rusos dicen: queridos propietarios de servicios, hagan lo que quieran y como quieran, pero si su administrador filtra la base de datos, los castigaremos. En el extranjero dicen: deben implementar un conjunto de medidas que no permitir\u00e1<\/b> prevengan la filtraci\u00f3n de la base de datos. Por eso all\u00ed se est\u00e1n implementando requisitos para la existencia de una estricta autenticaci\u00f3n de dos factores.
\nSin embargo, no est\u00e1 garantizado que nuestra m\u00e1quina legislativa no se despierte un d\u00eda y tome en cuenta la experiencia occidental. En ese momento, resultar\u00e1 que todos tendr\u00e1n que implementar 2FA, cumpliendo con los est\u00e1ndares criptogr\u00e1ficos rusos, y adem\u00e1s de manera urgente.\n<\/p><\/blockquote>\n

\nEstablecer una base confiable de autenticaci\u00f3n permite a las empresas centrarse menos en cumplir con los requisitos normativos y m\u00e1s en satisfacer las necesidades de los clientes. <\/b> Para las organizaciones que a\u00fan utilizan contrase\u00f1as simples o reciben c\u00f3digos por SMS, el factor m\u00e1s importante al elegir un m\u00e9todo de autenticaci\u00f3n es el cumplimiento de las normativas. En cambio, aquellas empresas que ya utilizan autenticaci\u00f3n estricta pueden centrarse en elegir m\u00e9todos de autenticaci\u00f3n que aumenten la lealtad del cliente.<\/p>\n

Al elegir un m\u00e9todo de autenticaci\u00f3n corporativa dentro de la empresa, los requisitos de los reguladores ya no son un factor significativo. <\/b> En este caso, la simplicidad de integraci\u00f3n (32%) y el costo (26%) son mucho m\u00e1s importantes. <\/p>\n

En la era del phishing, los delincuentes pueden utilizar el correo electr\u00f3nico corporativo para fraudes,<\/b> con el fin de obtener enga\u00f1osamente acceso a datos, cuentas (con los derechos de acceso correspondientes) e incluso para convencer a los empleados de realizar una transferencia de dinero a su cuenta. Por lo tanto, las cuentas de correo corporativo y portales deben estar especialmente bien protegidos.<\/p>\n

Google ha reforzado su protecci\u00f3n implementando autenticaci\u00f3n estricta.<\/b> Hace m\u00e1s de dos a\u00f1os, Google public\u00f3 un informe sobre la implementaci\u00f3n de la autenticaci\u00f3n de dos factores basada en claves de seguridad criptogr\u00e1ficas seg\u00fan el est\u00e1ndar FIDO U2F, informando sobre resultados impresionantes. Seg\u00fan la empresa, no se realiz\u00f3 ning\u00fan ataque de phishing contra m\u00e1s de 85,000 empleados. <\/p>\n

Recomendaciones<\/h3>\n

\nImplemente autenticaci\u00f3n estricta para aplicaciones m\u00f3viles y en l\u00ednea. <\/b> La autenticaci\u00f3n multifactor basada en claves criptogr\u00e1ficas protege mucho mejor contra intrusiones que los m\u00e9todos tradicionales de MFA. Adem\u00e1s, el uso de claves criptogr\u00e1ficas es mucho m\u00e1s conveniente, ya que no se necesita utilizar ni transmitir informaci\u00f3n adicional: contrase\u00f1as, c\u00f3digos de un solo uso o datos biom\u00e9tricos del dispositivo del usuario al servidor de autenticaci\u00f3n. Adem\u00e1s, la estandarizaci\u00f3n de protocolos de autenticaci\u00f3n permite implementar nuevos m\u00e9todos de autenticaci\u00f3n m\u00e1s f\u00e1cilmente a medida que aparecen, reduciendo costos de uso y protegiendo contra esquemas de fraude m\u00e1s complejos.<\/p>\n

Prep\u00e1rese para el ocaso de las contrase\u00f1as de un solo uso (OTP). <\/b> Las vulnerabilidades inherentes a la OTP se est\u00e1n volviendo cada vez m\u00e1s evidentes, en un contexto donde los ciberdelincuentes utilizan ingenier\u00eda social, clonaci\u00f3n de tel\u00e9fonos inteligentes y malware para comprometer estos m\u00e9todos de autenticaci\u00f3n. Y si bien la OTP tiene ciertas ventajas en t\u00e9rminos de accesibilidad universal para todos los usuarios, no lo es en t\u00e9rminos de seguridad.<\/p>\n

No se puede pasar por alto que recibir c\u00f3digos por SMS o notificaciones push, as\u00ed como generar c\u00f3digos mediante aplicaciones para tel\u00e9fonos inteligentes, es el uso de las mismas contrase\u00f1as de un solo uso (OTP) que se nos advierte que debemos prepararnos para su ocaso. Desde un punto de vista t\u00e9cnico, la soluci\u00f3n es muy correcta, porque raramente un estafador no intenta obtener una contrase\u00f1a de un solo uso de un usuario confiado. Pero creo que los fabricantes de tales sistemas se aferrar\u00e1n a la tecnolog\u00eda moribunda hasta el \u00faltimo momento. <\/p><\/blockquote>\n

Utilice la autenticaci\u00f3n estricta como una herramienta de marketing para aumentar la confianza de los clientes. <\/b> La autenticaci\u00f3n estricta no solo puede mejorar la verdadera seguridad de su negocio. Informar a los clientes de que su empresa utiliza autenticaci\u00f3n estricta puede reforzar la percepci\u00f3n p\u00fablica de la seguridad de este negocio, un factor importante cuando hay una demanda significativa de m\u00e9todos de autenticaci\u00f3n confiables.<\/p>\n

Realice un inventario exhaustivo y eval\u00fae la importancia de los datos corporativos y prot\u00e9gelos de acuerdo a su importancia. <\/b> Incluso los datos de bajo riesgo, como la informaci\u00f3n de contacto de los clientes (no, de verdad, el informe dice \"low-risk\", es muy extra\u00f1o que subestimen la importancia de esta informaci\u00f3n<\/i>), pueden proporcionar un valor significativo a los estafadores y causar problemas a la empresa. <\/p>\n

Utilice autenticaci\u00f3n estricta en la empresa. <\/b> Varios sistemas son los objetivos m\u00e1s atractivos para los delincuentes. Estos incluyen sistemas internos y conectados a Internet, como un programa de contabilidad o un almacenamiento de datos corporativos. La autenticaci\u00f3n estricta evita que los delincuentes obtengan acceso no autorizado y tambi\u00e9n permite identificar con precisi\u00f3n qui\u00e9n de los empleados llev\u00f3 a cabo actividades maliciosas.<\/p>\n

\u00bfQu\u00e9 es la autenticaci\u00f3n estricta? <\/h2>\n

\nAl utilizar la autenticaci\u00f3n estricta, se emplean m\u00faltiples m\u00e9todos o factores para verificar la identidad del usuario:<\/p>\n