¿Por qué necesitamos eliminar las contraseñas mundiales?

Según Gulf News, «se estima que humanos y máquinas utilizan 300 000 millones de contraseñas en todo el mundo. Esto equivale a casi 40 veces más que la cantidad de personas que viven en la Tierra».

Las contraseñas son la técnica de autenticación más común utilizada en todo el mundo.

¿Por qué las contraseñas son malas para tu seguridad?

El uso de contraseñas fáciles también es una razón que compromete la seguridad. Con un número limitado de palabras en el diccionario y unos pocos dígitos y caracteres especiales, existen algunas contraseñas fáciles de adivinar. Además, si tu contraseña ha aparecido en alguna filtración de contraseñas, es más probable que un hacker la descubra fácilmente. Muchas personas tampoco suelen rotar sus contraseñas regularmente.

Según un informe de LastPass , el 53 % de las personas encuestadas no ha cambiado sus contraseñas en el último año, incluso después de enterarse de una filtración de datos en las noticias. Además, el 42 % afirma que tener una contraseña fácil de recordar es más importante que tener una contraseña más segura.

La gente suele elegir contraseñas fáciles para evitar tener que recordarlas. SplashData realizó un análisis en el que estudió más de 5 millones de contraseñas filtradas y concluyó que el 10 % de ellas seguían utilizando las 25 contraseñas más comunes y peores.

Las personas también tienden a usar la misma contraseña para varias cuentas y sitios web, lo cual es muy inseguro y no se recomienda. Además, crear nuevas contraseñas para cada cuenta nueva en una amplia gama de sitios web también es una tarea tediosa. Por lo tanto, se usan las mismas contraseñas. Esta situación se conoce como fatiga de contraseñas. Wikipedia la explica como "la sensación que experimentan muchas personas que deben recordar una cantidad excesiva de contraseñas en su rutina diaria, como para iniciar sesión en el ordenador del trabajo, abrir el candado de la bicicleta o realizar operaciones bancarias desde un cajero automático".

¿Qué hacen las organizaciones para combatir esto?

Para combatir este problema con las contraseñas, muchas organizaciones aplican políticas de contraseñas estrictas. Utilizan una longitud mínima de contraseña, caracteres especiales y mayúsculas y minúsculas combinadas con números. Todo esto ayuda a crear una contraseña segura y fácil de usar para los usuarios finales.

Recientemente, muchas organizaciones han adoptado la autenticación multifactor (MFA), un mecanismo que permite autenticar a un usuario mediante múltiples pasos de verificación. Normalmente, el primer paso es una contraseña. El segundo paso incluye varias opciones, como un código de autenticación de aplicaciones de autenticación populares (Google Authenticator, Microsoft Authenticator, etc.) o, en general, un OTP (contraseña de un solo uso) enviado al número de teléfono móvil o la dirección de correo electrónico registrados.

Cómo hacer que la autenticación sea sin contraseña

La autenticación se puede lograr independientemente de una contraseña predeterminada de las siguientes seis maneras

1. Autenticación biométrica

   • La autenticación biométrica se basa en características biológicas únicas de los seres humanos, que se utilizan para autenticar la identidad del usuario. Rasgos físicos como el escaneo profundo del rostro, la huella dactilar, el escaneo de retina, etc., se utilizan como parámetros de autenticación.

2. Tokens de seguridad de hardware dedicados

   • Es un pequeño dispositivo de hardware que almacena información adicional necesaria para la autenticación durante el inicio de sesión de un usuario o la autenticación de un servicio. Esta información adicional almacenada suele ser un código numérico que rota cada 30 segundos. Los tokens de hardware utilizan específicamente contraseñas de un solo uso (OTP), autenticación multifactor (MFA) o autenticación de dos factores (2FA).
   • Un token de seguridad dedicado, cuando se combina con las siguientes propiedades, hace que el sistema del usuario esté más protegido contra ataques y violaciones:

     • Posesión

       El usuario debe tener a mano algo como un teléfono o una tarjeta llave para acceder al sistema.

     • Conocimiento

       La primera etapa de la autenticación es la contraseña que debe estar en conocimiento del usuario.

     • Herencia

       La adición de datos biométricos (como huellas dactilares o escaneo facial) lo hace más seguro.

3. Autenticación basada en certificados

   Los certificados digitales constituyen otro método de autenticación. Un ejemplo de su uso es la autenticación de un sistema en una red organizacional. El certificado de instalación se verifica con la CA ( Autoridad de Certificación ). La cadena de confianza del certificado desempeña un papel fundamental en la verificación de los mismos.

4. Tarjetas PIV (Verificación de Identidad Personal)

   Una tarjeta PIV es una tarjeta inteligente emitida por el gobierno de los Estados Unidos que contiene la información necesaria para acceder a instalaciones y sistemas de información federales y garantizar niveles de seguridad aceptables para todas las aplicaciones nacionales.

5. Contraseña de un solo uso (OTP)

   Un OTP es una cadena alfanumérica, concretamente un código de acceso que se genera automáticamente para una única transacción o sesión. Una de sus principales ventajas es que caduca tras un periodo determinado, lo que impide que los atacantes lo reutilicen con fines maliciosos.

6. Enlaces mágicos por correo electrónico

   Son enlaces especiales que se envían al correo electrónico del usuario al hacer clic y que permiten la autenticación. Los siguientes pasos se llevan a cabo en todo el sistema:

   • El sitio web solicita la dirección de correo electrónico del usuario.
   • El usuario introduce la dirección de correo electrónico
   • El sitio web genera un token y posteriormente también genera el enlace mágico.
   • La aplicación envía el enlace mágico a la dirección de correo electrónico del usuario.
   • Cuando el usuario hace clic en el enlace mágico, la aplicación recibe la consulta en el punto final del enlace mágico y el usuario se autentica.

7. Aplicaciones de autenticación

   Estas aplicaciones de terceros crean una contraseña de un solo uso que se actualiza cada 30 segundos. Las aplicaciones de autenticación están vinculadas a la cuenta para la que configuramos la autenticación multifactor (MFA).

Conclusión

Cada día que pasa, el conocimiento y la cantidad de hackers, así como la probabilidad de que una contraseña simple sea adivinada, aumentan. Por lo tanto, las personas y las organizaciones necesitan adoptar un método de autenticación más seguro, como la 2FA o los tokens de hardware. Sin embargo, este proceso llevará tiempo. Por lo tanto, la necesidad de concienciar sobre la eliminación de contraseñas es máxima.