Directrices NIST actualizadas para la autenticación
NIST lanzó una versión completamente actualizada de la publicación 800-63-B en junio 2017. Esto definía los diferentes niveles de autenticación en términos de fuerza. Una revisión en marzo 2020 agregó una mejor explicación para la “resistencia a la suplantación de verificadores”. Esta es una defensa clave contra todas las formas de ingeniería social, MitM, Browser-n-Browser, suplantación del sitio web, y ataques de Phishing.
¿Qué tan fuerte es tu autenticación?
NIST define tres niveles de garantía de autenticación. AAL1 admite un factor y recomienda ofrecer MFA; la aplicación elige el nivel mediante una evaluación de riesgos. Una contraseña y un autenticador de posesión admitido pueden representar dos factores distintos. Escribir un OTP no lo convierte en un factor de conocimiento, aunque un atacante pueda reenviarlo desde una página falsa. Publicación NIST 800-63-B
AAL2 exige dos factores distintos y al menos un autenticador resistente a la repetición. SP 800-63B-4 también exige que las aplicaciones AAL2 ofrezcan una opción resistente al phishing. No se permite el correo para autenticación fuera de banda; el SMS por la red telefónica pública está restringido y requiere controles adicionales. Por tanto, el SMS no es simplemente otra contraseña ni equivale a autenticación resistente al phishing.
AAL3 exige dos factores distintos y autenticación criptográfica de clave pública resistente al phishing, con una clave de autenticación no exportable. Reconocer un sitio falso es útil, pero la concientización no aporta por sí sola esas protecciones del protocolo. La resistencia a la suplantación del verificador debe demostrarse en el autenticador y su implementación, sin depender de que la persona detecte cada engaño.
La autenticación debe ser sencilla y segura
No hay debate sobre por qué la autenticación debe ser simple. La autenticación es la fuente número uno de fricción para los usuarios nuevos y devueltos a una aplicación web. Ahora estamos viendo el sitio web y las técnicas de registro de aplicaciones que eliminan contraseñas simplemente haciendo clic en un icono social. No se solicita a los usuarios que devuelven un inicio de sesión, lo que hace que sea muy conveniente para el usuario autenticante.
Esto se hace generalmente a través de un protocolo común llamado OAuth, que dispensa un token digital que esencialmente permite la autorización de ciertas acciones sin requerir autenticación completa. Desafortunadamente, los usuarios todavía son autenticados con al menos un nombre de usuario y contraseña tradicionales antes de que el token pueda ser concedido. Estos diálogos de acceso de servicios sociales son fácilmente suplantados. Por lo tanto, los usuarios todavía pueden ser engañados fácilmente en la autorización de un token para el actor malo también.
Las passkeys que usan WebAuthn vinculan las credenciales con la parte que confía y el origen validado, dificultando su uso en un sitio de phishing ajeno. No acreditan la confiabilidad del negocio ni autorizan todas las acciones posteriores. AAL3 no es obligatorio para todo sitio: el nivel depende del riesgo y cada implementación de passkeys debe evaluarse según sus requisitos.
Esto no significa que un usuario necesite realizar pasos adicionales para garantizar niveles más altos de seguridad. De hecho, cuantas más acciones realice un ser humano que podamos reemplazar con tecnología durante el proceso de autenticación, más segura será la autenticación. Esto es porque, como dice el refrán, «somos sólo humanos».
Full Duplex Authentication®
Full Duplex Authentication® de Identité introduce la autenticación del servicio antes de la aprobación desde la app registrada. Ese objetivo de diseño es relevante para resistir la suplantación del verificador, pero una patente o descripción comercial no constituye una evaluación AAL3. La implementación debe demostrar por separado la protección de claves, los factores distintos, las propiedades criptográficas y los controles del ciclo de vida requeridos.
Resumen
En Identite®, hemos integrado Full Duplex Authentication® y otros factores como la biometría y los tokens de hardware en nuestras soluciones tanto para la fuerza laboral como para los clientes en línea. Ofrecemos tanto nuestras soluciones PasswordFree Authentication® a través de una plataforma como servicio (en funcionamiento) como a través de Software como servicio para clientes en línea.
Para obtener más información sobre cómo Full Duplex Authentication® puede mejorar en gran medida la experiencia de usuario para los clientes en línea durante la autenticación y ofrecer el más alto nivel de protección para los usuarios contra el phishing, por favor, visite www.passwordfree.us. Encontrará más información sobre nuestras ofertas de PaaS en www.identite.us. Para más detalles sobre la actualización NIST https://pages.nist.gov/800-63-3/
Publicación del blog por Joe Skocich @Identite.us
