La mayoría de todos están familiarizados con Elon Musk y SpaceX. Elon utilizó los primeros principios de diseño para reimaginar la industria de cohetes espaciales. La ruptura de los componentes básicos de un cohete y el diseño de una versión reutilizable práctica resultó en una manera revolucionaria de transportar a los seres humanos y los suministros al espacio.
Cuando miro el proceso de autenticación multifactor más utilizado (MFA), que es la contraseña más SMS OTP, puedo utilizar un enfoque de principios para diagramar algo que es más fácil para el usuario final y mucho más seguro. Ahora antes de empezar a derribar lo que se ha convertido en algo de un proceso institucional, vamos a ver cómo la contraseña más SMS OTP se inició y por qué funcionó.
La autenticación comenzó con el nombre de usuario y la contraseña, y este es el primer tipo de autenticación – algo que un usuario sabe. Cuando las aplicaciones que requieren un usuario para autenticarse se trasladó a Internet, los malos actores rápidamente se les ocurrió métodos para adquirir estas contraseñas. Hackear redes corporativas y robar contraseñas de la base de datos central utilizando técnicas sofisticadas fue un método. Otra era utilizar virus de software cuyo único trabajo era instalar un registrador de pulsaciones de teclas, que se replicaría en Internet y encontrar su camino a la computadora personal de una persona. Eventualmente, en lugar de tratar de encontrar a alguien capacitado para escribir estos sofisticados programas de software, una manera más fácil de obtener la contraseña era simplemente pedirle al usuario. Al crear sitios web y programas falsos que el usuario pensaba que eran legítimos, los malos actores podían obtener las contraseñas más rápido.
Por lo tanto, el método de contraseña necesitaba algo más. En el mundo corporativo, las empresas compraron dispositivos de hardware que generaban una única vez un código de acceso numérico visible (OTP), generalmente dígitos 6-8. La OTP sólo era válida para esa sesión por un tiempo limitado – generalmente menos de 3 minutos y el usuario entraría rápidamente en la OTP justo después de la contraseña. Debido a que el usuario tenía que estar en posesión del dispositivo de hardware especial que generó OTP válidos, esto fue etiquetado como un segundo tipo de autenticación - algo que un usuario tiene. La desventaja de este método era que era costoso implementar y costo prohibitivo para cualquier persona que no fuera de alto nivel de acceso corporativo o usuarios de bienes y servicios de alto valor como la banca y las inversiones.
Cuando los teléfonos móviles se generalizaron, enviar SMS ofreció una alternativa a los dispositivos OTP dedicados. Ambos enfoques pueden representar la posesión de un autenticador; escribir el código mostrado no los reclasifica como conocimiento. Los riesgos difieren: el SMS añade exposición a la red telefónica y al cambio fraudulento de SIM, mientras que un OTP introducido manualmente puede reenviarse mediante phishing en ambos casos.
Una contraseña junto con un OTP basado en posesión puede ser MFA y mejorar la protección frente a una contraseña sola. El ejemplo del inicio de sesión falso sigue siendo relevante: un atacante puede solicitar y reenviar ambos valores. MFA eficaz requiere factores distintos, no necesariamente los tres tipos; la resistencia al phishing depende del vínculo con el servicio previsto.
En este rediseño desde primeros principios, conservemos el diálogo web o de la aplicación y el dispositivo móvil, pero eliminemos la necesidad de copiar un SMS. La pregunta es cómo una app registrada puede conectar el servicio esperado, la posesión del dispositivo y la aprobación de la persona mediante factores distintos y una solicitud comprensible.
El nombre de usuario indica qué cuenta se solicita; no aporta un factor de conocimiento. Una app registrada en el teléfono puede demostrar la posesión de su autenticador, y la biometría local puede activarlo como segundo factor. Instalar desde una tienda o disponer de hardware seguro no demuestra por sí solo el registro, la protección de claves o la intención de aprobar esa solicitud.
PasswordFree® aplica este rediseño mediante la aprobación desde un dispositivo registrado, en lugar de contraseña y SMS copiado. Full Duplex Authentication® incorpora la relación establecida con el servicio. Quienes ya consultan el teléfono pueden pasar a aprobar una solicitud contextual, con registro y recuperación planificados; el nombre de usuario no cuenta como tercer factor.