Los hackers no solo entran. A veces, todo lo que deben hacer es iniciar sesión. Lo cual es fácil, dado el estado actual de la seguridad de la contraseña.
El enfoque de gestión de identidades y accesos (Identity and Access Management, IAM) más común, nombre de usuario y contraseña, no ha estado haciendo un buen trabajo durante mucho tiempo. Los hackers lanzan una media de 50 millones de ataques de contraseña todos los días, o alrededor de 580 por segundo. Según Verizon, aproximadamente el 60 % de las filtraciones de datos se atribuyen a credenciales comprometidas.
El costo promedio de una filtración de datos se estima en 4.2 millones de USD, con credenciales comprometidas que reciben los máximos honores por el vector de ataque más común, lo que representa el 20 % de todas las filtraciones. Además, los restablecimientos de contraseña son una de las principales razones por las que los empleados llaman a los centros de asistencia de TI, y eso les cuesta a las empresas hasta 70 USD por cada llamada, estima Forrester. Las grandes organizaciones estadounidenses asignan más de 1 millón de dólares anuales para restablecer la contraseña.
Bill Gates predijo la desaparición de contraseñas hace 18 años. Sin embargo, de alguna manera, a pesar de los múltiples esfuerzos de la industria para encontrar mejores alternativas, los nombres de usuario y las contraseñas siguen vigentes en la mayoría de las organizaciones de
TI.
Pero eso finalmente podría estar cambiando ahora que los responsables comerciales están reconociendo los límites de la seguridad de la contraseña. Con la mejora de los instrumentos de autenticación y la confianza cero en que se convierte en el modelo de ciberseguridad dominante, más organizaciones están comenzando a implementar enfoques sin contraseña, como la autenticación multifactor (multifactor authentication, MFA), la biométrica y los instrumentos de inicio de sesión único (SSO).
Y con los ciberataques a empresas estadounidenses y la infraestructura crítica que se espera que se intensifiquen después de la invasión rusa a Ucrania, la Casa Blanca y la Agencia de Seguridad de Infraestructura y Ciberseguridad están instando enfáticamente a las organizaciones del sector público y privado a requerir métodos de autenticación que no dependan de contraseñas.
“El impulso hacia la seguridad sin contraseña es muy, muy real”, dice Frank Dickson, vicepresidente del programa de ciberseguridad y práctica de investigación de confianza de IDC. “Las organizaciones no van a cambiar las contraseñas de la noche a la mañana porque hacerlo es complejo. Pero muchos están en ese camino, incluidos algunos de los nombres más grandes de la tecnología”.
Una nueva prioridad estratégica en la protección con contraseña
La tendencia entre las grandes empresas de tecnología es hacia un futuro libre de contraseñas. Microsoft ha permitido a los usuarios comerciales iniciar sesión en sus cuentas sin contraseñas e incluso ha dicho a las personas que se deshagan de las contraseñas por completo. Google se movió de manera similar para eliminar gradualmente las contraseñas haciendo que la autenticación de dos factores utilizando un equipo sea la opción predeterminada para Google Accounts. Apple , con reconocimiento facial en
sus computadoras y teléfonos inteligentes, se comprometió a aprovechar las contraseñas en 2020, justo cuando la pandemia se estaba intensificando.
“Cuando lleguemos a nuestro ritmo con esto, realmente va a cambiar el juego”.Kurt John, director de ciberseguridad de Siemens USA
No son solo esas características tecnológicas las que marcan el camino. De hecho, el 85 % de los profesionales de TI y seguridad cibernética dicen que la adopción de seguridad sin contraseña está entre sus principales iniciativas estratégicas, según un informe del Grupo de Estrategia Empresarial (Enterprise Strategy Group, ESG).
Uno de esos líderes es Kurt John, director de ciberseguridad de Siemens USA, que supervisa la política de seguridad para 40,000 empleados estadounidenses. John dijo a Endpoint que su organización, como muchas, se ha sentido frustrada con el costo y la complejidad de administrar nombres de usuario y contraseñas. Exigir a los empleados y clientes que cambien regularmente las credenciales también conduce a una mala experiencia del usuario.
Siemens está evaluando la autenticación sin contraseña como parte de un programa de confianza cero para la tecnología de la información, la tecnología operativa y los productos. La confianza cero supone que cada persona y máquina es una amenaza potencial a menos que se demuestre lo contrario.
[Leer también: Es hora de deshacerse de la VPN sin confianza]
John prevé aplicar una combinación de tecnologías biométricas (como Windows Hello), análisis e inteligencia artificial para autenticar a los empleados antes de que se les otorgue acceso a la red.
“Todavía estamos lejos, pero cuando lleguemos a nuestra zancada con esto, realmente será un cambio de juego”, dice.
Inicio de sesión único y otros consejos de las zanjas
Tomarse el tiempo es un tema común para las organizaciones que pasan a la seguridad sin contraseñas.
La mayoría de los expertos advierten que no intente hacer demasiado pronto con
una estrategia sin contraseña. En cambio, sugieren comenzar con pequeños proyectos
piloto y pruebas para ver qué funciona con los sistemas heredados,
así como con los empleados, clientes y socios, cuya retroalimentación puede reformar los programas.
“El problema es que todos intentarán encerrarlo en su ecosistema”.Doug Cavit, CISO, Containn
“Quiere comprender cómo funciona la tecnología y la sensación de la experiencia del usuario final, tanto durante la inscripción como en el uso regular”, dice Schaufenbuel. “Luego, expanda lentamente la prueba piloto hasta que se sienta lo suficientemente cómodo como para abordar una implementación a gran escala”.
Resulta que hay formas prudentes de fortalecer el uso de contraseñas durante este período de transición. Dickson de IDC describe cómo abordar proyectos sin contraseña en etapas. Primero, sugiere darles a los usuarios una herramienta de gestión para controlar el “caos de la contraseña” en sus organizaciones. Eso puede parecer lo contrario a no tener contraseña. Pero cree que es necesario tener credenciales en un solo lugar para deshacerse de ellas.
Luego, dice Dickson, las organizaciones deben adoptar una herramienta de inicio de sesión único, que almacene contraseñas y elimine la necesidad de que los empleados las actualicen y rastreen continuamente. Un SSO es particularmente útil para acceder a aplicaciones de software como servicio (software-as-a-service, SaaS) comerciales y de consumo, agrega.
“Hemos pasado del caos a una bóveda de contraseña a un inicio de sesión único con autenticación de dos factores”, dice Dickson. “Y, de repente, nuestras experiencias están mejorando”.
[Leer también: Mejorar la experiencia digital del empleado]
El tercer paso implica auditar la identidad y las reglas de acceso. No todos los empleados, señala, requieren acceso a todos los rincones de las redes corporativas. Algunos requieren poco más que la capacidad de descargar Office 365 y algunas
herramientas financieras y de recursos humanos para hacer su trabajo. Por lo tanto, las organizaciones deben racionar sus activos de TI según la “necesidad de ver”.
Lo último es descargar contraseñas, dice Dickson. Finalmente, el sistema, empleado y dispositivo de TI de la organización operará, en su mayor parte, sin necesidad de introducir una contraseña.
Tenga cuidado con las respuestas fáciles a la protección con contraseña
Muchos proveedores ahora lanzan soluciones sin contraseña que presumiblemente ofrecen capacidades de MFA integral o de confianza cero para las organizaciones ansiosas por llegar todo antes que después. De hecho, algunas empresas emergentes prometedoras están atrayendo inversiones de capital de riesgo sorprendentes basadas en ese enfoque acelerado.
Pero John de Siemens advierte a las empresas que no deben aprovechar esas ofertas demasiado rápido. “No solo elija la primera solución sin contraseña que surja”, dice. “Desea realizar su diligencia debida y estudiar todas sus opciones disponibles”. Él recomienda pensar en su estrategia a mediano y largo plazo: “Algunas de esas soluciones le darán ganancias a corto plazo, pero tendrán rendimientos menores para sus metas”, dice.
Doug Cavit, CISO de Containn, una empresa de software que ayuda a las organizaciones a construir e implementar infraestructura multinube segura, también advierte sobre la compra apresurada en el ecosistema de cualquier proveedor individual. Sí, el argumento sigue siendo válido de que las piezas de un rompecabezas se ajusten mejor si salen de la misma caja. Pero si su sistema heredado de back-end no se adapta a su infraestructura, es posible que una plataforma sin contraseña no funcione muy bien.
“El problema es que todos intentarán encerrarlo en su ecosistema”, dice Cavit. “Pero si soy menos homogéneo, lo cual es cierto en muchas empresas, volvería a pensar en ir en esa dirección”.
Métodos de autenticación sin contraseña: ¿Los teléfonos inteligentes son claves de roaming?
Muchas organizaciones creen que el futuro de la protección sin contraseña, más allá del inicio de sesión único, las auditorías de acceso y otros ajustes, reside en el uso de teléfonos inteligentes como autenticadores itinerantes. FIDO Alliance, una asociación industrial enfocada en la autenticación segura, ha estado trabajando en dichas tecnologías durante los últimos 10 años. Sus últimos estándares sin contraseña FIDO2 y WebAuthn integrarían capacidades criptográficas para un inicio de sesión seguro en sitios web, redes corporativas y dispositivos.
“Están apareciendo nuevas tecnologías y enfoques sin contraseña que son simplemente mejores”.Richard Stiennon, analista principal de investigación, recolección de TI
Los usuarios iniciarían sesión en sus propios dispositivos utilizando datos biométricos como el reconocimiento facial o de huellas dactilares. Mientras tanto, Bluetooth confirmaría la proximidad física del usuario. Si el propietario de un teléfono inteligente vive en Austin, Texas, pero parece que un inicio de sesión proviene de Biloxi, Miss., el dispositivo podría notar la discrepancia y bloquear el acceso al sitio. En teoría, esto minimizaría las amenazas de phishing, ya que a menudo dependen del robo de contraseñas, un hackeo que se eliminaría.
Por supuesto, el enfoque FIDO tiene sus dudadores. Algunos expertos en seguridad se quejan de que FIDO2 obligaría a los usuarios a transportar dispositivos todo el tiempo para iniciar sesión en las redes. Otros, como Richard Stiennon, analista principal de investigación de recolección de TI, observan que si cientos de certificados digitales se almacenan en un dispositivo y un usuario lo pierde, y se informa que se pierden 70 millones de teléfonos inteligentes cada año, eso hace que las cosas sean complicadas.
[Leer también: Cada empleado ahora debe ser parte del equipo de ciberseguridad]
“Si es algo que utiliza en el trabajo, ¿qué hace?” Stiennon pregunta. “¿Lo informa a todos? ¿Para su empleador? Tal vez eso no sea un problema. Pero, ¿qué sucede si usted es la empresa telefónica? ¿Luego tiene que decirle a un banco cuándo se pierde el teléfono con su IP en él?”
Es poco probable que la seguridad sin contraseña se convierta en el enfoque de autenticación dominante de la noche a la mañana, dicen los expertos. Pero sí creen que después de décadas de hablar, las organizaciones finalmente están caminando.
“Estoy listo para decir que las contraseñas desaparecen”, declara Stiennon. “No estoy diciendo eso porque son absolutamente malos. Han cumplido un propósito. Estoy diciendo que porque surgen nuevas tecnologías y enfoques sin contraseña que son simplemente mejores. Y con el tiempo, ya no necesitará contraseñas para iniciar sesión”.
