Los piratas informáticos no se limitan a irrumpir en los sistemas. A veces, lo único que tienen que hacer es iniciar sesión. Lo cual resulta sencillo, teniendo en cuenta el estado actual de la seguridad de las contraseñas.
El método más habitual de gestión de identidades y accesos (IAM) —el nombre de usuario y la contraseña— lleva mucho tiempo sin cumplir adecuadamente su función. Los piratas informáticos lanzan una media de 50 millones de ataques contra contraseñas cada día, lo que supone unos 580 por segundo. Según Verizon, aproximadamente el 60 % de las filtraciones de datos se atribuyen a credenciales comprometidas.
Se estima que el coste medio de una filtración de datos asciende a 4.2 millones de dólares, y las credenciales comprometidas ocupan el primer puesto como vector de ataque más habitual, representando el 20 % de todas las filtraciones. Es más, el restablecimiento de contraseñas es uno de los principales motivos por los que los empleados llaman al servicio de asistencia informática, lo que supone un coste para las empresas de hasta 70 dólares por cada llamada, según estima Forrester. Las grandes organizaciones estadounidenses destinan más de un millón de dólares al año a la gestión de los restablecimientos de contraseñas.
Como es bien sabido, Bill Gates predijo la desaparición de las contraseñas hace 18 años. Sin embargo, de alguna manera, a pesar de los múltiples esfuerzos del sector por encontrar alternativas mejores, los nombres de usuario y las contraseñas siguen utilizándose en la mayoría
de las organizaciones de TI.
Sin embargo, es posible que esto esté cambiando por fin, ahora que los líderes empresariales están reconociendo los límites de la seguridad basada en contraseñas. A medida que mejoran las herramientas de autenticación y el modelo «zero trust» se consolida como el modelo dominante en materia de ciberseguridad, cada vez son más las organizaciones que comienzan a implementar enfoques sin contraseña, como la autenticación multifactorial (MFA), la biometría y las herramientas de inicio de sesión único (SSO).
Y dado que se prevé que los ciberataques contra empresas e infraestructuras críticas de EE. UU. se intensifiquen tras la invasión de Ucrania por parte de Rusia, la Casa Blanca y la Agencia de Ciberseguridad y Seguridad de las Infraestructuras instan encarecidamente a las organizaciones de los sectores público y privado a que exijan métodos de autenticación que no dependan de contraseñas.
«El impulso hacia una seguridad sin contraseñas es muy, muy real», afirma Frank Dickson, vicepresidente de programas del departamento de investigación sobre ciberseguridad y confianza de IDC. «Las organizaciones no van a prescindir de las contraseñas de la noche a la mañana, ya que hacerlo resulta complejo». «Pero son muchos los que han emprendido ese camino, entre ellos algunas de las figuras más destacadas del sector tecnológico».
Una nueva prioridad estratégica en materia de seguridad de las contraseñas
La tendencia entre las grandes empresas tecnológicas apunta hacia un futuro sin contraseñas. Microsoft ha permitido a los usuarios comerciales acceder a sus cuentas sin contraseñas e incluso ha recomendado a los usuarios que prescundan por completo de ellas. Del mismo modo, Google ha dado un paso para eliminar progresivamente las contraseñas al establecer como opción predeterminada la autenticación de dos factores mediante el teléfono para las cuentas de Google. Y Apple, que incorpora el reconocimiento facial en
sus ordenadores y teléfonos inteligentes, se comprometió a eliminar las contraseñas en 2020, justo cuando la pandemia empezaba a recrudecerse.
«Cuando consigamos poner esto en marcha, va a suponer un auténtico punto de inflexión».Kurt John, director de ciberseguridad de Siemens EE. UU.
No son solo esos gigantes tecnológicos los que marcan el camino. De hecho, el 85 % de los profesionales de las tecnologías de la información y la ciberseguridad afirman que la adopción de medidas de seguridad sin contraseñas figura entre sus principales iniciativas estratégicas, según un informe de Enterprise Strategy Group (ESG).
Uno de esos responsables es Kurt John, director de ciberseguridad de Siemens EE. UU., quien supervisa la política de seguridad de 40,000 empleados en Estados Unidos. John explicó a Endpoint que su organización, al igual que muchas otras, se ha visto frustrada por el coste y la complejidad que supone gestionar los nombres de usuario y las contraseñas. Exigir a los empleados y a los clientes que cambien periódicamente sus credenciales también da lugar a una experiencia de usuario deficiente.
Siemens está evaluando la autenticación sin contraseña como parte de un programa de «confianza cero» para las tecnologías de la información, las tecnologías operativas y los productos. El modelo «zero trust» parte de la base de que toda persona y todo dispositivo constituyen una amenaza potencial, salvo que se demuestre lo contrario.
[Lea también: Es hora de dejar de lado la VPN y adoptar el modelo «zero trust»]
John prevé aplicar una combinación de tecnologías biométricas (como Windows Hello), análisis de datos e inteligencia artificial para autenticar a los empleados antes de que se les conceda acceso a la red.
«Aún nos queda un buen trecho por recorrer, pero cuando consigamos poner esto en marcha, supondrá un auténtico punto de inflexión», afirma.
El inicio de sesión único y otros consejos desde la práctica
Tomarse su tiempo es una cuestión habitual entre las organizaciones que están barajando la posibilidad de adoptar un sistema de seguridad sin contraseñas.
La mayoría de los expertos advierten de que no se debe intentar hacer demasiado y demasiado pronto con
una estrategia sin contraseñas. Más bien, sugieren comenzar con pequeños
proyectos piloto y realizar pruebas para comprobar qué funciona con los sistemas heredados,
así como con los empleados, los clientes y los socios, cuyos comentarios pueden dar un nuevo rumbo a los programas.
«El problema es que todo el mundo intentará que se quede en su ecosistema».Doug Cavit, director de seguridad de la información (CISO) de Containn
«Es importante comprender cómo funciona la tecnología y hacerse una idea de la experiencia del usuario final, tanto durante el proceso de registro como en el uso habitual», afirma Schaufenbuel. «A continuación, amplíe gradualmente el proyecto piloto hasta que se sienta lo suficientemente seguro como para llevar a cabo una implantación a gran escala».
Resulta que existen medidas prudentes para reforzar el uso de contraseñas durante este período de transición. El Sr. Dickson, de IDC, describe cómo abordar los proyectos sin contraseñas por fases. En primer lugar, sugiere proporcionar a los usuarios una herramienta de gestión para controlar el «caos de las contraseñas» en sus organizaciones. Eso podría parecer lo contrario a prescindir de las contraseñas. Sin embargo, considera que es necesario reunir todas las credenciales en un solo lugar para poder deshacerse de ellas.
A continuación, según Dickson, las organizaciones deberían adoptar una herramienta de inicio de sesión único, que almacene las contraseñas y elimine la necesidad de que los empleados tengan que actualizarlas y llevar un control de ellas continuamente. Añade que un SSO resulta especialmente útil para acceder a aplicaciones de software como servicio (SaaS) tanto para empresas como para particulares.
«Hemos pasado del caos a un gestor de contraseñas y, posteriormente, a un sistema de inicio de sesión único con autenticación de dos factores», afirma Dickson. «Y, de repente, nuestras experiencias están mejorando».
[Véase también: Cómo mejorar la experiencia digital de los empleados]
El tercer paso consiste en auditar las normas de identidad y acceso. Señala que no todos los empleados necesitan tener acceso a todos y cada uno de los rincones de las redes corporativas. Algunos solo necesitan saber descargar Office 365 y disponer de unas cuantas herramientas de finanzas y recursos
humanos para desempeñar su trabajo. Por lo tanto, las organizaciones deben racionar sus recursos informáticos según el principio de «acceso solo para quienes lo necesiten».
«Lo último es el volcado de contraseñas», afirma Dickson. Con el tiempo, los sistemas informáticos, los empleados y los dispositivos de la organización funcionarán, en su mayor parte, sin necesidad de introducir nunca una contraseña.
Tenga cuidado con las soluciones fáciles en materia de seguridad de las contraseñas
En la actualidad, muchos proveedores promocionan soluciones sin contraseña que, en teoría, ofrecen autenticación multifactorial (MFA) integral o capacidades de «confianza cero» para aquellas organizaciones deseosas de dar el paso de una vez por todas cuanto antes. De hecho, algunas empresas emergentes prometedoras están atrayendo inversiones de capital riesgo espectaculares gracias a ese enfoque acelerado.
Sin embargo, John, de Siemens, advierte a las empresas de que no se precipiten a la hora de aceptar este tipo de ofertas. «No se limite a elegir la primera solución sin contraseña que se le presente», afirma. «Debe actuar con la debida diligencia y analizar todas las opciones de las que dispone». Recomienda reflexionar detenidamente sobre su estrategia a medio y largo plazo: «Algunas de esas soluciones le reportarán beneficios a corto plazo, pero tendrán una rentabilidad decreciente en lo que respecta a sus objetivos», afirma.
Doug Cavit, director de seguridad de la información (CISO) de Containn, una empresa de software que ayuda a las organizaciones a crear e implementar infraestructuras multicloud seguras, también advierte contra la adopción precipitada del ecosistema de un único proveedor. Sí, sigue siendo válido el argumento de que las piezas de un rompecabezas encajan mejor si proceden de la misma caja. Sin embargo, si sus sistemas heredados de back-end no se adaptan a su infraestructura, es posible que una plataforma sin contraseñas no funcione demasiado bien.
«El problema es que todo el mundo intentará que se quede en su ecosistema», afirma Cavit. «Pero si mi empresa es menos homogénea —lo cual es el caso de muchas empresas—, me lo pensaría dos veces antes de seguir por ese camino».
Métodos de autenticación sin contraseña: ¿los teléfonos inteligentes como claves de itinerancia?
Muchas organizaciones consideran que el futuro de la seguridad sin contraseñas —más allá del inicio de sesión único, las auditorías de acceso y otras medidas— reside en el uso de los teléfonos inteligentes como autenticadores móviles. La Alianza FIDO, una asociación del sector dedicada a la autenticación segura, lleva trabajando en esta tecnología desde hace 10 años. Sus últimos estándares « FIDO2 » y «WebAuthn», que permiten el inicio de sesión sin contraseña, integrarían capacidades criptográficas para garantizar un inicio de sesión seguro en sitios web, redes corporativas y dispositivos.
«Están surgiendonuevas tecnologías y enfoques sin contraseña que son, sencillamente, mejores».Richard Stiennon, analista jefe de investigación de IT-Harvest
Los usuarios iniciarían sesión en sus propios dispositivos mediante datos biométricos, como el reconocimiento facial o dactilar. Por su parte, el Bluetooth confirmaría la proximidad física del usuario. Si el propietario de un smartphone reside en Austin (Texas), pero parece que el inicio de sesión se realiza desde Biloxi (Misisipi), el dispositivo podría detectar la discrepancia y bloquear el acceso al sitio web. En teoría, esto reduciría al mínimo las amenazas de phishing, ya que estas suelen basarse en el robo de contraseñas, una técnica de piratería que quedaría eliminada.
Por supuesto, el enfoque de FIDO tiene sus detractores. Algunos expertos en seguridad critican que el estándar FIDO2 obligaría a los usuarios a llevar consigo dispositivos en todo momento para conectarse a las redes. Otros, como Richard Stiennon, analista jefe de investigación de IT-Harvest, señalan que, si en un dispositivo se almacenan cientos de certificados digitales y el usuario lo pierde —y, según se informa, cada año se pierden 70 millones de teléfonos inteligentes—, la situación se complica.
«Si es algo que utiliza en el trabajo, ¿qué hace entonces?» pregunta Stiennon. «¿Se lo comunica a todo el mundo? ¿A su empresa? Quizá eso no sea un problema. Pero, ¿y si fuera usted la compañía telefónica? «¿Es necesario, entonces, informar al banco en caso de pérdida del teléfono si este contiene su dirección IP?»
Según los expertos, es poco probable que la seguridad sin contraseña se convierta en el método de autenticación predominante de la noche a la mañana. Sin embargo, sí consideran que, tras décadas de limitarse a hablar de ello, las organizaciones están pasando por fin a la acción.
«Estoy dispuesto a afirmar que las contraseñas están a punto de desaparecer», declara Stiennon. «No lo digo porque sean totalmente malos. Han cumplido su función. Lo digo porque están surgiendo nuevas tecnologías y enfoques sin contraseña que son, sencillamente, mejores. «Y, con el tiempo, ya no necesitará contraseñas para iniciar sesión».
