Jason: En esta lección, vamos a hablar
de la autenticación multifactor, también conocida como MFA.
Cuando utilices un dispositivo móvil,
tendrás que autenticarte en él para
poder desbloquearlo y empezar a utilizarlo.
Si pensamos en un smartphone, al deslizar el dedo hacia
arriba, lo primero que hacemos es usar la cara, el dedo,
un PIN o una contraseña para desbloquear el dispositivo
y empezar a usarlo.
Cuando haces esto, lo que estás usando para desbloquear
el dispositivo se conoce como factor de autenticación.
Ahora, en el mundo de la ciberseguridad,
tenemos cinco factores de autenticación diferentes
que puedes utilizar.
Se conocen como factor de conocimiento,
factor de posesión, factor de inherencia, factor
de comportamiento y factor de ubicación.
Ahora, cuando nos fijamos en un factor de
conocimiento, esta es la forma más simple de autenticación,
y nos referimos a esto como algo que sabes.
Si estás pensando en algo como tu nombre de
usuario, un PIN, una contraseña, todos ellos son factores de conocimiento
porque estás dando una respuesta a un reto
como "¿Cuál es tu contraseña? y poder autenticar que eres
la persona cuyo nombre de usuario está
asociado a esa contraseña porque
la conoces.
Ahora, el mayor problema con los factores de
conocimiento es que son lo más fácil de romper
porque son sólo palabras o números introducidos
por un teclado o por el usuario final.
Así que si estás protegiendo tu smartphone
con un número PIN de cuatro dígitos, yo
puedo sentarme ahí e intentar adivinarlo, y sólo
hay 10.000 combinaciones posibles con un número de cuatro
dígitos.
Así que eventualmente, puedo adivinar el número,
y puedo entrar en tu dispositivo.
Esa es la debilidad con un factor de conocimiento.
El segundo factor que tenemos es lo que
se conoce como factor de posesión.
Esto es algo que tienes.
Ahora bien, si trabajas en un entorno de gran empresa,
es posible que te hayan dado lo que se llama un llavero RSA.
Y esto es un pequeño dispositivo con una pequeña pantalla
LCD que tiene seis números en él, que cada 30 a 60 segundos, esos
números están cambiando.
Ahora, si intentas iniciar sesión en un dispositivo
que está sincronizado con esto, vas a introducir esos seis dígitos.
Y esos seis dígitos cambian cada 30 o 60 segundos.
Así que sabiendo los dígitos correctos,
eso prueba que tienes la posesión de ese llavero, y por
eso lo llamamos factor de posesión.
Otros métodos son las fichas
físicas.
Por ejemplo, en el gobierno de Estados Unidos,
cuando intentan iniciar sesión en sus ordenadores,
utilizan su tarjeta de identificación que lleva
incrustado un pequeño microchip.
Cuando introducen esa tarjeta en su ordenador,
eso demuestra que están en posesión de su documento de
identidad y que son quienes dicen ser.
Ahora, el tercer factor que tenemos es lo que
se conoce como factor de inherencia.
Ahora, un factor de inherencia es algo que tú eres.
Me gusta pensar en esto como piezas de tu cuerpo.
Así que cuando se piensa en un factor de
inherencia o algo así, en realidad estamos hablando de biometría.
Así, si su dispositivo móvil utiliza una huella dactilar para desbloquearlo,
eso sería un factor de inherencia.
Del mismo modo, si utilizas algo como Face ID, que examina
la estructura de tu cara y te permite desbloquear
el teléfono con ella, también se trata de un
factor biométrico.
Así que llamaríamos a esto un factor
de inherencia, o algo así.
El cuarto factor es lo que llamamos un factor de comportamiento,
y me gusta referirme a esto como algo que haces.
Ahora, cuando usted está buscando en un factor de comportamiento,
esto va a estar basado en la forma de hacer ciertas cosas.
Ahora bien, no son muy comunes en los dispositivos móviles,
pero se utilizan en otros ámbitos.
Por ejemplo, en un centro en el que trabajé tenían
un sistema de cámaras que te detectaba
cuando entrabas en el edificio.
Y la razón por la que lo hicieron
es que estaban midiendo la forma de andar de los empleados
cuando se acercaban a la puerta.
Y lo utilizaban como uno de los factores
para autentificar que la persona era quien decía ser porque
este comportamiento era único para cada persona.
Otra área en la que vemos que se utiliza el comportamiento
es con un sistema de reconocimiento de voz.
Ahora bien, puedes pensar que el reconocimiento
de voz sería un factor de inherencia, y podría serlo, dependiendo
de cómo esté configurado el sistema de autenticación.
Pero, en realidad, la mayoría de los sistemas de reconocimiento
de voz no se fijan en lo que has dicho,
sino en cómo lo has dicho.
Esto se debe a que cada persona dice las cosas de manera diferente.
Y hay tonos únicos en nuestra voz y en nuestra
forma de decir ciertas palabras.
Y esto también puede ser un factor de comportamiento.
El quinto factor de autenticación
es lo que se conoce como factor de ubicación,
y a mí me gusta llamarlo el lugar donde estás.
Tu dispositivo tiene un receptor GPS en su interior, por lo que
sabe en todo momento dónde se encuentra sobre
la faz de la Tierra.
Así que podemos utilizar esa ubicación como
parte de tu proceso de autenticación y decir que sólo
puedes iniciar sesión en ese teléfono y utilizarlo
cuando estás dentro de ciertas áreas.
Puede ser un país, un estado, una ciudad
o incluso una manzana alrededor de
su edificio.
Esto va a depender de su caso de uso, pero
he estado en organizaciones donde hemos
tenido dispositivos móviles que sólo podían operar y ser
utilizados dentro de una cuadra de nuestra sede corporativa.
Y si ibas más allá, esos dispositivos
se apagaban y te bloqueaban hasta que volvías
al perímetro.
Y esto se conoce como factor de localización.
Ahora bien, si utilizamos cualquiera de estos cinco
factores, el factor conocimiento, el factor posesión, el factor inherencia,
el factor comportamiento o el factor ubicación, lo
llamamos autenticación de factor único.
Así que si cojo mi dispositivo móvil, lo deslizo hacia arriba
e introduzco un PIN de cuatro dígitos,
eso es un único factor de conocimiento que se presenta.
Pero si combino dos o más de estos factores, obtengo
lo que se conoce como autenticación multifactor.
Si utilizas dos factores,
a veces lo llamamos autenticación de dos factores o 2FA.
Si tienes una mezcla de dos, tres, cuatro o cinco de estos
factores, esto también se conocería como
autenticación multifactor porque tienes dos o más, lo que lo convierte
en múltiples factores de autenticación.
Ahora, cuando tienes un dispositivo
emitido por tu empresa, ellos pueden utilizar su MDM o software
de gestión de dispositivos móviles para decidir exactamente qué
requisitos vas a tener para poder
acceder a ese dispositivo.
Esto puede ser tan sencillo como establecer
un PIN o una contraseña larga de un determinado
número de caracteres, o pueden exigirte que utilices
un factor de inherencia o una autenticación biométrica, como una huella
dactilar o un escáner facial.
Esto va a estar determinado por tu política corporativa
y el sistema y los dispositivos que estás utilizando
y lo que soportan.
Hoy en día, la mayoría de los teléfonos inteligentes
admiten al menos un factor biométrico o de inherencia.
Y eso sería una huella dactilar o un escáner facial, dependiendo
del modelo que estés usando.
Otro de los usos de nuestros teléfonos inteligentes en la actualidad
es como parte de nuestro sistema de autenticación de dos factores.
Si entras en un sitio web, muchas
veces te pedirán que inicies sesión con tu nombre
de usuario y contraseña, que es un factor
de conocimiento, o algo que sabes.
Y entonces te enviarán un mensaje de texto
con un código único a tu smartphone.
Lo que están haciendo aquí en realidad es crear MFA o 2FA porque ahora están
utilizando dos factores, el factor de conocimiento
de tu nombre de usuario y contraseña, y el factor
de posesión del hecho de que tienes
tu smartphone y recibes ese mensaje de texto.
En la actualidad, vemos que muchos sitios
web utilizan la autenticación de dos factores o multifactor
porque proporciona un entorno mucho más seguro para
los usuarios.
Para ayudar con esto, también hay una aplicación que
puede descargar llamada Authenticator, y esto sirve como un factor de posesión
dentro de su dispositivo móvil.
Authenticator le permite registrarlo
con su sitio web que soporta 2FA o MFA.
Y se utilizará para crear esos códigos aleatorios sin
tener que disponer de un dispositivo de llavero físico,
porque tu smartphone actúa como ese llavero y se mantiene
sincronizado con el sitio web en el
que intentas autenticarte.
Así que tenlo en cuenta cuando pienses
en la autenticación multifactor.
Multifactor significa que tiene que tener dos
o más de estos factores.
Ahora, la última cosa que quiero
mencionar cuando se trata de autenticación multifactor,
y esto es algo que a menudo tropieza con los estudiantes,
es que sólo porque usted tiene dos factores, no significa
que usted está en multifactor todavía.
Si tuviera que iniciar sesión con un nombre de usuario, una contraseña
y un PIN, serían dos factores de conocimiento.
Pero no se trata de una autenticación de dos
factores ni de una autenticación multifactor, porque
ambos factores pertenecen a la misma categoría.
Ambos son algo que se sabe, lo cual
es un factor de conocimiento.
Para poder tener una autenticación de
dos factores o una autenticación multifactor, debe tener dos
o más de las categorías representadas de los cinco factores
de conocimiento, posesión, inherencia, comportamiento y ubicación.