La Autentificación en tiempos modernos. Certificados Digitales y Tarjetas de Acceso (Inteligentes/Criptográficas)

Nuevo capítulo de la serie, el quinto si cuento correctamente. En esta ocasión vamos a hablar de la autentificación por medio de certificados digitales, y por extensión a las tarjetas de acceso, la mayoría de ellas funcionan con certificados.

Hace ya un tiempo escribí en otra serie de artículos una publicación parecida. Los tiempos han cambiado y desde luego muchas cosas son ahora diferentes, pero realmente la mayoría de los conceptos e ideas que se daban entonces, siguen siendo igualmente válidas. El artículo original lo tenéis AQUÍ. Vamos a hablar de cuestiones muy similares, aunque vamos a orientarlo a otros usos y a otras necesidades, y vamos a extender algunas cuestiones que entonces se tocaron.

Hemos hablado ya de sistemas de autentificación como usuarios y contraseñas o sistemas biométricos. ¿Pero qué nos podría ofrecer los certificados digitales? No es algo que somos ni algo que sabemos, es algo que tenemos. Un certificado digital soluciona dos de los mayores problemas existentes: El primero, por basarse en criptografía asimétrica, no expone nunca hacia el exterior la parte sensible de estos, la clave privada, con lo que elimina en principio los riesgos de que un servidor remoto se vea comprometido y puedan robar nuestras credenciales. El segundo, puede asegurar la inequivocidad de una persona si se toman las medidas adecuadas, y la estructura PKI funciona correctamente.

Vamos por tanto a analizar un poco los certificados digitales, sin entrar en detalles como los que publiqué hace ya algún año, y más adelante la funcionalidad de las SmartCards, tarjetas de acceso, tarjetas inteligentes o como las queramos llamar.


El Maravilloso Invento de la criptografía asimétrica

Allá por los años 1970, dos criptógrafos británicos tomando unas ideas locas de unas décadas anteriores, crearon un sistema que ellos mismos denominaron como encriptado sin secretos. Hasta el momento todos los cifrados y/o sistemas de codificación requerían en última instancia de una contraseña, un objeto, un procedimiento… que tenía que ser secreto y compartido por las diferentes partes que quisiesen poder desencriptar un mensaje dado. Así que la importancia era enorme. Crearon en secreto … Leer Más...

La Autentificación en tiempos modernos. Concepto de PIN y Módulos TPM

A partir de este punto, el PIN es algo que vamos a nombrar en estos artículos de forma habitual. Así que es muy importante que se sepa que es realmente un PIN. Esto es debido a que todo el mundo cree saber que es un PIN, la inmensa mayoría lo usa a diario, ya sea para pagar con tarjetas de crédito, sacar dinero, desbloquear el teléfono o la tarjeta SIM… pero es una de esas raras paradojas en las que todo el mundo puede hablar de él y lo usa, pero raro es encontrar con alguien que realmente sepa lo que es.

Sobre lo TPM, también nos van a acompañar el resto del viaje, a veces los olvidaremos, pero estarán detrás de todo… al menos la mayoría de las veces.

En un principio iba a crear este capítulo en otra de las publicaciones, pero he pensado que era mejor dedicarle unas palabras específicamente.


El PIN

Bien… ¿que es un PIN? Si preguntamos a cualquiera, la mayoría te diría que es una contraseña, o la contraseña del móvil, o la contraseña de la tarjeta o… pero obviamente no es una contraseña, es un PIN. Otros dirán en cambio que básicamente es una contraseña «simple», numérica, de 4 dígitos. Pero realmente un PIN puede ser también una cadena con la longitud y complejidad que se quiera.

El PIN entra dentro de «Algo que sabemos», pero no es un «secreto» como una contraseña. Obviamente no queremos que nadie lo sepa, pero a diferencia que (generalmente) las contraseñas, el que alguien sepa un PIN nuestro no les da utilidad por sí solo, porque, y esta es la primera gran diferencia a una contraseña, un PIN está asociado a un dispositivo físico. Puede ser una tarjeta de crédito, un teléfono, una SIM, un módulo TPM…

Por lo geneal un PIN va a proteger el acceso a «algo que tenemos» o incluso «algo que somos«. El PIN por sí mismo no vale para nada, es necesario el dispositivo específico, con lo que alguien tendría que apoderarse de ello antes.… Leer Más...

La Autentificación en tiempos modernos. Sistemas Biométricos.

A pesar que la autentificación por usuario/contraseña sigue siendo (y posiblemente seguirá siendo durante mucho tiempo) el modo más habitual para identificarnos, los últimos años han puesto de manifiesto que estos requieren evolucionar. Quizás no eliminarlos por completo, pero al menos a combinarlos con otros. Los usuarios y contraseñas están bien, pero tienen demasiados problemas con los que lidiar, las brechas de seguridad son cada vez mayores y públicas, y vemos más despistes por parte de las grandes empresas (Recordemos de nuevo el reciente caso de Facebook).

En el mundo real no hay nada parecido que se asemeje a usuarios/contraseñas, es una invención digital por la necesidad de autentificarnos en sistemas informáticos. En el mundo real usamos otros medios. El DNI por descontado, así como nuestra firma, son nuestras principales formas de identificarnos, pero todos sabemos que cuando se requieren medidas de seguridad mejoradas, son solo una pieza más. Es entonces cuando aparecen los sistemas biométricos.

Recordemos de nuevo, un sistema para ser seguro, debe de requerir tres cosas fundamentales de nosotros: Una cosa que seamos, Una cosa que tengamos y una Cosa que sepamos.

Los sistemas biométricos nos aportan esencialmente dos características que los hacen únicos:

1º. Nos aportan la primera necesidad: Una cosa que seamos.
2º. Son extremadamente cómodos, rápidos, simples (a veces transparentes) y relativamente seguros.


Que es un sistema biométrico

La biometría versa precisamente de las diferentes técnicas, patrones, algoritmos, tecnología… que permiten de algún modo parametrizar rasgos físicos de los seres vivos de un modo único y fiable, los cuales pueden ser usados para su autentificación. Posiblemente los sistemas biómetricos más conocidos son desde los lectores de huellas dactilares, escáneres de iris/faciales… y si queremos sistemas más sofisticados que entren dentro de la ciencia ficción pero viables, la propia sangre, temperatura corporal…

En el mundo real los sistemas biométricos se han usado desde hace décadas, además de las películas de ciencia ficción. A nosotros mismos llega un momento al cumplir años que para hacernos el carnet de Identidad debemos de suministrar nuestras huellas dactilares.

La complejidad técnica, los altos costes y … Leer Más...

La Autentificación en tiempos modernos. Usuarios y Contraseñas.

Defensores y detractores. Pero sea como sea esta dupla lleva con nosotros desde hace décadas. Hace muchos años, se entendió que el mejor sistema para autentificar a una persona en el mundo digital era esta combinación. Y es lógico, un usuario y una contraseña es relativamente sencillo de recordar (cumpliendo la premisa de ser simple), era por lo general inequívoca (cumpliendo la premisa de identificar de forma fiable a quien se quiere identificar), y por último era lo suficientemente segura para ser viable, ya que no se dependía solo de un usuario, sino además una cadena que tenía que coincidir.

Estas premisas han hecho que a día de hoy sea el modo de autentificación más extendido en el mundo, digitalmente hablando. Tal es así que el que más o el que menos casi con toda posibilidad contará este tipo de autentificación por decenas.

Bien, pero antes de continuar, es necesario entender como funcionan bien estos usuarios y contraseñas, ya que también han evolucionado con los años enormemente. Puede parecer algo trivial, pero tiene bastante más… «sustancia» de la que podemos imaginar. Además, es nuestro método principal de autentificación, que menos que saber como dios manda como funciona. También veremos los diferentes problemas de seguridad que conllevan su uso.


Funcionamiento Básico de Usuarios y Contraseña

Parece un poco estúpido per sé, todos sabemos que es un usuario y una contraseña… ¿o no?. En una definición simple, un usuario es una cadena de caracteres normalmente no secreta que identifica a la persona dentro del sistema, mientras que la contraseña es, por lo general, una cadena de caracteres secreta, conocida sólo por su dueño, que está asociada de forma íntima al usuario, y que permite su verificación sencillamente por cotejamiento contra el sistema donde queremos autentificarnos.

El modo de funcionamiento de este sistema ha ido evolucionando mucho, por suerte. Pero todos se han basado en la misma premisa:

  1. El interesado crea/genera/… para el servicio indicado la tupla Usuario/Contraseña. Requiere los dos para acceder al servicio, requiere memorizarlo.
  2. El servicio almacena (por lo general en una base de datos de usuarios) dicha
Leer Más...

La Autentificación en tiempos modernos. Introducción

Llevo mucho tiempo queriendo escribir sobre sistemas de doble autentificación, y específicamente sobre FIDO, y después de varios años, he creído que ya era hora. Así que aprovechando la gran demora en años, voy a aprovechar para dar un repaso del paradigma actual de la identificación.

La identificación puede parecer algo antiguo e incluso sencillo, algo que incluso nuestros abuelos y nuestros hijos/nietos bien conocen. Quizás el ejemplo más cotidiano sea nuestro DNI. ¿Y cual es la funcionalidad principal de este? Pues ni más ni menos, incluso en los tiempos que corren, la de identificarnos de forma única ante el mundo.

Internet no es tan diferente, es una entidad «virtual», pero se rige más o menos por los mismos principios. Por supuesto puede ser deseable permanecer anónimo dentro de la gran red de redes, al igual que puede ser deseable muchas veces en el mundo real querer ocultar nuestra identidad, y para nada sólo con fines delictivos. Pero al igual que pasa en el mundo real, también necesitamos muchas veces, la mayoría de ellas, que el mundo sepa quien somos, algo que nos apunte de forme inequívoca.


EL USUARIO COMO IDENTIDAD

Internet supuso un antes y un después, y con él aparecieron un sin fin de nuevos… «servicios» para las personas. Desde el correo electrónico, las nuevas formas de comunicación como IRC (que con el tiempo evolucionaría a la mensajería instantánea), foros, blogs, comercio online, redes sociales… un universo que sigue una escalada exponencial, y en el que cada vez, nosotros como individuo, tenemos más peso. Nos comunicamos por Internet, compramos por Internet, nos informamos por Internet… tal es así que incluso vamos dejando muchos servicios tradicionales, y moviéndonos rápidamente a los digitales.

Pero para que todo ello haya sido posible, ya desde los orígenes, ha sido necesario que la inmensa mayoría de servicios que usamos sean únicos para cada persona, donde podremos muchas veces mentir sobre los datos que queramos dejar, pero sean falsos o ciertos, nos identifican en sus sistemas. No hizo falta ser un genio, sólo el sentido común para entender la necesidad de diferenciar … Leer Más...

Volver a arriba

Sobre Mí

Alma Oscura por Theliel is licensed under a Creative Commons Reconocimiento-No comercial-Sin obras derivadas 3.0 Unported License.
Política de Privacidad.
Para otros permisos que puedan exceder el ámbito de esta licencia, contactar en blog.theliel.es/about/contactar.