Todos necesitamos algún tipo de proceso de autenticación para acceder a los sistemas de información, ya sea en el trabajo o en casa. Sabemos por qué es necesario: para garantizar que tengamos acceso a nuestros datos y que las personas no autorizadas no lo tengan.
¿Por qué, entonces, solemos ignorar ese consejo, sobre todo teniendo en cuenta la constante recomendación de los profesionales de la ciberseguridad sobre la necesidad de contraseñas seguras que se cambien con frecuencia? Parece haber una disparidad considerable entre lo que hacemos y lo que queremos: ¿se trata de seguridad o de facilidad de uso?
La mayoría de los métodos de autenticación que encontramos hoy suelen implementarse de una (o más) de tres maneras:
Algo que usted sabe (como la humilde contraseña)
Algo que usted tiene (una tarjeta inteligente)
Algo que usted es (una huella dactilar).
Muchos sistemas utilizan un par de nombre de usuario y contraseña para el control de acceso, en gran medida porque las interfaces de la mayoría de los sistemas han sido, por lo general, algún tipo de teclado. Algunos teléfonos inteligentes usan un PIN o una huella dactilar, y los cajeros automáticos de los bancos combinan algo que usted tiene (una tarjeta) con algo que usted sabe (un PIN).
El problema de las contraseñas
Tener una contraseña larga y aleatoria es un buen consejo. Brinda cierto nivel de seguridad para proteger el acceso a información importante, como su cuenta de banca en línea.
Por desgracia, cuando se enfrentan a la necesidad de recordar varias contraseñas aleatorias de quince caracteres (los caracteres son de la A a la Z, de la a a la z, del 0 al 9 y una variedad de otros caracteres imprimibles, como ! @ # $ y %), la mayoría de los usuarios aplica un criterio según el valor de la información protegida por la contraseña y actúa en consecuencia.
Algunas cuentas pueden tener una contraseña relativamente débil, debido al costo de una filtración indebida de información o al daño para el titular si la cuenta se ve comprometida. Otras cuentas podrían tener una contraseña más fuerte, porque los usuarios no quieren que un ciberdelincuente les sustraiga su dinero. Son juicios sobre el valor percibido de la información.
¿Qué tan segura es su contraseña?
Si debe usar una contraseña, ¿qué hace que una sea buena? ¿Qué tan rápido puede descifrarse una contraseña?
Hay varios sitios web que publican listas de contraseñas comunes. He utilizado una lista de 14 millones de contraseñas como prueba con un centro de divulgación científica en Perth.
Los asistentes al centro (en su mayoría estudiantes de secundaria) debían introducir lo que consideraban una contraseña segura, y esta se comparaba con la lista. Si no figuraba en la lista (un hecho poco frecuente), la contraseña se enviaba a una computadora rápida para su procesamiento posterior.
Esta computadora podía descifrar una contraseña aleatoria de seis caracteres en menos de dos segundos, mediante un ataque de fuerza bruta que intentaba coincidir con “aaaaaa”, luego “aaaaab”, luego “aaaaac” y así sucesivamente, a través de todas las combinaciones de seis caracteres.
Sorprendió lo poco que tuvo que trabajar la computadora rápida. Muchos usuarios suponen que las palabras o frases tomadas de obras literarias consolidadas son, de algún modo, seguras. No lo son (olvídese de cualquier cosa de El Señor de los Anillos o de Guerra y paz).
Una contraseña más larga tarda más en descifrarse. Una contraseña aleatoria de 15 caracteres podría tardar una semana, pero entonces el argumento vuelve al valor temporal de la información. Si un ciberdelincuente tiene que esperar una semana, su cuenta seguirá ahí, ¿y cambiará su contraseña aleatoria de 15 caracteres cada semana?
Una forma de añadir un nivel extra de seguridad a su contraseña es habilitar cualquier autenticación en dos pasos, mediante la cual, tras introducir la contraseña, se envía otro código a un dispositivo, como su teléfono móvil. Muchos servicios en línea ya ofrecen este servicio.
Necesitamos otro tipo de autenticación
Si la humilde contraseña no resulta adecuada por problemas de facilidad de uso, existen alternativas como el popular sistema de pago sin contacto pay wave para tarjetas bancarias y tarjetas de transporte, sin necesidad de contraseña para pequeñas transacciones.
El riesgo es que, si le roban la billetera o el monedero, se pueden sustraer pequeñas cantidades de su cuenta antes de que se bloquee. No obstante, acercar la tarjeta está demostrando ser popular entre los consumidores y los comercios, de modo que la comodidad se impone a la seguridad.
Los métodos biométricos, basados en alguna propiedad física del cuerpo humano, resultan atractivos porque la persona no necesita recordar una contraseña ni llevar una tarjeta. Los teléfonos inteligentes y los sistemas operativos de las computadoras ya utilizan lectores de huellas dactilares para ofrecer un medio de autenticación sencillo y eficaz.
Otros dispositivos biométricos en uso incluyen escáneres de retina, escáneres de iris y el reconocimiento de voz. Pese a lo que se ve en las películas populares, a nadie le gusta que le apunten un láser a los ojos, así que el reconocimiento de voz podría ser el camino a seguir.
Pero existen problemas conocidos con la tecnología biométrica. Sin embargo, esos problemas son los mismos para cualquier sistema de autenticación. Las tasas de error actuales de los dispositivos de una sola huella dactilar son de alrededor del 2 % en el mejor de los casos, lo que aún no es suficiente para usarlos por sí solos.
Algunos sistemas no dependen de comparar la huella dactilar real, sino que contrastan otras propiedades conductuales del usuario. Por ejemplo, el ángulo y la velocidad del barrido de huellas dactilares, propiedades que son diferentes para cada persona y medibles y repetibles. Esto impide un ataque físico, como extraer el dedo de una persona para intentar suplantarla.
Volviendo al ejemplo del cajero automático: por ahora, estamos atados a las tarjetas y los PIN debido a su bajo mantenimiento y costos de producción. Desde el punto de vista del cliente, sería más sencillo hablar con un cajero automático y pedirle efectivo, una vez confirmada la huella vocal vinculada a su cuenta. Este es un futuro mucho más fácil de usar (y más seguro).
En última instancia, mientras las alternativas de seguridad más robustas no sean ampliamente aceptadas (y no puedan implementarse a bajo costo), quienes sigan ignorando los consejos sobre contraseñas deben preguntarse seriamente qué equilibrio entre seguridad y facilidad de uso prefieren y qué precio están dispuestos a pagar por una seguridad débil.
Este artículo se publica en colaboración con The Conversation. La publicación no implica el respaldo de las opiniones por parte del Foro Económico Mundial.
Para mantenerse al día con Agenda suscríbase a nuestro boletín semanal.
Autor: Mike Johnstone, investigador de seguridad, profesor titular de Ingeniería de Software, Edith Cowan University
Imagen: Una lupa se sostiene frente a una pantalla de computadora en esta ilustración tomada en Berlín. REUTERS/Pawel Kopczynski
