Autenticación sin contraseñas: pros y contras

Recomendados:  Empresas data driven: estrategias de datos para marcar la diferencia Evento  Caminando hacia Zero Trust, el modelo de seguridad que se impone en la empresa Evento

Se calcula que, actualmente, cada usuario tiene que recordar decenas de contraseñas tanto de cuentas personales como corporativas. Esto es algo que dificulta su generación y gestión, y aunque existen soluciones para gestionarlas incluidas en soluciones de seguridad, muchos usuarios optan por el camino fácil, generando contraseñas predecibles y reutilizándolas.

Desde el punto de vista de la ciberseguridad, el problema de las contraseñas se encuentra ampliamente documentado y son un objetivo principal de los atacantes, a los que cada vez les resulta más fácil robarlas o averiguarlas. Una vez obtenidas, los atacantes pueden hacerse pasar por usuarios legítimos para enviar correos maliciosos, sortear las defensas de una red corporativa y conseguir persistencia en estas redes durante varias semanas o incluso meses, lo que les permite preparar ataques con un mayor impacto.

El cambio a un sistema de autenticación sin contraseñas, utilizando una app que utilice sistemas biométricos, una llave de seguridad o un código de un solo uso, supone un gran cambio. Según ESET, las ventajas de estos sistemas residen principalmente en los ámbitos de experiencia del usuario, en la seguridad propiamente dicha y en la reducción de costes y del riesgo de daños reputacionales.

Sobre la primera cuestión, la firma destaca que el acceso a cuentas y los servicios es más sencillo, ya que los usuarios no tienen que recordar sus contraseñas. En lo que respecta a las mejoras de seguridad, al no haber contraseñas que robar, las empresas se pueden olvidar de una de las principales puertas de entrada, responsable de la mayoría de las brechas de seguridad de los últimos meses. Como mínimo, se está consiguiendo que los atacantes se tengan que esforzar más para conseguir su objetivo.

En tercer lugar, en lo que a disminución de costes se refiere, al descender la probabilidad de ser víctimas de amenazas relacionadas con el robo de contraseñas y de filtraciones de información, también disminuyen los costes asociados con el reseteo de contraseñas e investigación de incidentes, y el mismo razonamiento se aplica a la reducción de la probabilidad de sufrir daños reputacionales.

Sin embargo, la autenticación sin contraseñas “no es la panacea que podríamos pensar y aún existen desafíos a los que debemos enfrentarnos”, sostiene la compañía. En este sentido, destaca también cuatro retos en la implantación definitiva de la autenticación sin contraseñas:

La seguridad al 100% no está asegurada: aquellos que utilicen el SMS para obtener los códigos de verificación están expuestos a los ataques de SIM Swapping. Además, si los atacantes consiguen comprometer los dispositivos que se encargan de generar estos códigos, también serán capaz de obtenerlos.

La biometría no es infalible: en el caso de que los usuarios utilicen una característica física que no se puede cambiar, la seguridad de las cuentas puede verse comprometida si un atacante consigue acceder a esta información biométrica. De hecho, ya hay técnicas que se están desarrollando e incluso utilizando para sortear las tecnologías de reconocimiento facial y de la voz.

Costes de la implementación: dependiendo de los mecanismos de autenticación elegidos para sustituir a las contraseñas, los costes pueden variar sustancialmente. En el caso de usar tokens físicos el coste puede dispararse, pero, en el lado opuesto, las aplicaciones instaladas en dispositivos móviles pueden hacer que este coste sea mucho más manejable.

Resistencia por parte de los usuarios: si las contraseñas han sobrevivido durante tanto tiempo, a pesar de sus problemas, ha sido en buena parte debido a que los usuarios saben instintivamente cómo utilizarlas. Imponer un cambio tan importante puede ser más fácil en un entorno de gran empresa, donde los usuarios no tienen más remedio que seguir las reglas, pero en entornos de pequeña y mediana empresa este cambio puede costar más de lo deseado, por lo que se deben implementar aquellos cambios que sean menos molestos y más intuitivos.