Autenticación de usuario. Posesión de un objeto. Atributos del usuario: técnicas biométricas. Francisco Javier Cervigon Ruckauer

Autenticación de usuarios

El objetivo de la autenticación de usuarios comprobar la identidad de un usuario, aceptándole como tal si demuestra su identidad o rechazándole, en caso contrario.

Los principales mecanismos de autenticación encajan en una de estas cuatro categorías:

• Posesión de un secreto. Al que solamente el usuario sabe. Por ejemplo, el típico usuario y contraseña.
• Posesión de un objeto. Algo a lo que solamente el usuario tiene acceso. Por ejemplo, una llave USB o una tarjeta inteligente.
• Un atributo del usuario. Algo característico del usuario, bien sea de su cuerpo, como la huella dactilar, o de su comportamiento, como su tono de voz.
• Multifactorial. Usar dos o más técnicas de las anteriores combinadas (múltiples factores).

Para evaluar la bondad de estos mecanismos se usan como criterio los siguientes parámetros:

• Tasa de falsas aceptaciones. La probabilidad de que el sistema acepte como válido a un impostor. Por ejemplo, un impostor (I) adivina la contraseña del usuario (U) y el sistema acepta a I como si fuera U.
• Tasa de falsos rechazos. La probablidad de que el sistema deniegue el acceso a un usuario autorizado. Por ejemplo, se autentica por la voz, pero un usuario tiene una afección de garganta y el sistema no reconoce su voz.

Lógicamente, el sistema ideal sería aquél que tiene unas tasas de falsas aceptaciones y de falsos rechazos igual a 0. Sin embargo, al analizar a continuación los diferentes mecanismos se verá que es dificil hacer muy bajas simultáneamente ambas tasas.

Posesión de un secreto: usuarios y contraseñas

Usar una combinación de usuario y contraseña es, con mucho, el método más habitual basado en la posesión de un secreto. Efectivamente, el sistema asume que solamente el usuario conoce su contraseña y, por lo tanto, basta con que el usuario demuestre que la conoce para que el sistema le valide.

Hay varios motivos por los que el método de usuario y contraseña es tan popular:

• No requieren hardware especializado. A diferencia de otros métodos, la el usuario y la contraseña se pueden introducir mediante un teclado normal, sin necesidad de un lector de tarjetas o de huellas dactilares, por ejemplo.
• Son sencillas de implantar. Están incluidas en todos los sistemas, con un amplio soporte tanto para los administrador de sistemas y aplicaciones, como para los desarrolladores de software.
• Permiten acceso remoto. A diferencia de otros métodos, se pueden utilizar a través de la red. Por ejemplo, el cliente puede enviar la contraseña a través de un canal cifrado para que el servidor la valide, o el servidor puede enviar un reto aleatorio cifrado con la contraseña del usuario que éste debe resolver...

Sin embargo, las contraseñas pueden presentar un elevado número de falsas aceptaciones, ya que usarlas correctamente requiere la participación de todos los usuarios (el eslabón más débil sería el usuario con la contraseña más débil). En general, las contraseñas presentan los siguientes riesgos:

• Pueden ser adivinadas. Bien por ordenadores o por personas. Contraseñas cortas, palabras de diccionario o aquéllas basadas en datos personales pueden ser fácilmente adivinadas mediante ingeniería social y/o programas especializados (como John The Ripper o Crack).
• Pueden ser observadas. Si la contraseña se transmite a través de un canal inseguro, puede ser observada mientras se transmite a través de la red. Si se almacena de forma poco segura puede ser recuperada del medio de almacenamiento. Un programa malintencionado la pueda grabar según se teclea...
• Pueden ser transferidas a usuarios no autorizados. El sistema no puede evitar que los usuarios compartan contraseñas. Por ejemplo, los miembros de un proyecto, un usuario que solicita ayuda a otro. Mediante ingeniería social puede ocurrir que un usuario acabe trasfiriendo su contraseña a un atacante que, por ejemplo, se hace pasar por un administrador de sistemas.
• Pueden ser usadas en múltiples sitios con diferente nivel de seguridad. La dificultad de gestionar un elevado número de contraseñas robustas causa que sea habitual reutilizar las contraseñas en diferentes contextos (personal y profesional, sitios web con diferente nivel de confianza, sitios web y servidores...). Hay que tener en cuenta que la contraseña es tan segura como el lugar menos seguro en el que se utiliza.

Por lo tanto, usar de forma segura las contraseñas requiere una buena educación de todos los usuarios para que utilicen contraseñas robustas, y conozcan y eviten los riesgos.

Posesión de un objeto

El sistema exige a los usuarios que demuestren que tienen acceso a un objeto que los identifica. Ejemplos habituales son los dispositivos utilizados para generar contraseñas de un solo uso, las tarjetas inteligentes, las llaves USB o, más recientemente, la posesión de un teléfono móvil.

Atributos del usuario: técnicas biométricas

Las técnicas biométricas se basan en características propias de cada persona, ya sean fisiológicas o patrones de comportamiento que le caracterizan.

Con las técnicas fisiológicas se aprovecha alguna característica propia del cuerpo de las personas, ya sea su cara, el patrón de retina del ojo, la forma de su mano o las habituales huellas dactilares. En principio, estas técnicas pueden conseguir al mismo tiempo una baja tasa de falsas aceptaciones como de falos rechazos. No obstante, es necesario tener en cuenta que la precisión del método depende mucho de la implementación. Por ejemplo, depende de cuantos puntos se utilicen para representar (y comparar) las huellas dactilares. Dependiendo de la implementación, el sistema puede ser engañado. Por ejemplo, el reconocimiento de caras tiene que ser capaz de distinguir entre la imagen de una persona real y la de una fotografía. Aunque tradicionalmente han sido sistemas caros, ya que necesitan dispositivos especializados, en los últimos años, debido a su popularización, el precio ha bajado significativamente.

Cuando se utilizan patrones de comportamiento, se aprovecha algún tipo de acción que solamente el usuario autorizado sabe realizar. Por ejemplo, la forma de pronunciar una determinada frase, la forma de firmar, la cadencia a la hora de teclear una frase...  Nuevamente son sistemas precisos (baja tasa de falsas aceptaciones y falsos rechazos) sobre el papel, pero dependen de la implementación (por ejemplo, deben evitar que la frase a pronunciar pueda haber sido grabada previamente, en el caso del reconocimiento de voz).

Francisco Javier Cervigon Ruckauer