Un director de Microsoft está decidido a hacer todo lo que esté a su alcance para que las empresas y los usuarios alejen de los mecanismos de autenticación multifactor (MFA, por sus siglas en inglés) por mensajes de texto SMS y llamadas de voz.
Según Alex Weinert, director de seguridad de identidad de Microsoft, ambos mecanismos basados en redes telefónicas conmutadas públicamente (PSTN, por sus siglas en inglés) “son los menos seguros de los métodos MFA disponibles en la actualidad”.
“Esa brecha solo se ampliará a medida que la adopción de MFA aumente el interés de los atacantes en romper estos métodos y los autenticadores especialmente diseñados amplíen sus ventajas de seguridad y usabilidad”, explicó en un blog.
Según Weinert, la tasa de riesgo de las cuentas que utilizan cualquier mecanismo de autenticación multifactor es menos de menos del 0.1 por ciento. “El uso de cualquier cosa más allá de la contraseña aumenta significativamente los costos para los atacantes”, sostuvo.
Cuáles son los peligros
El ejecutivo detalló seis peligros que esconden los sistemas de autenticación multifactor basados en SMS o llamadas de voz:
- No son adaptables: debido a que muchos dispositivos dependen de la recepción de mensajes PSTN, el formato de los mensajes es limitado, por lo que las oportunidades para innovar en usabilidad y seguridad son restringidas.
- Sin cifrado: cuando se desarrollaron los protocolos de voz y SMS, se diseñaron sin cifrado. Esto significa que cualquier persona que pueda acceder a la red de conmutación o dentro del alcance de radio de un dispositivo puede interceptar las señales. Se trata de una vulnerabilidad sustancial y única en los sistemas PSTN.
- Ataques de ingeniería social: los sistemas PSTN se basan una infraestructura de atención al cliente, con agentes “vulnerables al encanto, la coerción, el soborno o la extorsión”, según el ejecutivo. Si estos esfuerzos de ingeniería social tienen éxito, el soporte al cliente puede brindar acceso al canal de SMS o voz.
- Dependientes del operador móvil: no son 100 por ciento confiables y los informes no son 100 por ciento consistentes. Depende de la región y del operador, por lo que la ruta que siga el mensaje puede influir en el tiempo que tarda en llegar… si es que recibe.
- Regulaciones cambiantes: debido al aumento del spam en los formatos de SMS, los reguladores han exigido medidas para evitarlos. Estas regulaciones cambian rápidamente y son inconsistentes de una región a otra, advierte.
- Contexto limitado: los mensajes de texto o voz limitan la cantidad de información que se puede comunicar: los SMS tienen 160 caracteres, 70 si no se usa GSM. De esta forma, restringen nuestra capacidad para entregar el contexto del pedido de autenticación.
