Corría 2004 cuando Bill Gates, entonces director ejecutivo de Microsoft, predecía el fin de las contraseñas. “No hay duda de que con el tiempo, las personas confiarán cada vez menos en las contraseñas. Las personas usan la misma contraseña en diferentes sistemas, las escriben y simplemente no cumplen con el desafío de nada que realmente desee proteger”, advirtió.
Te va a interesar:
- Las contraseñas más usadas de 2021 (por cierto, son las menos seguras)
- Cómo acceder sin contraseñas a las apps y servicios de Microsoft
- Qué es la verificación en dos pasos y por qué deberías usarla
Dos décadas más tarde, los hechos parecen darle la razón. Las filtraciones de extensas listas de contraseñas de diversos sitios registradas en los últimos dos años han puesto en tela de juicio este mecanismo para mantener segura tu información en la red.
Según cifras de la firma californiana, las contraseñas débiles son el punto de entrada para la mayoría de los ataques en cuentas empresariales y de consumidores. Cada segundo se registran nada menos que 579 ataques de contraseñas, lo que representa más de 18,000 millones al año.
Con Windows 11, Microsoft puso fin a las contraseñas para todos sus servicios, por lo que el proceso se realizará mediante sus sistemas Windows Authenticator y Windows Hello, llaves de seguridad física y códigos enviados por mail o SMS.
Pero Microsoft no está solo en esta cruzada. Otras compañías también han tomado cartas en el asunto y han comenzado a implementar iniciativas que apuntan en el mismo sentido. Google, por ejemplo, está haciendo automática la verificación en dos pasos (2FA).
Por qué las contraseñas son vulnerables
A excepción de las que son generadas de manera automática, en gran medida todos creamos nuestras propias contraseñas. Originalmente debías poner cuatro o seis caracteres, pero hoy los requisitos son más complejos, pues incluyen símbolos, números, distinción de mayúsculas y minúsculas y la imposibilidad de reciclar contraseñas anteriores.
Debido a que la tarea de recordar las combinaciones es prácticamente imposible, muchos usan contraseñas fáciles: 15 por ciento ha usado el nombre de sus mascotas como inspiración, apellidos o fechas importantes. Sin embargo, ya que son fáciles de recordar, también son fáciles de adivinar para un hacker.
Los hackers usan otras técnicas también. Desde los ataques de fuerza bruta para probar muchas posibilidades en pocos segundos hasta estrategias de phishing para que ingreses tus credenciales en un sitio web falso. Aunque son tácticas antiguas, siguen funcionando porque existen las contraseñas.
La autenticación sin contraseña podría resolver este problema y estas son algunas de las tecnologías que han ganado terreno para reemplazarlas de manera definitiva.
Alternativas a las contraseñas
Enlaces o contraseñas de un solo uso
En este mecanismo de autenticación, el servicio genera un enlace único y transitorio que se envía al correo electrónico del usuario. El enlace queda inactivo cuando se utiliza por primera vez. Aunque es de bajo costo, si un atacante tiene acceso al correo electrónico la cuenta podría verse comprometida y existe el riesgo de sufrir ataques phishing.
Otra variante son las contraseñas de un solo uso. Durante el proceso, el usuario ingresa su número de teléfono, luego recibe un SMS o una notificación push con un código de confirmación único, que tiene un periodo de validez limitado. El usuario ingresa el código de un solo uso recibido en el servicio y se autentica.
Llaves físicas de seguridad
Las llaves de seguridad USB o tarjetas NFC ofrecen un mecanismo de contraseña física para iniciar sesión en computadoras, en cuentas de correos electrónicos, servicios web o redes sociales. Pero además brindan una capa adicional de seguridad, ya que la información solo se almacena en el dispositivo, lo que reduce al máximo las posibilidades de hackeos.
La mayoría de estos dispositivos de seguridad funcionan con el estándar U2F (Universal 2nd Factor), un protocolo creado por Google y Yubico para unidades USB o chips NFC y que en la actualidad es aceptado por servicios como Dropbox, Github, Nextcloud, Facebook y Opera, entre otros.
Identificación por huellas dactilares
La huella dactilar es una de las alternativas de autenticación biométrica que están desplazando a las contraseñas. Debido a que es única y que varía entre personas, es una de las formas más seguras para iniciar sesión. Además, ya que el usuario no debe ingresar contraseñas, las frustraciones por olvidarlas son cuestión del pasado.
Uno de los pioneros en este mecanismo fue Apple, con su Touch ID estrenado en 2013. Este mecanismo puede capturar una imagen de alta resolución de la huella dactilar del usuario y analizarla con gran precisión. Esto garantiza que ningún otro usuario pueda acceder al dispositivo.
Tras Apple, múltiples fabricantes han implementado sistemas de reconocimiento basados en la huella dactilar.
Reconocimiento facial
La identificación facial es otra forma de autenticación biométrica que analiza el mapeo facial único de un usuario para reconocerlo con precisión. Otra vez Apple fue uno de los pioneros, con el Face ID, incorporado en el iPhone X como reemplazo del Touch ID.
Con este mecanismo, un sistema de cámara TrueDepth dibuja más de 30,000 puntos sobre la cara del usuario, que mapean las características faciales de una persona. Debido a que las características faciales son únicas, este reconocimiento actúa como alternativa a la contraseña.
Identificación por iris
Los promotores del escaneo del iris afirman que estas imágenes son más rápidas y confiables que las que se hacen con huellas dactilares, ya que es menos probable que se alteren u oscurezcan.
Por lo general, este escaneo se realiza con una luz infrarroja invisible que pasa sobre el iris para leer, analizar y digitalizar patrones y colores únicos para compararlos con una base de datos de plantillas de iris almacenadas, ya sea para identificación o verificación.
A diferencia del escaneo de huellas dactilares, que requiere que se presione un dedo contra un lector, el escaneo del iris se puede realizar tanto de cerca como de lejos, así como de pie y en movimiento, lo que plantea importantes problemas de privacidad.
Autenticación de dos factores (2FA) o multifactorial
La autenticación de dos factores (2FA) o verificación en dos pasos requiere que el usuario ingrese dos combinaciones, una de las cuales puede ser una contraseña tradicional, para obtener acceso a sus cuentas.
A diferencia de los registros tradicionales con nombre de usuario y clave, la 2FA añade una capa adicional cada vez que se necesita iniciar sesión, lo que puede traducirse en una combinación que solo el usuario conoce o tiene en su poder.
Microsoft combinó una serie de alternativas de contraseña mencionadas en un programa de software llamado Windows Hello. El programa permite a los usuarios utilizar un segundo número PIN, huella digital o identificación facial para iniciar sesión en sus computadoras.
¿El ADN como contraseña?
Aunque puede sonar descabellado, los investigadores indios RK Madhusudhan y R. Shashidhara propusieron un esquema de autenticación basado en ADN. Según los investigadores, este mecanismo se puede implementar en dispositivos móviles.
El mecanismo utiliza un criptosistema basado en curvas hiperelípticas (HECC), que según los autores ofrece mayor seguridad y permite establecer un canal de comunicación seguro para intercambiar información sensible a través del enlace de radio.
Si bien parecer ser una alternativa segura para proteger la información confidencial, el ADN es permanente: una vez robado, nunca podremos volver a usarlo para verificación. Por lo mismo, es probable que algunos usuarios conscientes de la privacidad necesiten más convencimiento antes de considerar usarlo.
