Autenticación

La autenticación (del griego : αὐθεντικός authentikos , «real, genuino», de αὐθέντης authentes , «autor») es el acto de probar una afirmación , como la identidad de un usuario de un sistema informático. A diferencia de la identificación , que es el acto de indicar la identidad de una persona o cosa, la autenticación es el proceso de verificar esa identidad. ^{[ 1 ] [ 2 ]}

La autenticación es relevante en múltiples campos. En arte , antigüedades y antropología , un problema común es verificar que un artefacto determinado fue producido por una persona específica, en un lugar determinado (es decir, para afirmar que no es una falsificación ) o en un período histórico específico (por ejemplo, determinando la edad mediante datación por carbono ). En informática , la verificación de la identidad de un usuario suele ser necesaria para permitir el acceso a datos o sistemas confidenciales. ^{[ 3 ]} Esto podría implicar la validación de documentos de identidad personal .

La autenticación puede considerarse de tres tipos:

El primer tipo de autenticación consiste en aceptar una prueba de identidad proporcionada por una persona creíble que tenga evidencia directa de que la identidad es genuina. Cuando se requiere autenticación para obras de arte u objetos físicos, esta prueba podría ser un amigo, familiar o colega que atestigua la procedencia del artículo, tal vez por haberlo visto en posesión de su creador. En el caso de recuerdos deportivos autografiados , esto podría implicar que alguien atestiguara haber presenciado la firma del objeto. Un vendedor que comercializa artículos de marca da por sentada la autenticidad, aunque no necesariamente tenga pruebas de que cada paso de la cadena de suministro haya sido autenticado.

El segundo tipo de autenticación consiste en comparar los atributos del objeto con lo que se sabe sobre objetos de ese origen. Por ejemplo, un experto en arte podría buscar similitudes en el estilo de la pintura, verificar la ubicación y la forma de una firma o comparar el objeto con una fotografía antigua. Un arqueólogo , por otro lado, podría usar la datación por carbono para verificar la antigüedad de un artefacto, realizar un análisis químico y espectroscópico de los materiales utilizados o comparar el estilo de construcción o decoración con otros artefactos de origen similar. La física del sonido y la luz, y la comparación con un entorno físico conocido, pueden utilizarse para examinar la autenticidad de grabaciones de audio, fotografías o videos. Los documentos pueden verificarse como creados en tinta o papel fácilmente disponibles en el momento de su supuesta creación.

La comparación de atributos puede ser vulnerable a la falsificación . En general, se basa en el hecho de que crear una falsificación indistinguible de un artefacto genuino requiere conocimientos especializados, que es fácil cometer errores y que el esfuerzo necesario para hacerlo es considerablemente mayor que el beneficio que se puede obtener de la falsificación.

En el mundo del arte y las antigüedades, los certificados son de suma importancia para autenticar objetos de interés y valor. Sin embargo, también pueden falsificarse, lo que dificulta su autenticación. Por ejemplo, el hijo de Han van Meegeren , el conocido falsificador de arte, falsificó la obra de su padre y proporcionó un certificado que acreditaba su procedencia.

Las sanciones penales y civiles por fraude , falsificación y contrafalsificación pueden reducir el incentivo para la falsificación, dependiendo del riesgo de ser descubierto.

Este segundo método de autenticación suele utilizarse en billetes, monedas y otros instrumentos financieros. Los billetes, monedas y cheques incorporan características físicas difíciles de duplicar, como impresión o grabado fino, tacto distintivo, marcas de agua e imágenes holográficas, que los receptores capacitados pueden verificar fácilmente.

El tercer tipo de autenticación se basa en documentación u otras afirmaciones externas. En los tribunales penales, las normas de prueba suelen exigir establecer la cadena de custodia de las pruebas presentadas. Esto puede lograrse mediante un registro escrito de las pruebas o mediante el testimonio de los detectives y el personal forense que las manipularon. Algunas antigüedades van acompañadas de certificados que atestiguan su autenticidad. Los objetos deportivos autografiados suelen ir acompañados de un certificado de autenticidad. Estos registros externos presentan sus propios problemas de falsificación y perjurio , y también son vulnerables a separarse del objeto y perderse.

Los bienes de consumo como productos farmacéuticos, ^{[ 4 ]} perfumes y ropa pueden utilizar todas las formas de autenticación para evitar que los productos falsificados se aprovechen de la reputación de una marca popular. Como se mencionó anteriormente, el hecho de que un artículo esté a la venta en una tienda de buena reputación certifica implícitamente su autenticidad, el primer tipo de autenticación. El segundo tipo de autenticación podría implicar comparar la calidad y la mano de obra de un artículo, como un bolso caro, con artículos auténticos. El tercer tipo de autenticación podría ser la presencia de una marca registrada en el artículo, que es una marca protegida legalmente, o cualquier otra característica identificativa que ayude a los consumidores a identificar productos de marca auténticos. Con el software, las empresas han tomado grandes medidas para protegerse de los falsificadores, incluyendo la adición de hologramas, anillos de seguridad, hilos de seguridad y tinta que cambia de color. ^{[ 5 ]}

Los productos falsificados a menudo se ofrecen a los consumidores como si fueran auténticos. Bienes de consumo falsificados , como productos electrónicos, música, ropa y medicamentos falsificados , se han vendido como si fueran legítimos. Los esfuerzos por controlar la cadena de suministro y educar a los consumidores ayudan a garantizar que se vendan y utilicen productos auténticos. Sin embargo, incluso la impresión de seguridad en envases, etiquetas y placas de identificación es susceptible de falsificación. ^{[ 6 ]}

En su guía de tecnologías antifalsificación, ^{[ 7 ]} el Observatorio de la EUIPO sobre las infracciones de los derechos de propiedad intelectual clasifica las principales tecnologías antifalsificación actualmente en el mercado en cinco categorías principales: electrónicas, de marcado, químicas y físicas, mecánicas y tecnologías para medios digitales. ^{[ 8 ]}

Los productos o sus envases pueden incluir un código QR variable . Un código QR por sí solo es fácil de verificar, pero ofrece un nivel de autenticación débil, ya que no ofrece protección contra falsificaciones a menos que los datos de escaneo se analicen a nivel del sistema para detectar anomalías. ^{[ 9 ]} Para aumentar el nivel de seguridad, el código QR se puede combinar con una marca de agua digital o un patrón de detección de copias que sean resistentes a los intentos de copia y se puedan autenticar con un teléfono inteligente.

Un dispositivo de almacenamiento de claves seguro puede utilizarse para la autenticación en electrónica de consumo, autenticación de redes, gestión de licencias, gestión de la cadena de suministro, etc. Generalmente, el dispositivo que se va a autenticar necesita algún tipo de conexión digital inalámbrica o por cable a un sistema anfitrión o a una red. No obstante, el componente que se autentica no tiene por qué ser electrónico, ya que un chip de autenticación puede conectarse mecánicamente y leerse a través de un conector al sistema anfitrión; por ejemplo, un cartucho de tinta autenticado para su uso con una impresora. Para los productos y servicios a los que se pueden aplicar estos coprocesadores seguros, ofrecen una solución mucho más difícil de falsificar que la mayoría de las demás opciones, a la vez que resulta más fácil de verificar. ^{[ 2 ]}

En alfabetización, la autenticación es un proceso mediante el cual los lectores cuestionan la veracidad de un aspecto de la literatura y luego verifican esas preguntas a través de la investigación. La pregunta fundamental para la autenticación de la literatura es: ¿Se cree en ella? En relación con esto, un proyecto de autenticación es, por lo tanto, una actividad de lectura y escritura en la que los estudiantes documentan el proceso de investigación pertinente. ^{[ 13 ]} Desarrolla la alfabetización crítica de los estudiantes. Los materiales de documentación para la literatura van más allá de los textos narrativos y probablemente incluyan textos informativos, fuentes primarias y multimedia. El proceso generalmente implica tanto investigación en internet como investigación práctica en bibliotecas. Al autenticar ficción histórica en particular, los lectores consideran hasta qué punto los principales eventos históricos, así como la cultura retratada (por ejemplo, el idioma, la vestimenta, la comida, los roles de género), son creíbles para el período. ^{[ 3 ]} La falsificación literaria puede implicar imitar el estilo de un autor famoso. Si se dispone de un manuscrito original , un texto mecanografiado o una grabación, entonces el soporte en sí (o su empaque, cualquier cosa, desde una caja hasta los encabezados de correo electrónico ) puede ayudar a probar o refutar la autenticidad del documento. Sin embargo, el texto, el audio y el video pueden copiarse en nuevos soportes, dejando posiblemente solo el contenido informativo para su autenticación. Se han inventado diversos sistemas para permitir a los autores proporcionar a los lectores un medio para autenticar de forma fiable que un mensaje determinado se originó o fue transmitido por ellos. Estos sistemas incluyen factores de autenticación como:

• Un objeto físico difícil de reproducir, como un sello , una firma , una marca de agua , papelería especial o una huella dactilar.
• Un secreto compartido , como una contraseña, incluido en el contenido del mensaje.
• Una firma electrónica ; la infraestructura de clave pública se utiliza a menudo para garantizar criptográficamente que un mensaje ha sido firmado por el titular de una clave privada determinada.

El problema opuesto es la detección del plagio , donde la información de otro autor se presenta como propia. Una técnica común para probar el plagio es el descubrimiento de otra copia del mismo texto o de uno muy similar, con una atribución diferente. En algunos casos, una calidad excesivamente alta o una discrepancia en el estilo pueden generar sospechas de plagio.

El proceso de autenticación es distinto del de autorización . Mientras que la autenticación consiste en verificar que "eres quien dices ser", la autorización consiste en verificar que "tienes permiso para hacer lo que intentas hacer". Si bien la autorización suele ocurrir inmediatamente después de la autenticación (por ejemplo, al iniciar sesión en un sistema informático), esto no significa que la autorización presuponga la autenticación: un agente anónimo podría estar autorizado a un conjunto limitado de acciones. ^{[ 14 ]} De manera similar, el establecimiento de la autorización puede ocurrir mucho antes de que se tome la decisión de autorización .

Se puede otorgar acceso a sistemas seguros a un usuario mediante credenciales que implican autenticidad. ^{[ 15 ]} Un administrador de red puede proporcionarle una contraseña , una tarjeta de acceso u otros dispositivos para permitirle el acceso al sistema. En este caso, la autenticidad se da por sentada, pero no se garantiza.

La mayoría de las comunicaciones seguras en internet se basan en relaciones de confianza centralizadas, como las que se utilizan en HTTPS , donde las autoridades de certificación públicas (CA) garantizan la autenticidad de los sitios web. Este mismo modelo de confianza centralizada sustenta protocolos como OIDC ( OpenID Connect ), donde los proveedores de identidad (por ejemplo, Google ) autentican a los usuarios en nombre de las aplicaciones que confían en ellos. En contraste, la confianza descentralizada entre pares, también conocida como red de confianza , se utiliza comúnmente para servicios personales como el correo electrónico seguro o el intercambio de archivos. En sistemas como PGP , la confianza se establece cuando los individuos verifican y firman personalmente las claves criptográficas de los demás, sin depender de una autoridad central.

Estos sistemas utilizan protocolos criptográficos que, en teoría, no son vulnerables a la suplantación de identidad siempre que la clave privada del emisor permanezca intacta. Es importante destacar que, incluso si el propietario de la clave desconoce la vulnerabilidad, el fallo criptográfico invalida la confianza. Sin embargo, aunque estos métodos se consideran seguros actualmente, no son infalibles: futuros avances matemáticos o computacionales (como la computación cuántica o nuevos ataques algorítmicos) podrían exponer vulnerabilidades. De ocurrir esto, podría socavar retroactivamente la confianza en comunicaciones o acuerdos anteriores. Por ejemplo, un contrato firmado digitalmente podría ser impugnado si posteriormente se descubre que el algoritmo de firma es inseguro.

Factores de autenticación

Las formas en que una persona puede ser autenticada se dividen en tres categorías, según los factores de autenticación: algo que el usuario sabe, algo que el usuario posee y algo que el usuario es. Cada factor de autenticación abarca una serie de elementos utilizados para autenticar o verificar la identidad de una persona antes de otorgarle acceso, aprobar una solicitud de transacción, firmar un documento u otro producto de trabajo, otorgar autoridad a otros y establecer una cadena de autoridad.

Las investigaciones en seguridad han determinado que, para una autenticación positiva, se deben verificar elementos de al menos dos, y preferiblemente de los tres, factores. ^{[ 16 ] [ 17 ]} Los tres factores (clases) y algunos de los elementos de cada factor son:

1. Conocimiento: Algo que el usuario sabe (por ejemplo, una contraseña, contraseña parcial , frase de contraseña , número de identificación personal (PIN), desafío-respuesta (el usuario debe responder una pregunta o patrón), pregunta de seguridad ). ^{[ 18 ]}
2. Propiedad: Algo que el usuario posee (por ejemplo, pulsera, tarjeta de identificación , token de seguridad , dispositivo implantado , teléfono celular con un token de hardware incorporado , token de software o teléfono celular que contiene un token de software ). ^{[ 18 ]}
3. Inherencia: Algo que el usuario es o hace (por ejemplo, huella dactilar, patrón retiniano , secuencia de ADN (hay varias definiciones de lo que es suficiente), firma, rostro, voz, señales bioeléctricas únicas u otros identificadores biométricos ). ^{[ 18 ]} Históricamente, las huellas dactilares se han utilizado como el método de autenticación más autorizado, pero los casos judiciales en los EE. UU. y otros lugares han planteado dudas fundamentales sobre la fiabilidad de las huellas dactilares. ^{[ 19 ]} Fuera del sistema legal también, las huellas dactilares son fácilmente falsificables , y el principal funcionario de seguridad informática de British Telecom señaló que "pocos" lectores de huellas dactilares no han sido engañados ya por una falsificación u otra. ^{[ 20 ]} Los métodos de autenticación híbridos o de dos niveles ofrecen una solución convincente, como las claves privadas cifradas por huella dactilar dentro de un dispositivo USB.

autenticación de un solo factor

Como el nivel de autenticación más débil, solo se utiliza un componente de una de las tres categorías de factores para autenticar la identidad de una persona. El uso de un solo factor no ofrece mucha protección contra el uso indebido o la intrusión maliciosa. Este tipo de autenticación no se recomienda para transacciones financieras o personales que requieran un mayor nivel de seguridad. ^{[ 21 ]}

autenticación multifactor

La autenticación multifactor implica dos o más factores de autenticación (algo que sabes, algo que tienes o algo que eres). La autenticación de dos factores es un caso especial de autenticación multifactor que implica exactamente dos factores. ^{[ 21 ]}

Por ejemplo, usar una tarjeta bancaria (algo que el usuario posee) junto con un PIN (algo que el usuario conoce) proporciona autenticación de dos factores. Las redes empresariales pueden requerir que los usuarios proporcionen una contraseña (factor de conocimiento) y un número pseudoaleatorio de un token de seguridad (factor de propiedad). El acceso a un sistema de muy alta seguridad podría requerir un control de seguridad mediante verificación de altura, peso, rostro y huellas dactilares (varios elementos del factor de inherencia), además de un PIN y un código de día (elementos del factor de conocimiento) ^{[ 22 ]} , pero esto sigue siendo una autenticación de dos factores.

Tipos de autenticación

Autenticación fuerte

El Glosario Nacional de Seguridad de la Información del gobierno de los Estados Unidos define la autenticación fuerte como un enfoque de autenticación por capas que se basa en dos o más autenticadores para establecer la identidad de un originador o receptor de información. ^{[ 23 ]}

El Banco Central Europeo (BCE) ha definido la autenticación fuerte como «un procedimiento basado en dos o más de los tres factores de autenticación». Los factores utilizados deben ser mutuamente independientes y al menos uno de ellos debe ser «no reutilizable ni replicable», salvo en el caso de un factor de inherencia, y además debe ser imposible de robar de Internet. Tanto en Europa como en Estados Unidos, la autenticación fuerte es muy similar a la autenticación multifactor o 2FA, pero con requisitos más rigurosos. ^{[ 21 ] [ 24 ]}

La Alianza FIDO se ha esforzado por establecer especificaciones técnicas para una autenticación sólida. ^{[ 25 ]}

Autenticación continua

Los sistemas informáticos convencionales solo autentican a los usuarios en la sesión inicial, lo que puede constituir una grave vulnerabilidad de seguridad. Para solucionar este problema, los sistemas necesitan métodos de autenticación continua que supervisen y autentiquen a los usuarios de forma continua basándose en alguna característica biométrica. Un estudio utilizó biometría conductual basada en estilos de escritura como método de autenticación continua. ^{[ 26 ] [ 27 ]}

Investigaciones recientes han demostrado la posibilidad de utilizar sensores y accesorios de teléfonos inteligentes para extraer algunos atributos de comportamiento, como la dinámica táctil, la dinámica de pulsación de teclas y el reconocimiento de la marcha . ^{[ 28 ]} Estos atributos se conocen como biometría conductual y podrían utilizarse para verificar o identificar usuarios de forma implícita y continua en teléfonos inteligentes. Los sistemas de autenticación que se han construido a partir de estos rasgos biométricos conductuales se conocen como sistemas de autenticación activa o continua. ^{[ 29 ] [ 27 ]}

Autenticación digital

El término autenticación digital, también conocida como autenticación electrónica o e-autenticación, se refiere a un conjunto de procesos en los que se establece la confianza en la identidad de los usuarios y se presenta mediante métodos electrónicos a un sistema de información. El proceso de autenticación digital plantea desafíos técnicos debido a la necesidad de autenticar a personas o entidades de forma remota a través de una red. El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) ha creado un modelo genérico para la autenticación digital que describe los procesos utilizados para lograr una autenticación segura.

1. Inscripción: una persona solicita a un proveedor de servicios de credenciales (CSP) que inicie el proceso de inscripción. Tras verificar satisfactoriamente la identidad del solicitante, el CSP le permite convertirse en suscriptor.
2. Autenticación: Tras suscribirse, el usuario recibe un autenticador (por ejemplo, un token) y credenciales (como un nombre de usuario). A continuación, puede realizar transacciones en línea dentro de una sesión autenticada con una entidad de confianza, donde deberá demostrar que posee uno o más autenticadores.
3. Mantenimiento del ciclo de vida: el CSP se encarga de mantener la credencial del usuario durante toda su vida útil, mientras que el suscriptor es responsable de mantener su(s) autenticador(es). ^{[ 21 ] [ 30 ]}

La autenticación de la información puede plantear problemas específicos en la comunicación electrónica, como la vulnerabilidad a los ataques de intermediario (man-in-the-middle) , en los que un tercero intercepta la comunicación y se hace pasar por cada una de las otras partes para obtener información. Es posible que se requieran factores de identidad adicionales para autenticar la identidad de cada participante.

• Autenticación (ley)
• Protocolo de autenticación
• Firma electrónica
• Autorización
• OpenID

• Instituto Nacional de Estándares y Tecnología , Departamento de Comercio de los Estados Unidos (agosto de 2013). "Directrices de autenticación electrónica: Publicación especial 800-63-2 del NIST" (PDF) . Archivado (PDF) del original el 3 de octubre de 2013.
• "Nuevas publicaciones del NIST describen estándares para credenciales de identidad y sistemas de autenticación".