Opciones tecnológicas para identidad digital más fuerte

Los métodos de sustitución de las contraseñas asumen diversas formas

Cada mes que pasa trae consigo al parecer una nueva violación de contraseñas o una vulnerabilidad de Internet. Las empresas están conscientes de la inseguridad de las contraseñas y realizan una búsqueda activa de diferentes tecnologías de autenticación e identidad digital.

La autenticación multifactor puede contribuir en gran medida para evitar muchas de estas violaciones, ya que las contraseñas siguen ocupando el primer lugar dentro de las vías por las que los hackers ganan acceso a la información en las redes informáticas, según el informe de Verizon “2014 Data Breach Investigation” (Investigación sobre violaciones de datos 2014).

Dos de cada tres violaciones explotan las contraseñas débiles o robadas, lo que pone de relieve la necesidad de una fuerte autenticación de doble factor, señala Jay Jacobs, coautor del informe y ejecutivo de Verizon Business. “En sentido general los hackers se enfocan a comprometer identidades”, explica.

El informe sobre las violaciones de datos de 2014 analiza más de 1,300 casos confirmados, junto con más de 63,000 incidentes de seguridad reportados. En un intento por lograr mejor comprensión sobre el panorama de la seguridad en el ciberespacio, por primera vez el informe incluye incidentes de seguridad que no devinieron en violaciones.

En los 10 años que abarca el estudio, el número de violaciones de datos sobrepasa 3,800.

Las contraseñas débiles o predeterminadas condujeron a muchos de los ataques de puntos de venta el pasado año. La mayoría de esos dispositivos están abiertos en Internet y los pequeños comerciantes no los protegen con contraseñas, o utilizan contraseñas débiles o no cambian las que vienen predeterminadas.

“El gran problema fue que la misma contraseña fue utilizada para todas las organizaciones gestionadas por el vendedor. Una vez robada, esencialmente se convirtió en la contraseña predeterminada y los atacantes también obtuvieron información sobre la base de clientes. Con esta información en su poder, se inició el acostumbrado modus operandi de instalar un código malicioso que capturaba y transmitía los datos deseados”, señala el informe.

Verizon recomienda que los comerciantes se aseguren de que las contraseñas utilizadas para el acceso remoto a los sistemas de puntos de venta no sean las predeterminadas de fábrica, el nombre del vendedor, palabras de los diccionarios u otras opciones débiles. Si un tercero se encarga de esta responsabilidad, tienen que asegurarse que se ajuste a este requerimiento. También es crucial la autenticación de doble factor.

Otro terreno en que el objetivo han sido las credenciales, son los ataques a aplicaciones en la web. Esos ataques se producen en una de estas dos formas: aprovechando una debilidad en la aplicación, o utilizando credenciales robadas para hacerse pasar por un usuario válido.

Dentro de la industria financiera, por ejemplo, los hackers se concentran en lograr acceso a la interfaz de usuario en la aplicación de banca en línea.

“Se enfocan hacia las credenciales de usuario y simplemente utilizan aplicaciones en línea protegidas por un solo factor –una contraseña- como la vía para su objetivo. Las tácticas empleadas por los atacantes son las usuales: a) técnicas de phishing (suplantación) para engañar al usuario y que les proporcione sus credenciales, o para instalar malware en el sistema del cliente, b) el viejo recurso de adivinar la contraseña, y c) los casos raros en que se ataca la aplicación mediante SQL”, explica el informe.

Verizon nuevamente destaca la debilidad de la contraseña de un solo factor en estos ataques, y recomienda que las empresas instruyan el uso de mecanismos alternativos de autenticación.

Diferentes enfoques para resolver la debilidad de las contraseñas

Para combatir esas amenazas y promover la seguridad en Internet, los vendedores están presentando una amplia gama de enfoques y tecnologías de autenticación. El interés común es hacer que la identidad en línea sea más segura sin añadir molestas complicaciones.

A menudo se emplea el término “fricción” en relación a la identidad en línea. Esto no se refiere al acto físico de friccionar un token sobre una laptop o teléfono inteligente, sino que se refiere al grado de dificultad que impone una tecnología de autenticación para lograr el acceso a un servicio o sitio web.

En realidad no existe ningún esquema de autenticación que no tenga algún grado de fricción. Pero la meta de los proveedores de tecnología y de las partes que implementan esos nuevos sistemas, es desarrollar un esquema con el menor nivel de fricción posible. He aquí algunas de las muchas compañías que trabajan en la búsqueda de soluciones.

Yubico

Yubico ofrece una memoria USB sin controlador denominada Yubikey, que sirve como segundo factor de autenticación, explica Stina Ehrensvard, directora general y fundadora de la compañía. Google utiliza internamente la tecnología y siete de las 10 firmas más importantes de Internet también la utilizan para seguridad lógica dentro de la empresa.

Para autenticar de forma segura a los ingenieros en las redes productivas y servidores, Facebook implantó la solución Yubikey para una rápida y fácil autenticación de los empleados.

Yubikey es una de una serie de opciones de autenticación de doble factor que los empleados de Facebook pueden escoger. Empleando la plataforma de Duo Security basada en nube, puede habilitarse un conjunto de opciones: notificación automática, SMS, móvil y voz.

Con Duo, los usuarios tienen alternativas de dispositivo y método cada vez que se autentifican. Adicionalmente, Duo brinda soporte a todo tipo de teléfono, desde los teléfonos inteligentes hasta los fijos, y permite que los usuarios se autentifiquen con una variedad de factores de autenticación, incluyendo YubiKey.

El YubiKey Nano está diseñado para quedarse insertado dentro de la ranura USB. Para autenticar, los usuarios simplemente presionan el dispositivo, un código de acceso ingresa de forma automática e instantánea, no hay necesidad de volver a escribir físicamente los códigos.

Los desarrolladores de la Web pueden emplear las herramientas de fuente abierta que están ampliamente disponibles para crear sistemas que utilizan YubiKey para el acceso, señala Ehrensvard. Ella compara Yubikey con una tarjeta inteligente en forma de llavero, más que un dispositivo básico para código de acceso de un solo uso (OTP).

“La tecnología de código de acceso de un solo uso es buena, pero surgen algunas amenazas, como son los ataques man-in-the-middle o man-in-the-browser. Es mejor que las contraseñas, pero no tan bueno como las tarjetas inteligentes”, aclara.

La tecnología de tarjeta inteligente también tiene sus desventajas, explica Ehrensvard. “Las tarjetas inteligentes con complejas, necesitan lectores, middleware y una autoridad de certificación”, señala Ehrensvard. “Estamos tratando de llevar la tecnología de tarjeta inteligente al mercado de consumo masivo eliminando las barreras y la complejidad”.

Yubikey no requiere middleware, ni controladores o autoridad de certificación. En lugar de ello, la autenticación se sitúa en el navegador, permitiendo que los desarrolladores de la web creen protocolos de autenticación que sacan ventajas del dispositivo.

En modo predeterminado, YubiKey funciona emitiendo un código de acceso de una sola vez emulando un teclado USB. Como casi todas las computadoras modernas son compatibles con los teclados USB, YubiKey no requiere un software adicional de cliente.

Un usuario ingresa una contraseña, inserta el YubiKey en el puerto USB y presiona el botón para que emita la OTP. Esta es verificada por el software o servicio que da soporte al Yubikey, autorizando en menos de un segundo el inicio de sesión seguro.

Cada vez que se genera un nuevo OTP, este invalida todos los códigos de acceso generados previamente. Esto significa que aunque haga una grabación del YubiKey, este no puede ser utilizado de nuevo para obtener acceso a un sitio o servicio protegido. Cada OTP es único para el YubiKey que lo genera y no puede duplicarse ni copiarse a otro dispositivo.

Yubico es miembro de FIDO Alliance, una organización dedicada a llevar a las masas una autenticación de alta seguridad. La Alianza trabaja por un Marco Universal de Autenticación y un Segundo Factor Universal.

FIDO y la autenticación universal

La experiencia de FIDO sin uso de contraseña está sustentada en el Marco de Autenticación Universal. Empleando ese marco, el usuario registra un dispositivo en el servicio en línea seleccionando el mecanismo preferido para la autenticación, como puede ser deslizar un dedo, mirar hacia la cámara, hablarle a un micrófono o ingresar un PIN. Una vez registrado, el usuario simplemente repite la acción que ha seleccionado para autenticarse cada vez que necesite realizar la autenticación para el servicio. También pueden combinarse varios mecanismos de autenticación. La experiencia de doble factor de FIDO es definida por el protocolo de Segundo Factor Universal, que permite que los servicios en línea incrementen la seguridad mediante un factor adicional de autenticación.

Bluetooth para acceso

Kenneth Weiss, desarrollador de la tecnología de autenticación basada en token que pasó a ser SecurID de RSA, está trabajando en una aplicación de teléfono inteligente que habilitará autenticación de tres factores sin requerir hardware adicional. Después de descargar la aplicación a un teléfono o computadora, la autenticación se realiza mediante Bluetooth, explica Weiss. La persona se autentifica al teléfono y la aplicación con un PIN o contraseña, y esta se autentifica a la computadora para lograr seguridad de dos factores. Si el teléfono tiene un lector biométrico, se puede lograr además una seguridad de tres factores. El teléfono envía un código de acceso a la computadora cada 30 segundos, ofreciendo así una autenticación constante.

Hay planes de crear una API con el fin de habilitar también el acceso a sitios web y redes seguras. Universal Secure Registry está trabajando en aplicaciones para iOS y Android, y el lanzamiento debe producirse a mediados de 2014.

Toopher

Toopher está anunciando la autenticación invisible con el lema: “Muy efectivo para James Bond, pero también para que lo use tu mamá”.



Cuando una empresa habilita un sitio para Toopher, un dispositivo móvil de un usuario puede servir como segundo factor de autenticación, explica Roman Gonzalez, director de marketing de la compañía. Un consumidor inicia sesión en un sitio habilitado con Toopher y opta por registrar su dispositivo móvil. Se le pide que descargue la aplicación Toopher al móvil, si todavía no lo ha hecho. Un mensaje es enviado a la aplicación detallando el sitio que se ha de añadir en la cadena Toopher del usuario. Este puede permitir o denegar el sitio. Cuando lo aprueba, queda conectado al mismo y se produce la autenticación invisible. Toopher utiliza la función de geolocalización del dispositivo móvil y lo autentica a los sitios a los que típicamente se conecta. En caso de algún sitio que no sea usual, le envía al móvil una solicitud para hacerlo.

La idea, es hacer que las transacciones sean más seguras sin tener que sacar el dispositivo móvil cada vez que tiene que conectarse.

Combatiendo la amenaza

Como muestra el informe de Verizon, la seguridad en el ciberespacio es más vulnerable que nunca. Los hackers seguirán buscando las identificaciones de usuario y contraseñas débiles. En la medida en que proliferan las violaciones, se acelera más la carrera por mejorar la autenticación en línea.

Los ejemplos detallados anteriormente muestran que hay muchas ideas de solución, desde el uso de hardware hasta software, y de lo activo a lo invisible. Está surgiendo un vasto ecosistema de compañías dirigidas a combatir el fraude y ayudar tanto a los consumidores como a las empresas a combatir esta creciente amenaza.


Fuente:IDNoticias

Gobierno, SIM y pagos: 87% de ventas de tarjetas inteligentes

Más implementaciones de pasaporte electrónico, el desplazamiento hacia EMV, y la siempre popular SIM, siguen siendo los factores principales de la amplia mayoría de las ventas de tarjetas inteligentes en el mundo. En 2013 se vendieron un total de 8,000 millones de tarjetas inteligentes, y según ABI Research, el 87% correspondió a tarjetas de identificación gubernamental, SIM, y aplicaciones bancarias y de pagos.

De estas tres verticales comerciales, las más destacadas fueron Gemalto, Oberthur Technologies, G&D y Morpho con una participación mercantil combinada del 66% en 2013. Se espera que estas tres aplicaciones influyan en el crecimiento mercantil y en 2019 alcancen un 89% del total de ventas de tarjetas inteligentes.

Las expectativas y factores de impulso para cada uno de estos tres mercados verticales son las siguientes:

Tarjetas de identificación gubernamental: Se espera que los volúmenes de ventas se incrementen en más del doble entre 2013 y 2019. El sostenido desplazamiento hacia el uso de pasaportes electrónicos será estimulado por la introducción de la especificación Control de Acceso Suplementario (Supplemental Access Control), junto con la migración hacia credenciales de segunda generación por los países que quieren emplear la funcionalidad sin contacto junto con las aplicaciones de contacto ya existentes.

Pagos y banca: Se pronostica un incremento en la adopción de EMV y tarjeta inteligente de 1,670 millones de unidades en 2013 a 3,330 millones en 2019. En cuanto al tercer trimestre de 2014, el año ha resultado próspero con los EEUU iniciando la emisión a gran escala de la tarjeta EMV, junto con China elevando la migración de su banco People’s Bank of China. Se adicionarán otros volúmenes gracias al crecimiento en otros países, incluyendo Indonesia y la India.

SIM: La mayor interrogante está en el mercado de tarjetas SIM, que ha decrecido de 5,100 millones de unidades a 4,900 millones. El año 2013 ha sido difícil y plantea cuestionamientos con respecto a la capacidad del mercado SIM para recuperarse.

Pero hay una buena perspectiva con la inclusión de las tarjetas SIM en otros dispositivos. “Estamos observando una mayor penetración de SIM en otros dispositivos electrónicos de consumo conectados, lo que supone una nueva oleada de crecimiento”, señala Phil Sealy, analista senior de ABI. “Adicionalmente, las SIM integradas pudieran motivar una mayor adopción en aplicaciones M2M (máquina-a-máquina) y posiblemente disminuir las barreras en los costos por la inclusión en los dispositivos de consumo. El mensaje es que todavía no se trata de descartar el mercado de tarjeta SIM, ya que hay nuevas oportunidades en el horizonte”.



Fuente: IDNoticias

Barclays lanza lector de venas de los dedos

Barclays está dando otro paso en la lucha contra el fraude al lanzar el lector de las venas de los dedos, empleando la tecnología de autenticación de Hitachi.

Al escanear un dedo, el cliente puede acceder a sus cuentas bancarias en línea y autorizar pagos en unos segundos, sin necesidad de PIN, contraseñas o códigos de autenticación. La tecnología inicialmente estará a disposición de los clientes bancarios de Barclays a partir de 2015.

El dispositivo puede leer y examinar los patrones únicos de las venas de los dedos del usuario, lo que ayuda a combatir el fraude de identidad sufrido por los comerciantes británicos. Bancos de Japón, Norteamérica y Europa utilizan VeinID de Hitachi para la sustitución de contraseñas, el inicio único de sesión y en los cajeros automáticos. Pero Barclays está combinando la tecnología biométrica y la firma digital en el lector biométrico de Barclays. Existe un potencial para que en el futuro se amplíe su introducción en las redes de las sucursales en el Reino Unido, llevando esa poderosa tecnología a millones de consumidores.

El lanzamiento del lector biométrico de Barclays le sigue a la exitosa introducción de la biometría de voz para la identificación de los clientes de Barclays Wealth en las llamadas telefónicas, eliminando la necesidad de utilizar contraseñas o preguntas de seguridad.

“En fin, yo espero que esto siente las bases para que otras instituciones adopten tecnologías igualmente robustas para luchar contra el crimen en línea”, expresó Ashok Vaswani, director general de Personal y Banca Comercial de Barclays.

Recientemente el banco Getin de Polonia implementó la tecnología de venas de los dedos en algunas de sus ramas para verificar a los clientes.

Vea un video ilustrativo aquí


Fuente:IDNoticias

Autenticación de dos factores es clave para proteger la nube

Han pasado seis años desde la notable violación del servicio de nube de Salesforce.com, cuando un empleado entregó una contraseña en un ataque “phishing” contra la compañía. Como resultado, los hackers pudieron obtener los detalles de miles de clientes de Salesforce y después enviarles a estos una serie de correos electrónicos “phishing” que aparecían como si fueran de la compañía. En aquel momento Salesforce le dijo a sus clientes que “consideraran el uso de autenticación de dos factores”.

Pasemos al momento actual y veremos que los problemas de seguridad en la nube persisten. En octubre del año pasado unos hackers lograron burlar la seguridad de la nube Creative de Adobe y su servicio Revel de compartir fotos, obteniendo así las identificaciones y contraseñas de clientes de Adobe. Si los clientes de Adobe hubieran estado utilizando autenticación de doble factor, habrían estado seguros porque las contraseñas comprometidas serían inútiles sin el segundo autenticador.

La autenticación de dos factores es esencial, lo mismo si accedes o proporcionas acceso a una nube pública, privada o híbrida. Pero aún hoy la mayoría de las empresas que utilizan múltiples servicios de nube le dan preferencia a la conveniencia por encima de la seguridad. Esto obedece en primer lugar a la percepción desactualizada de que implementar una autenticación fuerte es algo complicado, costoso, que es difícil lograr la aprobación administrativa, la implementación es engorrosa y además inconveniente para los usuarios.

Actualmente la evolución de los servicios de nube ha eliminado muchas de esas barreras. La seguridad se ha convertido en un tema prioritario debido a la intensa publicidad sobre el elevado costo de las violaciones de datos y el costo más alto aún para la reputación de las marcas. Recientes adelantos en la arquitectura de software de red y en las herramientas administrativas han reducido los costos, el tiempo y la especialización requerida para implementar una fuerte autenticación en el control de acceso a los servicios en nube.

Soluciones fuertes y asequibles para autenticación de doble factor

Los proveedores de servicio en nube que quieran pasar rápidamente a la utilización de una autenticación fuerte deben empezar por considerar los controles de acceso mediante contraseña de un solo uso. Las soluciones de contraseña de un solo uso (OTP) incrementan la seguridad del proceso de inicio de sesión asegurando que la persona que accede a la red está en posesión de dos factores de verificación de identidad: algo que tienen que es el dispositivo OTP y algo que conocen, el nombre de usuario y potencialmente una contraseña.

Los generadores de contraseñas de un solo uso vienen en diversos factores de forma, como tokens de hardware portátiles, tarjetas display, SMS y aplicaciones móviles. Todos estos son medios efectivos para implementar la autenticación de dos factores, y son un ejemplo de cómo diferentes soluciones pueden resolver diferentes necesidades. Un token OTP puede colocarse fácilmente en una cinta de cuello o un llavero, y una tarjeta display puede llevarse en la billetera. Ambos proporcionan una segunda y efectiva capa de autenticación sin que resulte una molestia.

La mensajería móvil de texto y las aplicaciones móviles son medios incluso más baratos para proveer contraseñas de un solo uso, en especial cuando se está generalizando la práctica BYOD (“Trae tu propio dispositivo”). Actualmente ya no existe un profesional que no lleve consigo el dispositivo móvil, sea un teléfono inteligente o una tableta. Emplear esos dispositivos móviles como token OTP ahorra dinero y reduce complejidad.

Hay dos formas de utilizar los dispositivos móviles para la autenticación OTP:

SMS. Esto permite que el usuario pida una contraseña de un solo uso cuando se conecta a un recurso específico. El usuario recibe un mensaje de texto de la red en base al número móvil que está registrado en la compañía. Esto ofrece el mismo nivel de autenticación fuerte, pero sin necesidad de implementar ningún hardware adicional.

Aplicación de teléfono inteligente. Con el auge de las tiendas de aplicaciones, han aparecido aplicaciones OTP que funcionan con todos los principales sistemas operativos de los teléfonos inteligentes. Cuando se le pide a un usuario que ingrese una contraseña de un solo uso para una autenticación fuerte, lo único que tiene que hacer es lanzar la aplicaciones que generan una OTP. Esto también elimina la necesidad de un dispositivo adicional de hardware, lo que hace que el método sea económico y fácil de usar.

Otra importante ventaja del empleo del dispositivo móvil como token OTP es la capacidad de descargar y proveerse por sí mismo de la aplicación. Las empresas pueden subcontratar la operación del servidor de autenticación a un proveedor de soluciones, o llevar la tecnología a la empresa mediante hosting local (on-premise). Las organizaciones pueden emplear la solución en toda una variedad de teléfonos y entornos móviles de trabajo.

Para las compañías que investigan soluciones OTP, es importante considerar la opción de una solución que cumpla con las actuales normas OATH (Open Authentication Organization). Esos estándares industriales para la autenticación pueden ayudar a reducir costos y obviar los inconvenientes de las soluciones de propiedad.

La computación en nube no es una tendencia transitoria. Forrester predice que el mercado global de computación en nube crecerá a más de $241,000 millones en 2020, y el “Informe del Estado de la Nube” 2013 de CDW expuso que el 75% de los negocios reportaron que utilizaban algún tipo de plataforma de nube. Tanto la nube como el dispositivo móvil inteligente han conducido a las empresas a una nueva era de productividad, eficiencia y conveniencia, pero en ocasiones a expensas de la seguridad.

Si los proveedores de servicios en nube quieren desplegar todo el potencial de nube, tienen que ofrecer métodos más sólidos de autenticación. Esto ahora es más fácil y económico que nunca antes, y puede ser tan sencillo como utilizar dispositivos que todos conocemos y portamos – nuestros teléfonos inteligentes – como ese algo “que tenemos” cuando nos conectamos a un servicio de nube.


Fuente:IDNoticias

Morpho lanza escáner de huellas digitales sin contacto

Morpho anunció el lanzamiento comercial de Finger On the Fly, un escáner sin contacto para cuatro dedos. Mediante el empleo de una avanzada tecnología de imágenes, este sistema captura simultáneamente cuatro huellas digitales con un simple gesto de la mano.

Finger On the Fly (que puede traducirse como ‘dedos al vuelo’) se mostrará en la Cumbre Global de Identidad 2014 en Tampa, Florida, entre los días 16 y 18 de septiembre.

Finger on the Fly proporciona seguridad mediante la búsqueda de coincidencia multi-dedos, y la conveniencia de una rápida captura sin contacto. Gracias a la captura de alta resolución de las huellas digitales en menos de un segundo, Finger On the Fly es el dispositivo biométrico sin contacto más rápido del mercado.

Finger on the Fly garantiza que los mercados e industrias que requieren una operación sin contacto, puedan ahora beneficiarse con la tecnología de huellas digitales de Morpho. Finger On the Fly es apropiado para aplicaciones tales como el control fronterizo en los aeropuertos, el control de acceso a sitios sensibles y de alto tráfico, gestión de flujo y una amplia gama de otras situaciones en que el registro y la búsqueda de coincidencia a alta velocidad, así como la conveniencia y la seguridad son prioritarias.

Fuente: IDNoticias