La autenticación electrónica es el proceso de establecer confianza en las identidades de los usuarios presentadas electrónicamente a un sistema de información . [1] La autenticación digital, o e-autenticación, puede usarse como sinónimo para referirse al proceso de autenticación que confirma o certifica la identidad y el funcionamiento de una persona. Cuando se usa junto con una firma electrónica , puede proporcionar evidencia de si los datos recibidos han sido alterados después de ser firmados por su remitente original. La autenticación electrónica puede reducir el riesgo de fraude y robo de identidad al verificar que una persona es quien dice ser cuando realiza transacciones en línea. [2]
Se pueden utilizar varios métodos de autenticación electrónica para autenticar la identidad de un usuario, desde una contraseña hasta niveles más altos de seguridad que utilizan la autenticación multifactor (MFA). [3] Dependiendo del nivel de seguridad utilizado, el usuario podría necesitar probar su identidad mediante el uso de tokens de seguridad , preguntas de seguridad o estar en posesión de un certificado de una autoridad de certificación de terceros que dé fe de su identidad. [4]
El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) ha desarrollado un modelo genérico de autenticación electrónica [5] que proporciona un marco básico sobre cómo se lleva a cabo el proceso de autenticación independientemente de la jurisdicción o la región geográfica. Según este modelo, el proceso de inscripción comienza cuando una persona presenta una solicitud a un proveedor de servicios de credenciales (CSP). El CSP deberá demostrar la identidad del solicitante antes de continuar con la transacción. [6] Una vez que el CSP ha confirmado la identidad del solicitante, este recibe el estado de "suscriptor", se le proporciona un autenticador , como un token y una credencial, que puede tener la forma de un nombre de usuario.
El CSP es responsable de administrar la credencial junto con los datos de inscripción del suscriptor durante la vigencia de la credencial. El suscriptor será el encargado de mantener los autenticadores. Un ejemplo de esto es cuando un usuario normalmente usa una computadora específica para realizar sus operaciones bancarias en línea . Si intenta acceder a su cuenta bancaria desde otra computadora, el autenticador no estará presente. Para obtener acceso, el suscriptor deberá verificar su identidad ante el CSP, lo que podría hacerse respondiendo una pregunta de seguridad con éxito antes de obtener acceso. [4]
Un historial médico bien mantenido puede ayudar a los médicos y hospitales a conocer las condiciones médicas importantes del paciente en cuestión antes de realizar cualquier tratamiento. Por lo tanto, establecer y gestionar de forma segura los historiales médicos personales de cada individuo durante su vida en formato electrónico se ha convertido gradualmente en un tema de interés para los ciudadanos individuales y los departamentos de bienestar social. Como estos datos son privados por naturaleza, la autorización electrónica ayuda a garantizar que solo las partes autorizadas puedan acceder a los datos médicos.
La necesidad de autenticación ha estado presente a lo largo de la historia. En la antigüedad, las personas se identificaban entre sí mediante el contacto visual y la apariencia física. Los sumerios de la antigua Mesopotamia atestiguaban la autenticidad de sus escritos mediante sellos adornados con símbolos identificativos. Con el paso del tiempo, la forma más común de proporcionar autenticación fue la firma manuscrita. [2]
Hay tres factores generalmente aceptados que se utilizan para establecer una identidad digital para la autenticación electrónica, entre ellos:
De los tres factores, el factor biométrico es el más conveniente y convincente para probar la identidad de un individuo, pero es el más costoso de implementar. Cada factor tiene sus debilidades; por lo tanto, la autenticación confiable y sólida depende de la combinación de dos o más factores. Esto se conoce como autenticación multifactorial , [2] de la cual la autenticación de dos factores y la verificación en dos pasos son subtipos.
La autenticación multifactor aún puede ser vulnerable a ataques, incluidos ataques de tipo “man-in-the-middle” y ataques troyanos. [7]
Los tokens son, en general, algo que el solicitante posee y controla y que puede utilizarse para autenticar su identidad. En la autenticación electrónica, el solicitante se autentica en un sistema o aplicación a través de una red. Por lo tanto, un token utilizado para la autenticación electrónica es un secreto y debe protegerse. El token puede ser, por ejemplo, una clave criptográfica que se protege encriptándola con una contraseña. Un impostor debe robar la clave cifrada y averiguar la contraseña para utilizar el token.
Las contraseñas y los PIN se clasifican como métodos "que se conocen". Se considera que una combinación de números, símbolos y mayúsculas y minúsculas es más segura que una contraseña compuesta únicamente por letras. Además, la adopción de funciones de seguridad de la capa de transporte (TLS) o de capa de conexión segura (SSL) durante el proceso de transmisión de información también creará un canal cifrado para el intercambio de datos y protegerá aún más la información entregada. Actualmente, la mayoría de los ataques de seguridad se dirigen a los sistemas de autenticación basados en contraseñas. [8]
Este tipo de autenticación consta de dos partes: una es la clave pública y la otra es la clave privada. La clave pública la emite una autoridad de certificación y está disponible para cualquier usuario o servidor. La clave privada la conoce únicamente el usuario. [9]
El usuario comparte una clave única con un servidor de autenticación. Cuando el usuario envía un mensaje generado aleatoriamente (el desafío) cifrado con la clave secreta al servidor de autenticación, si el servidor puede hacer coincidir el mensaje con su clave secreta compartida, el usuario queda autenticado. Cuando se implementa junto con la autenticación con contraseña, este método también proporciona una posible solución para los sistemas de autenticación de dos factores . [10]
.jpg/1280px-US-VISIT_(CBP).jpg)
El usuario recibe la contraseña leyendo el mensaje en el teléfono móvil y vuelve a escribirla para completar la autenticación. El servicio de mensajes cortos (SMS) es muy eficaz cuando se utilizan habitualmente los teléfonos móviles. El SMS también es adecuado contra ataques del tipo "man-in-the-middle" (MITM), ya que el uso de SMS no implica Internet. [11]
La autenticación biométrica es el uso de atributos físicos únicos y medidas corporales como intermediarios para una mejor identificación y control de acceso. Las características físicas que se utilizan a menudo para la autenticación incluyen huellas dactilares, reconocimiento de voz , reconocimiento facial y escaneo de iris porque todos estos son únicos para cada individuo. Tradicionalmente, la autenticación biométrica se basaba en sistemas de identificación basados en tokens, como el pasaporte, y hoy en día se ha convertido en uno de los sistemas de identificación más seguros para la protección del usuario. Una nueva innovación tecnológica que proporciona una amplia variedad de características físicas o de comportamiento que definen el concepto adecuado de autenticación biométrica. [12]
La autenticación de identidad digital se refiere al uso combinado de datos del dispositivo, del comportamiento, de la ubicación y de otros tipos, como la dirección de correo electrónico, la información de la cuenta y de la tarjeta de crédito, para autenticar a los usuarios en línea en tiempo real. Por ejemplo, trabajos recientes han explorado cómo explotar la identificación por huella digital del navegador como parte de un esquema de autenticación multifactorial. [13]
Las credenciales en papel son documentos que dan fe de la identidad u otros atributos de una persona o entidad denominada el titular de las credenciales. Algunas credenciales en papel comunes incluyen pasaportes, certificados de nacimiento , licencias de conducir y tarjetas de identidad de empleados. Las credenciales en sí se autentifican de diversas maneras: tradicionalmente, quizás mediante una firma o un sello, papeles y tintas especiales, grabado de alta calidad y, en la actualidad, mediante mecanismos más complejos, como hologramas, que hacen que las credenciales sean reconocibles y difíciles de copiar o falsificar. En algunos casos, la simple posesión de las credenciales es suficiente para establecer que el titular físico de las credenciales es, de hecho, el titular de las mismas.
Lo más habitual es que las credenciales contengan información biométrica, como la descripción del sujeto, una fotografía del sujeto o su firma manuscrita, que se puede utilizar para autenticar que el titular de las credenciales es efectivamente el sujeto de las mismas. Cuando estas credenciales en papel se presentan en persona, se pueden comprobar los datos biométricos de autenticación que contienen para confirmar que el titular físico de la credencial es el sujeto.
Las credenciales de identidad electrónicas vinculan un nombre y quizás otros atributos a un token. Actualmente, se utilizan diversos tipos de credenciales electrónicas y constantemente se crean nuevos tipos de credenciales (eID, tarjeta electrónica de identificación de votante , pasaportes biométricos, tarjetas bancarias, etc.). Como mínimo, las credenciales incluyen información de identificación que permite recuperar los registros del registro asociado con las credenciales y un nombre asociado con el suscriptor. [ cita requerida ]
En cualquier transacción en línea autenticada, el verificador es la parte que verifica que el solicitante tiene posesión y control del token que verifica su identidad. Un solicitante autentica su identidad ante un verificador mediante el uso de un token y un protocolo de autenticación. Esto se denomina Prueba de Posesión (PoP). Muchos protocolos PoP están diseñados de modo que un verificador, sin conocimiento del token antes de la ejecución del protocolo de autenticación, no aprenda nada sobre el token a partir de la ejecución. El verificador y el CSP pueden ser la misma entidad, el verificador y la parte que confía pueden ser la misma entidad o pueden ser las tres entidades separadas. No es deseable que los verificadores aprendan secretos compartidos a menos que sean parte de la misma entidad que el CSP que registró los tokens. Cuando el verificador y la parte que confía son entidades separadas, el verificador debe transmitir el resultado del protocolo de autenticación a la parte que confía. El objeto creado por el verificador para transmitir este resultado se denomina aserción. [14]
Hay cuatro tipos de esquemas de autenticación: autenticación local, autenticación centralizada, autenticación centralizada global, autenticación global y aplicación web (portal).
Al utilizar un esquema de autenticación local, la aplicación conserva los datos correspondientes a las credenciales del usuario. Esta información no suele compartirse con otras aplicaciones. El usuario es responsable de mantener y recordar los tipos y la cantidad de credenciales asociadas al servicio al que necesita acceder. Se trata de un esquema de alto riesgo debido a la posibilidad de que el área de almacenamiento de contraseñas se vea comprometida.
El uso del esquema de autenticación central permite que cada usuario utilice las mismas credenciales para acceder a varios servicios. Cada aplicación es diferente y debe diseñarse con interfaces y la capacidad de interactuar con un sistema central para proporcionar una autenticación exitosa al usuario. Esto permite que el usuario acceda a información importante y pueda acceder a claves privadas que le permitirán firmar documentos electrónicamente.
El uso de un tercero a través de un esquema de autenticación centralizado global permite al usuario acceder directamente a los servicios de autenticación, lo que a su vez le permite acceder a los servicios específicos que necesita.
El esquema más seguro es la autenticación centralizada global y la aplicación web (portal). Es ideal para el uso del gobierno electrónico porque permite una amplia gama de servicios. Utiliza un único mecanismo de autenticación que implica un mínimo de dos factores para permitir el acceso a los servicios requeridos y la capacidad de firmar documentos. [2]
A menudo, la autenticación y la firma digital se aplican en conjunto. En las firmas electrónicas avanzadas , el firmante se autentica y se vincula de forma única con una firma. En el caso de una firma electrónica cualificada según se define en el reglamento eIDAS , la identidad del firmante incluso está certificada por un proveedor de servicios de confianza cualificado . Esta vinculación de la firma y la autenticación respalda en primer lugar el valor probatorio de la firma, comúnmente conocido como no repudio del origen. La protección del mensaje a nivel de red se denomina no repudio de la emisión. El remitente autenticado y el contenido del mensaje están vinculados entre sí. Si un tercero intenta cambiar el contenido del mensaje, la firma pierde validez. [15]
Al desarrollar sistemas electrónicos, existen algunas normas de la industria que exigen a las agencias de los Estados Unidos garantizar que las transacciones proporcionen un nivel adecuado de seguridad. En general, los servidores adoptan como guía la Guía de autenticación electrónica para agencias federales (M-04-04) de la Oficina de Administración y Presupuesto (OMB) de los Estados Unidos, que se publica para ayudar a las agencias federales a proporcionar servicios electrónicos seguros que protejan la privacidad individual. En ella se pide a las agencias que comprueben si sus transacciones requieren autenticación electrónica y determinen un nivel adecuado de seguridad. [16]
Estableció cuatro niveles de garantía: [17]
Nivel de seguridad 1: poca o ninguna confianza en la validez de la identidad declarada.
Nivel de seguridad 2: cierta confianza en la validez de la identidad declarada.
Nivel de seguridad 3: alta confianza en la validez de la identidad declarada.
Nivel de seguridad 4: muy alta confianza en la validez de la identidad declarada.
La OMB propone un proceso de cinco pasos para determinar el nivel de garantía apropiado para sus aplicaciones:
El nivel de garantía de autenticación requerido se evalúa a través de los siguientes factores:
La guía del Instituto Nacional de Estándares y Tecnología (NIST) define los requisitos técnicos para cada uno de los cuatro niveles de garantía en las siguientes áreas: [19]
Las identidades persona-máquina y máquina-máquina, impulsadas por el crecimiento de las nuevas soluciones en la nube y las transacciones en línea, desempeñan un papel importante en la identificación de personas y el acceso a la información. Según la Oficina de Administración y Presupuesto de los EE. UU., en 2013 y 2014 se gastaron más de 70 millones de dólares en soluciones de gestión de identidad. [20]
Los gobiernos utilizan sistemas de autenticación electrónica para ofrecer servicios y reducir el tiempo que las personas tardan en desplazarse a una oficina gubernamental. Se pueden realizar servicios que van desde la solicitud de visas hasta la renovación de licencias de conducir de una manera más eficiente y flexible. La infraestructura para respaldar la autenticación electrónica se considera un componente importante para el éxito del gobierno electrónico. [21] La mala coordinación y el diseño técnico deficiente pueden ser obstáculos importantes para la autenticación electrónica. [22]
En varios países se han establecido esquemas comunes de autenticación electrónica a nivel nacional para facilitar la reutilización de identidades digitales en diferentes servicios electrónicos. [23] Otras iniciativas de políticas han incluido la creación de marcos para la autenticación electrónica, con el fin de establecer niveles comunes de confianza y posiblemente interoperabilidad entre diferentes esquemas de autenticación. [24]
La autenticación electrónica es un elemento central de los esfuerzos del gobierno de los Estados Unidos por expandir el gobierno electrónico, o e-government , como una forma de hacer que el gobierno sea más eficaz, eficiente y de más fácil acceso. El servicio de autenticación electrónica permite a los usuarios acceder a los servicios gubernamentales en línea utilizando identificaciones de inicio de sesión (credenciales de identidad) de otros sitios web en los que tanto el usuario como el gobierno confían.
La autenticación electrónica es una asociación de todo el gobierno que cuenta con el apoyo de las agencias que conforman el Consejo Federal de CIO. La Administración de Servicios Generales de los Estados Unidos (GSA) es la agencia asociada principal. La autenticación electrónica funciona a través de una asociación con un emisor de credenciales de confianza, lo que hace necesario que el usuario inicie sesión en el sitio del emisor para obtener las credenciales de autenticación. Esas credenciales o ID de autenticación electrónica se transfieren luego al sitio web gubernamental de apoyo que provoca la autenticación. El sistema se creó en respuesta a un memorando emitido el 16 de diciembre de 2003 a través de la Oficina de Administración y Presupuesto. Memorándum M04-04 Whitehouse. [18] Ese memorando actualiza la guía emitida en la Ley de Eliminación de Trámites de 1998, 44 USC § 3504 e implementa la sección 203 de la Ley de Gobierno Electrónico, 44 USC cap. 36.
El NIST proporciona directrices para los estándares de autenticación digital y elimina la mayoría de los métodos de autenticación basados en el conocimiento. Se ha redactado un estándar más estricto para contraseñas más complicadas que tengan al menos 8 caracteres o frases de contraseña que tengan al menos 64 caracteres. [25]
En Europa , el eIDAS proporciona directrices que deben utilizarse para la autenticación electrónica en relación con las firmas electrónicas y los servicios de certificados para la autenticación de sitios web. Una vez confirmada por el Estado miembro emisor, los demás Estados participantes deben aceptar la firma electrónica del usuario como válida para las transacciones transfronterizas.
En el marco del eIDAS, la identificación electrónica se refiere a una unidad material o inmaterial que contiene datos de identificación personal que se utilizan para la autenticación en un servicio en línea. La autenticación se refiere a un proceso electrónico que permite la identificación electrónica de una persona física o jurídica. Un servicio de confianza es un servicio electrónico que se utiliza para crear, verificar y validar firmas electrónicas, además de crear, verificar y validar certificados para la autenticación de sitios web.
El artículo 8 del eIDAS permite que el mecanismo de autenticación que utilice una persona física o jurídica utilice métodos de identificación electrónica para confirmar su identidad a una parte que confía en ella. El Anexo IV establece los requisitos para los certificados cualificados de autenticación de sitios web. [26] [27]
La autenticación electrónica es un elemento central de los esfuerzos del gobierno ruso por expandir el gobierno electrónico, como una forma de hacer que el gobierno sea más eficaz y eficiente y de más fácil acceso para los ciudadanos rusos. El servicio de autenticación electrónica [28] permite a los usuarios acceder a los servicios gubernamentales en línea utilizando las credenciales de inicio de sesión que ya tienen de sitios web en los que ellos y el gobierno confían.
Además de los servicios gubernamentales, la autenticación electrónica también se utiliza ampliamente en otras tecnologías e industrias. Estas nuevas aplicaciones combinan las características de autorización de identidades en bases de datos tradicionales y nuevas tecnologías para proporcionar un uso más seguro y diverso de la autenticación electrónica. A continuación se describen algunos ejemplos.
La autenticación móvil es la verificación de la identidad de un usuario mediante el uso de un dispositivo móvil. Puede tratarse como un campo independiente o también puede aplicarse con otros esquemas de autenticación multifactor en el campo de la autenticación electrónica. [29]
Para la autenticación móvil, existen cinco niveles de sensibilidad de la aplicación, desde el nivel 0 hasta el nivel 4. El nivel 0 es para uso público a través de un dispositivo móvil y no requiere autenticaciones de identidad, mientras que el nivel 4 tiene la mayor cantidad de procedimientos múltiples para identificar a los usuarios. [30] En ambos niveles, la autenticación móvil es relativamente fácil de procesar. En primer lugar, los usuarios envían una contraseña de un solo uso (OTP) a través de canales fuera de línea. Luego, un servidor identifica la información y realiza ajustes en la base de datos. Dado que solo el usuario tiene acceso a un código PIN y puede enviar información a través de sus dispositivos móviles, existe un bajo riesgo de ataques. [31]
A principios de los años 1980, se implementaron los sistemas de intercambio electrónico de datos (EDI), considerados como un ejemplo temprano del comercio electrónico. Sin embargo, garantizar su seguridad no es un problema importante, ya que todos los sistemas están construidos en torno a redes cerradas. Sin embargo, más recientemente, las transacciones entre empresas y consumidores se han transformado. Las partes que realizan transacciones a distancia han obligado a implementar sistemas de autenticación de comercio electrónico. [32]
En términos generales, los enfoques adoptados en la autenticación de comercio electrónico son básicamente los mismos que en la autenticación electrónica. La diferencia es que la autenticación de comercio electrónico es un campo más limitado que se centra en las transacciones entre clientes y proveedores. Un ejemplo sencillo de autenticación de comercio electrónico incluye un cliente que se comunica con un servidor de comerciante a través de Internet. El servidor de comerciante suele utilizar un servidor web para aceptar solicitudes de clientes, un sistema de gestión de bases de datos para gestionar los datos y una pasarela de pago para proporcionar servicios de pago en línea . [33]
Con la identidad soberana (SSI), los titulares de identidad individuales crean y controlan completamente sus credenciales, mientras que los verificadores pueden autenticar las identidades proporcionadas en una red descentralizada.
Para seguir el ritmo de la evolución de los servicios en el mundo digital, sigue siendo necesario contar con mecanismos de seguridad. Si bien se seguirán utilizando contraseñas, es importante confiar en mecanismos de autenticación, sobre todo en la autenticación multifactorial. A medida que el uso de firmas electrónicas continúa expandiéndose significativamente en los Estados Unidos, la UE y el resto del mundo, se espera que las regulaciones como el eIDAS se modifiquen con el tiempo para reflejar las condiciones cambiantes junto con las regulaciones en los Estados Unidos. [34]
{{cite journal}}: Requiere citar revista |journal=( ayuda ){{cite journal}}: Requiere citar revista |journal=( ayuda ){{cite journal}}: Requiere citar revista |journal=( ayuda )