La autenticación (del griego αὐθεντικός authentikos , "real, genuino", de αὐθέντης authentes , "autor") es el acto de probar una afirmación , como la identidad de un usuario de un sistema informático. A diferencia de la identificación , el acto de indicar la identidad de una persona o cosa, la autenticación es el proceso de verificar esa identidad. [1] Puede implicar validar documentos de identidad personal , verificar la autenticidad de un sitio web con un certificado digital , [2] determinar la edad de un artefacto mediante datación por carbono o garantizar que un producto o documento no sea falsificado .
La autenticación es relevante en múltiples campos. En el arte , las antigüedades y la antropología , un problema común es verificar que un artefacto determinado fue producido por una persona determinada o en un lugar o período histórico determinado. En informática , a menudo se requiere verificar la identidad de un usuario para permitir el acceso a datos o sistemas confidenciales. [3]
La autenticación puede considerarse de tres tipos:
El primer tipo de autenticación es aceptar la prueba de identidad proporcionada por una persona creíble que tenga evidencia de primera mano de que la identidad es genuina. Cuando se requiere la autenticación de obras de arte o de objetos físicos, esta prueba podría ser un amigo, un familiar o un colega que dé fe de la procedencia del artículo, tal vez al haber presenciado el artículo en posesión de su creador. En el caso de los recuerdos deportivos autografiados, esto podría implicar que alguien dé fe de que presenció la firma del objeto. Un vendedor que vende artículos de marca implica autenticidad, aunque puede que no tenga evidencia de que se haya autenticado cada paso de la cadena de suministro. Las relaciones de confianza basadas en la autoridad centralizada respaldan la mayoría de las comunicaciones seguras de Internet a través de autoridades de certificación públicas conocidas; la confianza descentralizada basada en pares, también conocida como red de confianza , se utiliza para servicios personales como el correo electrónico o los archivos y la confianza se establece cuando individuos conocidos firman la clave criptográfica de los demás , por ejemplo.
El segundo tipo de autenticación consiste en comparar los atributos del objeto en sí con lo que se sabe sobre los objetos de ese origen. Por ejemplo, un experto en arte podría buscar similitudes en el estilo de la pintura, comprobar la ubicación y la forma de una firma o comparar el objeto con una fotografía antigua. Un arqueólogo , por otro lado, podría utilizar la datación por carbono para verificar la edad de un artefacto, hacer un análisis químico y espectroscópico de los materiales utilizados o comparar el estilo de construcción o decoración con otros artefactos de origen similar. La física del sonido y la luz, y la comparación con un entorno físico conocido, se pueden utilizar para examinar la autenticidad de grabaciones de audio, fotografías o vídeos. Se puede verificar que los documentos fueron creados en tinta o papel fácilmente disponibles en el momento de la creación implícita del artículo.
La comparación de atributos puede ser vulnerable a la falsificación. En general, se basa en el hecho de que crear una falsificación que no se distinga de un artefacto genuino requiere conocimientos especializados, que se cometen errores con facilidad y que la cantidad de esfuerzo necesaria para hacerlo es considerablemente mayor que la cantidad de ganancias que se pueden obtener de la falsificación.
En el campo del arte y las antigüedades, los certificados son de gran importancia para autenticar un objeto de interés y valor. Sin embargo, los certificados también pueden falsificarse, y su autenticación plantea un problema. Por ejemplo, el hijo de Han van Meegeren , el conocido falsificador de obras de arte, falsificó la obra de su padre y proporcionó un certificado de su procedencia.
Las sanciones civiles y penales por fraude , falsificación y falsificación pueden reducir el incentivo a la falsificación, dependiendo del riesgo de ser detectado.
El dinero en efectivo y otros instrumentos financieros suelen utilizar este segundo tipo de método de autenticación. Los billetes, monedas y cheques incorporan características físicas difíciles de duplicar, como una impresión o grabado finos, un tacto distintivo, marcas de agua e imágenes holográficas, que son fáciles de verificar para los receptores capacitados.
El tercer tipo de autenticación se basa en documentación u otras afirmaciones externas. En los tribunales penales, las normas sobre pruebas suelen exigir que se establezca la cadena de custodia de las pruebas presentadas. Esto se puede lograr mediante un registro escrito de las pruebas o mediante el testimonio de los detectives de la policía y el personal forense que las manipularon. Algunas antigüedades van acompañadas de certificados que dan fe de su autenticidad. Los objetos de recuerdo deportivos firmados suelen ir acompañados de un certificado de autenticidad. Estos registros externos tienen sus propios problemas de falsificación y perjurio y también son vulnerables a separarse del artefacto y perderse.
En informática, se puede dar acceso a un usuario a sistemas seguros en función de credenciales de usuario que impliquen autenticidad. [4] Un administrador de red puede darle a un usuario una contraseña o proporcionarle una tarjeta de acceso u otros dispositivos de acceso para permitirle acceder al sistema. En este caso, la autenticidad está implícita pero no garantizada.
Los bienes de consumo, como los productos farmacéuticos, los perfumes y la ropa, pueden utilizar todas las formas de autenticación para evitar que los productos falsificados se aprovechen de la reputación de una marca popular. Como se mencionó anteriormente, tener un artículo a la venta en una tienda de buena reputación da fe implícita de que es genuino, el primer tipo de autenticación. El segundo tipo de autenticación puede implicar comparar la calidad y la artesanía de un artículo, como un bolso caro, con artículos genuinos. El tercer tipo de autenticación puede ser la presencia de una marca registrada en el artículo, que es una marca protegida legalmente, o cualquier otra característica de identificación que ayude a los consumidores a identificar productos de marca genuinos. Con el software, las empresas han tomado grandes medidas para protegerse de los falsificadores, incluyendo la adición de hologramas, anillos de seguridad, hilos de seguridad y tinta que cambia de color. [5]
Las formas en que se puede autenticar a alguien se dividen en tres categorías, según lo que se conoce como factores de autenticación: algo que el usuario sabe, algo que el usuario tiene y algo que el usuario es. Cada factor de autenticación cubre una serie de elementos que se utilizan para autenticar o verificar la identidad de una persona antes de otorgarle acceso, aprobar una solicitud de transacción, firmar un documento u otro producto de trabajo, otorgar autoridad a otros y establecer una cadena de autoridad.
Las investigaciones en materia de seguridad han determinado que, para lograr una autenticación positiva, se deben verificar elementos de al menos dos factores (y preferiblemente de los tres). [6] Los tres factores (clases) y algunos de los elementos de cada factor son:
Como nivel de autenticación más débil, solo se utiliza un único componente de una de las tres categorías de factores para autenticar la identidad de una persona. El uso de un solo factor no ofrece mucha protección contra el uso indebido o la intrusión maliciosa. Este tipo de autenticación no se recomienda para transacciones financieras o de relevancia personal que requieran un nivel de seguridad más alto. [2]
La autenticación multifactor implica dos o más factores de autenticación (algo que sabes, algo que tienes o algo que eres). La autenticación de dos factores es un caso especial de autenticación multifactor que implica exactamente dos factores. [2]
Por ejemplo, el uso de una tarjeta bancaria (algo que el usuario tiene) junto con un PIN (algo que el usuario sabe) proporciona una autenticación de dos factores. Las redes comerciales pueden requerir que los usuarios proporcionen una contraseña (factor de conocimiento) y un número pseudoaleatorio de un token de seguridad (factor de propiedad). El acceso a un sistema de seguridad muy alta puede requerir un control de altura, peso, reconocimiento facial y huellas dactilares (varios elementos de factor inherente) más un PIN y un código de día (elementos de factor de conocimiento), pero esto sigue siendo una autenticación de dos factores.
El Glosario de Garantía de Información Nacional del gobierno de los Estados Unidos define la autenticación fuerte como un enfoque de autenticación en capas que se basa en dos o más autenticadores para establecer la identidad de un originador o receptor de información. [7]
El Banco Central Europeo (BCE) ha definido la autenticación fuerte como "un procedimiento basado en dos o más de los tres factores de autenticación". Los factores que se utilizan deben ser independientes entre sí y al menos uno de ellos debe ser "no reutilizable ni replicable", excepto en el caso de un factor inherente, y además debe ser imposible de robar de Internet. En el entendimiento europeo, así como en el estadounidense, la autenticación fuerte es muy similar a la autenticación multifactor o 2FA, pero superior a aquellas con requisitos más rigurosos. [2] [8]
La Alianza FIDO se ha esforzado por establecer especificaciones técnicas para una autenticación fuerte. [9]
Los sistemas informáticos convencionales autentican a los usuarios solo en la sesión inicial, lo que puede ser la causa de una falla crítica de seguridad. Para resolver este problema, los sistemas necesitan métodos de autenticación de usuarios continuos que monitoreen y autentiquen a los usuarios de forma continua en función de algún rasgo biométrico. Un estudio utilizó la biometría del comportamiento basada en estilos de escritura como método de autenticación continua. [10] [11]
Investigaciones recientes han demostrado la posibilidad de utilizar sensores y accesorios de teléfonos inteligentes para extraer algunos atributos de comportamiento como la dinámica táctil, la dinámica de pulsación de teclas y el reconocimiento de la marcha . [12] Estos atributos se conocen como biometría del comportamiento y podrían usarse para verificar o identificar a los usuarios de forma implícita y continua en teléfonos inteligentes. Los sistemas de autenticación que se han construido en base a estos rasgos biométricos del comportamiento se conocen como sistemas de autenticación activa o continua. [13] [11]
El término autenticación digital, también conocida como autenticación electrónica o e-autenticación, se refiere a un grupo de procesos en los que se establece la confianza en las identidades de los usuarios y se presenta a través de métodos electrónicos a un sistema de información. El proceso de autenticación digital genera desafíos técnicos debido a la necesidad de autenticar a personas o entidades de forma remota a través de una red. El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST) ha creado un modelo genérico para la autenticación digital que describe los procesos que se utilizan para lograr una autenticación segura:
La autenticación de la información puede plantear problemas especiales en las comunicaciones electrónicas, como la vulnerabilidad a los ataques de intermediarios , en los que un tercero se infiltra en el flujo de comunicación y se hace pasar por cada una de las otras dos partes que se comunican para interceptar la información de cada una de ellas. Pueden necesitarse factores de identidad adicionales para autenticar la identidad de cada una de las partes.
Los productos falsificados se ofrecen a menudo a los consumidores como si fueran auténticos. Se han vendido bienes de consumo falsificados , como productos electrónicos, música, ropa y medicamentos falsificados , como si fueran legítimos. Los esfuerzos por controlar la cadena de suministro y educar a los consumidores ayudan a garantizar que se vendan y utilicen productos auténticos. Sin embargo, incluso la impresión de seguridad en paquetes, etiquetas y placas de identificación está sujeta a falsificaciones. [15]
En su guía sobre tecnologías anti-falsificación, [16] el Observatorio de Vulneraciones de los Derechos de Propiedad Intelectual de la EUIPO clasifica las principales tecnologías anti-falsificación existentes actualmente en el mercado en cinco categorías principales: electrónicas, de marcado, químicas y físicas, mecánicas y tecnologías para medios digitales. [17]
Los productos o sus embalajes pueden incluir un código QR variable . Un código QR por sí solo es fácil de verificar, pero ofrece un nivel débil de autenticación, ya que no ofrece protección contra falsificaciones a menos que los datos escaneados se analicen a nivel del sistema para detectar anomalías. [18] Para aumentar el nivel de seguridad, el código QR se puede combinar con una marca de agua digital o un patrón de detección de copias que sean resistentes a los intentos de copia y se puedan autenticar con un teléfono inteligente.
Un dispositivo de almacenamiento de claves seguro puede utilizarse para la autenticación en productos electrónicos de consumo, autenticación de redes, gestión de licencias, gestión de la cadena de suministro, etc. Generalmente, el dispositivo que se va a autenticar necesita algún tipo de conexión digital inalámbrica o por cable a un sistema host o a una red. No obstante, el componente que se va a autenticar no necesita ser de naturaleza electrónica, ya que un chip de autenticación puede conectarse mecánicamente y leerse a través de un conector al host, por ejemplo, un tanque de tinta autenticado para su uso con una impresora. Para los productos y servicios a los que se pueden aplicar estos coprocesadores seguros, pueden ofrecer una solución que puede ser mucho más difícil de falsificar que la mayoría de las otras opciones y, al mismo tiempo, se puede verificar más fácilmente. [1]
Los envases y las etiquetas pueden diseñarse para ayudar a reducir los riesgos de falsificación de productos de consumo o el robo y la reventa de productos. [19] [20] Algunas construcciones de envases son más difíciles de copiar y algunas tienen sellos que indican hurto. Los productos falsificados, las ventas no autorizadas (desvío), la sustitución de materiales y la manipulación pueden reducirse con estas tecnologías anti-falsificación. Los envases pueden incluir sellos de autenticación y utilizar impresión de seguridad para ayudar a indicar que el envase y el contenido no son falsificados; estos también están sujetos a falsificación. Los envases también pueden incluir dispositivos antirrobo, como paquetes de tinte, etiquetas RFID o etiquetas de vigilancia electrónica de artículos [21] que pueden ser activadas o detectadas por dispositivos en los puntos de salida y requieren herramientas especializadas para desactivarse. Las tecnologías anti-falsificación que pueden utilizarse con los envases incluyen:
La falsificación literaria puede implicar la imitación del estilo de un autor famoso. Si se dispone de un manuscrito original, un texto mecanografiado o una grabación, el propio medio (o su envoltorio, desde una caja hasta los encabezados de los mensajes de correo electrónico ) puede ayudar a demostrar o refutar la autenticidad del documento. Sin embargo, el texto, el audio y el vídeo se pueden copiar en nuevos medios, dejando posiblemente solo el contenido informativo para su uso en la autenticación. Se han inventado varios sistemas para permitir a los autores proporcionar un medio para que los lectores autentiquen de forma fiable que un mensaje determinado se originó en ellos o fue transmitido por ellos. Estos implican factores de autenticación como:
El problema opuesto es la detección del plagio , en el que la información de un autor diferente se hace pasar por obra propia. Una técnica habitual para demostrar el plagio es el descubrimiento de otra copia del mismo texto o de uno muy similar, que tenga una atribución diferente. En algunos casos, una calidad excesivamente alta o una falta de coincidencia en el estilo pueden levantar sospechas de plagio.
En el ámbito de la alfabetización, la autenticación es el proceso que realizan los lectores para cuestionar la veracidad de un aspecto de la literatura y luego verificar esas preguntas mediante la investigación. La pregunta fundamental para la autenticación de la literatura es: ¿uno la cree? En relación con eso, un proyecto de autenticación es, por lo tanto, una actividad de lectura y escritura en la que los estudiantes documentan el proceso de investigación relevante ( [22] ). Desarrolla la alfabetización crítica de los estudiantes. Los materiales de documentación de la literatura van más allá de los textos narrativos y probablemente incluyen textos informativos, fuentes primarias y multimedia. El proceso generalmente implica tanto Internet como investigación práctica en la biblioteca. Al autenticar la ficción histórica en particular, los lectores consideran el grado en que los principales eventos históricos, así como la cultura retratada (por ejemplo, el idioma, la vestimenta, la comida, los roles de género), son creíbles para el período. [3]
_-_National_Cryptologic_Museum_-_DSC08013.JPG/1280px-KAL-55B_Tactical_Authentication_System_(Vietnam_War_era)_-_National_Cryptologic_Museum_-_DSC08013.JPG)
Históricamente, las huellas dactilares se han utilizado como el método de autenticación más fiable, pero los casos judiciales en los EE. UU. y en otros lugares han planteado dudas fundamentales sobre la fiabilidad de las huellas dactilares. [23] También fuera del sistema legal, las huellas dactilares son fácilmente falsificables , y el principal funcionario de seguridad informática de British Telecom señaló que "pocos" lectores de huellas dactilares no han sido engañados ya por una falsificación u otra. [24] Los métodos de autenticación híbridos o de dos niveles ofrecen una solución convincente [ ¿según quién? ] , como las claves privadas cifradas por huella dactilar dentro de un dispositivo USB.
En el contexto de los datos informáticos, se han desarrollado métodos criptográficos que no se pueden falsificar si la clave del creador no se ha visto comprometida. Es irrelevante que el creador (o cualquier otra persona que no sea un atacante ) sepa (o no) que se ha producido una vulneración. Sin embargo, no se sabe si estos métodos de autenticación basados en criptografía son demostrablemente seguros, ya que desarrollos matemáticos imprevistos pueden hacerlos vulnerables a ataques en el futuro. Si eso ocurriera, podría poner en tela de juicio gran parte de la autenticación del pasado. En particular, un contrato firmado digitalmente puede ponerse en tela de juicio cuando se descubre un nuevo ataque a la criptografía subyacente a la firma. [ cita requerida ]
_before_allowing_a_driver_to_enter_the_gate_at_U.S._Fleet_Activities_Sasebo,_Japan.jpg/1280px-thumbnail.jpg)
El proceso de autorización es distinto del de autenticación. Mientras que la autenticación es el proceso de verificar que "usted es quien dice ser", la autorización es el proceso de verificar que "usted tiene permiso para hacer lo que está intentando hacer". Si bien la autorización suele ocurrir inmediatamente después de la autenticación (por ejemplo, al iniciar sesión en un sistema informático), esto no significa que la autorización presuponga la autenticación: un agente anónimo podría estar autorizado a realizar un conjunto limitado de acciones. [25]
Un uso conocido de la autenticación y la autorización es el control de acceso . Un sistema informático que se supone que debe ser utilizado únicamente por personas autorizadas debe intentar detectar y excluir a los no autorizados. Por lo tanto, el acceso al mismo suele controlarse insistiendo en un procedimiento de autenticación para establecer con cierto grado de confianza la identidad del usuario, concediendo los privilegios establecidos para esa identidad.
{{cite book}}: Mantenimiento de CS1: otros ( enlace )