La autenticación electrónica es el proceso de establecer confianza en las identidades de los usuarios presentadas electrónicamente a un sistema de información . [1] La autenticación digital, o e-autenticación, puede usarse como sinónimo cuando se hace referencia al proceso de autenticación que confirma o certifica la identidad y las obras de una persona. Cuando se utiliza junto con una firma electrónica , puede proporcionar evidencia de si los datos recibidos han sido manipulados después de haber sido firmados por su remitente original. La autenticación electrónica puede reducir el riesgo de fraude y robo de identidad al verificar que una persona es quien dice ser cuando realiza transacciones en línea. [2]
Se pueden utilizar varios métodos de autenticación electrónica para autenticar la identidad de un usuario, desde una contraseña hasta niveles más altos de seguridad que utilizan autenticación multifactor (MFA). [3] Dependiendo del nivel de seguridad utilizado, es posible que el usuario necesite demostrar su identidad mediante el uso de tokens de seguridad , preguntas de seguridad o estar en posesión de un certificado de una autoridad certificadora de terceros que dé fe de su identidad. . [4]
El Instituto Nacional Estadounidense de Estándares y Tecnología (NIST) ha desarrollado un modelo genérico de autenticación electrónica [5] que proporciona un marco básico sobre cómo se lleva a cabo el proceso de autenticación independientemente de la jurisdicción o región geográfica. Según este modelo, el proceso de inscripción comienza cuando un individuo solicita un Proveedor de Servicios de Credenciales (CSP). El CSP deberá demostrar la identidad del solicitante antes de continuar con la transacción. [6] Una vez que el CSP ha confirmado la identidad del solicitante, éste recibe el estado de "suscriptor" y se le proporciona un autenticador , como un token y una credencial, que puede tener la forma de un nombre de usuario.
El CSP es responsable de administrar la credencial junto con los datos de inscripción del suscriptor durante la vigencia de la credencial. El suscriptor tendrá la tarea de mantener los autenticadores. Un ejemplo de esto es cuando un usuario normalmente utiliza una computadora específica para realizar sus operaciones bancarias en línea . Si intenta acceder a su cuenta bancaria desde otra computadora, el autenticador no estará presente. Para obtener acceso, el suscriptor necesitaría verificar su identidad ante el CSP, lo que podría consistir en responder con éxito una pregunta de seguridad antes de que se le otorgue acceso. [4]
En las sociedades modernas se han desplegado y adoptado ampliamente nuevas invenciones en materia de medicamentos y nuevos desarrollos en materia de tecnologías médicas. En consecuencia, la vida media del ser humano es mucho más larga que antes. Por lo tanto, establecer y gestionar de forma segura los registros médicos personales de cada individuo durante su vida en formato electrónico se ha convertido gradualmente en un tema interesante para los ciudadanos individuales y los departamentos de bienestar social; la razón es que un documento de registros médicos bien mantenido de un individuo puede ayudar a los médicos y hospitales a conocer las condiciones médicas y corporales importantes y necesarias del paciente objetivo a tiempo antes de realizar cualquier terapia.
La necesidad de autenticación ha prevalecido a lo largo de la historia. En la antigüedad, las personas se identificaban entre sí mediante el contacto visual y la apariencia física. Los sumerios de la antigua Mesopotamia daban fe de la autenticidad de sus escritos mediante el uso de sellos adornados con símbolos identificativos. A medida que pasó el tiempo, la forma más común de proporcionar autenticación sería la firma manuscrita. [2]
Hay tres factores generalmente aceptados que se utilizan para establecer una identidad digital para la autenticación electrónica, que incluyen:
De los tres factores, el factor biométrico es el más conveniente y convincente para demostrar la identidad de un individuo, pero es el más costoso de implementar. Cada factor tiene sus debilidades; por lo tanto, una autenticación sólida y confiable depende de la combinación de dos o más factores. Esto se conoce como autenticación multifactor , [2] de la cual la autenticación de dos factores y la verificación en dos pasos son subtipos.
La autenticación multifactor aún puede ser vulnerable a ataques, incluidos ataques de intermediarios y ataques de troyanos. [7]
Los tokens son genéricamente algo que el reclamante posee y controla y que puede usarse para autenticar la identidad del reclamante. En la autenticación electrónica, el reclamante se autentica en un sistema o aplicación a través de una red. Por lo tanto, un token utilizado para la autenticación electrónica es un secreto y debe estar protegido. El token puede ser, por ejemplo, una clave criptográfica, que está protegida cifrándola con una contraseña. Un impostor debe robar la clave cifrada y aprender la contraseña para usar el token.
Las contraseñas y los PIN se clasifican como método de "algo que sabes". Una combinación de números, símbolos y mayúsculas y minúsculas se considera más segura que una contraseña compuesta exclusivamente de letras. Además, la adopción de funciones de Seguridad de la capa de transporte (TLS) o Capa de conexión segura (SSL) durante el proceso de transmisión de información también creará un canal cifrado para el intercambio de datos y para proteger aún más la información entregada. Actualmente, la mayoría de los ataques a la seguridad se dirigen a los sistemas de autenticación basados en contraseñas. [8]
Este tipo de autenticación tiene dos partes. Una es una clave pública y la otra es una clave privada. Una clave pública es emitida por una Autoridad de Certificación y está disponible para cualquier usuario o servidor. Una clave privada sólo la conoce el usuario. [9]
El usuario comparte una clave única con un servidor de autenticación. Cuando el usuario envía un mensaje generado aleatoriamente (el desafío) cifrado con la clave secreta al servidor de autenticación, si el servidor puede hacer coincidir el mensaje utilizando su clave secreta compartida, el usuario se autentica. Cuando se implementa junto con la autenticación de contraseña, este método también proporciona una posible solución para sistemas de autenticación de dos factores . [10]
.jpg/1280px-US-VISIT_(CBP).jpg)
El usuario recibe la contraseña leyendo el mensaje en el teléfono celular y vuelve a escribir la contraseña para completar la autenticación. El servicio de mensajes cortos (SMS) es muy eficaz cuando se adoptan habitualmente los teléfonos móviles. Los SMS también son adecuados contra ataques de intermediario (MITM), ya que el uso de SMS no implica Internet. [11]
La autenticación biométrica es el uso de atributos físicos y medidas corporales únicos como intermediario para una mejor identificación y control de acceso. Las características físicas que se utilizan a menudo para la autenticación incluyen huellas dactilares, reconocimiento de voz , reconocimiento facial y escaneos de iris porque todos ellos son únicos para cada individuo. Tradicionalmente, la autenticación biométrica se basaba en sistemas de identificación basados en tokens, como el pasaporte, y hoy en día se convierte en uno de los sistemas de identificación más seguros para la protección del usuario. Una nueva innovación tecnológica que proporciona una amplia variedad de características físicas o de comportamiento que definen el concepto adecuado de autenticación biométrica. [12]
La autenticación de identidad digital se refiere al uso combinado del dispositivo, el comportamiento, la ubicación y otros datos, incluida la dirección de correo electrónico, la información de la cuenta y la tarjeta de crédito, para autenticar a los usuarios en línea en tiempo real. Por ejemplo, trabajos recientes han explorado cómo explotar las huellas digitales del navegador como parte de un esquema de autenticación multifactor. [13]
Las credenciales en papel son documentos que dan fe de la identidad u otros atributos de un individuo o entidad denominado sujeto de las credenciales. Algunas credenciales en papel comunes incluyen pasaportes, certificados de nacimiento , licencias de conducir y tarjetas de identidad de empleados. Las credenciales en sí se autentican de diversas maneras: tradicionalmente quizás mediante una firma o un sello, papeles y tintas especiales, grabados de alta calidad y hoy en día mediante mecanismos más complejos, como hologramas, que hacen que las credenciales sean reconocibles y difíciles de copiar o copiar. fragua. En algunos casos, la simple posesión de las credenciales es suficiente para establecer que el titular físico de las credenciales es efectivamente el sujeto de las credenciales. Más comúnmente, las credenciales contienen información biométrica como la descripción del sujeto, una imagen del sujeto o la firma manuscrita del sujeto que puede usarse para autenticar que el titular de las credenciales es efectivamente el sujeto de las credenciales. Cuando estas credenciales en papel se presentan en persona, se pueden verificar los datos biométricos de autenticación contenidos en esas credenciales para confirmar que el titular físico de la credencial es el sujeto.
Las credenciales de identidad electrónica vinculan un nombre y quizás otros atributos a un token. Actualmente se utilizan diversos tipos de credenciales electrónicas y constantemente se crean nuevos tipos de credenciales (eID, tarjeta de identificación de votante electrónica , pasaportes biométricos, tarjetas bancarias, etc.). Como mínimo, las credenciales incluyen información de identificación que permite la recuperación de los registros del registro asociados con las credenciales y un nombre que está asociado con el suscriptor. [ cita necesaria ]
En cualquier transacción en línea autenticada, el verificador es la parte que verifica que el reclamante tiene posesión y control del token que verifica su identidad. Un reclamante autentica su identidad ante un verificador mediante el uso de un token y un protocolo de autenticación. Esto se llama Prueba de Posesión (PoP). Muchos protocolos PoP están diseñados para que un verificador, sin conocimiento del token antes de ejecutar el protocolo de autenticación, no aprenda nada sobre el token durante la ejecución. El verificador y el CSP pueden ser la misma entidad, el verificador y la parte confiante pueden ser la misma entidad o pueden ser los tres entidades separadas. No es deseable que los verificadores conozcan secretos compartidos a menos que formen parte de la misma entidad que el CSP que registró los tokens. Cuando el verificador y la parte que confía son entidades separadas, el verificador debe transmitir el resultado del protocolo de autenticación a la parte que confía. El objeto creado por el verificador para transmitir este resultado se llama aserción. [14]
Hay cuatro tipos de esquemas de autenticación: autenticación local, autenticación centralizada, autenticación centralizada global, autenticación global y aplicación web (portal).
Cuando se utiliza un esquema de autenticación local, la aplicación conserva los datos relacionados con las credenciales del usuario. Esta información no suele compartirse con otras aplicaciones. Es responsabilidad del usuario mantener y recordar los tipos y la cantidad de credenciales asociadas con el servicio al que necesita acceder. Este es un esquema de alto riesgo debido a la posibilidad de que el área de almacenamiento de contraseñas se vea comprometida.
El uso del esquema de autenticación central permite que cada usuario utilice las mismas credenciales para acceder a varios servicios. Cada aplicación es diferente y debe diseñarse con interfaces y la capacidad de interactuar con un sistema central para proporcionar autenticación exitosa al usuario. Esto permite al usuario acceder a información importante y poder acceder a claves privadas que le permitirán firmar documentos electrónicamente.
El uso de un tercero a través de un esquema de autenticación centralizado global permite al usuario acceder directamente a los servicios de autenticación. Esto luego permite al usuario acceder a los servicios particulares que necesita.
El esquema más seguro es la autenticación centralizada global y la aplicación web (portal). Es ideal para uso en Gobierno Electrónico porque permite una amplia gama de servicios. Utiliza un mecanismo de autenticación único que involucra un mínimo de dos factores para permitir el acceso a los servicios requeridos y la capacidad de firmar documentos. [2]
A menudo, la autenticación y la firma digital se aplican en conjunto. En las firmas electrónicas avanzadas , el firmante se ha autenticado y vinculado de forma única a una firma. En el caso de una firma electrónica cualificada tal como se define en el reglamento eIDAS , la identidad del firmante incluso está certificada por un proveedor de servicios de confianza cualificado . Esta vinculación entre firma y autenticación respalda, en primer lugar, el valor probatorio de la firma, comúnmente conocido como no repudio de origen. La protección del mensaje a nivel de red se denomina no repudio de emisión. El remitente autenticado y el contenido del mensaje están vinculados entre sí. Si un tercero intenta cambiar el contenido del mensaje, la firma pierde validez. [15]
Al desarrollar sistemas electrónicos, existen algunos estándares de la industria que exigen que las agencias estadounidenses garanticen que las transacciones proporcionen un nivel adecuado de seguridad. Generalmente, los servidores adoptan como guía la Guía de autenticación electrónica para agencias federales (M-04-04) de la Oficina de Administración y Presupuesto (OMB) de EE. UU., que se publica para ayudar a las agencias federales a proporcionar servicios electrónicos seguros que protejan la privacidad individual. . Pide a las agencias que verifiquen si sus transacciones requieren autenticación electrónica y determinen un nivel adecuado de seguridad. [dieciséis]
Estableció cuatro niveles de garantía: [17]
Nivel de seguridad 1: poca o ninguna confianza en la validez de la identidad afirmada.
Nivel de seguridad 2: cierta confianza en la validez de la identidad afirmada.
Nivel de seguridad 3: alta confianza en la validez de la identidad afirmada.
Nivel de seguridad 4: Confianza muy alta en la validez de la identidad afirmada.
La OMB propone un proceso de cinco pasos para determinar el nivel de garantía adecuado para sus aplicaciones:
El nivel requerido de garantía de autenticación se evalúa a través de los siguientes factores:
La guía del Instituto Nacional de Estándares y Tecnología (NIST) define los requisitos técnicos para cada uno de los cuatro niveles de garantía en las siguientes áreas: [19]
Impulsadas por el crecimiento de nuevas soluciones en la nube y transacciones en línea, las identidades de persona a máquina y de máquina a máquina desempeñan un papel importante en la identificación de personas y el acceso a la información. Según la Oficina de Gestión y Presupuesto de EE. UU., se gastaron más de 70 millones de dólares en soluciones de gestión de identidad tanto en 2013 como en 2014. [20]
Los gobiernos utilizan sistemas de autenticación electrónica para ofrecer servicios y reducir el tiempo que las personas viajan a una oficina gubernamental. Servicios que van desde la solicitud de visas hasta la renovación de licencias de conducir se pueden lograr de una manera más eficiente y flexible. La infraestructura para respaldar la autenticación electrónica se considera un componente importante del éxito del gobierno electrónico. [21] La mala coordinación y el diseño técnico deficiente podrían ser barreras importantes para la autenticación electrónica. [22]
En varios países se han establecido sistemas comunes de autenticación electrónica a nivel nacional para facilitar la reutilización de identidades digitales en diferentes servicios electrónicos. [23] Otras iniciativas políticas han incluido la creación de marcos para la autenticación electrónica, con el fin de establecer niveles comunes de confianza y posiblemente interoperabilidad entre diferentes esquemas de autenticación. [24]
La autenticación electrónica es una pieza central del esfuerzo del gobierno de los Estados Unidos para expandir el gobierno electrónico, o gobierno electrónico , como una forma de hacer que el gobierno sea más efectivo, eficiente y de más fácil acceso. El servicio de autenticación electrónica permite a los usuarios acceder a servicios gubernamentales en línea utilizando ID de inicio de sesión (credenciales de identidad) de otros sitios web en los que tanto el usuario como el gobierno confían.
La autenticación electrónica es una asociación de todo el gobierno que cuenta con el apoyo de las agencias que componen el Consejo Federal de CIO. La Administración de Servicios Generales de los Estados Unidos (GSA) es la agencia principal asociada. La autenticación electrónica funciona a través de una asociación con un emisor de credenciales confiable, lo que hace necesario que el usuario inicie sesión en el sitio del emisor para obtener las credenciales de autenticación. Luego, esas credenciales o ID de autenticación electrónica se transfieren al sitio web gubernamental de respaldo que genera la autenticación. El sistema se creó en respuesta a un memorando del 16 de diciembre de 2003 emitido a través de la Oficina de Gestión y Presupuesto. Memorando M04-04 Casa Blanca. [18] Ese memorando actualiza las directrices emitidas en la Ley de Eliminación de Trámites de 1998, 44 USC § 3504 e implementa la sección 203 de la Ley de Gobierno Electrónico, 44 USC ch. 36.
NIST proporciona pautas para los estándares de autenticación digital y elimina la mayoría de los métodos de autenticación basados en conocimiento. Se ha redactado un estándar más estricto para contraseñas más complicadas de al menos 8 caracteres o frases de contraseña de al menos 64 caracteres. [25]
En Europa , eIDAS proporciona pautas que se utilizarán para la autenticación electrónica con respecto a firmas electrónicas y servicios de certificados para la autenticación de sitios web. Una vez confirmada por el Estado miembro emisor, los demás Estados participantes deben aceptar la firma electrónica del usuario como válida para transacciones transfronterizas.
Según eIDAS, la identificación electrónica se refiere a una unidad material/inmaterial que contiene datos de identificación personal que se utilizarán para la autenticación de un servicio en línea. Se hace referencia a la autenticación como un proceso electrónico que permite la identificación electrónica de una persona física o jurídica. Un servicio de confianza es un servicio electrónico que se utiliza para crear, verificar y validar firmas electrónicas, además de crear, verificar y validar certificados para la autenticación de sitios web.
El artículo 8 de eIDAS permite que el mecanismo de autenticación utilizado por una persona física o jurídica utilice métodos de identificación electrónica para confirmar su identidad a una parte que confía. El anexo IV establece requisitos para certificados cualificados para la autenticación de sitios web. [26] [27]
La autenticación electrónica es una pieza central del esfuerzo del gobierno ruso para expandir el gobierno electrónico, como una forma de hacer que el gobierno sea más efectivo, eficiente y de más fácil acceso para el pueblo ruso. El servicio de autenticación electrónica [28] permite a los usuarios acceder a servicios gubernamentales en línea utilizando ID de inicio de sesión (credenciales de identidad) que ya tienen en sitios web en los que ellos y el gobierno confían.
Además de los servicios gubernamentales, la autenticación electrónica también se utiliza ampliamente en otras tecnologías e industrias. Estas nuevas aplicaciones combinan las características de autorización de identidades en bases de datos tradicionales y nueva tecnología para proporcionar un uso más seguro y diverso de la autenticación electrónica. Algunos ejemplos se describen a continuación.
La autenticación móvil es la verificación de la identidad de un usuario mediante el uso de un dispositivo móvil. Puede tratarse como un campo independiente o también puede aplicarse con otros esquemas de autenticación multifactor en el campo de la autenticación electrónica. [29]
Para la autenticación móvil, existen cinco niveles de sensibilidad de la aplicación, desde el nivel 0 al nivel 4. El nivel 0 es para uso público en un dispositivo móvil y no requiere autenticaciones de identidad, mientras que el nivel 4 tiene la mayor cantidad de procedimientos múltiples para identificar a los usuarios. [30] Para cualquier nivel, la autenticación móvil es relativamente fácil de procesar. En primer lugar, los usuarios envían una contraseña de un solo uso (OTP) a través de canales fuera de línea. Luego, un servidor identifica la información y realiza ajustes en la base de datos. Dado que sólo el usuario tiene acceso a un código PIN y puede enviar información a través de sus dispositivos móviles, existe un bajo riesgo de ataques. [31]
A principios de la década de 1980, se implementaron los sistemas de intercambio electrónico de datos (EDI), que se consideraron uno de los primeros representantes del comercio electrónico. Pero garantizar su seguridad no es una cuestión importante ya que todos los sistemas están construidos alrededor de redes cerradas. Sin embargo, más recientemente las transacciones entre empresas y consumidores se han transformado. Las partes que realizan transacciones remotas han obligado a implementar sistemas de autenticación de comercio electrónico. [32]
En términos generales, los enfoques adoptados en la autenticación del comercio electrónico son básicamente los mismos que los de la autenticación electrónica. La diferencia es que la autenticación del comercio electrónico es un campo más limitado que se centra en las transacciones entre clientes y proveedores. Un ejemplo sencillo de autenticación de comercio electrónico incluye un cliente que se comunica con un servidor comercial a través de Internet. El servidor comercial suele utilizar un servidor web para aceptar solicitudes de clientes, un sistema de gestión de bases de datos para gestionar datos y una pasarela de pago para proporcionar servicios de pago en línea . [33]
Con la identidad autosoberana (SSI), los titulares de identidad individuales crean y controlan completamente sus credenciales. Mientras que los verificadores pueden autenticar las identidades proporcionadas en una red descentralizada.
Para mantenerse al día con la evolución de los servicios en el mundo digital, existe una necesidad continua de mecanismos de seguridad. Si bien se seguirán utilizando contraseñas, es importante confiar en los mecanismos de autenticación, sobre todo en la autenticación multifactor. A medida que el uso de firmas electrónicas continúa expandiéndose significativamente en los Estados Unidos, la UE y en todo el mundo, existe la expectativa de que regulaciones como eIDAS eventualmente se modifiquen para reflejar las condiciones cambiantes junto con las regulaciones en los Estados Unidos. [34]
{{cite journal}}: Citar diario requiere |journal=( ayuda ){{cite journal}}: Citar diario requiere |journal=( ayuda ){{cite journal}}: Citar diario requiere |journal=( ayuda )