\u00bfQui\u00e9n no tiene cuentas en la red y se enfrenta a diario al reto de tener que guardar y recordar una pl\u00e9tora de nombres de usuario y contrase\u00f1as? Un equipo internacional de investigadores ha dado a conocer una nueva plataforma segura de autentificaci\u00f3n para dispositivos m\u00f3viles que vincula todas las cuentas en l\u00ednea con la identidad del usuario, dejando que el tel\u00e9fono m\u00f3vil se encargue de su gesti\u00f3n.<\/p>\n
La mayor\u00eda de los dispositivos m\u00f3viles est\u00e1n vinculados con cientos de cuentas y aplicaciones, que presentan todo tipo de configuraciones de seguridad, identidades y contrase\u00f1as. El proyecto ReCRED<\/a>, financiado por la Uni\u00f3n Europea, ha desarrollado soluciones avanzadas de software para abordar el problema de la sobrecarga de contrase\u00f1as a fin de que podamos acceder de forma segura a nuestras cuentas sin tener que recordar m\u00faltiples contrase\u00f1as.<\/p>\n ReCRED deja atr\u00e1s la era de las contrase\u00f1as al desarrollar un sistema de acceso avanzado, seguro y flexible. \u00abLa adopci\u00f3n de la arquitectura de autentificaci\u00f3n basada en el dispositivo es clave para eliminar las contrase\u00f1as como el m\u00e9todo principal de autentificaci\u00f3n en la web\u00bb, se\u00f1ala el coordinador del proyecto, Christos Xenakis de la Universidad del Pireo<\/a> (Grecia).<\/p>\n Este m\u00e9todo mejora la seguridad del usuario final en internet al emplear el m\u00f3vil como un intermediario o \u00abproxy\u00bb de autorizaci\u00f3n. \u00abLa autentificaci\u00f3n y la autorizaci\u00f3n se simplifican al realizarse por medio del uso combinado de un pin corto, informaci\u00f3n biom\u00e9trica (por ejemplo la voz, huellas dactilares o la firma) y credenciales an\u00f3nimas (por ejemplo, un pseud\u00f3nimo)\u00bb, afirma Rub\u00e9n Cuevas, investigador de la Universidad Carlos III de Madrid (UC3M<\/a>), una de las entidades que han contribuido al proyecto.<\/p>\n La mayor\u00eda de los usuarios de internet est\u00e1n registrados en muchos servicios en l\u00ednea, como proveedores de correo electr\u00f3nico, redes sociales, banca electr\u00f3nica o aplicaciones corporativas. Esto dificulta la tarea de identificar que existe una propiedad conjunta de servicios asociada a un solo usuario.<\/p>\n ReCRED proporciona un acceso seguro a estos servicios adem\u00e1s de hacer posible la administraci\u00f3n de cuentas desde un \u00fanico dispositivo, independientemente del m\u00e9todo de autentificaci\u00f3n empleado en cada servicio. El m\u00f3dulo de adquisici\u00f3n de identidad en l\u00ednea desarrollado se encarga de vincular horizontalmente las identidades del usuario que est\u00e1n fragmentadas en la red. El servicio permite al usuario otorgar autorizaci\u00f3n expl\u00edcita a ReCRED para acceder a la informaci\u00f3n de cada cuenta en l\u00ednea que posee.<\/p>\n Los investigadores han creado, adem\u00e1s, un m\u00f3dulo de adquisici\u00f3n de identidad f\u00edsica para aquellos servicios que requieren un mayor nivel de garant\u00eda de atributos. Este servicio verifica todos los atributos de identidad incluidos en la identidad f\u00edsica del usuario, como por ejemplo su n\u00famero de pasaporte o documento de identidad, n\u00famero de cuenta bancaria, su foto, etc.<\/p>\n Con todos estos servicios ReCRED mejora la garant\u00eda de identidad y refuerza el v\u00ednculo entre identidades f\u00edsicas y virtuales. \u00abLos usuarios finales pueden ahora corroborar que son propietarios de diferentes cuentas partiendo de distintos proveedores de identidad, vincularlas entre s\u00ed y consolidar sus atributos de identidad\u00bb, afirma Christos Xenakis.<\/p>\n Un supuesto t\u00edpico que ejemplifica todo lo relacionado con la gesti\u00f3n de la identidad de los usuarios en la red se asocia con la diversidad de servicios que requieren que los usuarios finales inicien sesi\u00f3n para tener acceso.<\/p>\n Ante este supuesto habitual, ReCRED apuesta por la seguridad basada en datos. Los investigadores han logrado que caracter\u00edsticas \u00fanicas del usuario como la edad, la nacionalidad o la ocupaci\u00f3n puedan servir para acceder a datos, recursos o servicios. \u00abPriorizamos una autentificaci\u00f3n que requiera utilizar solo datos esenciales que act\u00faan como credenciales an\u00f3nimas. No es necesario verificar el correo electr\u00f3nico, por ejemplo, ya que \u00e9ste revelar\u00eda la identidad del usuario\u00bb, explica Antonio Fern\u00e1ndez Anta, investigador de IMDEA Networks Institute, colaborador de la UC3M en ReCRED.<\/p>\n El dispositivo que se convierte en la principal puerta de enlace de autentificaci\u00f3n presenta sus propios problemas de seguridad. \u00c9ste puede convertirse en un punto \u00fanico de fallo en caso de p\u00e9rdida o da\u00f1o, o ser vulnerable a ser pirateado tras la autentificaci\u00f3n del usuario.<\/p>\n ReCRED (From Real-world Identities to Privacy-preserving and Attribute-based CREDentials for Device-centric Access Control, H2020 Grant Agreement <\/em>653417<\/a>)<\/strong> ha evitado estos problemas creando medidas de seguridad adicionales con capacidades de bloqueo y recuperaci\u00f3n. En particular, los investigadores han aprovechado una entidad llamada Consolidador de Identidad (IDC, por sus siglas en ingl\u00e9s) as\u00ed como firmas comportamentales y fisiol\u00f3gicas del usuario y protocolos de seguridad basados en tarjetas SIM para verificar la identidad del usuario. El IDC permite la consolidaci\u00f3n y la gesti\u00f3n de identidades, al tiempo que favorece la recuperaci\u00f3n eficiente ante fallos. \u00abEn caso de que un usuario pierda su dispositivo, puede recuperar el acceso a los servicios al proporcionar una autentificaci\u00f3n de dos factores, como atributos personales escaneados a partir de caracter\u00edsticas f\u00edsicas o datos biom\u00e9tricos conductuales\u00bb, se\u00f1ala Xenakis.<\/p>\n La eliminaci\u00f3n de la necesidad de emplear contrase\u00f1as diferentes har\u00e1 que los servicios basados en internet sean m\u00e1s seguros y f\u00e1ciles de usar. Adem\u00e1s de los usuarios finales, otros beneficiarios de esta nueva plataforma abierta ser\u00e1n los operadores de telecomunicaciones, las empresas de alojamiento web y los fabricantes de dispositivos m\u00f3viles.<\/p>\nUna \u00fanica contrase\u00f1a que memorizar<\/h3>\n
Identidad del usuario y administraci\u00f3n de la cuenta<\/h3>\n
Seguridad basada en datos, no en contrase\u00f1as<\/h3>\n
Duplicar la seguridad reforzando el dispositivo m\u00f3vil<\/h3>\n