Autenticación de doble factor

Controlar quién puede acceder a un determinado recurso es una práctica que se realiza desde hace mucho tiempo, inicialmente la información y los objetos valiosos como joyas y dinero se encontraban en cajas fuertes que estaban protegidas mediante un código PIN (Personal Information Number), posteriormente con el desarrollo de las tecnologías se comenzó a trasladar el mismo sistema de autenticación a los sistemas informáticos como servidores, PCs y dispositivos móviles, aunque en este caso hemos visto una pequeña variación ya que actualmente en la mayoría de servicios nos piden también un usuario para identificarnos, y dependiendo del usuario se nos concederá permisos para acceder a unos determinados recursos u otros.

El método de autenticación de usuario/contraseña es un método tan primitivo que hoy en día la mayoría de las personas están demandando un cambio radical en el sistema de autenticación sin que nos demos cuenta, estamos registrados en una infinidad de servicios web y es prácticamente imposible definir un usuario y contraseña por cada una de ellas, y más aún cambiar la contraseña cada cierto tiempo para evitar ser adivinada por terceros. El hecho de utilizar las mismas credenciales para la mayoría de servicios, y la facilidad con la que los “malos” realizan ataques SQL Injection sobre los servicios web, para posteriormente publicar las credenciales de los usuarios en Pastebin, está haciendo que se cambie el sistema de autenticación de usuario/contraseña a un sistema de autenticación de doble factor que proporciona a los usuarios mayor seguridad en los sistemas de validación.

El sistema de autenticación de doble factor consiste en la definición de un segundo elemento, además de la contraseña, para identificar al usuario, siendo este segundo elemento sólo accesible por el usuario. Normalmente consiste en el envío de un código generado aleatoriamente que deberá ser introducido tras autenticarnos con usuario/contraseña. El envío de este segundo factor suele ser mediante un SMS al teléfono móvil del usuario, mediante e-mail al correo del usuario o incluso mediante tokens sincronizados con la plataforma de validación, además existen tokens USB con un certificado digital que nos hará las funciones de autenticación de doble factor.

Los sistemas de autenticación de doble factor los podemos encontrar en los accesos a portales VPN, sistemas de transferencia bancaria online y otros servicios web como Dropbox, Google, Twitter o Linkedin.

Personalmente pienso que el sistema de validación de doble factor añade un grado más de complejidad al acceso a los servicios y que pocos usuarios lo utilizarán, a no ser que sea un requisito impuesto para acceder a los recursos, ya que sigue manteniendo el clásico sistema de autenticación usuario/contraseña. Así que preveo que hasta que los sistemas no se adapten a mecanismos de autenticación biométricos como la utilización de la huella dactilar, el iris o la retina no dejaremos atrás el clásico usuario/contraseña, o por otro lado comencemos a tomarnos las pastillas de autenticación o nos hagamos tatuajes con microchips que nos identifiquen ante cualquier sistema de autenticación. En fin … todo se verá con el tiempo.