Los controles de acceso tienen como objetivo: Conceder permisos de acceso a los usuarios o infraestructura a un recurso (una zona física, a información, servicios de red, etc.), verificando que quien quiere acceder es autorizado para ocupar el recurso y las 4 formas para poder realizar este proceso es por:
1. Algo que solamente el individuo conoce: ejemplo una contraseña.
2. Algo que una persona posee: ejemplo un tarjeta magnética.
3. Algo que el individuo es y que lo identifica unívocadamente: ejemplo las huellas digitales.
4. Algo que solamente el individuo es capaz de hacer: ejemplo los patrones de escritura.
Actualmente la mayoría de las áreas de Sistemas basan su proceso de autenticación para el acceso a las aplicaciones en sólo un factor: algo que el usuario sabe, y que típicamente son las contraseñas.
Sin embargo, el uso de contraseñas conlleva sus riesgos: además de la dificultad de hacer que los usuarios generen contraseñas fuertes o difíciles de adivinar, y las memoricen o dejen de escribirlas en papel exponiéndolas a terceros, los avances tecnológicos pueden permitir que cualquier individuo, hacker o no, pueda descubrir la contraseña fácilmente usando programas disponibles en Internet. En cuestión de horas o minutos, la password es descubierta a través de ataques de diccionario o de fuerza bruta. Para mitigar este riesgo, las áreas de Sistemas deben implementar políticas de contraseñas más agresivas, que resulten en passwords más complejas, pero que a su vez pueden resultar difíciles de manejar por los usuarios. Con frecuencia, esto ocasiona problemas que afectan a la productividad de la organización, como lo es la atención hasta su resolución de problemas derivados del uso y manejo de contraseñas, que afecta al mismo usuario y al personal de Sistemas.
Debido a lo anterior, es importante considerar el uso de un proceso de autenticación con dos factores: Algo que el usuario sabe (la contraseña) con algo que posee o una característica física del usuario.
Verificar una característica física del usuario implica el uso de sistemas biométricos, como lectores de retina, de huellas digitales, de voz, entre otros, cuyos dispositivos aún no vienen integrados en las PCs. Algunas ya incluyen lectores de huellas digitales pero su costo todavía es un factor que afecta la compra de estas PCs.
Verificar algo que posee el usuario implica el uso de tarjetas inteligentes o tokens. En el caso de tarjetas existe también la limitante de que se requiere un lector de tarjeta en la PC para poder usarlas, algo que no es común en las PCs y cuyo costo también afecta su compra. Sin embargo, un dispositivo que ha surgido para usar este factor de autenticación es el token, que se conecta a la PC a través del puerto USB.
En el token se pueden guardar certificados digitales, llaves criptográficas, cuentas de usuario y contraseñas. Para acceder a estos elementos de seguridad, el usuario sólo tiene que introducir la contraseña del token, quién proporciona los elementos almacenados en el token de forma automática sin intervención del usuario. Para usar el token se requiere una password o PIN numérico, que es más fácil de memorizar por el usuario. Esta contraseña o PIN debe ser fuerte y no tan fácil de adivinar. Si bien la complejidad de la password es un factor importante, en el caso del token no requiere que sea tan complicada. Esto no quiere decir que podemos usar passwords triviales para el token. No hay que olvidar que ahí se guardan elementos de seguridad para el acceso a aplicaciones corporativas e inclusive personales y que si cae en manos malintencionadas, por robo o pérdida, la información que se quiere proteger estaría en riesgo de exposición. Es mejor memorizar una contraseña o PIN fuerte, que diez.
El token es un dispositivo que el usuario puede llevar consigo y conectarlo al puerto USB de la PC cuando requiera entrar a una aplicación. Para dejar de usarlo basta con salir de la aplicación y desconectar el token del puerto USB. Su portabilidad minimiza la posibilidad de ataque a la contraseña del token, ya que siempre se trae consigo.
Es importante para los administradores de Sistemas se pongan a analizar sobre la seguridad de los sistemas que tienen como responsabilidad de administrar y sobre la importancia y el valor de la información que custodian y que hay que proteger.
Usar un mecanismo de autenticación de dos factores, basado en el uso de contraseñas y tokens, ayudará de forma efectiva a la seguridad de acceso a los sistemas.
No hay comentarios:
Publicar un comentario