El conteo va subiendo. Cada día, la persona promedio acumula otra credencial de inicio de sesión.
Bancos. Correo electrónico. Comercio electrónico. Redes sociales. El portal de la oficina.
Estás gestionando un ejército cada vez mayor de cadenas de personajes. Y siempre hay alguien intentando robárselos.
Los piratas informáticos no sólo quieren acceso. Quieren el dinero asociado a ese acceso. Transacciones fraudulentas, identidades robadas, cuentas vacías. El motivo es simple. El método es implacable.
¿Cómo cierras la puerta cuando tienes cincuenta llaves en el bolsillo?
Está surgiendo un nuevo enfoque. No se trata sólo de hacer que las contraseñas sean más difíciles de adivinar. Se trata de hacerlos innecesarios.
La fatiga de la fricción
Considere el día típico del usuario.
Te despiertas. Revisas tu correo electrónico. Inicia sesión en su aplicación bancaria. Busca una camisa nueva. Respondes a un mensaje de trabajo de Slack.
Son cinco eventos de autenticación distintos.
Ahora imagina hacer eso para cada servicio que utilices.
La fricción es real. Y es peligroso.
Porque los usuarios están cansados. Cuando la seguridad se vuelve demasiado complicada, la gente hace trampa.
Usan la misma contraseña en todas partes.
Lo escriben.
Lo comparten.
Esto crea una enorme vulnerabilidad. Si un sitio es vulnerado, el atacante tiene la clave de todo lo demás.
Phishing y fuerza bruta
Las amenazas también están evolucionando.
Los ataques de phishing son cada vez más inteligentes. Imitan sitios legítimos con una precisión aterradora. Escribe su contraseña en una página de inicio de sesión falsa. El hacker lo entiende al instante.
Luego está la fuerza bruta. Los scripts automatizados prueban miles de combinaciones por segundo. Si su contraseña es “Contraseña123”, ya está.
El daño financiero es inmediato.
Su tarjeta de crédito está cargada. Te roban la identidad. Tu reputación está comprometida.
El cambio a las claves de acceso
Aquí es donde entra en juego el nuevo método.
Se llama contraseñas.
También conocidas como credenciales FIDO2 o WebAuthn.
No importa tanto el nombre como la función.
Las claves de acceso reemplazan las contraseñas por completo.
Se basan en criptografía de clave pública.
Así es como funciona en inglés sencillo.
Su dispositivo (teléfono o computadora portátil) genera un par de claves único.
Una clave permanece en su dispositivo. Nunca se va.
La otra clave se envía al sitio web o aplicación. Esta es la clave pública.
Cuando inicia sesión, su dispositivo demuestra que posee la clave privada.
Lo hace mediante datos biométricos o un PIN.
Identificación facial. Huella dactilar. Tu código de bloqueo de pantalla.
No hay ningún secreto compartido. No hay una cadena de letras para adivinar.
Si un sitio web es pirateado, el atacante sólo obtiene la clave pública. Inútil.
No pueden aplicar ingeniería inversa a su contraseña.
No pueden usarlo en ningún otro lugar.
Por qué esto es importante para usted
No es necesario que entiendas las matemáticas.
Sólo necesitas saber el beneficio.
No más recordar cadenas complejas.
No más restablecer contraseñas olvidadas.
No más caer en sitios de phishing que solicitan una contraseña.
Un sitio de phishing puede parecer real. Incluso podría solicitar un código de verificación.
Pero sin su dispositivo físico y su consentimiento biométrico, el inicio de sesión falla.
El hacker no obtiene nada.
Este no es un concepto futuro.
Las principales plataformas lo están implementando
Por qué las contraseñas simples fallan y cómo la seguridad basada en el comportamiento cambia las reglas del juego
Tu teléfono es básicamente una computadora con toda tu vida en sus bolsillos. Datos bancarios. Correos electrónicos privados. La lista continúa. Esa conveniencia tiene un alto precio: el riesgo de infección, troyanos y piratería directa. Cuando los delincuentes entran, el daño es real. Y, sin embargo, seguimos poniéndolos demasiado fácil para ellos.
La persona promedio hace jogging con más de 20 cuentas protegidas con contraseña. Utilizan aproximadamente cinco contraseñas diferentes para mantenerlas todas desbloqueadas. Esta repetición es una pesadilla de seguridad.
Cómo los delincuentes realmente roban tus llaves
Stephan Wiefling, experto de la Universidad de Ciencias Aplicadas de Bonn-Rhein-Sieg (H-BRS), analiza las dos formas principales en que los piratas informáticos eluden sus defensas. No siempre es magia de alta tecnología.
Primero, hay filtraciones masivas de bases de datos. ¿Recuerdas Adobe? LinkedIn? ¿Mi espacio? Estos sitios a menudo almacenaban mal los datos de los usuarios. Los piratas informáticos roban la combinación de correo electrónico y contraseña. Luego utilizan una técnica llamada “Credential Stuffing”. Está automatizado. Prueban esas mismas credenciales en todos los demás sitios que utiliza. Akamai, un proveedor de servicios en línea, registra 250 millones de estos intentos diariamente. Si reutiliza las contraseñas, ya está.
En segundo lugar está el arte de adivinar. Suena ingenuo. Funciona de todos modos. Wiefling señala que las tasas de éxito alcanzan el 70% en menos de 100 intentos. ¿Por qué? Porque los humanos somos predecibles. Los piratas informáticos utilizan su nombre, el nombre de su mascota y los cumpleaños familiares. Introducen esto en modelos estadísticos para generar una lista de las contraseñas más probables. La computadora adivina lo que crees que es inteligente. Generalmente está mal.
Un nuevo escudo: reconocer tu verdadero yo
Para evitarlo, Wiefling desarrolló un sistema de protección. No solo verifica si su contraseña es correcta. Comprueba si tú eres quien lo escribe.
Esto se llama risiko-basierte Authentifizierung (autenticación basada en riesgos). El sistema acepta sus datos de inicio de sesión siempre que nada parezca extraño. Si ve un comportamiento extraño, exige un segundo paso de verificación.
¿Qué se considera raro? Usando un dispositivo en el que nunca antes has iniciado sesión. Iniciar sesión desde una ubicación geográfica que nunca has visitado. O visitar el sitio a las 3 a. m. de un martes, cuando normalmente estás dormido. El sistema señala esta desviación. Pide pruebas.
La comodidad se une a la precaución
Para la mayoría de los sitios, esto es muy sencillo. Escribe su contraseña una vez. Si el comportamiento es normal, estás dentro. Un estudio de laboratorio con casi 70 participantes confirmó que esto funciona. Los usuarios se sintieron significativamente más seguros con la autenticación basada en riesgos que con contraseñas simples. Lo preferían para las redes sociales y los sitios de compras.
Pero ¿qué pasa con las cuentas bancarias?
Allí la gente es diferente. En un segundo estudio, los participantes se negaron a confiar únicamente en el comportamiento de los sitios de alta seguridad. Querían la autenticación tradicional de dos factores (2FA). Esto significa iniciar sesión siempre dos veces. Contraseña más un PIN de un solo uso. Es más fricción. Pero por tu dinero, lo aceptarás.
¿Qué hace que una contraseña sea realmente segura?
Nada de esto funciona si su contraseña base es basura. Wiefling sugiere utilizar un administrador de contraseñas. Muchos navegadores ofrecen esto integrado.
Aquí está la parte contraria a la intuición: la complejidad no es el rey. La longitud es. Una frase larga y memorable como “Montags arbeite ich oft sehr gerne” supera a una cadena corta y caótica como “$Le90pch”. Es más difícil para una computadora forzar una frase larga con fuerza bruta.
Y por favor. Deja de reutilizar contraseñas. Utilice el administrador. Los almacena en una caja fuerte digital cifrada. Sólo tienes que recordar una contraseña maestra. Esa llave desbloquea todo lo demás.
No es perfecto. Aún se puede engañar al sistema si un atacante conoce su rutina. O si estás de viaje y el sistema marca tu comportamiento normal como sospechoso. Pero es un paso más que esperar que nadie adivine el nombre de su perro.
Aún debes tener cuidado. Las herramientas ayudan. No te salvan.
