Reforzar la autenticación con claves de acceso: guía práctica para CISOs

Durante décadas, las contraseñas han sido el método estándar para proteger el acceso a sistemas y cuentas. Sin embargo, las contraseñas pueden verse comprometidas o ser robadas mediante tácticas como ataques de fuerza bruta, ataques de phishing y malware de robo de información. El cambio a la autenticación multifactorial (MFA) añadió otra capa de seguridad al requerir una autenticación adicional para verificar la identidad del usuario: alguna combinación de algo que sabes, que posees o (en el caso de la biometría) que eres. Aunque la MFA es más segura que las contraseñas por sí solas, los atacantes han descubierto formas de eludirla, incluyendo ataques de adversario en el medio (AiTM), secuestro de sesión, fatiga de MFA e ingeniería social para restablecer o desactivar la MFA. Las claves de acceso se introdujeron como una solución de MFA resistente al phishing.

Cómo funcionan las claves de acceso

Las claves de acceso se basan en la criptografía de clave pública FIDO2, generando un par de claves público-privado único para cada usuario y servicio. La clave pública se envía al servidor; la clave privada se almacena en un gestor de credenciales (a veces llamado sync fabric) o en una llave de seguridad de hardware. Durante el inicio de sesión, el servidor envía un desafío aleatorio al dispositivo del usuario. Cuando el usuario proporciona su método de verificación establecido (por ejemplo, datos biométricos, PIN), el dispositivo firma el desafío con la clave privada. El servidor verifica la firma comparándola con la clave pública almacenada. No se transmiten credenciales, por lo que no pueden ser interceptadas por atacantes o malware. Dado que las claves de acceso están vinculadas criptográficamente al origen, el phishing tradicional (por ejemplo, solicitar credenciales a través de páginas de inicio de sesión falsas) resulta ineficaz.

Ventajas

Las claves de acceso benefician tanto a las organizaciones como a los empleados. Estas son algunas de las principales ventajas:

• Mayor seguridad: sustituir las contraseñas por claves de acceso reduce el riesgo de ataques basados en credenciales (por ejemplo, ataques de fuerza bruta, robo de información o phishing). Estos ataques pueden provocar interrupciones operativas, costes de recuperación sustanciales y daños a la reputación.
• Comodidad y ahorro de tiempo: los usuarios no tienen que preocuparse por elegir, mantener y proteger las contraseñas del sistema. Tampoco tienen que decidir si deben introducir un código o aprobar una notificación push. El proceso de inicio de sesión es más sencillo y rápido, y la reducción de la fricción resulta especialmente beneficiosa en situaciones críticas para la seguridad y en las que el tiempo es un factor clave. Una combinación de claves de acceso y el inicio de sesión único para recursos internos puede agilizar aún más el acceso. Aunque algunos recursos y sitios web seguirán requiriendo contraseñas u otros mecanismos de autenticación, reducir el número de inicios de sesión y de solicitudes de reautenticación facilita la vida de los empleados.
• Menos solicitudes al servicio de asistencia: aunque la adopción de claves de acceso no eliminará los problemas de acceso, puede reducir significativamente el número de tickets relacionados con errores de contraseña, solicitudes de restablecimiento, dispositivos de autenticación perdidos o defectuosos, y códigos de verificación retrasados o perdidos debido a una mala señal móvil. Los equipos de soporte pueden redirigir el tiempo que suelen consumir estos tickets para centrarse en otros problemas.

Consideraciones y advertencias

La mayoría de las organizaciones no tendrán que crear una infraestructura de claves de acceso desde cero. Los principales proveedores de identidad, como Microsoft, Google y Okta, ofrecen compatibilidad con claves de acceso como parte de sus plataformas de autenticación existentes. La decisión de implementación no se centra tanto en seleccionar un producto de claves de acceso independiente como en cómo habilitar y aplicar las claves de acceso dentro de tu pila de identidad actual. Antes de evaluar diversas soluciones, las organizaciones deben tener un conocimiento profundo de su entorno y deben considerar las implicaciones para los dispositivos personales de los empleados, si procede. Es posible que algunas soluciones no sean compatibles con todos los sistemas operativos o con versiones anteriores. Las organizaciones también deben considerar dónde se almacenarán las claves de acceso (por ejemplo, directamente en el portátil del usuario, en un gestor de contraseñas basado en la nube, en un token físico como un YubiKey) y cómo restaurar el acceso si una clave de acceso se pierde, se borra o se daña. Nuestro documento de preguntas frecuentes aborda consideraciones adicionales.

Ten en cuenta que, aunque las claves de acceso ofrecen una opción de autenticación sólida, no son infalibles. Es importante mantener una buena higiene de seguridad general, lo que incluye garantizar que se apliquen los controles de seguridad adecuados, auditar periódicamente los privilegios y accesos, y mantener los sistemas y el software actualizados contra vulnerabilidades conocidas. Las organizaciones también deben educar a los usuarios sobre cómo proteger el acceso y cómo reconocer los intentos de ingeniería social.

Factores de éxito para la implementación de claves de acceso

Basándonos en nuestra experiencia con las claves de acceso y en los consejos publicados por otros expertos del sector, una implementación exitosa requiere elementos como colaboraciones internas, una planificación adecuada y una comunicación clara. Hemos identificado los siguientes factores que pueden facilitar la transición. Estos factores se tratan con más detalle en la guía de implementación.

• Involucra a los equipos adecuados
• Ten en cuenta a los usuarios
• Explica los beneficios
• Asume tus errores del pasado
• Diversifica a los primeros usuarios
• Contrarresta la resistencia con datos y garantías
• Envía comunicaciones claras con la frecuencia adecuada
• Redacta guías de uso y forma a los equipos de soporte desde el principio
• Escucha a los usuarios

Cómo podemos ayudar

Durante nuestra implementación de las claves de acceso, nos encontramos con retos conocidos e inesperados. Para ayudar a otras organizaciones que estén considerando o iniciando la transición, hemos creado un manual que contiene una guía de implementación, una sección de preguntas frecuentes, una plantilla descargable para el despliegue de las claves de acceso que pueden usar los gestores de proyectos y diapositivas de resumen descargables.