ESCUCHAR
“Su clave de acceso se encuentra vencida. Para acceder al sistema debe renovarla eligiendo una nueva clave, que no haya utilizado en el pasado, y que conste de más de ocho dígitos, con mayúsculas, minúsculas, números y caracteres especiales. Recuerde que la duración de la nueva clave será de tres meses. Memorícela, no la anote ni la comparta con terceros”. Al terminar de leer tantas exigencias y recomendaciones, un agobio masivo se apoderó de mi cuerpo. ¿No le pasó nunca?
Es realidad mundial que los ataques informáticos para sustraer información personal de los usuarios crecen exponencialmente, con foco en datos relacionados a operaciones bancarias, ya que el objetivo siempre es económico.
Entonces, los bancos para proteger sus sistemas y liberarse de responsabilidad exigen a sus clientes la renovación periódica de claves, con requisitos cada vez más complicados, especialmente para memorizar. Esto lleva a que los usuarios guarden esas contraseñas en sus dispositivos, muchas veces de manera insegura, facilitando así la tarea de los ladrones con teclado que -una vez ingresados a la computadora o al teléfono de la víctima- buscarán el archivo “claves varias” o “amigos” o “recuerdos” para su sustracción y posterior fácil acceso a robustas plataformas bancarias.
Entonces aparece un sistema de autenticación multifactor, conocido como MFA, siglas en inglés de multi factor authentication, que requiere múltiples métodos de autenticación de categorías independientes para verificar la identidad de un usuario, combinando lo que el usuario sabe, como una contraseña; lo que tiene el usuario, como un token de seguridad; y qué es el usuario, mediante el uso de métodos de verificación biométrica.
Las tres categorías más comunes, o factores de autenticación, a menudo se describen como algo que usted conoce o el factor de conocimiento; algo que se tiene o el factor de posesión; y algo que se es o el factor de inherencia.
El primer factor, de conocimiento, requiere que el usuario responda una pregunta de seguridad personal, que pueden ser contraseñas, números de identificación personal (PIN) de cuatro dígitos y contraseñas de un solo uso (OTP). Los casos más frecuentes son deslizar una tarjeta de débito e ingresar un PIN en la caja del supermercado; o proporcionar información, como el nombre de la mascota.
El segundo factor de posesión exige que los usuarios tengan en su poder un elemento para iniciar sesión, como una insignia, un token, un llavero o una tarjeta de módulo de identidad de suscriptor (SIM) de teléfono. Para la autenticación móvil, un teléfono inteligente a menudo proporciona el factor de posesión junto con una aplicación OTP. Es común utilizar estos factores en la autenticación móvil, en la que los usuarios reciben un código a través de su teléfono inteligente para obtener u otorgar acceso y adjuntar un token de hardware USB a un escritorio que genera una OTP y usarlo para iniciar sesión.
El tercer factor de inherencia aplica a cualquier rasgo biológico que tenga el usuario ya acreditado, comúnmente conocido como métodos de verificación biométrica, en los que se realiza un escaneo de retina o iris; escaneo de huellas dactilares; autenticación por voz; geometría de la mano; reconocimiento facial; geometría del lóbulo de la oreja, entre otros. Los escenarios típicos en los que se aplica esta tecnología son usar una huella digital o reconocimiento facial para acceder a un teléfono inteligente; identificación de un criminal usando la geometría del lóbulo de la oreja.
Otro factor importante que algunas tecnologías implementan es la autenticación basada en el tiempo al detectar la presencia de una persona en un momento específico del día y otorgar acceso a un determinado sistema o ubicación. Por ejemplo, los clientes bancarios no pueden usar físicamente su tarjeta de cajero automático en los Estados Unidos y luego en Inglaterra en un rango de 30 minutos. Estos tipos de bloqueos lógicos se pueden utilizar para ayudar a prevenir muchos casos de fraude bancario en línea.
Está comprobado que mientras más exigencias se imponen a los usuarios menos seguridad se logra, ya que -como dice el párrafo de inicio- los usuarios se sienten agobiados ante tantos requisitos y terminan optando por “la fácil”, la que les permita acceder al sistema, que es lo único que pretenden, al fin y al cabo. Entonces cumplen con esa combinación de caracteres imposible de memorizar y la anotan en la billetera.
Por ese motivo, mientras más factores inherentes y tecnológicos se puedan incorporar, que no requieran de la memoria de la persona, más eficientes serán los mecanismos de acceso para lograr una real y efectiva protección los usuarios.
(*) Abogado, especialista en derecho informático
