Se supone que las contraseñas habían muerto hace mucho tiempo. Sin embargo habían logrado mantenerse a pesar de las declaraciones de Bill Gates sobre su eliminación de los sistemas el pasado 2004. Ahora, a finales de abril, Mycrosoft ha introducido un reemplazo para este anticuado sistema de autenticación.
Durante muchos años las compañías y organizaciones entrenaron a sus usuarios en la selección de contraseñas seguras y como resistir los ataques de phishing. Sin embargo, estos esfuerzos eran en vano. Según un informe de Verizon el 63 por ciento de las violaciones de datos confirmadas implicó aprovechar las contraseñas débiles, predeterminadas y robadas en 2016. Mientras, un informe de Proofpoint dice que los ataques de phishing y similares a través de correo electrónico aumentaron un 45 por ciento en el último trimestre de ese año.
Esto demuestra que la constante presión sobre los empleados para hacer contraseñas más complicadas y no clicar en enlaces y archivos sospechosos está siendo ignorada.
La debilidad de las contraseñas
Según NIST, el Instituto Nacional de Estándares y Tecnología de los Estados Unidos, la única manera de hacer segura una contraseña es que presente entre 16 caracteres (preferiblemente una mezcla de letras y dígitos, con mayúsculas y / o alfanuméricas con símbolo) hasta 64 caracteres. Esto es un problema, una persona difícilmente recuerda 8 caracteres, imagina 64 y una para cada sitio o usuario de su propiedad.
Las contraseñas son inapropiadas para los usuarios móviles. En el año 2015 ya superaban las búsquedas de escritorio y se espera que para finales de este año los ingresos por contratos iguales a los de ordenadores portátiles. Este uso desmedido de móviles presenta también una brecha de seguridad, muchas personas consideran que utilizar contraseñas en sus equipos es un gran problema, incluso, contraseñas básicas para desbloquear la pantalla son ignoradas y lo peor, si se emplean, con solo observar sensores, giroscopios y acelerómetros un hacker puede descubrirla fácilmente.
¿Cuál será el reemplazo?
Según Microsoft el reemplazo de las contraseñas será su nuevo Microsoft Authenticator. Un sistema de autenticación push que «Desplaza la carga de seguridad de su memoria a su dispositivo». No escribirás una contraseña, simplemente recibirás una notificación push cada vez que busques acceder a tu cuenta de Microsoft. Es más seguro que una contraseña y más fácil que la verificación estándar de dos pasos.
El proyecto Abacus de Google planea hacer lo mismo. Eliminaran las contraseñas e identificaran al usuario en base a como interactúa con su móvil. Empleará criterios como la forma en que los usuarios manejan su dispositivo, velocidad de desplazamiento y estilo, fuerza de contacto, y otros.
Apple fue el primero en ofrecer un sistema de autenticación alternativo, permitiendo al usuario utilizar su huella dactilar para desbloquear su dispositivo iOS.
Microsoft, Google y Apple están poniendo de relieve el inicio del «Autenticador móvil» como sustituto de las mejores prácticas para las contraseñas. Esto significa que, para acceder a un dispositivo, un usuario tiene que proporcionar respuestas correctas a dos de cada tres factores, que incluyen lo que tiene, quién es usted y lo que sabe. Las contraseñas tradicionales solo se basan en lo que sabes, que sería u contraseña, al implicar otros factores, la seguridad se incrementa.
En el ejemplo de Microsoft Authenticator, «El dispositivo móvil es el primer factor (algo que tienes), el pin o la huella que creas en el dispositivo es un segundo factor (algo que sabes o que son) y Cada sesión de inicio de sesión requiere de ambos.
Otros factores de autenticación que pueden ser empleados son preguntas de seguridad, autenticación basada en ubicación, impresión biométrica de voz, fichas (hardware o software) y otras.