Autenticación fuera de banda

La autenticación fuera de banda mejora la seguridad al utilizar un canal de comunicación independiente, o «banda», para la autenticación, distinto del canal o dispositivo principal que se está utilizando. Esto contrasta con la «autenticación en banda»: mientras que en esta última se envían las credenciales a través del mismo canal en banda, en la autenticación fuera de banda se utiliza un canal independiente para realizar un paso de autenticación adicional.

En términos más sencillos, «fuera de banda» significa que la autenticación es independiente del dispositivo; por lo tanto, aunque un dispositivo se vea comprometido, la autenticación no se ve afectada.

La solución biométrica facial de iProov se basa en una auténtica autenticación fuera de banda. El proceso de autenticación se lleva a cabo en la nube, en lugar de en el propio dispositivo del usuario. De este modo, se separa el plano de autenticación del plano del dispositivo.

Entre las ventajas de esta arquitectura se incluyen:

• Protección frente a dispositivos comprometidos: si un atacante consigue acceso total al dispositivo de un usuario, el proceso de autenticación fuera de banda sigue siendo seguro, ya que la autenticación se procesa independientemente del dispositivo; queda aislada de ese dispositivo comprometido.

• Cómo evitar las vulnerabilidades en banda: La autenticación en banda ofrece menos seguridad de lo que se cree. Por ejemplo, si una organización envía contraseñas de un solo uso (OTP) a ese dispositivo móvil para autenticar a una persona, el código OTP no aporta en realidad ninguna seguridad adicional. El atacante puede copiar las OTP generadas por correo electrónico, autenticador o SMS en ese dispositivo, ya que se envían al dispositivo al que el estafador ya tiene acceso. El acceso al dispositivo le permite acceder a la OTP. Se trata de una vulnerabilidad crítica.

• Comodidad para el usuario final: La autenticación biométrica basada en la nube permite ofrecer una auténtica autenticación fuera de banda sin necesidad de utilizar varios dispositivos. Esto maximiza la comodidad para el usuario en comparación con otros flujos de usuario; imagínese que alguien introduce su contraseña en su ordenador de sobremesa pero no tiene su teléfono a mano (o lo ha perdido por completo): en ese momento, queda completamente excluido del proceso de autenticación, lo que reducirá las tasas de éxito.

Siguen existiendo vulnerabilidades graves si todos los factores de autenticación siguen estando centralizados en el mismo dispositivo. Por ejemplo, si un usuario realiza una compra a través de una aplicación móvil y el proveedor de la aplicación envía un código por SMS a ese dispositivo móvil para verificar la compra, dicho código no aporta en realidad ninguna seguridad adicional, ya que se envía al mismo dispositivo y, por lo tanto, es «in-band». Si el dispositivo ha sido comprometido, la contraseña de un solo uso (OTP) carece de valor.

iProov parte de la base de que el dispositivo no es de confianza y lleva a cabo la autenticación de forma segura y privada en la nube, por lo que es independiente del dispositivo que se utilice. Incluso si un malintencionado tuviera acceso total al dispositivo de otra persona, el proceso de autenticación seguiría siendo seguro.

Las organizaciones deben adoptar un enfoque integral y multifacético en materia de seguridad. Lo ideal es descentralizar las señales de identidad a través de múltiples fuentes fiables, combinando la autenticación fuera de banda con datos biométricos y otras señales recopiladas de forma independiente a través de distintos canales, bajo la supervisión de un centro de operaciones de seguridad.