Header Ads Widget

Ticker

6/recent/ticker-posts

Apple se une al esfuerzo de la industria para eliminar las contraseñas

Apple se ha unido a un verdadero quién es quién de los proveedores de tecnología en la Alianza FIDO que ven la autenticación estandarizada de dos factores como el camino a seguir para el inicio de sesión del dispositivo.



En un movimiento algo inusual para Apple, la compañía se ha unido a Fast IDentity Online (FIDO) Alliance, un grupo de estándares de autenticación dedicado a reemplazar contraseñas con otro método más rápido y seguro para iniciar sesión en servicios y aplicaciones en línea.

Apple se encuentra entre los últimos peces gordos de la tecnología en unirse a FIDO, cuyos miembros ahora incluyen a Amazon, Facebook, Google, Intel, Microsoft, RSA, Samsung, Qualcomm y VMware. El grupo también cuenta con más de una docena de firmas de servicios financieros como American Express, ING, Mastercard, PayPal, Visa y Wells Fargo.


“Apple no suele estar al frente para unirse a nuevas organizaciones y, a menudo, espera para ver si ganan suficiente tracción antes de unirse. Esto es bastante atípico para ellos”, dijo Jack Gold, presidente y analista principal de J. Gold Associates. “Apple a menudo intenta presentar [sus] propios estándares industriales propuestos para una amplia adopción, pero generalmente no es uno de los primeros en adoptar los verdaderos estándares industriales de múltiples proveedores.

"FIDO ahora tiene suficiente impulso que supongo que Apple está sintiendo la presión de unirse", dijo. "Especialmente en un mundo basado en la nube, FIDO es una iniciativa clave para la autenticación que las empresas realmente no pueden ignorar".

David Mahdi, director senior de investigación de seguridad y privacidad de Gartner, dijo que la medida de Apple es digna de mención.

"Es un paso significativo en la realización de un mundo sin contraseña", dijo Mahdi. "La incorporación de Apple es un paso significativo".

Formada en 2012, el propósito de FIDO es impulsar la autenticación de dos factores para servicios y aplicaciones porque las contraseñas son inseguras de forma innata. La investigación respalda la afirmación del grupo, ya que el 81% de todas las violaciones de seguridad de los piratas informáticos se pueden rastrear a contraseñas robadas o deficientes, según el Informe de Investigaciones de Violación de Datos de Verizon .


"Si confía en el nombre de usuario / dirección de correo electrónico y la contraseña, está tirando los dados en lo que respecta a la reutilización de contraseñas de otras infracciones o malware en los dispositivos de sus clientes", dijo Verizon en su informe.

Junto con W3C , FIDO escribió y está utilizando la API de autenticación web emergente (más conocida como WebAuthn). La especificación WebAuthn ya es compatible, en diferentes grados, con los principales navegadores como Chrome de Google, Firefox de Mozilla y Edge de Microsoft. Esos navegadores también admiten la creación de credenciales en la nube mediante un token U2F, que puede usar Bluetooth, NFC o USB para proporcionar autenticación de dos factores a servicios y aplicaciones en línea.

En 2018, Apple anunció que estaba agregando soporte "experimental" para el protocolo WebAuthn en Safari. En diciembre, Apple agregó soporte nativo para llaves de seguridad compatibles con FIDO, como las de Yubico y Feitian , que usan el estándar WebAuthn sobre comunicación de campo cercano (NFC), USB o Lightning en iOS 13.3.

"FIDO es como Bluetooth para la autenticación, lo que significa que tenemos varios dispositivos con características y funciones que se pueden utilizar para proporcionar autenticación", dijo Mahdi.

Por ejemplo, dijo Mahdi, los dispositivos móviles o computadoras portátiles pueden usar lectores de huellas dactilares o tecnología de reconocimiento facial para permitir el inicio de sesión. Cualquiera de las dos tecnologías podría aprovecharse para la autenticación, pero sin un lenguaje común, era difícil de hacer y requería controladores y software propietarios.

"Como tal, era mucho más complejo habilitar de manera confiable una autenticación fuerte", dijo Mahdi. "FIDO, como Bluetooth, permite a los desarrolladores de aplicaciones y a los líderes de seguridad que desean habilitar una autenticación sólida (por ejemplo, en una aplicación móvil o un sitio web) cubrir una amplia gama de métodos de autenticación que están disponibles en dispositivos con un código mínimo [y sin tener que hacerlo preocuparse por muchos controladores propietarios] ".

En general, la especificación de FIDO significa que los servicios digitales de bancos, sitios de comercio electrónico y otros pueden reconocer a los usuarios a través de sus dispositivos, en lugar de con nombres de usuario y contraseñas. Por ejemplo, los usuarios pueden registrarse para un servicio en línea, crear un nombre de usuario, registrar sus dispositivos y seleccionar un método de autenticación preferido (es decir, dedo, rostro y / o PIN). No se necesitaría ninguna contraseña, dijo Mahdi.

Cómo funcionan las especificaciones de FIDO
La especificación de FIDO funciona al  permitir que cualquiera que lo use obtenga acceso a una aplicación o servicio en línea con un par de claves públicas y privadas.

Cuando un usuario se registra en un servicio en línea, como PayPal, el dispositivo de autenticación (un servidor) crea un par de claves privadas / públicas únicas. La clave privada se almacena en el dispositivo del usuario, mientras que la clave pública se asocia con ese dispositivo a través del servicio o la aplicación en línea.

La autenticación la realiza el servidor del cliente enviando un desafío electrónico al dispositivo del usuario. Las claves privadas del cliente se pueden usar solo después de que el usuario las desbloquee localmente en el dispositivo. El desbloqueo local se logra mediante una acción segura, como un lector biométrico (es decir, un escaneo de huellas dactilares o reconocimiento facial), ingresar un PIN, hablar por un micrófono o insertar un dispositivo de segundo factor.


U2F es un estándar de autenticación abierta que permite a los usuarios de Internet acceder de forma segura con una clave de seguridad al instante y sin necesidad de controladores o software cliente, según el miembro de FIDO y proveedor de autenticación Yubico . FIDO2  es la última generación del protocolo U2F.

En abril pasado, Google se unió a la Alianza como parte de su creación de nuevas herramientas de gestión de identidad en línea. Google agregó autenticación de dos factores a través de la especificación de FIDO para dispositivos Android 7 y superiores.

Jamf , un proveedor de software de gestión de autenticación empresarial multifactor para la plataforma Mac, se unió a FIDO el mes pasado.

“Como admitíamos muchos de estos dispositivos de múltiples factores y diferentes proveedores de identidad, se volvió complicado con bastante rapidez”, dijo Joel Rennich, director de Jamf Connect , un producto de autenticación y administración de identidad de Apple Mac. “Y todavía teníamos el problema de que necesitábamos volver a tener una contraseña. En Mac, no hay una forma integrada de admitir sus credenciales de usuario sin ingresar una contraseña. Sin embargo, Apple tiene una instalación de tarjetas inteligentes bastante sólida ".

Rennich dijo que Jamf está adoptando el protocolo de autenticación FIDO porque es "increíblemente" seguro y permite mucha flexibilidad debido al amplio soporte de la industria. En particular, debido al uso de FIDO de criptografía de curva elíptica altamente segura  , la misma que usa Apple Secure Enclave, Jamf ahora puede aprovechar la tecnología para crear acceso de clase empresarial al iPhone, por ejemplo.

“Entonces, podemos usar ese hardware que ya está en el dispositivo para trabajar con los protocolos FIDO con una cantidad mínima de esfuerzo. ... Eso hizo que el desarrollo fuera realmente rápido ”, dijo Rennich.

Si bien aún no se ha enviado, Jamf también creó una tarjeta inteligente virtual que permite a los usuarios iniciar sesión en dispositivos Mac desde la nube utilizando claves de emparejamiento de criptografía de curva elíptica de la misma manera que lo hace la especificación de FIDO.

“No estamos aquí para hablar por Apple…, pero ciertamente puede ver que están haciendo mucho más trabajo en este entorno. Creo que es una base sólida. Es un gran estándar ”, dijo Rennich. “Esperamos que Apple haga más con él. Pero mientras tanto, esperamos poder iniciar sesión en la ventana de inicio de sesión con un autenticador FIDO para Mac ".

Publicar un comentario

0 Comentarios