Autenticación y Seguridad en Sistemas Informáticos

Autenticación de Usuarios

Los métodos de autenticación son los mecanismos que una máquina tiene para comprobar que el usuario que intenta acceder es quien dice ser.

Estos métodos se pueden clasificar en tres grupos en función de los medios que se vayan a utilizar para identificarse:

• Algo que el usuario sabe y que el resto de las personas desconocen; lo más utilizado es el nombre de usuario y la contraseña. Lo usamos para acceder a nuestra cuenta de correo, para conectarnos a las redes sociales, etc.
• Algo que el usuario posee, por ejemplo, una tarjeta de identidad.
• Alguna característica propia del usuario, rasgos físicos o comportamientos, por ejemplo la huella dactilar, la retina… A este tipo de medidas se le conoce como mecanismos biométricos.

Políticas de Contraseñas

En la mayoría de los equipos informáticos, la autenticación de los usuarios se realiza introduciendo un nombre y una contraseña. Cada usuario tiene asignado un identificador y una clave, que permitirán comprobar la identidad del mismo en el momento de la autenticación.

La seguridad del sistema va a estar por tanto relacionada con la buena elección de la contraseña y la confidencialidad de la misma. Por este motivo, las empresas suelen tener definidas políticas de contraseñas donde se establece la longitud mínima de la misma, su formato, el tiempo que será válida, etc.

Las características que debe cumplir una buena contraseña son:

• No debe estar formada por palabras que encontremos en el diccionario, ya que se descubren con facilidad.
• No deben usarse solo letras mayúsculas o minúsculas.
• No debe estar formada solo por números.
• No se debe utilizar información personal (fecha de nacimiento, DNI, etc. Este fallo es muy habitual en las preguntas que realizan determinadas páginas en caso de que no se recuerde la contraseña).
• No se debe invertir palabras reconocibles, como atatap.
• No se deben repetir los mismos caracteres en la misma contraseña.
• No debemos escribir la contraseña en ningún sitio.
• No se debe comunicar a nadie por teléfono ni enviarla por correo electrónico.
• Debemos cambiar las contraseñas de acceso dadas por defecto por los fabricantes de routers y otros periféricos, que nos permiten el acceso a la red.
• No debemos utilizar la misma contraseña en las distintas máquinas o sistemas, ya que si nos la descubren, haríamos vulnerables el resto de equipos a los que tenemos acceso.
• Las contraseñas se deben cambiar cada cierto tiempo, al menos una vez al año.

Por lo tanto, las contraseñas deben ser cadenas de caracteres que incluyan tanto letras mayúsculas, minúsculas, números y caracteres especiales sin ningún tipo de lógica aparente. La longitud de la misma debe ser superior a 8 caracteres, aunque lo más recomendable es que supere los 15.

Para poder recordar la contraseña, ya que lo prudente es no escribirla en ningún sitio, sería elegir palabras sin sentido pero que sean pronunciables, o bien elegir la primera letra de cada palabra de una frase que recordemos, por ser parte de una canción que nos gusta, o de algún recuerdo, por ejemplo “Y es que yo nací en el mediterráneo” (Yeqyneem); para complicarla, se puede poner algún símbolo especial en una posición que podamos recordar.

Una contraseña mal elegida o mal protegida puede suponer un importante agujero en la seguridad del sistema.

Hay multitud de programas que nos permiten generar contraseñas si no tenemos imaginación para crear claves, como por ejemplo Max Password y Password Generator, y muchos programas que pueden descubrir contraseñas, como por ejemplo la aplicación John the Ripper (www.openwall.com).

Sistemas Biométricos

Los sistemas biométricos se utilizan para autenticar a los usuarios a través de sus rasgos físicos o conductas. En la actualidad podemos encontrar portátiles que nos obligan a autenticarnos para acceder a su sistema operativo a través de la detección de la huella digital.

¿Cómo funciona un sistema biométrico?

El funcionamiento del sistema biométrico se compone de dos módulos: el de inscripción y el de identificación.

Módulo de inscripción: mediante sensores, lee y extrae la característica que identifica al usuario, almacenando el patrón en una base de datos. Por ejemplo, grabar las huellas de los dedos de la mano.

Módulo de identificación: lee y extrae la característica que reconoce al usuario. Ese patrón se compara con los que se tienen almacenados en la base de datos y se devuelve la decisión sobre la identidad del usuario.

Los tipos de sistemas biométricos más populares son:

• Verificaciones anatómicas:

• Mano: huellas dactilares, geometría, venas.
• Rostro: geometría.
• Patrones oculares: retina, iris.

• Verificación del comportamiento:

• Timbre de la voz.
• Escritura: uso del teclado, escritura manual de un texto predefinido, firma del usuario.
• Longitud y cadencia del paso.

Tarjetas

Las tarjetas son de dos tipos: sencillas (magnéticas, RFID) o complejas (chip). Las magnéticas van desapareciendo por las RFID (usan una tecnología de identificación mediante radiofrecuencia, muy utilizada en tarjetas y etiquetas) que son igual de baratas y no sufren borrados accidentales (abono transporte).

Las tarjetas con chip son más seguras pero más caras, por lo que se utilizan en ocasiones especiales. Hay dos tipos:

1. Las que son simplemente un dispositivo de almacenamiento: contienen nuestras claves, que son copiadas de forma temporal por el dispositivo lector cuando introducimos la tarjeta (algunas de crédito).
2. Las que constituyen un dispositivo de procesamiento: contienen nuestras claves, pero nunca salen de la tarjeta (tarjeta SIM de los teléfonos móviles).

Listas de Control de Acceso

Las listas de control de acceso, mejoran la seguridad de los archivos de nuestro sistema. En dichas listas, se definen los privilegios que tiene un usuario de forma individual sobre un determinado fichero, es decir, permiten o limitan el acceso a los archivos de manera individual sin tener en cuenta el grupo al que pertenece el usuario.

En la mayoría de los casos, los usuarios no tienen permiso para realizar tareas de administración de la máquina (usuarios limitados, no administradores); así se reduce el daño que puedan causar. Pero hay determinadas situaciones (instalación de nuevos programas, modificación de parámetros del sistema) para las que sí se necesita ser administrador. Una solución es solicitar, de manera puntual, la elevación de privilegios. Consiste en pedirle al sistema ejecutar un determinado programa con permisos de administrador; se aplica solo a ese programa y solo a esa ejecución, no afecta a las aplicaciones abiertas antes o después, ni siquiera cuando abramos ese mismo programa más adelante.

A partir del Windows Vista, se dispone del llamado Control de Acceso de Usuario (UAC, User Access Control): es una característica de Windows, que ayuda a impedir cambios no autorizados en el equipo, avisando al usuario a través de ventanas emergentes, cuando un programa solicita ejecutar una operación de administración.