El desafío de superar el usuario/contraseña: alternativas actuales

Las contraseñas son casi tan viejas como los mismos ordenadores. Son una forma fácil de verificar la identidad de una persona y evitar accesos no autorizados. Durante años, han servido sin problemas: son sencillas a la hora de implementar y no requieren muchas virguerías ni tecnología especial.

Sin embargo, en los últimos años la tendencia es "matar" las contraseñas por los problemas que nos presentan. Y es que la proliferación de los ordenadores en cualquiera de sus formas y de los miles, millones de sitios en los que podemos identificarnos con una contraseña han demostrado que las contraseñas no son, quizás, tan seguras.

Contraseñas repetidas, servidores que no las guardan correctamente, contraseñas demasiado simples (fáciles de recordar, pero también de adivinar...) Tener tantas contraseñas por todas partes hacen que adoptemos malas prácticas y estas pierdan el nivel de seguridad que necesitamos. Como decía mi compañero Javier Pastor, son invivibles. *¿Serán insustituibles?*

Las alternativas actuales a las contraseñas

Aunque siguen siendo mayoritarias, las contraseñas no son el único método de autenticarnos que hay actualmente. Android y su patrón es quizá de los más conocidos: en lugar de pulsar una serie de números, lo que hacemos es unir los puntos en un patrón que sólo nosotros conocemos. Windows 8 hace algo parecido con su patrón visual: configuras una imagen y unos gestos que haces sobre ella, como por ejemplo rodear los ojos de una persona.

Ambos son muy parecidos: son más cómodos y fáciles de recordar, pero no se pueden considerar alternativas especialmente seguras. No sería la primera vez que se adivina el patrón de un móvil viendo las marcas sobre la pantalla.

Otra aproximación que últimamente tiene mucha acogida es OAuth, el protocolo que usan Facebook, Twitter y Google para delegar la autenticación. Por ejemplo, usas tu cuenta de Twitter para entrar a comentar en Xataka: no necesitas una contraseña más que recordar, y el servicio (Xataka, en este caso) no tiene que preocuparse tanto de asegurar la base de datos de contraseñas. La idea es buena, pero si acceden a nuestra cuenta en el servicio principal (Twitter) tendrían acceso a todos los demás automáticamente.

Precisamente Twitter implementó hace poco autenticación en dos pasos, igual que hicieron previamente otros servicios de Internet como Google o Microsoft. Con esto no sustituyen exactamente a las contraseñas, sino que añaden una capa de seguridad por encima para asegurar que, incluso aunque nuestra contraseña sea comprometida, sólo nosotros podemos acceder a ella.

También existe la posibilidad de usar dispositivos físicos para entrar a nuestra cuenta. Por ejemplo, Blizzard distribuye un autenticador, un pequeño dispositivo que genera el código que necesitas para entrar a tu cuenta. En otros casos, se trata de llaves USB que al conectarlas al ordenador activan el programa de identificación correspondiente. De hecho, Google está preparando algo así, según Wired.

No podemos acabar de ver los métodos que existen sin ver uno de los más oscuros: la identificación por clave pública. Se usa sobre todo al entrar por SSH a un servidor. Por ejemplo, para subir código a Github desde el ordenador tienes que añadir tu clave pública al servicio. Este método se basa en la criptografía asimétrica y en el hecho de que sólo tú tienes almacenada tu clave privada. Es bastante seguro y fácil de usar, pero la configuración inicial no es tan sencilla y sólo se usa en círculos más bien técnicos.

Identificación biométrica, la mejor alternativa

En los últimos años hemos visto algunos "sustitutos" de las contraseñas, especialmente para desbloqueo de móviles (el patrón de Android) y ordenadores (el patrón visual de Windows 8). Sin embargo, no dejan de ser contraseñas en el fondo: es algo que sabemos, y que introducimos en el ordenador para identificarnos. No, el futuro va por otra cosa. La forma de matar las contraseñas es identificarnos con lo que tenemos: identificación biométrica.

Quizás el iPhone 5S sea el punto de inflexión con su sensor de huellas. Es cierto que no es ni el primer dispositivo ni el primer móvil que implementa un sensor de huellas para autenticarse - en móviles está el Motorola Atrix, y muchísimos portátiles llevan lector de huellas incorporado -, pero es el que tiene audiencia e influencia para llevarlo al gran público.

Además, las huellas dactilares serían el modo mejor posicionado para llevar la identificación biométrica a todo el mundo. Hay otras alternativas, pero tienen sus desventajas.

Por ejemplo, está el desbloqueo facial que Android incluyó en la versión 4.0. Sin embargo, no siempre es cómodo (hay situaciones en las que no puedes enfocarte el móvil a la cara), es relativamente fácil de engañar y no funciona del todo bien si la cara no está de frente. En el reconocimiento facial es posible usar sensores 3D, que mejoran la precisión y reconocen la cara desde más ángulos (incluido de perfil), pero, por supuesto, es muy aparatoso como para implementarlo en los gadgets de andar por casa.

La identificación por reconocimiento del iris es otra opción biométrica. El iris tiene más características que distinguen a uno de otro que las huellas dactilares, y se considera más seguro y menos sensible a daños y abrasiones que modifiquen los rasgos. El problema es que es un sistema complejo, caro y, al igual que el reconocimiento facial, es posible engañarlo con una fotografía.

El último método que podríamos tratar es la identificación por voz, que de hecho ha sido implementado hace poco en Barclays para identificar a los clientes que llaman por teléfono. Pero es implausible adaptarlo para otro tipo de situaciones: no siempre podemos hablarle a nuestro móvil u ordenador para identificarnos. Sería un método realmente incómodo que no tiene mucho sentido.

Los problemas de usar identificación biométrica para todo

Estamos todos de acuerdo en que la identificación puede ser más cómoda que las contraseñas, e incluso más segura. Pero, ¿qué pasaría si todos los sitios la usasen?

Tendríamos que transmitir nuestros datos (la huella del dedo, nuestra cara) al servicio para que nos identifiquen, igual que ahora enviamos nuestra contraseña. Sería todo de la misma forma, salvo por un pequeño detalle nimio, sin importancia: si alguien consigue nuestros datos biométricos (atacando un servidor, interceptando comunicaciones o como sea), la hemos fastidiado. No podemos cambiar nuestra huella, ni modificar la forma de nuestra cara. Si esos datos se filtran, abrimos la puerta a un atacante a que entre a todos nuestros servicios. El problema sería todavía más grande que con las contraseñas.

Una posible solución sería usar servicios centralizados de identidad. Igual que entras en Twitter con contraseña y autorizas a otros servicios, podrías entrar con tu huella y después autorizar otras cuentas que no tendrían acceso a tus datos biométricos.

Este enfoque no es perfecto: si alguien consigue acceso a nuestra cuenta principal, tendría acceso a todas las que hemos autorizado con ella.

Quizás la mejor solución sería cambiar quién es el servicio centralizado: que sea tu móvil u ordenador, de forma local, el que te autentique y que a la vez guarde las contraseñas de los servicios. Algo parecido a LastPass, 1Password o similares, pero de forma totalmente local. Es más difícil lograr nuestra cuenta local que una cuenta en un servidor de Internet y no transmitiríamos nuestra huella a ninguna parte.

Tenemos contraseñas para rato

Por mucho que la identificación biométrica salga adelante, vamos a tener contraseñas para rato. No es plausible dar nuestras huellas a todo el mundo, y las formas de delegar la identificación probablemente funcionen con contraseñas por debajo. Por no hablar, claro, de que habrá que tener una segunda forma de identificarse por si no podemos hacerlo con nuestra huella, y ahí la opción más probable son contraseñas.

Lo que sí se conseguiría es reducir el uso de contraseñas simples y repetidas, y nos facilitaría las cosas. Quizás las soluciones mixtas sean el futuro, cómodas y seguras.

En Genbeta | Especial Contraseñas Seguras