Hitachi Vantara potencia el almacenamiento híbrido en Azure
La evolución de las amenazas está obligando a los CIO y CISO a mirar más allá de la autenticación multifactor tradicional. FIDO2, passkeys y las llaves de seguridad abren una nueva etapa en la protección de las identidades digitales.
Durante años, implementar autenticación multifactor (MFA) fue una de las recomendaciones fundamentales para proteger las identidades digitales. Pero tener MFA activada no significa necesariamente que una organización sea resistente al phishing.
Los atacantes han aprendido a explotar precisamente el comportamiento de los usuarios. Las campañas de phishing, el robo de credenciales y técnicas como el MFA push bombing o la fatiga de MFA pueden aprovechar debilidades en determinados mecanismos de autenticación. La guía de Thales recuerda que no todas las soluciones MFA proporcionan el mismo nivel de protección frente a estos ataques.
El problema, por tanto, comienza a plantearse de otra manera:
¿La organización tiene MFA o tiene una autenticación realmente resistente al phishing?
De proteger contraseñas a proteger identidades
El cambio no es menor.
La expansión de la nube, el trabajo híbrido y la multiplicación de aplicaciones y dispositivos han trasladado buena parte del perímetro de seguridad hacia la identidad digital. La autenticación se ha convertido en una de las principales puertas de entrada a aplicaciones, redes y datos corporativos.
En este contexto, las contraseñas representan una vulnerabilidad particularmente conocida. Pueden ser robadas, reutilizadas, compartidas o entregadas involuntariamente mediante técnicas de ingeniería social.
La MFA tradicional surgió precisamente para reducir esos riesgos. Sin embargo, algunos métodos siguen dependiendo de secretos compartidos, códigos o mecanismos que pueden ser objeto de ataques de phishing. El documento cita las orientaciones del NIST según las cuales los procesos MFA basados en secretos compartidos son vulnerables al phishing.
Aquí aparece una nueva generación de mecanismos de autenticación.
FIDO2: cambiar el mecanismo de confianza
FIDO2 utiliza criptografía de clave pública para eliminar la necesidad de compartir secretos durante la autenticación.
En términos sencillos, el servicio genera un desafío, el usuario desbloquea su autenticador mediante un toque, PIN o biometría y el dispositivo utiliza una clave privada para firmar la respuesta. El servicio verifica posteriormente esa respuesta utilizando la clave pública correspondiente.
El modelo cambia sustancialmente respecto a una contraseña convencional: las credenciales son únicas para cada servicio y las claves privadas permanecen asociadas al autenticador.
La guía también destaca otros beneficios asociados a FIDO2, como la resistencia frente al phishing y al robo de credenciales, una experiencia de autenticación simplificada y el hecho de que los datos biométricos permanecen en el dispositivo del usuario.
Y entonces llegaron las passkeys
Las passkeys llevan este concepto al terreno de la experiencia cotidiana del usuario.
En esencia, sustituyen las contraseñas por credenciales FIDO basadas en pares de claves criptográficas. El usuario deja de depender de recordar una contraseña para acceder a un servicio y utiliza un mecanismo de autenticación integrado en su dispositivo.
La guía distingue entre passkeys sincronizadas y passkeys vinculadas a un dispositivo. Esta diferencia es importante para las organizaciones que están definiendo sus políticas de identidad, porque implica considerar cómo se almacenan, gestionan y utilizan las credenciales en diferentes dispositivos.
Pero la transformación no consiste simplemente en sustituir una tecnología por otra.
El desafío real: convivir con lo nuevo y lo heredado
Aquí aparece uno de los aspectos más interesantes para un CIO.
No todas las organizaciones parten de una infraestructura moderna. Sectores como infraestructura crítica, salud, administración pública o servicios financieros pueden mantener sistemas heredados que todavía dependen de PKI y que no son compatibles con FIDO.
Además, FIDO2 no sustituye necesariamente todas las capacidades que puede ofrecer una infraestructura PKI, como determinadas funciones relacionadas con firmas digitales y cifrado de archivos.
Por eso, la transición puede requerir un enfoque híbrido, combinando FIDO y PKI según las aplicaciones, usuarios y sistemas que formen parte del entorno tecnológico.
Y esta es probablemente una de las preguntas más importantes que debe hacerse un responsable de seguridad:
¿Dónde tiene sentido implementar FIDO hoy y dónde necesitamos mantener otros mecanismos de autenticación?
Cuatro preguntas antes de implementar MFA resistente al phishing
La guía propone un recorrido práctico de cuatro pasos:
1. Priorizar los casos de uso.
Identificar usuarios y recursos de TI que requieren mayor protección, comenzando por ámbitos como correo electrónico, servidores de archivos y acceso remoto.
2. Analizar la infraestructura existente.
Mapear dónde se autentican empleados, socios y proveedores y determinar qué sistemas son compatibles con FIDO y cuáles requieren mecanismos como PKI.
3. Mirar las necesidades futuras.
La estrategia debe considerar migraciones a la nube, modernización de aplicaciones, permanencia de sistemas heredados y necesidades de firma digital o cifrado.
4. Seleccionar el autenticador adecuado.
No existe necesariamente un único mecanismo para todos los casos. La selección debe considerar infraestructura, usuarios, requisitos regulatorios y experiencia de usuario.
El eBook incluso presenta una matriz de casos de uso que relaciona escenarios como acceso a aplicaciones modernas, sistemas heredados, escritorios compartidos, firma digital o acceso físico con diferentes mecanismos de autenticación.
La pregunta que queda sobre la mesa
La evolución de la autenticación no consiste simplemente en instalar una nueva herramienta.
Para CIOs y CISOs, el desafío es diseñar una arquitectura de identidad capaz de responder a diferentes niveles de riesgo, distintos tipos de usuarios y una infraestructura que probablemente seguirá siendo híbrida durante algún tiempo.
FIDO2, passkeys y las llaves de seguridad FIDO forman parte de esa evolución. Pero comprender dónde, cómo y por qué utilizarlas es tan importante como conocer la tecnología.
¿Quieres profundizar en la autenticación resistente al phishing?
Encontrarás una explicación de FIDO2, el funcionamiento de las passkeys, su relación con MFA, consideraciones regulatorias y un enfoque práctico para evaluar los diferentes escenarios de autenticación dentro de una organización.
