Autentificación y sus tipos#

Cuando hablas por voz a un/una amigo/a, ¿Cómo sabes que la persona al otro lado del dispositivo es quien esperas que sea?

Identificación#

Identificación es el proceso por el que indico a otras entidades (de forma activa o pasiva) quién soy.

• Si debo identificarme en persona:
  • Si me conocen, Otros me identifican por como me veo.
  • Si no me conocen, se espera que me presente. Es posible que esas personas asocien mi primera presentación con cómo hablo y me veo, para reconocerme en otras interacciones.
• Si debo identificarme de forma remota, por texto:
  • Si me conocen, me identifican porque les hablo desde un número que saben que es mío.

    …hasta que un amigo o amiga cae en una estafa de Whatsapp, le roban el teléfono y empieza a pedirnos cosas extrañas. Si les ha pasado, probablemente vivieron las semanas posteriores a ese evento un poco mas desconfiados o desconfiadas.

  • Si no me conocen, debo presentarme en la primera interacción.
• Si debo identificarme de forma remota, por video o voz:
  • Si me conocen, me identifican porque uso un usuario que he usado previamente, porque la voz que escuchan se parece a mi voz o porque la persona en el video se parece mucho a mi.
  • Si no me conocen (igual que presencialmente), se espera que me presente. Es posible que esas personas asocien mi primera presentación con cómo hablo y me veo, para reconocerme en otras interacciones.

    …igual, con todo esto de la IA Generativa, se nos dice seguido que debemos desconfiar un poco más en estas situaciones.

Pero, en situaciones donde es realista pensar que un/a adversario/a puede tener el interés de hacerse pasar por otra entidad sin serlo, ¿cómo puedo saber que la entidad es quién dice ser?

Autentificación#

En este curso, entenderemos autentificación o autenticación (en serio, ¡ambas son válidas!) como el proceso que permite determinar que una entidad es lo que dice ser.

Dependiendo del canal de comunicación, de qué tan seguro se quiere estar de que sea lo que dice ser y de si las entidades que quieren autenticarse se han visto previamente, existen muchas formas de hacerlo. En la tabla siguiente hay algunos ejemplos para situaciones informales (salidas con amigos, conversaciones de pasillo) y situaciones formales (entrar a un concierto u oficina, ingresar a una plataforma)

Lo curioso es que, al menos en los casos remotos, casi siempre la autentificación es delegada a una autentificación previamente relalizada. Es un problema bastante difícil de resolver por si solo, y es poco eficiente que cada entidad con la que debes autenticarte deba realizar el proceso completo.

Piensa en situaciones en las que recuerdes que has tenido que autenticarte:

• ¿Cómo lo has hecho?
• ¿Crees que lo que te pidieron era sufiiciente para el modelo de amenazas que supones que debería haber tenido la situación?

Autorización#

La autorización incluye los procesos que determinan qué puede hacer una entidad específica. Si la autenticación es iniciar sesión en un sitio web, la autorización son los controles de permisos de acceso, ejecución de acciones y sus asignaciones a personas o grupos definidos. Veremos casos específicos con más detalle en las unidades web y seguridad de sistemas operativos. Lo importante en este momento es que sepan que Autentificación no es lo mismo que Autorización

Tipos de Autentificación y Autenticación Multifactor#

La autentificación en contextos de sistemas de la información depende de mecanismos que la habilitan y que permiten confirmar (con un nivel de confianza específico y dependiente del modelo de amenazas) que soy quien digo ser.

Estos mecanismos se clasifican en tres tipos:

• 🧠 Lo que sé, a partir de información que solo yo debería conocer y memorizar o guardar en algún lado.

  …lo malo es que son copiables, compartibles o filtrables 🫠

• 🪪 Lo que tengo, a partir de objetos que tengo en mi poder (y nadie más puede tener mientras yo lo tenga).

  …si los pierdo es un cacho recuperarlos y necesito algún medio para bloquearlos

• 🙆 Lo que soy, a partir de elementos propios de mi cuerpo o de mi identidad.

  ¿y quién guarda esta información? ¿cómo hago para evitar que se use para identificarme cuando no quiero ser identificado? 🥷

Cuando un sistema usa más de un tipo de los mecanismos anteriores, y estos mecanismos no dependen entre sí, estamos hablando de sistemas con Autenticación Multifactor (MFA por sus siglas en inglés o 2FA cuando son solo dos mecanismos los usados)

¿Qué significa que los mecanismos no dependan entre sí?: Que a partir de uno, no pueda derivar otro. Por ejemplo, si tengo una cuenta que para iniciar sesión me pide contraseña y para ejecutar acciones críticas me envía un código de un solo uso al correo o teléfono, pero puedo reiniciar ese último mecanismo contando solo con la contraseña, éste no es un sistema con un mecanismo autentificación multifactor válido.

Mejores prácticas en identidad digital#

Considerando todo lo anterior, el NIST (Organismo de estándares tecnológicos de Estados Unidos) publicó el 2025 la versión final del Instructivo SP 800-63-4, que define un conjunto de buenas recomendaciones para modelar y resguardar la identidad digital en sistemas de la información.