Cómo las claves de acceso ayudan a eliminar los problemas de gestión de contraseñas

En esta entrevista con Help Net Security, David Cottingham, presidente de… ideas de radiofrecuenciaAnaliza los beneficios clave que las organizaciones pueden esperar al implementar claves de acceso.

Cottingham aborda los conceptos erróneos que rodean la adopción de claves de acceso, especialmente en el espacio B2B.

¿Cuáles son los beneficios clave que las organizaciones pueden esperar al implementar claves de acceso?

Cuando se implementan claves de acceso, a los usuarios se les garantiza una capa adicional de protección contra ataques de phishing y reutilización de contraseñas. Esto se logra utilizando credenciales digitales que pueden reemplazar contraseñas débiles con un par de claves criptográficas. Una clave es pública y se almacena en el servidor y la otra es privada y se almacena de forma segura en el dispositivo del usuario, lo que significa que no depende de que los usuarios ingresen credenciales confidenciales que son vulnerables a escuchas o alteraciones.

Para los trabajadores, las claves de acceso brindan el beneficio de una experiencia de usuario mejorada que incluye medidas de seguridad mejoradas, lo que ahorra tiempo y costos. De hecho, cuando se implementan claves de acceso, los trabajadores experimentan una reducción del 75 % en el tiempo de inicio de sesión y una reducción del 95 % en el restablecimiento de contraseñas. Las claves de acceso son dos veces más rápidas que las contraseñas y brindan acceso consistente entre dispositivos, al tiempo que garantizan que las credenciales confidenciales estén protegidas incluso si el servidor está comprometido. Los equipos de TI se benefician particularmente de las claves de acceso que eliminan la necesidad de administrar contraseñas, lo que ahorra valioso tiempo y recursos de TI que normalmente se utilizan para abordar problemas relacionados con las contraseñas.

Además, cuando las claves de acceso se combinan con otros métodos de autenticación, como tarjetas inteligentes y autenticación de inicio de sesión único (SSO), también pueden simplificar el acceso de los usuarios y los procesos de autenticación al abordar diferentes aspectos de la experiencia de inicio de sesión.

¿Existen desafíos de usabilidad que podrían afectar la adopción de claves de acceso, especialmente en organizaciones grandes con bases de usuarios diversas?

Existen varios desafíos de usabilidad que pueden afectar la adopción de claves de acceso. Uno de los desafíos más importantes es la compatibilidad, ya que es posible que las claves de acceso no funcionen en sistemas operativos o dispositivos más antiguos. Más allá de los obstáculos técnicos, la resistencia de los usuarios es a menudo la razón por la que no se adoptan nuevas tecnologías, como las claves de acceso. Después de todo, los usuarios han estado utilizando contraseñas desde principios de los años 60.

Para la adopción de esta tecnología es esencial hacer hincapié en la capacitación y la educación sobre cómo proporcionar claves de acceso, ya que el registro puede resultar difícil para los usuarios que no son expertos en tecnología. Quizás sea mejor comenzar con grupos o departamentos pequeños para abordar desafíos únicos dentro de la cultura diversa de la organización y educar a los usuarios.

Las organizaciones están comenzando a adoptar claves de acceso para mejorar la seguridad y la productividad y, como ocurre con cualquier implementación nueva, habrá desafíos. La implementación de claves de acceso debe comenzar con la alta dirección como primeros usuarios, lo que ayudará a los empleados a adoptarlas y garantizar una transición sin problemas de las contraseñas tradicionales a las claves de acceso. La inversión inicial en la planificación y el establecimiento de políticas y procesos sólidos será fundamental para una implementación exitosa.

FIDO creó recientemente una biblioteca en su sitio llamada Pautas de diseño para ayudar con los principios de diseño para implementar claves de acceso y crear una experiencia positiva para el usuario final.

A pesar de las ventajas, ¿por qué cree que las claves de acceso aún no han logrado una adopción generalizada en la industria?

A pesar de sus ventajas, las claves de acceso no se han adoptado ampliamente en la industria B2B. Hasta la fecha, la adopción ha estado más extendida en el entorno del consumidor. La razón principal de la falta de adopción entre las organizaciones empresariales es la falta de educación sobre claves de acceso entre los profesionales de TI. Algunos profesionales de TI aún no comprenden los riesgos asociados con las contraseñas tradicionales. Por ejemplo, el 81% de las filtraciones de datos se deben a contraseñas débiles o robadas. Además, no es muy conocido que las claves de acceso sean resistentes al phishing, que es una forma común de ataque utilizada por los piratas informáticos.

Suponiendo que los profesionales de TI comprendan los beneficios de las claves de acceso, otro obstáculo para su adopción generalizada ha sido la falta de comprensión del proceso de implementación. Las organizaciones aún no tienen una idea clara de cómo se integran, subcontratan, aprovisionan, distribuyen y administran las claves de acceso para sus usuarios. Así como es importante brindar una experiencia de usuario perfecta, es igualmente importante brindar una experiencia de implementación perfecta para los administradores de TI.

¿Cuáles son los conceptos erróneos más comunes sobre la implementación de claves de acceso que ha encontrado entre las empresas?

Existe una gran idea errónea de que las claves de acceso son un método de autenticación basado en el consumidor. Sin embargo, las empresas pueden aprovechar al máximo los beneficios de las claves de acceso. De hecho, las organizaciones tienen tanto, si no más, que perder como consumidores individuales si sufren un ataque de phishing.

Otro error común es que las claves de acceso se limitan a aplicaciones web debido a la importancia de los estándares WebAuthn que abordan la compatibilidad y las limitaciones técnicas. Sin embargo, las claves de acceso también se pueden utilizar para aplicaciones móviles y de escritorio.

Muchos creen que las claves de acceso requieren el uso de datos biométricos para la autenticación multifactor. Sin embargo, las plataformas modernas pueden aprovechar las credenciales de los empleados como un factor único de autenticación que puede combinarse con un PIN. Si bien la biometría, como la huella digital o el reconocimiento facial, se puede utilizar como factor, no es obligatoria. Por último, si bien las claves de acceso reducen en gran medida riesgos como el phishing, no son infalibles. Siempre hay otras medidas de seguridad y vulnerabilidades a considerar según los casos de uso y las amenazas.

¿Puede compartir algún ejemplo de la vida real de claves de acceso que se hayan implementado con éxito y qué lecciones se pueden aprender de estas implementaciones?

Entre los primeros en adoptar claves de acceso se encuentran clientes de los sectores de fabricación, hotelería y atención médica. Además, organizaciones como Target y Yahoo han implementado claves de acceso tanto para entornos de consumidores como de fuerza laboral. Una de las lecciones clave que hemos aprendido es que las organizaciones están muy interesadas en aprovechar las credenciales de empleados existentes como clave de acceso FIDO para usar con un lector compatible con FIDO. Además, descubrimos que la conversión de credenciales de identificación a claves de acceso FIDO fue notablemente fluida y algunas implementaciones se completaron de la noche a la mañana.