¿Alternativas al password? Aún no está claro

El típico acceso a sistemas informáticos se suele hacer mediante la combinación de nombre de usuario y password. En los últimos años, además tenemos el single-sign-on, o el usar el “estar actualmente activo en un servicio para acceder a otros” (un ejemplo sería acceder a Feedly estando activo en Google, lo que es bastante normal para aquellos que migraron su Google Reader a este servicio). Desde luego es cómodo, porque son menos contraseñas a recordar, pero también nos hace mas vulnerables porque si alguien ajeno a nosotros gana acceso al primer servicio, lo gana también al segundo.

Así que hay quien cambia regularmente el password para aumentar la seguridad, pero una vez mas, para ser capaz de recordarlo se acaba, o bien generando reglas o patrones, o bien usando un servicio de gestión de passwords (por ejemplo, KeePass o Lastpass, que con un master-password se generan el resto, pero nos deja en las mismas). Además se han incorporado medidas para evitar el uso de robots para acceso por fuerza bruta mediante captchas (ese recurrente “escribe este texto que sale en la foto” o “selecciona las fotos de arboles”) y la autenticación en 2 pasos (intorducir un código enviado a un correo o al teléfono móvil).

En los últimos tiempos se están usando los factores biométricos, tales como voz, huellas dactilares o reconocimiento facial, pero viviendo como vivimos en un mundo con redes sociales, ¿cuánto se puede recuperar por ingeniería social? Los sistemas de reconocimiento facial son cada vez mejores, lo que permiten ser mas precisos, pero con todas las fotos etiquetadas que corren por las redes sociales, ¿cuánto se puede tardar en replicar? De ahí que pese a la comodida que ofrece en principio el escepticismo sea bastante alto.

Probablemente la medida de seguridad mas interesante que he visto en los últimos años, pese a que en principio pueda resultar un tanto escalofriante, es el análisis de comportamiento. Se trata de un software que analiza las cookies en el dispostivo, ya sean de aplicaciones o del navegador web. Por ejemplo, un comportamiento normal sería si al conectarme desde uno de los equipos habituales (ejemplo un ordenador) primero activo una VPN (red virtual para conexión segura) y luego accedo al sistema para logearme. Si el comportamiento es de alguna manera errático, se enviaría una alerta de seguridad.

En consecuencia, los passwords aún seguirán una temporada por aquí, y mas vale que no elijamos algunos muy ridículos, pero lo que está claro es que los teléfonos móviles se están convirtiendo en la puerta de entrada a la conexión de servicios, y que si estos siguen la tendencia de la activación biométrica, cada vez estaremos mas pegados a ellos (y mas preocupados de que no se nos rompan).