Privacy International defends the right to privacy across the world, and fights surveillance and other intrusions into private life by governments and corporations. Read more »


Chapter: 

Autenticación y verificación de la identidad

 

La autenticación es el proceso de verificación de un afirmación que se hace relativa a una identidad, una atributo perteneciente a dicha identidad, (p. ej."esta persona es ciudadana de los Estados Unidos de América"), o un grupo de atributos. Tradicionalmente, la gran demanda para soluciones de autenticación seguras ha provenido de empresas que buscaban satisfacer sus propias necesidades de seguridad al interior de sus organizaciones, así como de organizaciones gubernamentales en contextos donde se creía que los intereses de la seguridad nacional estaban en juego. En los últimos años, la demanda por (y la adopción de) soluciones de autenticación segura han estado marcadamente en aumento en todos los otros tipos de contexto que afectan directamente la privacidad de los individuos en una escala inimaginable hace dos décadas. Mucho de esto es provocado por la creciente popularidad de la Internet y de las redes de comunicaciones móviles, así como del rápido incremento en la cantidad de PCs y de dispositivos de información tales como teléfonos móviles con capacidades Web y las computadoras portátiles.
 
A medida que nuevas arquitecturas de autenticación están siendo desarrolladas (ya sea de jure, de facto, y por estándares técnicos) y adoptadas para una siempre creciente cantidad de aplicaciones, la privacidad de los individuos está siendo erosionada a un ritmo impresionante, a menudo con poca o ninguna justificación. Los nuevos mecanismos de comunicación electrónica y de transacción automáticamente capturan y registran identidades en sistemas de computadoras centrales sin que los individuos si quiera se percaten de ello. A medida que más y más información personal es recolectada y registrada en los sistemas centrales, las políticas y las tradicionales salvaguardas de seguridad para prevenir la filtración y el abuso rápidamente se están volviendo ineficaces.
 
Mucha de esta explosiva tensión entre la (percibida o real) necesidad de autenticación por un lado y las demandas de privacidad por el otro pueden ser atribuidas a una falsa creencia muy extendida: a saber, que la identificación es lo mismo que autenticación, y que la privacidad y la autenticación son objetivos opuestos. Esta errónea creencia es perpetuada por todo tipo de influyentes organizaciones normativas. La Organización Internacional para la Estandarización (ISO)1, por ejemplo, define autenticación como "la condición de garantía de la afirmación de identidad de una entidad," y el Grupo de Trabajo de Ingeniería de Internet2 (IETF) define la autenticación como "el proceso de verificación de una identidad afirmada por o para una entidad del sistema." Asimismo, a nivel político, la autenticación y la identidad a menudo son erróneamente equiparadas.
 
El hecho real es que la autenticación es una noción mucho más amplia que la identificación. En muchos contextos, la autenticación no requiere identificación. Es más, las organizaciones a menudo no están interesadas en la identidad per se de la persona con la cual están tratando, sino solo la confirmación de contactos previos de dicha persona, la afiliación de la persona a un grupo, la autenticidad de los datos personales de esa persona, los derechos o privilegios de esa persona, y así sucesivamente. Por ejemplo, para autenticar si un usuario está permitido de comprar alcohol, todo lo que necesita ser autenticado es que el usuario tiene al menos 21 años de edad. En este ejemplo, la identificación de la persona solo servirá como un medio indirecto para lograr la autenticación que es de interés ("mayor de 21 años de edad"). 
 
En el "viejo" mundo, los individuos podían fácilmente lograr acceder a servicios sin revelar su identidad, ya sea mostrando sus privilegios o derechos o proporcionando a los proveedores de servicios identificadores "adecuados al contexto", tales como un número de empleado o un número del seguro social. Mientras que tales identificadores sirven para identificar a los usuarios, estos solo lo hacen dentro de esferas especificas de actividad; las organizaciones no pueden utilizarlos para cruzar perfiles de usuarios entre esferas de actividad.
 
Lamentablemente, la mayoría de las tecnologías de autenticación más difundidas hoy en día (tales como contraseñas, características biométricas, Kerberos, y PKI) básicamente causan ineludibles identificaciones a través de identificadores que son mundialmente únicos. Estas tecnologías de autenticación basadas en la identidad fueron inventadas hace muchas décadas, cuando las redes abiertas existían difícilmente, ni que decir de organizaciones buscando compartir información personal en forma segura por medio de esas redes. Consecuentemente, la única protección de privacidad que los diseñadores de técnicas tradicionales de autenticación tenían en mente fue la protección ante las interceptaciones y otros intrusos no autorizados. Sin embargo, las tecnologías tradicionales de autenticación no son apropiadas para tratar las crecientes necesidades de autenticación en estos días y épocas, ya que ellas permiten a las organizaciones rastrear y hacer cruces de perfiles de usuarios sobre la base de identificadores mundiales únicos (tales como claves cifradas) que son ineludiblemente asignadas a ellos.   
 
Una tendencia igualmente preocupante es la centralización de los poderes de autenticación de diferentes organizaciones dentro de una sola organización confiable que actúa en representación de todas las organizaciones constituyentes. En su arquitectura original de Passport3 por ejemplo, Microsoft confió en la centralización de todos los datos recolectados de los visitantes de páginas web con el fin de proporcionar servicios de autenticación en nombre de un número rápidamente creciente de sitios web. Microsoft abandonó esta arquitectura luego de demandas de privacidad por parte de grupos de consumidores y funcionarios de la UE,4 así como de una falta de adopción por parte de los proveedores de servicios quienes fueron altamente reticentes a confiarles los datos de sus clientes.
 
La arquitectura de autenticación "federada" promovida por la Liberty Alliance5 (una alianza industrial de aproximadamente 160 industrias claves en una amplia gama de sectores, dirigidas por muchas compañías principales que fueron reticentes a delegar su autonomía a la iniciativa original del Passport de Microsoft) deja los datos personales en las organizaciones que los colectan, y permite la coexistencia de múltiples "círculos de confianza". Sin embargo, aún esta arquitectura no hace nada para mejorar la privacidad de los usuarios: el poder de autenticación (y por tanto el poder del control de acceso) permanece centralizado. Específicamente, cuando un proveedor de servicio trata con un usuario, este consulta en tiempo real a la central "proveedora de identidad" en su círculo de confianza; el proveedor de identidad simplemente devuelve una confirmación de la autenticación como validación de la identidad afirmada del acceso solicitado, la cual es utilizada por el proveedor del servicio para su propio proceso de autorización. Aunque los usuarios puedan ser "seudónimos" dirigidos a los proveedores de servicios (en Liberty Alliance el proveedor de identidad asigna diferentes nombres de usuario al mismo usuario, uno por proveedor de servicio), estos no están ciertamente vis-à-vis con la más poderosas de las partes en esta arquitectura: el proveedor de identidades. Dentro de cada círculo de confianza, el proveedor de identidad puede hacer un seguimiento, ubicar y enlazar en tiempo real todas las interacciones entre los usuarios y las organizaciones. El proveedor de identidad puede incluso suplantar usuarios y falsamente negarles acceso a cualquier sitio.    
 
Mientras que tales enfoques de centralización de autenticación puedan satisfacer las necesidades de las grandes empresas que desean hacer manejo de identidades relacionadas a empleados y a proveedores dentro de sus sucursales internas, más allá de este restringido contexto el enfoque rápidamente se vuelve altamente problemático con relación a la privacidad. Este podría incluso estar en conflicto con la legislación de privacidad. Si es adoptado a una escala gubernamental, las implicaciones de estas arquitecturas invasivas de la privacidad serían ciertamente sin precedentes.
 
En un mundo electrónico, si al nivel técnico (por medio del análisis del flujo electrónico de datos) todos es inevitablemente identificable a través de identificadores únicos globales, la legislación sobre privacidad se vuelve virtualmente intrascendente; ¿Cómo podría uno forzar a las organizaciones a no colectar información identificable cuándo no pueden impedir que esta sea entregada a ellos? La única salida del aparente conflicto entre la autenticación y la privacidad es recurrir a tecnologías de autenticación que técnicamente separen la noción de autenticación de aquella de identificación. Dos décadas de investigación en criptografía han demostrado que la autenticación segura y la privacidad no son concesiones, sino que se refuerzan mutuamente cuando se implementan apropiadamente. Utilizando las técnicas que están enraizadas en la criptografía moderna tales como la Digital Credentials,6 es completamente posible el realizar una autenticación segura sin necesariamente requerir la identificación. Por ejemplo, la autenticación basada en roles puede ser implementada de manera tal que el solicitante del acceso no pueda ser identificado. 
 
De manera más general, las técnicas de autenticación que preservan la identidad permiten a cada parte involucrada en el procesamiento electrónico y en el reenvío de información sensible en términos de privacidad a retener de manera segura un control fino sobre la información, aun cuando la información es transmitida electrónicamente más allá de los cortafuegos de la corporación y a través de dominios organizacionales arbitrarios. En ningún punto de la cadena de información electrónica la transferencia de información de una parte a la siguiente permitirá a ninguna de las partes saber más de lo que el remitente expresamente permite.
 
Esfuerzos internacionales de investigación están actualmente en curso para crear sistemas de autenticación que preserven el anonimato, e incluyan  el desarrollo de nuevas tecnologías que favorezcan la privacidad para ser utilizadas en tales programas.7 Estas tecnologías favorables a la privacidad permiten la separación de autenticación e identificación y están siendo desplegadas en respuesta a vulnerabilidades de seguridad. Tales tecnologías pueden insertarse en metasistemas de identificación, tales como el CardSpace de Microsoft.8 Mientras que la configuración por defecto de CardSpace no cumple actualmente con estándares establecidos para la preservación de la privacidad,9 este modelo debe ser estudiado en detalle cuando se consideren tecnologías de autenticación.10
 
En junio de 2007, el Consejo de la OECD aprobó la Recomendación alentando a los Estados Miembros a establecer enfoques compatibles, tecnológicamente neutros para facilitar la autenticación a través de las fronteras. La Guía fija el contexto y la importancia de la autenticación electrónica para el comercio electrónico, el gobierno electrónico y muchas otras interacciones sociales. Este dispone varios principios fundamentales y operacionales que constituyen un denominador común para la interoperatividad a través de las jurisdicciones. Según la OEDCD, la autenticación electrónica es un componente esencial de cualquier estrategia para proteger los sistemas  y redes de información, datos financieros, información personal y otros activos del acceso no autorizado o del robo de identidad. La autenticación electrónica es por tanto esencial para el establecimiento de una rendición de cuentas en línea.11         
 
Cada vez que se implemente una nueva medida de autenticación para un mecanismo de transacción existente o nuevo, es imperativo que los diseñadores y adoptantes analicen cuanta información personalmente identificable es realmente necesaria de ser revelada para propósitos de autenticación. Asumiendo que la revelación de información es necesaria y proporcional con relación a la naturaleza de la transacción, entonces se debe buscar implementar las necesidades de seguridad utilizando las tecnologías de autenticación que protejan la privacidad, en vez de recurrir a los enfoques basados en la ineludible identificación.
 

 

Footnotes