Inicios de sesión sin contraseña de FIDO

¡Asegure su negocio con CyberHoot hoy!

Inscríbase ahora

A principios de mayo de 2022, Google, Apple y Microsoft anunciaron sus planes para respaldar un estándar común de inicio de sesión sin contraseña, creado por la Alianza Fast Identity Online (FIDO) y el Consorcio World Wide Web . CyberHoot también ha adoptado la eliminación de las contraseñas. En lugar de una contraseña, utilizamos un enlace especial que se envía a tu correo electrónico (al que accedes diariamente).

¿Por qué hacer este cambio?

La eliminación de contraseñas permitirá a las organizaciones ofrecer inicios de sesión sin contraseña consistentes, seguros y sencillos a los consumidores en todos los dispositivos y plataformas. FIDO afirma :

Las capacidades ampliadas basadas en estándares permitirán a los sitios web y aplicaciones ofrecer una opción integral sin contraseña. Los usuarios iniciarán sesión con la misma acción que realizan varias veces al día para desbloquear sus dispositivos, como una simple verificación de su huella dactilar o facial, o un PIN. Este nuevo enfoque protege contra el phishing y el inicio de sesión será mucho más seguro en comparación con las contraseñas y las tecnologías multifactor tradicionales, como los códigos de acceso de un solo uso enviados por SMS.

En el sector de la ciberseguridad es bien sabido que la autenticación basada únicamente en contraseñas supone un gran riesgo para la seguridad de particulares y empresas. Para los usuarios finales, gestionar tantas contraseñas en tantos sitios web diferentes puede resultar prácticamente imposible. Esto suele conllevar la reutilización de la misma contraseña en varias cuentas (por eso CyberHoot recomienda usar gestores de contraseñas ).

FIDO señaló que los gestores de contraseñas y la autenticación de dos factores (2FA) funcionan bien, pero ha habido una colaboración en todo el sector para crear una tecnología de inicio de sesión más cómoda y segura. CyberHoot observa con frecuencia que muchos no configuran contraseñas seguras para sus gestores de contraseñas o que los usuarios olvidan o se niegan a activar la 2FA en cuentas importantes porque la consideran incómoda. Por lo tanto, esta iniciativa de FIDO podría ser muy beneficiosa para la ciberseguridad general de las pymes.

¿Cómo funcionará?

FIDO anunció que esta nueva herramienta sin contraseña proporcionará las siguientes capacidades en el futuro: 

1. Permitir que los usuarios accedan automáticamente a sus credenciales de inicio de sesión de FIDO (denominadas por algunos “clave de acceso”) en muchos de sus dispositivos, incluso los nuevos, sin tener que volver a inscribir cada cuenta.
2. Permita que los usuarios usen la autenticación FIDO en su dispositivo móvil para iniciar sesión en una aplicación o sitio web en un dispositivo cercano, independientemente de la plataforma del sistema operativo o el navegador que estén ejecutando.

Si bien sería fantástico tener una "clave de acceso" como la descrita anteriormente, aún faltan años para que esto se generalice. Craig Lurey, director de tecnología y cofundador de Keeper Security, analiza los desafíos de su adopción:

La lenta adopción de la autenticación multifactor por parte de empresas y consumidores (a pesar de que la MFA es una forma práctica y muy eficaz de proteger a los usuarios finales de infracciones debido al robo de credenciales) es un buen indicador del posible plazo de adopción de la tecnología sin contraseña.

Primero, los proveedores deben integrar la tecnología en sus sitios web y aplicaciones, y luego, los usuarios finales deben familiarizarse con ella, adquirir confianza y adoptarla. Cabe destacar que esto incluye que los usuarios se acostumbren a usar sus dispositivos móviles. 

Entre la adopción tanto por parte de las organizaciones como de los consumidores, podrían pasar muchos años hasta que la tecnología sin contraseñas se generalice. En resumen: Seguiremos usando contraseñas durante al menos otra década. El inicio de sesión de un solo factor y sin contraseña presenta demasiados problemas funcionales, logísticos y de seguridad como para convertirse en la norma de la noche a la mañana.

¿Qué significa esto para su PYME o MSP?

Esto significa que debe seguir las recomendaciones de CyberHoot sobre ciberseguridad y procesos de autenticación hasta que la opción sin contraseña esté disponible y bien probada. Hasta entonces, exija contraseñas de 14 caracteres, sencillas y que no caduquen, almacenadas en un gestor de contraseñas. Además, debe añadir la autenticación multifactor (MFA) a todas las cuentas críticas. Capacite a los empleados sobre la importancia de una buena higiene de contraseñas y el uso de su gestor de contraseñas. Es así de sencillo. Más allá de las contraseñas, CyberHoot recomienda las siguientes recomendaciones mínimas esenciales de ciberseguridad.

Recomendaciones mínimas esenciales de ciberseguridad de CyberHoot

Las siguientes recomendaciones le ayudarán a usted y a su empresa a mantenerse seguros frente a las diversas amenazas cotidianas. Todas las sugerencias que se enumeran a continuación se pueden obtener contratando los servicios de desarrollo del programa vCISO de CyberHoot.

1. Gestione a sus empleados con políticas y procedimientos. Necesita, como mínimo, una política de contraseñas, una política de uso aceptable, una política de gestión de la información y un programa de seguridad de la información (WISP) por escrito.
2. Capacite a los empleados sobre cómo detectar y evitar ataques de phishingAdopte un sistema de gestión del aprendizaje como CyberHoot para enseñar a los empleados las habilidades que necesitan para ser más seguros, productivos y confiados.
3. Pruebe a sus empleados con ataques de phishing para practicar. Las pruebas de phishing de CyberHoot permiten a las empresas probar a sus empleados con ataques de phishing creíbles y capacitar a quienes no lo logran para corregirlos.
4. Implementar tecnología de ciberseguridad crítica que incluya autenticación de dos factores en todas las cuentas críticas. Habilite el filtrado de spam, valide las copias de seguridad e implemente la protección DNS. antivirusy anti-malware en todos sus puntos finales.
5. En la era moderna del trabajo desde casa, asegúrese de administrar los dispositivos personales que se conectan a su red validando su seguridad (parches, antivirus, protección de DNS) o prohibiendo su uso por completo.
6. Si no ha realizado una evaluación de riesgos por parte de un tercero en los últimos dos años, debería hacerlo ahora. Establecer un marco de gestión de riesgos en su organización es fundamental para abordar los riesgos más graves con el tiempo y el dinero limitados disponibles.
7. Contrate un seguro cibernético para protegerse en caso de una falla catastrófica. El seguro cibernético no es diferente a un seguro de auto, incendio, inundación o vida. Está ahí cuando más lo necesita.

Cada una de estas recomendaciones, excepto el seguro cibernético, está integrada en el producto y los servicios virtuales de Director de Seguridad de la Información (CIO) de CyberHoot. Con CyberHoot, puede gestionar, capacitar, evaluar y poner a prueba a sus empleados. Visite CyberHoot.com y regístrese hoy mismo. Como mínimo, continúe aprendiendo suscribiéndose a nuestros boletines mensuales de ciberseguridad para mantenerse al día con las últimas novedades.

Fuente: 

mundo seguro

Lecturas adicionales: 

Apple, Google y Microsoft pronto implementarán el inicio de sesión sin contraseña en todas las plataformas principales

Apple, Google y Microsoft se unen para iniciar sesión sin contraseña