Contraseñas: no puedo confiar en ellas, no puedo vivir sin ellas...

Por Dana Tamir, vicepresidenta de estrategia de mercado, Silverfort
2 de mayo de 2019 es día nacional de la contraseña – una buena oportunidad para discutir nuestra relación de 'amor-odio' con las contraseñas. Hay muchas razones por las que no podemos confiar en mecanismos de autenticación de sólo contraseña. Sin embargo, tampoco podemos deshacernos de ellos. Dejame explicar:

El problema con las contraseñas

Cuando se les pide a los usuarios que creen contraseñas, ya sea que estén abriendo cuentas nuevas o cambiando contraseñas de cuentas existentes, están Es probable que elijan contraseñas que puedan recordar.. El problema es que muchos usuarios eligen contraseñas débiles, eso se puede adivinar fácilmente. Un publicado recientemente lista de las contraseñas más utilizadas en 2018 muestra un panorama sombrío. Afirma que la contraseña más utilizada es '123456', y el segundo lugar es la elección obvia, 'clave'.

Es cierto que algunas personas utilizan contraseñas más seguras. Cuantos sean reutilizar la misma contraseña en varios ssistemas y sitios web. La investigación muestra que 52% reutiliza la misma contraseña para varias cuentas, pero no para todas, mientras que otro 13% reutiliza la misma contraseña para todas sus cuentas. Algunos incluso utilizan las mismas contraseñas tanto en sistemas relacionados con el trabajo como en aplicaciones personales. Esto hace que una contraseña de usuario robada o comprometida sea más valiosa que nunca.

Y, si cree que exigir a los usuarios que cambien periódicamente sus contraseñas puede ayudar, bueno, lamento decirle que no es así. Esto se debe a que quienes cambian sus contraseñas con regularidad, con demasiada frecuencia solo realizan cambios pequeños y predecibles en sus contraseñas existentes. Una razón para esta debilidad bien podría ser su conexión emocional con su rutina de selección de contraseñas.

Esta es la razón detrás del reciente anuncio de Microsoft de que será dRompiendo las políticas de caducidad de contraseñas."La caducidad periódica de las contraseñas es una mitigación antigua y obsoleta de muy bajo valor, y no creemos que valga la pena que nuestra base aplique ningún valor específico. Al eliminarlo de nuestra línea de base en lugar de recomendar un valor particular o no tener vencimiento, las organizaciones pueden elegir lo que mejor se adapte a sus necesidades percibidas sin contradecir nuestra guía.”, explica Aaron Margosis.

No es de extrañar que estén aumentando los ataques de fuerza bruta, que utilizan un método de prueba y error para obtener la contraseña de un usuario, y las estafas de phishing, que intentan de manera fraudulenta obtener las contraseñas de los usuarios disfrazadas de comunicaciones de personas u organizaciones confiables.

Aumentan las violaciones de datos que involucran credenciales comprometidas

Teniendo en cuenta todo lo que hemos discutido hasta ahora, no sorprende que las credenciales comprometidas se aprovechen en cada vez más infracciones. De hecho, hoy en día 4 de cada 5 infracciones implicaron el uso de credenciales comprometidas. El problema es que cuando se roban contraseñas o sus correspondientes hashes, es difícil detectar o restringir su uso no autorizado. ¿O es eso?

¿Por qué no podemos vivir sin ellos?

¿Por qué no podemos deshacernos de las contraseñas? ¿Seguramente a alguien se le ocurre una solución mejor para autenticar usuarios? Sí, eso es cierto: existen mejores formas de autenticar a los usuarios y validar sus identidades. Sin embargo, las contraseñas no desaparecerán pronto. Verá, nuestras redes corporativas se basan en protocolos de autenticación basados ​​en contraseñas, y estos protocolos permanecerán con nosotros durante muchos años. Muchos de nuestros sistemas heredados y propios están diseñados para la autenticación mediante contraseña únicamente. Modificar nuestros protocolos de red y cambiar los métodos de autenticación de los sistemas y servidores existentes sólo para evitar contraseñas no es práctico. Entonces no, las contraseñas no desaparecerán pronto.

Si no puede deshacerse de las contraseñas, agrégueles otra capa

La realidad es que los mecanismos de autenticación mediante contraseña no son lo suficientemente seguros. Entonces, ¿qué se puede hacer para que los procesos de autenticación sean más seguros? La respuesta se conoce desde hace tiempo: superponerlos con un mecanismo de autenticación adicional.

Autenticación de múltiples factores Las soluciones (MFA), a veces denominadas 2FA, han estado disponibles durante décadas. Proporcionan esa capa de autenticación adicional al exigir a los usuarios que se autentiquen con un factor adicional antes de que se les conceda acceso a sistemas confidenciales. A lo largo de los años, se ha demostrado que son una medida de seguridad eficaz y crítica para evitar la explotación de credenciales robadas o comprometidas.

Entonces, ¿por qué no los utilizamos para proteger todos nuestros sistemas sensibles?

Si bien muchas organizaciones buscan proteger muchos sistemas propietarios, locales y heredados con MFA, les resulta muy difícil hacerlo. Eso es porque la corriente principal Soluciones MFA requieren la implementación de agentes de software en cada sistema protegido, o la implementación de servidores proxy, o configuraciones e integraciones locales. Estos requisitos hacen que sea difícil y, a veces, imposible implementarlos en este tipo de sistemas.

¿Cómo puede Silverfort Ayuda?

Silverfort ofrece la primera plataforma de autenticación sin agentes ni proxy que permite MFA sin problemas para cualquier sistema sensible, incluidos aquellos que no podían protegerse hasta hoy. Estos incluyen: sistemas propietarios, propios y heredados, infraestructura de TI crítica, bases de datos y archivos compartidos, dispositivos IoT, servidores SCADA, sistemas médicos como PACS y EHR, y muchos más.

Si quieres aprender más, por favor contáctenos.

Nota final:

Mientras escribía este blog, recordé una brillante campaña que se lanzó hace unos años (no conozco la fuente):

Trate sus contraseñas como si fuera su ropa interior:

1. Nunca los compartas con nadie
2. Cámbialos regularmente
3. Mantenlos fuera de tu escritorio

Me gustaría sugerir una cuarta recomendación:

4. Pon algo sobre ellos...

Dana Tamir, vicepresidenta de estrategia de mercado, Silverfort

Dana es una veterana de la industria de la ciberseguridad con más de 15 años de experiencia en el mundo real y roles de liderazgo en empresas líderes de seguridad. Antes de Silverfort, Dana se desempeñó como vicepresidenta de marketing en Indegy. Antes de eso, se desempeñó como Directora de Seguridad Empresarial en Trusteer (adquirida por IBM en 2012). También ocupó varios puestos en Imperva, Symantec, Bindview y Amdocs. Dana tiene un título en ingeniería del Technion – Instituto de Tecnología de Israel, además de varias certificaciones de la industria y de proveedores.

Para obtener más información sobre Silverfort y ver una demostración, contáctenos ¡hoy!

¡Les deseo a todos un feliz Día Nacional de la Contraseña!