Las cuatro compañías más importantes emisoras de tarjetas de crédito en los Estados Unidos, American Express, Discover, Mastercard y Visa, se unen para anunciar que dejarán de solicitar a los establecimientos de su red que recojan la firma de los clientes en el momento de la transacción. Un gesto, el de firmar, cada vez menos utilizado y con un valor prácticamente nulo como elemento de seguridad: las posibilidades de un empleado de una tienda de comprobar la integridad o veracidad de una firma con unas mínimas garantías han sido siempre mínimas, y abundan los ejemplos de personas que firman con cualquier tipo de garabato o incluso con dibujos absurdos, y no tienen ningún problema a la hora de procesar su pago.
Con el tiempo y la evolución de los medios de pago, la necesidad de la firma se ha visto eclipsada por el uso de elementos algo más seguros, como el número de identificación personal o la inclusión de elementos de biometría, como la huella dactilar o la cara en el caso de pagos mediante smartphone. El uso de un elemento como un bolígrafo con el que se estampa un garabato sobre un papel es cada vez más anacrónico, y empieza a no ser utilizado ni siquiera en el momento de la firma de un contrato para, por ejemplo, abrir una cuenta bancaria, sustituido por otros elementos como un selfie o la captura con la cámara de un documento de identificación.
Junto con la firma, otro elemento de seguridad cada vez más claramente destinado a la extinción es el uso de la contraseña: el uso cada vez más extendido de gestores de contraseñas lleva a que los usuarios comiencen a abandonar malas prácticas como el utilizar contraseñas fáciles de recordar o la misma contraseña para todo, escogiendo en su lugar contraseñas imposibles y aleatorias que no conocen, pero que son recuperadas en el momento de acceder a cada servicio por servicios como LastPass, 1Password, NoMorePass o similares. Pero más allá de mejorar los sistemas basados en el uso de una contraseña, estos también están siendo cada vez más sustituidos por elementos biométricos tomados en el momento en que son requeridos de cualquiera de los dispositivos que un usuario maneja. Por la mañana, me levanto, me pongo el smartwatch, y este se desbloquea sin necesidad de introducir su contraseña de acceso cuando tomo el smartphone y lo desbloqueo apuntando a mi cara. Cuando abro mi ordenador portátil, ocurre lo mismo: en una curiosa secuencia, se desbloquea mediante la presencia de mi smartwatch en mi muñeca y desbloqueado, aunque mantengo la posibilidad de desbloquearlo igualmente mediante mi huella dactilar en su sensor o mediante una contraseña, que obviamente he dejado de utilizar salvo cuando lo reinicio o para algunas escasas operaciones que aún la requieren. Cuando desde el ordenador compartido de alguna clase hago login en muchas de mis cuentas, ese login únicamente se completa cuando lo confirmo en alguno de los dispositivos que llevo conmigo, proporcionándome un nivel adicional de seguridad basada en factores múltiples. Pronto, un nuevo estándar de seguridad propuesto por W3C, WebAuthn y aceptado ya por Google, Microsoft y Mozilla, se encargará de coordinar las formas en las que las personas acceden a servicios en la web y se incorporará a prácticamente todos los navegadores significativos.
No más firmas, relegadas ya al más trasnochado de los absurdos, y a la espera de ser también pronto desacralizadas por servicios aún tan necesarios en la sociedad como los notarios, las firmas de contratos y actas, o por procesos tan habituales y absurdamente redundantes como el de hacer checkin en un hotel. Asimismo, no más contraseñas, convertidas en incómodas pruebas de memoria o en cada vez más momentos de inseguridad, incomodidad y de uso habitual del botón «olvidé mi contraseña». Elementos de seguridad que hasta hace pocos años eran exclusivos de sistemas de elevada sofisticación, convertidos en habituales gracias a la incorporación de cada vez más elementos de sensorización y captura de huella dactilar o de otros parámetros biométricos en dispositivos cada vez más ubicuos. Si aún tienes que firmar con frecuencia o que introducir contraseñas de manera habitual, o si esos elementos están aún integrados en los procesos de negocio de tu compañía, plantéate que es posible que debas repensar esos procesos para darle un impulso a tus prácticas de seguridad.
This post is also available in English in my Medium page, “Farewell signature, farewell password…»
bye bye! La evolución…
Simplemente comentar que, al menos hasta ahora, las contraseñas no están desapareciendo, sino que se están añadiendo convenientes opciones de login biométricos, pero siguen existiendo y hay que encargarse de gestionarlas.
Lo mismo ocurre con 2FA, añade seguridad pero la configuración no es trivial para el usuario medio por la variedad de métodos y apps, y requiere una gestión de backups de métodos de acceso.
Para darse de alta en cualquier servicio o hacer login en un ordenador hace falta que exista una contraseña, con lo cual cada vez tenemos más, no menos. Algunas web permiten hacer «sign-up» con una cuenta de Google o de Facebook (ejem…) con lo cual te puedes ahorrar alguna contraseña nueva, pero la mayoría de webs requieren contraseña propia. Y peor aún, es posible que cuando activas un login biométrico acabes con una contraseña más. Por ejemplo, Windows Hello requiere crear un PIN (que puede ser alfanumérico y tan complejo como una contraseña) aunque ya tengas una contraseña asociada al login. La explicación de Microsoft aquí:
Why a PIN is better than a password
El usuario medio no usa gestores de contraseñas, o usan la misma contraseña para todo o han pasado de escribirlas en post-its o cuadernos a escribirlas en un archivo contraseñas.txt en el escritorio o algo poco más disimulado en una carpeta. A lo sumo usan gestores de contraseñas sin saber, simplemente porque les sale un popup para recordar la contraseña (puede ser iCloud Keychain en Safari, o Chrome, Firefox, etc.), pero dudo que sepan ir a buscar una contraseña cuando lo necesiten al almacén de las mismas porque no saben ni cuál es ni dónde está.
La tecnología ofrece muchas posibilidades, algunas incluso cuasi mágicas (el desbloqueo con la cara del iPhone X que le encanta a mi mujer, o el desbloqueo de algunos Mac con el Apple Watch que me encanta a mí), y están al alcance de todos los usuarios, pero sigue habiendo una complejidad subyacente por debajo que con frecuencia emerge a la superficie, por mucha capa de comodidad que le pongas por encima.
La esperanza es que algún día solo necesitemos la cara o el dedo junto con un móvil como segundo factor y que realmente no haya ninguna contraseña soterrada.
De cara a eliminar totalmente las contraseñas, que sería sin duda lo mejor, hay 2 casos. Cuando la cosa consiste en acceder a un aparato tuyo o de la empresa para la que trabajas un lector biométrico es suficiente.
La cosa se complica cuando se trata de acceder a un servicio remoto (por ejemplo Netflix). Precisamente para esto se ha inventado WebAuthn. Tú accedes a Netflix con tu tele nueva, y recibes en tu móvil una notificación que te permite validar o no ese aparato. Si confirmas que el nuevo aparato es tuyo, este recibe un token para las siguientes veces que vayas a ver Netflix en esa tele.
Conozco algún caso de algún tipo listo que firmaba sus compras como Bin Laden y luego rechazaba los cargos diciendo, obviamente que no era Bin Laden, que esa no era su firma y que él no había realizado esa compra… un dolor de cabeza para la cadena de comercios en cuestión.
El problema para mi es quién es el responsable de la acreditación. En la firma, el responsable de validar, es el comercio y si hay problemas son ellos los responsables de demostrar que eras tú quien realizó la operación.
Con sistemas con PIN, o validaciones varias, no queda tan claro, en caso de suplantación quién es el responsable y quien asume los costes de la estafa.
Claro ejemplo, duplicación de tarjetas y filmación de pines en cajeros. Los bancos siempre intentan eximirse en estos casos diciendo que el responsable de la custodia tanto del medio físico (tarjeta) como del password es el usuario, además estando contractualmente reflejado. Simplemente inaceptable.
Habrá que ver como se orientan estos temas en futuros sistemas de acreditación. El día quien alguien suplante a un tercero y use su identidad para p.e. comprar un tesla y luego cometer un delito con él, habrá que tener bien claro quién es responsable de qué
Curiosamente la firma era una prueba biométrica, pues resultaba muy difícil que dos personas fueran capaces de firmar igual, (aunque había falsificadores que después de cierto entrenamiento lo conseguían).
El problema es que cada vez se escribe menos a mano, por ejemplo yo, me paso meses sin coger un bolígrafo, con lo que mi letra, que si no bonita, siempre fue clara, se esta desvirtuando hasta un punto que a veces incluso a mi mismo me cuesta entender lo que he escrito. Paralelamente también mi firma se esta deformando, por lo que me costará afirmar ante un juez si una firma que escribí hace meses, la ni hice yo o la copiaron.
Por ello comprendo que cualquier otro «sello» biométrico sustituya a la firma en el futuro, El problema es que sea el que sea el sistema que se siga al final todo se resume en una «firma» formada por una sucesión de ceros y unos, cualquier medio capaz de generar esa sucesión de ceros y unos vale para «engañar» al lector digital..
Por ejemplo si utilizan una fotografía del iris del ojo, ni siquiera hace falta llevar un ojo del propietario pinchado en un palito, como se mostraba en no recuerdo que película de ciencia ficción, basta mostrar una fotografía del iris, para engañar a cualquier «cajero automático». Realmente no se cual es la solución definitiva,.
No he encontrado hackeos de caras pero en algún momento ocurrirán. Es cuestión de tiempo y de herramientas.
Si los datos biométricos están a la vista (el rostro, el iris, la huella dactilar, etc) son una contraseña pública y no privada. Otra cosa es que al verlas no sepamos cómo leerlas o copiarlas, pero es cuestión de tener las herramientas para la lectura, copia o traducción. Con el tiempo, y esto va rápido, es posible que esas herramientas sean baratas y que conseguirlas no sea difícil.
iPhone-Samsung fingerprints duplicate hack
Aadhaar; hackers cloning fingerprints
Biometrics mythbusters (mas allá del título, este artículo puede ayudar a pensar sobre el tema)
Siempre he sentido curiosidad…¿cómo se comporta un sistema que se desbloquea con tu cara ante una foto de tu cara? ¿Cuela?
¿Para que hackear la cara pudiendo hackear la camara?
Al fin y al cabo, lo que hace la camara es convertir lo que ve a una secuencia de unos y ceros, que son una contraseña igualmente. Lo unico que varia es que en vez de introducirse a traves de un teclado se hace a traves de otro dispositivo. Desenchufando el sensor y conectando cualquier aparato capaz de simular ser ese mismo sensor se rompió el sistema.
Truekey, de Intel, que viene con Windows 10, se abre poniendo un móvil con tu foto en frente de la cámara.
Los elementos biométricos son un buen sustituto para el «nombre de usuario» pero nunca para la «contraseña».
A nada que se requiera algo de seguridad la contraseña es necesaria, y ésta tiene que ser secreta y modificable por el usuario (por si cree que ha sido comprometida), propiedades que los elementos biométricos no tienen.
A utilizar un gestor de contraseñas debería enseñarse ya en la escuela. Y a encriptar datos.
Me gusta tu comentario con el que, en general, coincido.
Pero no creo que haya que fiarse del todo de los gestores de contraseñas.
Hay que conocer bien a la empresa que ofrece esa aplicación. Si es para smartphones, hay que ver qué permisos exige y ver si están justificados. Si es una app gratuita, mejor informarse aún más. Pero que sea de pago tampoco es garantía.
Sobre todo las personas que posean información relevante tienen que entender también que cualquiera que pudiese acceder a su gestor de contraseñas lo tendría todo pues es como poner todos los huevos en la misma canasta.
El caso de LastPass
Es cierto que los elementos biométricos, por sí solos, no pueden sustituir a las contraseñas. Pero la idea es combinarlos con un estándar como WebAuthn. Es decir, tú accedes a tu móvil con tu huella, y validas el acceso a cualquier servicio y en cualquier aparato mediante WebAuthn.
En un hipotético Netflix del futuro sin contraseñas, contratas Netflix por primera vez desde tu móvil. Después, cuando te pones a ver Netflix por primera vez en tu tele, recibes una notificación WebAuthn en tu móvil, y validas la tele.
En un esquema así no hay ninguna contraseña, solo unos tokens aleatorios, secretos, y que son cambiados automáticamente con la frecuencia que se desee (pueden ser incluso de un solo uso).
Si está bien implementado, es mucho más cómodo, sencillo, y seguro que usar contraseñas.
Eso me temía. Parece que es muy sencillo «engañar» al lector de datos biomñetricos. con el inconveniente adicional que no había pensado, que es muy fácil y gratis cambiar la password, pero cambiarte el iris, te puede costar un «ojo de la cara» :-) :-) :-)
Ui, ui, que la pescadilla se va mordiendo la cola. Teniendo en cuenta que la tecnología avanza muy democráticamenet (es un decir) y que los malos siempre están dispuestos a vender secretos a otros malos… estamos otra vez con el factor humano de quien piratea.
¡Qué suerte tenían los «antiguos» que aseguraban un trato con un simple apretón de manos! Aquello si era un mercado de futuros asegurado (sin intermediarios).
No sé yo si deberíamos ser un poco moderados con algunos titulares a doble cuerpo. Se consigue captar la atención, sí, pero la realidad difiere bastante, tal como ya han expresado en otros comentarios.
Espero que ahora no me caiga la del pulpo, por señalar lo evidente. Entiendo que cada cual tiene su perspectiva, pero en estos tiempos hay que moderar el efectismo para dotar de cierto cuajo divulgativo a un planteamiento. (Se supone que te consultan medios de comunicación y puede tener un cierto efecto entre personas sin conocimiento de estas áreas – no firme señora, ponga una x con el dedo aquí -)
Entiendo que no te gusta escribir a mano. Bien, es perfecto. Es posible documentar tu opinión acerca de la obsolescencia de la escritura a mano alzada.
Pero lo cierto es, que la mayoría de la gente utiliza la firma electrónica – e-signature – tanto como para recibir pedidos, como para rubricar documentos electrónicos .
Tiene una serie de cualidades biométricas, como ya han mencionado, que la dotan de un enorme grado de seguridad.
Se puede entender un adiós a las firmas en las tarjetas de pago, añadiendo un componente más de seguridad a su operativa, si tenemos en cuenta que se están sustituyendo por otros soportes con medidas de seguridad adicionales (dos factores) para efectuar transacciones.
La obsolescencia no pasa por usar lo mas moderno, sino lo más eficiente. Lo más moderno hoy sera un antigualla dentro de 5 años.
Por ejemplo, podríamos hacer la broma, de que una inteligencia artificial dotada de Machine Learning aprenderá a reconocer las firmas falsas de las auténticas. Y vincular su biometría a un contrato inteligente en blockchain con un hash criptográfico único por operación.
Sería mucho mas sofisticado e innovador que un SMS con 2FA.
La innovación no consiste en adoptar la última moda en tecnología, o un gadget, sino hacer más eficiente y fiable un procedimiento, logrando mejores resultados.
No se juzga moralmente las tecnologías por su solera. Las ruedas siguen siendo redondas en los coches autónomos. Se necesita un conocimiento exhaustivo de una materia para juzgar esa innovación.
La innovación no está en la novedad, sino en su excelencia. Frank Lloyd Wright, por mencionar un ejemplo, sigue siendo un referente en innovación desde hace 100 años.
–
Firma biométrica
Es que no tiene ningún sentido firmar si no se va a tener en cuenta a la hora de confirmar el pago, ya que no te lo van a mirar, es una seguridad de pega que no está básicamente.
¿cómo desbloqueas el teléfono con el iwatch?
Tenía entendido que no se podía hacer.
Es al revés.
Al desbloquearse el iPhone X con la cara, se desbloquea automáticamente el Apple Watch (es configurable en la app Watch del iPhone, sección Passcode > Unlock with iPhone).
A su vez, un Apple Watch desbloqueado puede desbloquear automáticamente un MacBook Pro.
Ciertamente es muy cómodo, aunque las contraseñas sigan existiendo.
Si alguien intenta obligarme por la fuerza a decírle mi contraseña ,puedo intentar resistirme, para hacerme pasar el dedo por el sensor dactilar no necesita siquiera que siga vivo. Inconvenientes de la biometría.