cómo Qué es la autenticación

Iniciar sesión es la puerta donde pruebas que eres tú

La lección pasada dijo que la seguridad
es decidir qué proteger y bloquear lo demás.
Pero antes de bloquear, hay una primera pregunta.
Quién es esta persona parada ahora en la puerta?
Si es el dueño, debe entrar;
si es un extraño, debe detenerse.
Así que para cada persona que llega,
ponemos una puerta que pregunta: eres de verdad tú?
Esta puerta es justamente el inicio de sesión.
Mostrar aquí que eres tú se llama autenticación.

Toca a la persona en la puerta para ver quién es. Solo quien pasa la autenticación entra.

Solo la persona confirmada entró.
La autenticación es esta puerta que dice quién es quién.
Pero con qué muestras quién eres?
Dar solo un nombre, cualquiera podría copiarlo,
así que un nombre solo no basta.
Debe haber una prueba que solo tú puedas mostrar.
Esa prueba se reparte en tres clases amplias.
Veámoslas una por una.

Algo que sabes, tienes y eres

La prueba que muestra que eres tú tiene tres ramas.
La primera es algo que sabes.
Como una contraseña o una clave, solo en tu cabeza.
La segunda es algo que tienes.
Una cosa en tu mano, como un teléfono, una llave, una tarjeta.
La tercera es algo que eres.
Un rasgo en tu cuerpo, como una huella o un rostro.
Lo que sabes puede olvidarse o filtrarse;
lo que tienes puede perderse;
lo que eres siempre va contigo pero es difícil de cambiar.
Cada uno tiene fuerzas y debilidades distintas.

Toca cada uno de los tres factores para mirarlo. Te dice la fuerza y debilidad de cada uno.

Cada uno de los tres tiene una debilidad distinta.
Así que confiar en uno solo es arriesgado.
Si usas una sola contraseña y se filtra,
otro puede hacerse pasar por ti sin más.
Entonces, cómo bloqueamos con más firmeza?
Es simple.
Exigir dos factores distintos apilados juntos.
Luego vemos la fuerza de este apilamiento.

Apilar varias capas es más seguro

Pon un solo cerrojo en una puerta,
y perder esa llave deja que cualquiera la abra.
Pero pon dos cerrojos,
que necesiten dos llaves distintas para abrir ambos,
y perder una aún deja la otra para bloquear.
La autenticación es igual.
Acierta la contraseña (algo que sabes),
y confirma también con mi teléfono (algo que tienes),
y aunque la contraseña se filtre, sin el teléfono nadie entra.
Pedir factores distintos apilados así
se llama autenticación multifactor.

Toca para comparar la seguridad de usar un factor frente a apilar dos.

Con dos capas en vez de una,
atravesar se volvió mucho más difícil.
El lado atacante debe conseguir ambas a la vez.
Necesitaría saber la contraseña y tener mi teléfono,
y eso es mucho más raro.
Así que cuanto más importante un lugar, más capas apilamos.
Ahora bien, tras dejar entrar a alguien, hay otro asunto.
Entrar no significa
que puedas hacer cualquier cosa.
Luego hablemos de eso.

Quién eres y qué puedes hacer difieren

Supón que entraste a un edificio de empresa.
Con una tarjeta probaste que eres empleado.
Esto es autenticación; confirmó quién eres.
Pero ser empleado no significa
que puedas entrar a toda sala.
Solo personas autorizadas entran a la bóveda.
Decidir qué puedes hacer, así,
es la autorización.
La autenticación pregunta quién eres;
la autorización luego fija qué puedes hacer.
Y la autorización puede retirarse si hace falta.

Confirma quién es con autenticación, luego fija qué puede hacer con autorización. Puedes retirar el permiso.

Confirmar quién es alguien y
fijar qué puede hacer corrieron por separado.
A la misma persona se le podía dar más permiso
o retirárselo.
Un sistema operativo también, por cada usuario,
fija aparte qué puede hacer.
Aun pasada la puerta por autenticación,
hay lugares que no puedes tocar sin permiso.
Mantener ambos separados nos deja
gestionar quién entró y
qué puede tocar esa persona
por separado, lo que es más seguro.

Resumamos

Reunido en una línea, es esto.
La autenticación es probar que eres tú.
Los materiales para probar son tres:
algo que sabes, tienes y eres.
Usar solo uno es débil,
así que apilar factores distintos en varias capas es más seguro.
Esto es multifactor.
Y la autenticación no es lo mismo que la autorización.
La autenticación pregunta quién eres;
la autorización fija qué puedes hacer.
Confirma quién, refuerza con capas, fija las acciones aparte. Eso es la autenticación.

Toca los puntos clave en orden para repasar. (prueba que eres tú -> sabes/tienes/eres -> varias capas, multifactor -> la autenticación difiere de la autorización)

Ahora sabes, de cabo a rabo,
qué hace el guardia en la puerta.
Dice que eres tú,
confirma con firmeza con varias capas,
e incluso fija aparte qué puedes tocar adentro.
Solo cuando estos tres engranan
podemos abrir la puerta con tranquilidad.
Luego, cómo evitar que las palabras intercambiadas tras pasar
se filtren por el camino,
sigamos explorando juntos.