Qué es la autenticación

Iniciar sesión es la puerta donde demuestras quién eres

Las dos lecciones anteriores trataban de cómo guardar contraseñas con seguridad. Ahora miramos el lugar donde se usan: el inicio de sesión. Antes de vigilar una puerta hay una primera pregunta: ¿quién es la persona que está ahora en la puerta?
Al dueño hay que dejarlo pasar y al desconocido, detenerlo. Por eso hay una puerta que pregunta a cada persona si de verdad es quien dice ser. Esa puerta es el inicio de sesión, y demostrar ahí que eres tú es la autenticación.

Toca a una persona de la puerta para comprobar quién es. Solo quien supera la autenticación entra.

Solo entró la persona confirmada. Pero ¿con qué demuestras quién eres? Cualquiera puede decir un nombre, así que un nombre no basta. Hace falta una prueba que solo tú puedas presentar.
Esas pruebas se dividen en tres grandes tipos. Veámoslas una por una.

Algo que sabes, algo que tienes, algo que eres

La prueba de que eres tú es de tres tipos. El primero es algo que sabes: información que solo está en tu cabeza, como una contraseña o un PIN. El segundo es algo que tienes: un objeto en la mano, como un teléfono, una llave de seguridad o una tarjeta de acceso. El tercero es algo que eres: un rasgo de tu cuerpo, como una huella dactilar o la cara.
Cada uno tiene su propia debilidad. Lo que sabes se puede olvidar o filtrar a otra persona, y lo que tienes se puede perder o te lo pueden robar. Los rasgos de tu cuerpo siempre van contigo, pero si alguien los copia, no se pueden cambiar como una contraseña.

Toca los tres factores uno por uno para abrirlos. Cada uno muestra su fuerza y su debilidad.

Cada uno de los tres factores tenía una debilidad distinta. Por eso fiarse de uno solo es arriesgado. Si usas una sola contraseña y se filtra, otra persona puede hacerse pasar por ti sin más.
La forma de proteger mejor es sencilla: pedir a la vez dos o más factores de tipos distintos.

Apilar capas es más seguro

Con una sola cerradura en la puerta, cualquiera que consiga la llave puede abrirla. Con dos cerraduras que necesitan dos llaves distintas, perder una todavía deja la otra en medio. La autenticación funciona igual.
Si tienes que escribir tu contraseña (algo que sabes) y además confirmar en tu teléfono (algo que tienes), una contraseña filtrada no le basta a quien no tenga tu teléfono. Pedir factores de tipos distintos así se llama autenticación multifactor. Pedir dos contraseñas es apilar dos del mismo tipo, así que no cuenta.

Toca para comparar la seguridad de usar un solo factor con la de apilar dos.

Con dos capas fue mucho más difícil entrar que con una. Un atacante necesitaría tu contraseña y además tu teléfono, y tener las dos cosas a la vez es mucho más raro. Por eso los lugares importantes, como los bancos, piden varias capas.
Eso sí, los códigos que llegan por SMS pueden caer ante trucos que secuestran el número de teléfono, así que las aplicaciones de autenticación o las llaves de seguridad son más sólidas. Y aun después de dejar entrar a alguien queda trabajo, porque entrar no significa poder hacer cualquier cosa.

Quién eres y qué puedes hacer son cosas distintas

Imagina que entras en el edificio de una empresa. Tu tarjeta demostró que eres empleado: eso es autenticación. Pero ser empleado no significa poder entrar en todas las salas. A la cámara acorazada solo entran personas con un permiso especial.
Decidir qué puede hacer una persona confirmada se llama autorización. La autenticación pregunta quién eres; la autorización decide después qué se te permite hacer. Los permisos pueden retirarse cuando haga falta.

Primero confirma al empleado con la autenticación y luego toca las salas para activar y desactivar el permiso de entrada. También puedes retirar todos los permisos de una vez.

Confirmar quién es alguien y decidir qué puede hacer funcionaron por separado. A la misma persona se le podían dar más permisos o quitárselos. Un sistema operativo fija por separado lo que puede hacer cada usuario, y los servicios web también separan las funciones de los miembros normales y las de los administradores.
Mantener las dos cosas separadas permite gestionar por un lado quién entró y por otro qué puede tocar esa persona. Aunque se rompa la autenticación de una cuenta, el daño es pequeño si sus permisos son pequeños.

Resumen

En resumen, la autenticación consiste en demostrar que eres tú, y los materiales de la prueba son de tres tipos: algo que sabes, algo que tienes y algo que eres. Uno solo es débil, así que apilar factores de tipos distintos es más seguro: eso es la autenticación multifactor.
Y la autenticación no es lo mismo que la autorización. La autenticación pregunta quién eres; la autorización decide qué puedes hacer.

Toca los puntos clave en orden para repasar. (demostrar que eres tú → algo que sabes, que tienes y que eres → varias capas de autenticación multifactor → la autenticación no es la autorización)

Ahora sabes con detalle lo que hace el guardia de la puerta: distingue quién es quién, comprueba con firmeza en varias capas y decide aparte qué puedes tocar dentro.
Sin embargo, después de cruzar la puerta, los mensajes que intercambias siguen recorriendo un camino desconocido. La próxima lección trata del cifrado, la forma de impedir que alguien a mitad de camino lea esos mensajes.