El mundo de antivirus

miércoles, 15 de junio de 2022

Vamos a ver qué significan los términos “identificación”, “autenticación”, “autorización” y qué diferencias hay entre estos procedimientos.

Identificación: «¡Pare! ¿Quién es Vd.?»

Cuando un visitante llega a la oficina de la empresa Doctor Web, se presenta al guardia en la entrada. De esta forma la persona se identifica, informa quién es. Al guardia no le importa para qué viene esta persona, para trabajar, buscar un paquete o para asistir a una reunión. Solamente debe comprobar que esta persona está en la lista de los autorizados para entrar.

De la misma forma Vd. debe presentarse primero si, por ejemplo, desea entrar en Su cuenta de algún sistema: la banca en línea, el correo electrónico o la res social. El sistema solicita un ID (nombre de usuario), Vd. lo introduce, y lo identifica como existente. Esto es la identificación: la comprobación de que la persona indicada/nombre de usuario/email existe.

En sistema hay información sobre el conjunto de IDs restringido. En caso de haber introducido cualquier secuencia de caracteres si el sistema localiza una entrada sobre un usuario con este nombre de usuario, la identificación finaliza. Significa que el primer paso al recurso de información (correo, cuenta de la red social etc.) fue realizado.

Autenticación: «El pase, por favor»

Ahora Vd. debe introducir la contraseña para confirmar que no desea hacerse pasar por otra persona. En cuanto el sistema se entere de que el que sabe el nombre de usuario también se entera de la contraseña, confirmará que es el verdadero titular de la cuenta. Es la autenticación: la comprobación de si la contraseña se corresponde al usuario.

¿Recuerda a la persona que quiere entrar en nuestra oficina? Supongamos que el guardia lo encontró en la lista (lo identificó). Luego debe comprobar los documentos del visitante para autentificarlo.

Para que los malintencionados que averiguaron la contraseña de Su cuenta no puedan entrar en la misma, el sistema por seguridad puede preguntar algo que solo Vd. sabe: por ejemplo, un código SMS de una sola vez para confirmar la entrada. En caso de introducirlo bien, el sistema se asegura finalmente que Vd. es la persona correcta. Es la autenticación de dos factores (2FA — 2-factor authentication).

Para los tipos serios la autenticación de dos factores es obligatoria. Normalmente es un token (un código de un solo uso con periodo de validez restringido) que se envía al móvil de usuario por SMS. Pero no es obligatorio. Hay otras opciones de 2FA —como unidades USB, dispositivos bluetooth, escáneres biométricos etc. Hasta si un malintencionado recibe Su nombre de usuario y contraseña (a través de un malware, al robar una libreta con contraseñas o métodos de ingeniería social y phishing), sin este token el mimo no podrá entrar en la cuenta.

Autorización: «Paso permitido»

Una vez autentificado, el sistema le permitirá leer los mensajes en su buzón. Y el visitante al que el guardia permitió entrar será recibido por los secretarios. Si el mismo busca trabajo, invitarán a un experto en RR.HH., si necesita buscar un paquete, le entregarán el paquete, si tiene una reunión, le acompañarán a la sala de reuniones. Es la autorización: al usuario se le conceden los permisos de acceso a los recursos determinados.

La autorización no simplemente le permite entrar en el sistema, sino también permite realizar las determinadas operaciones en el mismo: leer los documentos, mandar mensajes, cambiar los datos, con el ID que Vd. presentó al principio.