RSA SecureID

RSA SecurID, a veces conocido como SecurID, es una tecnología de autenticación de cifrado de clave pública de dos factores que se utiliza para proteger los recursos de red.

Desarrollado por RSA Data Security, SecureID se basa en la dificultad de factorizar números muy grandes. Debido a este diseño, el algoritmo utiliza la factorización en números primos como un método infalible para detener los ataques de fuerza bruta. Resolver el cifrado requiere una cantidad masiva de tiempo y potencia de procesamiento, lo que disuade los ataques directos al sistema de seguridad. Es el método de cifrado estándar para datos importantes, especialmente cuando la información se envía a través de internet.

Este sistema de autenticación se basa en dos protecciones principales: una contraseña o un PIN conocido por el usuario (algo conocido) y (normalmente) un USB, una tarjeta inteligente o un llavero, también denominados tokens de hardware (algo que usted lleva consigo). Estos dos puntos de autenticación, cuando se utilizan junto con el software Authentication Manager de RSA, verifican las solicitudes de autenticación.

Cuando un usuario accede a un recurso protegido, como una base de datos de seguimiento financiero o la interfaz de back-end de un banco, se le solicita su código de acceso. El código de acceso se basa tanto en el PIN proporcionado por el sistema SecurID al configurar como en el código que se genera para ese inicio de sesión por el token de autenticación del usuario. En este ejemplo, el usuario hace clic en su dispositivo RSA SecurID, el cual genera un código específico para la sesión. A continuación, el Agente de Autenticación RSA recibe ambos códigos y los traduce al software RSA Authentication Manager, que luego verifica y aprueba los códigos. El sistema RSA SecurID calcula el número que debería mostrar el token en ese momento, lo verifica con lo que el usuario ha ingresado y decide permitir o denegar el acceso.

A diferencia de muchos otros servicios de seguridad, SecureID emplea autenticación mediante hardware. Esto ofrece un nivel de protección contra los ciberataques basados en software. A continuación se presenta una comparación de SecurID frente a otros servicios de seguridad comunes.

 

Aunque los tokens de RSA SecurID pueden proteger contra los ataques de repetición de contraseñas al generar contraseñas únicas para cada sesión, no ofrecen ninguna funcionalidad para proteger contra los ataques de intermediario.

• Si el atacante logra bloquear al usuario autorizado para que no se autentique en el servidor hasta que el próximo código de token sea válido, esa persona podrá iniciar sesión en el servidor. El servidor de autenticación SecurID intenta prevenir el rastreo de contraseñas y el inicio de sesión simultáneo al rechazar ambas solicitudes de autenticación si se presentan dos credenciales válidas dentro de un marco de tiempo determinado. En este tipo de ataque, la seguridad puede ser reforzada con un mecanismo de autenticación adicional, como SSL.
• Si el atacante elimina la capacidad del usuario para autenticar su token, el servidor SecurID asumirá que es el usuario quien realmente se está autenticando y, por lo tanto, permitirá la autenticación del atacante.
• Los ataques de Social Engineering mediante phishing también se pueden utilizar para ayudar a infringir la seguridad de RSA SecurID. El phishing es un ejemplo de técnicas de Social Engineering utilizadas para engañar a los usuarios y se aprovecha de la poca usabilidad de las tecnologías de seguridad web. Por lo general, se lleva a cabo mediante spoofing de correo electrónico o mensajería instantánea y, a menudo, indica a los usuarios que introduzcan detalles en un sitio web falso con un aspecto casi idéntico al legítimo.
• En caso de que el atacante logre obtener las credenciales ingresadas por el usuario en texto plano, podrá utilizarlas rápidamente como si fuera el usuario legítimo antes de que el token expire (generalmente en un minuto).
• Los tokens físicos pueden ser robados físicamente (o adquiridos a través de Social Engineering) de los usuarios. El pequeño factor de forma hace que el robo de tokens físicos sea mucho más viable que el escaneo de portátiles o de ordenadores de sobremesa.

La vulnerabilidad más sencilla de todos los contenedores de contraseñas es perder el dispositivo clave especial o el teléfono inteligente activado con funcionalidad integrada. Esta vulnerabilidad no puede resolverse con un único dispositivo contenedor de tokens durante el tiempo de bloqueo estricto del acceso disponible usando la clave robada o perdida. Un usuario suele esperar más de un día antes de informar sobre la desaparición del dispositivo, lo que proporciona al atacante tiempo suficiente para comprometer el sistema desprotegido. Sin embargo, esto solo podría ocurrir si también se conocen el ID de usuario y el PIN de los usuarios.

En la era cliente-servidor, el cumplimiento normativo era la principal razón por la que las organizaciones adoptaban soluciones de seguridad como la autenticación de dos factores, ya que necesitaban cumplir con las normativas para proteger datos financieros, de salud, de titulares de tarjetas de clientes, etc. Pero hoy en día, la seguridad y la gestión de riesgos son las principales razones por las que las empresas desean implementar la autenticación de dos factores. Las filtraciones de datos son reales y afectan a millones de usuarios, y tienen consecuencias reales a gran escala. Aunque antes solo era necesario proteger unas pocas aplicaciones, el entorno de seguridad actual requiere que se asegure el acceso a docenas o incluso cientos de aplicaciones.

Una solución de autenticación de dos factores debe ser escalable para que pueda implementarse en todas las aplicaciones y empleados, con información sensible distribuida horizontalmente entre usuarios de todos los niveles de poder y acceso. A medida que aumente el número de aplicaciones y usuarios, y a medida que se expanda la ciberdelincuencia, se necesitarán tiempos de implementación más cortos para garantizar la seguridad.

En 2011, los atacantes vulneraron RSA y robaron las semillas internas utilizadas por RSA para verificar sus dispositivos de hardware, y usaron la información para atacar a Lockheed Martin, un cliente de RSA, entre otros contratistas de defensa no identificados. Estas semillas internas constituyen una clave secreta integrada en el propio token y son el equivalente digital de una combinación de candado. Esta vulnerabilidad puso de manifiesto las vulnerabilidades de cualquier sistema de hardware de alto coste.