Anda di halaman 1dari 7

ENTORNO DE DESARROLLO MVIL

TEMA:

AUTENTIFICACIN, CIFRADO Y PROTECCIN DE IDENTIDAD DEL USUARIO


EN LA TECNOLOGA MVIL

CARRERA:

ING. INFORMATICA

DOCENTE:

GARCIA BARRALES CRISTIAN IGNACIO

PRESENTA:

AGUILAR BRAVO ROCIO


El mvil es como un mini ordenador
El uso de recursos digitales multimedia en los Smartphones, requiere que las aplicaciones sean
similares a las de un ordenador. Con ello se logra compatibilizar el funcionamiento e intercambio de
informacin entre diferentes plataformas. Este debe ser tratado con todas las precauciones de
seguridad y uso al momento de navegar o descargar informacin proveniente de sitios sin garantas
de seguridad.
Disear polticas de autenticacin de usuario
Definir qu informacin es sensible, quin puede tener acceso a esta informacin y en qu
circunstancias, y qu hacer en caso de una violacin es una necesidad. Elementos simples
y evidentes, como el requerimiento de los cdigos PIN en los dispositivos mviles y los
cambios regulares de contraseas, son esenciales.
Considere la autenticacin de usuario mvil de dos factores
De creciente importancia es la autenticacin de dos factores (2FA), que se describe en
trminos generales como la solicitud de "algo que usted tiene adems de algo que usted
sabe", antes de conceder el acceso de los usuarios. El "algo que usted sabe" suele ser el
tradicionalmente la combinacin del usuario y la contrasea. El "algo que usted tiene" es
un token de seguridad generado por un dispositivo de hardware dedicado, una aplicacin
mvil como Google Authenticator o un mensaje SMS.

D el salto en la gestin de identidades

Las implementaciones contemporneas de autenticacin de usuarios se refieren a menudo la


gestin de identidades, que define las clases de usuarios y concede permisos especficos para cada
uno desde los clientes y trabajadores del conocimiento hasta los administradores de sistemas, la
alta direccin y ms all. La mayora de los productos de gestin de identidades se aprovechan de
los servicios de directorio existentes, minimizando los dolores de cabeza de la implementacin y
eliminando redundancias potencialmente dainas.

Conforme la consumerizacin y la movilidad se asientan, y los trabajadores exigen el acceso a los


activos corporativos de una mezcla de dispositivos de empleados y de propiedad del empleador, la
demanda por gestin de identidades ha crecido. Proporcionar un repositorio central de
capacidades basadas en el usuario, dispositivo, credenciales y contexto tiene mucho sentido, y
tambin reduce la carga en el personal administrativo, en consecuencia, la reduccin de los gastos
operativos.
Cmo sabe que las medidas de seguridad adecuadas estn en su lugar, y cmo se puede
comprobar la funcionalidad y la eficacia? Lamentablemente, la seguridad es uno de los aspectos
de las TI donde nunca se hace el suficiente trabajo. Es necesaria la diligencia continua, no importa
con qu polticas y soluciones cuente.

Incidentes de seguridad

Las amenazas a los que se ven expuestos los telfonos mviles son:

Prdida o robo del dispositivo.


Infecciones por virus o Malware va email, Botnets, Hoaxes, Spam, Rootkits.
Robo de informacin va Bluetooth.
Suplantacin de identidad o Spoofing.
Acceso a datos confidenciales de conversaciones, imgenes o vdeos.
Infeccin al acceder a falsos cdigos QR publicitarios.
Cuando las discusiones de TI se vuelcan en los asuntos de la seguridad, la atencin se
centra casi siempre en el cifrado. Codificar datos sensibles para protegerlos de intrusos y
ladrones es sin duda un gran lugar para comenzar. Pero de igual importancia es la
autenticacin del usuario, en donde al menos una de las partes en una conexin dada -e
idealmente, ambas partes debe(n) probar su(s) identidad(es) a la otra.

Tal como con la encriptacin, la autenticacin no es garanta de seguridad absoluta. (No


existe tal cosa.) Las credenciales frecuentemente nombres de usuario y contraseas
pueden ser robadas o caer en las manos equivocadas. Dado que estas credenciales son a
menudo un factor en la determinacin de las claves utilizadas en el cifrado y descifrado,
un fallo en la autenticacin puede tener resultados desastrosos. Una vez que la
informacin digital sensible se ve comprometida, permanece as para siempre.
Recuperarse de una infraccin de este tipo puede ser lento, costoso e incluso imposible.

Autenticacin de dispositivos mviles

En muchos aspectos, los dispositivos mviles no son distintos de un PC remoto, en cuanto a


que tambin exigen contar con una fuerte autenticacin que permita autenticar a los
usuarios de forma segura antes de acceder a las redes corporativas (como Wi-Fi o VPN). La
autenticacin basada en certificados a travs de la plataforma PKI Gestionada de
GlobalSign proporciona una solucin sencilla y econmica que permite a las
organizaciones balancear la necesidad de los empleados de acceder al correo electrnico y
los datos corporativos desde cualquier ubicacin y la necesidad de evitar accesos no
autorizados a las aplicaciones fundamentales para la organizacin.
Mejore la Seguridad para Dispositivos Mviles con PKI

PKI es una tecnologa de seguridad completamente confiable empleada por las


organizaciones desde hace dcadas para autenticar usuarios, mquinas y servidores dentro
de la propia organizacin. La ampliacin de la PKI a los dispositivos proporciona una
solucin de gestin de identidades fcil de implementar y econmica.

Los certificados digitales pueden utilizarse en dispositivos mviles para:

Cifrar y Firmar Correos Electrnicos

Cifrar y firmar digitalmente las comunicaciones a travs del correo electrnico enviadas
desde dispositivos para garantizar la privacidad de la informacin sensible y demostrar la
autora/el origen del mensaje.

Autenticar Correos Electrnicos

Facilitar la autenticacin de correos electrnicos para permitir un acceso ininterrumpido al


correo electrnico eliminando las vulnerabilidades frente a intrusos de las cuentas de correo
electrnico y permitir el acceso a los servidores de correo electrnico corporativos
nicamente a los dispositivos autorizados.

Autenticar Redes VPN y Wi-Fi

Sustituir los nombres de usuario y contraseas dbiles y vulnerables por un mtodo de


autenticacin de factor mltiple para las conexiones Wi-Fi y VPN corporativas y permitir el
acceso a sus conexiones empresariales nicamente a los dispositivos autorizados.

Ventajas del uso de certificados digitales para la autenticacin de


dispositivos mviles

nicamente los usuarios verificados tienen acceso a los recursos corporativos


La configuracin prcticamente no requiere asistencia del departamento de TI

La configuracin no resulta intrusiva y es de facil manejo para el usuario final

Su implementacin es rpida y econmica

Los certificados se gestionan cmodamente desde la plataforma gestionada de GlobalSign:


emisin, renovacin y revocacin desde un nico portal

La base de la autenticacin en dos pasos: algo que tienes ms algo que sabes

Cuando entramos en un servicio con nuestro usuario y contrasea, estamos utilizando dos
datos que en teora slo sabemos nosotros. La cuestin es, qu pasa si alguien ms
adivina nuestro usuario y contrasea?

Para evitar ese escenario, aadimos otro factor para poder entrar: algo que tengamos. En el
caso de Twitter, lo que tenemos es el mvil, nuestro y que no toca nadie ms (en teora). En
otros casos, como la banca, se usa un token fsico.

Sea como sea, la idea es siempre la misma: aadir una verificacin ms de que eres t y no
un maleante quien est accediendo con tu cuenta. Para ello, el servicio comprueba que
realmente tienes algo (mvil, token) que slo t deberas tener.

La forma "estndar" de implementar autenticacin en dos pasos: TOTP

Bien, decamos que la base de la autenticacin en dos pasos es comprobar que tienes la
pieza del puzzle (normalmente el mvil) que slo t, el usuario legtimo, puedes tener.
Cmo hacer esa comprobacin?

Lo ms fcil es lo que ha hecho Twitter: te mandan un cdigo al mvil y te piden que lo


pongas en la pgina web. Slo tu mvil recibir el mensaje de texto, as que si has metido
el cdigo correctamente es que tienes el mvil y por lo tanto no eres un maleante.

Hay otros mtodos ms sencillos y cmodos que el envo de SMS de Twitter

Sin embargo, eso resulta ms caro (hay que enviar el mensaje) y no funciona con todas las
operadoras. Hay otra opcin, algo ms compleja, llamada TOTP: Time-based One Time
Password, o Contrasea de un nico uso basada en el tiempo.

Como el nombre indica, es una contrasea que slo se puede usar una vez, y que va
cambiando con el tiempo. Cmo funciona?
Lo primero es la configuracin inicial. El servidor elige un nmero, al que llamaremos
clave, y que ser la base de todas las contraseas que se generen. Esa clave la transmite a la
aplicacin de tu telfono, donde se quedar guardada.

Ahora toca el turno de entrar en el servicio. El servidor te pide tu segundo cdigo de


autenticacin, as que abres tu aplicacin del mvil. En ese momento se calcula el cdigo.
Para ello, la aplicacin coge la clave y la fecha y hora actual, los combina y sale el cdigo
que necesitas.

Dado que el cdigo slo est guardado en tu aplicacin y en el servidor, slo t puedes
generar la contrasea y slo el servidor puede decir si es correcta y, por lo tanto, si eres el
usuario legtimo o no.

Ahora bien, lo que os he contado es una versin simplificada. Hay que completar algunos
aspectos para que todo sea seguro y fcil de usar.

Por ejemplo, cmo transmitimos la clave? Fcil: est en el cdigo QR que os piden
escanear cuando configuris la aplicacin por primera vez. Adems, para asegurarse de que
lo habis recibido bien, se os pide el cdigo de autenticacin. Si es correcto, todo est
configurado sin problemas y se puede activar la autenticacin en dos pasos en tu cuenta.

Otro aspecto a tener en cuenta: cmo se combinan la clave y el tiempo actual? Si lo


hacemos mal, alguien que viese uno de esos cdigos de autenticacin podra sacar la clave
y generar el resto, dejando nuestra proteccin inutilizada.

Para sacar el cdigo se usa una funcin hash, que al pasarle un mensaje devuelve una
especie de "huella digital" de ese mensaje, un identificador nico (tericamente). Adems,
esa huella digital es irreversible: si tienes la huella, es (de nuevo, tericamente) imposible
saber cul es el mensaje que la gener.

El proceso es el siguiente: se combina la clave y la fecha y hora actuales de tal forma que
nos sale un nmero. Usando el algoritmo SHA1 sacmos su cdigo hash, que es el cdigo
que damos al servidor para identificarnos. De esta forma queda verificado que somos
nosotros (slo con la clave podramos generar el hash correcto) y no hay posibilidad de que
se recupere la clave original.

Y un ltimo detalle: a la hora de calcular el cdigo no se usa la fecha y hora exacta, sino
que se cuentan el nmero de bloques de 30 segundos. De esta forma te da tiempo a
introducirlo con margen suficiente para que no caduque.
Ventajas e inconvenientes de la autenticacin en dos pasos

Una vez que ya tenemos el funcionamiento claro, por qu usar la autenticacin en dos
pasos? Qu ventajas y qu inconvenientes tiene?

Otro inconveniente a tener en cuenta es cmo administramos las aplicaciones de terceros


que acceden a nuestra cuenta. Como no pueden introducir los cdigos de autenticacin hay
que crear contraseas especiales de aplicacin. Son contraseas que genera
automticamente Google, Microsoft o quien sea, y que slo valen para una aplicacin en
concreto. As no revelas ni tu contrasea original ni tus cdigos de autenticacin.

De todas formas, este punto cada vez causar menos problemas. Muchos servicios (Twitter,
Facebook, Google) usan OAuth, un protocolo distinto para acceder a tus cuentas que
consiste en dar permiso a cada aplicacin. De esta forma, no tienes que preocuparte ni por
contraseas ni por cdigos de autenticacin.

Como conclusin, yo recomendara activar la autenticacin en dos pasos siempre que


podis. Es una capa ms de seguridad y probablemente os evite algn susto con vuestras
cuentas. Molesta? S, es un poco ms complejo que slo usuario y contrasea, pero creo
que las ventajas superan bastante a los inconvenientes.

Anda mungkin juga menyukai