Este blog se publicó por primera vez en 2025 y ha sido actualizado.
Las recientes infracciones demuestran que la tradicional AMF por sí sola no detiene a los atacantes:
- MGM Resorts informó $100 millones en daños y perjuicios después de que unos atacantes utilizaran credenciales de Okta robadas para burlar el MFA mediante ingeniería social, causando una de las mayores interrupciones cibernéticas de la historia de la hostelería.
- Los piratas informáticos aprovecharon API inseguras para saltarse los controles de autenticación en la Departamento del Tesoro.
- Un fallo en Microsoft Azure MFA causó una vulnerabilidad de elusión de autenticación que dejó "millones de cuentas susceptibles de acceso no autorizado", por Revista Infosecurity.
¿Cuál es la respuesta? La autenticación moderna.
La autenticación moderna no requiere contraseña por defecto, es consciente de los riesgos y se adapta continuamente. Integra la información sobre el usuario y el acceso, el contexto y las señales de riesgo para autenticar a los usuarios de forma dinámica, no solo al iniciar sesión, sino durante toda ella.
A diferencia de la AMF heredada y tradicional, la autenticación moderna está diseñada para alcanzar el nivel óptimo de madurez de Confianza Cero definido por NIST. La autenticación moderna debe cumplir estos criterios:
- Mayor seguridad sin contraseñas-eliminar los secretos compartidos de los que se aprovechan los atacantes
- Validación continua de la identidad-aprovechamiento de las señales de riesgo, el contexto del dispositivo y el análisis del comportamiento
- Funciona en todas partes, para todos-Ya sea en las instalaciones, en la nube o híbrida, la autenticación moderna debe proteger a todos los usuarios, todos los dispositivos y todos los entornos.
1. Seguro de extremo a extremo:
La resistencia al phishing no es suficiente. Una solución de autenticación moderna debe ser resistente al malware, al fraude, a los ataques de fuerza bruta, a las técnicas de desvío y a las interrupciones del servicio, todo lo cual ha contribuido a las recientes brechas.
Consideraciones clave:
- ¿Su método de autenticación protege contra el secuestro de sesión y el robo de testigos de sesión?
- ¿Puede evitar el bombardeo de solicitudes de AMF y el relleno de credenciales?
- ¿Es resistente en caso de apagón, o su organización se quedará bloqueada?
2. Sin contraseña de extremo a extremo
La AMF tradicional sigue basándose en contraseñas: en la mayoría de los casos, la AMF tradicional sigue recurriendo a un método basado en contraseñas para la configuración, la recuperación de credenciales u otras etapas del ciclo de vida de la identidad. Los usuarios tienden a introducir contraseñas en primer lugar para iniciar un desafío MFA, para inscribirse en MFA desde el principio y para restablecer MFA si es necesario. Esto es un problema, porque amenazas como el malware, el rociado de contraseñas y el bombardeo de la MFA pueden seguir explotando la contraseña raíz más profunda.
Sin contraseña debería significar exactamente eso. Un enfoque de autenticación moderno debería eliminar las contraseñas por completo y debería incluir:
- Llave maestra de hardware y/o móvil para todos los usuarios
- Autenticación moderna para servidores, mainframes e infraestructuras informáticas
- Múltiples opciones sin contraseña para el inicio de sesión en Windows y macOS
- OTP sin contraseña para todo lo demás.
Para las organizaciones que implementan métodos sin contraseña resistentes al phishing y de nivel empresarial, el Serie RSA iShield Key 2 Ofrece autenticación de hardware con certificación FIDO2 diseñada para cumplir con los estándares federales y Zero Trust.
3. Funciona en todas partes y para todos
Las empresas operan en entornos en la nube, híbridos y locales. Cualquier estrategia de autenticación que no sea independiente de la infraestructura crea brechas de seguridad.
Preguntas:
- ¿Su solución de autenticación funciona en todas las plataformas (Windows, macOS, Linux, móvil, servidores locales)? ¿Y las aplicaciones heredadas?
- ¿Es resistente? ¿Puede soportar la conmutación por error híbrida y el acceso sin conexión en situaciones críticas?
- ¿Se adapta a todos los usuarios, incluidos empleados, contratistas y administradores con privilegios?
Las organizaciones necesitan contraseñas que funcionen para cada usuario, en cada entorno, en cada momento.
El futuro de la autenticación no es sólo una AMF resistente a la suplantación de identidad. Se trata de una autenticación sin contraseña, resistente y segura durante todo el ciclo de vida de la identidad.
Las organizaciones con operaciones de misión crítica necesitan soluciones que las protejan frente a las amenazas basadas en IA, las falsificaciones profundas y las técnicas de elusión de credenciales, que permanezcan disponibles a pesar de las interrupciones de terceros y que mantengan las políticas de autenticación durante todo el ciclo de vida de la identidad. En resumen, necesitan una autenticación moderna sin contraseña.
