las IDENTIDADES EN INTERNET

Twitter, LinkedIn, Gmail, Facebook, Hotmail, Wordpress, banca en línea, e-Administración, etc. no son sino varios ejemplos de servicios de Internet que casi todos usamos y donde en cada uno de ellos usamos una identidad o credencial electrónica diferente, aunque nosotros seguimos siendo los mismos.

Al mismo tiempo, dependiendo del servicio y de la naturaleza de la información que maneja, cualquier brecha que ponga en peligro la seguridad de los datos puede tener consecuencias que pueden ir desde una simple mala experiencia del usuario, a algunas tan graves como una suplantación de la identidad, con todas sus consecuencias.

De alguna manera, podríamos pensar que el hecho de que cada proveedor de servicios gestione una identidad diferente pueda suponer incluso una ventaja en términos de protección o limitación de la exposición frente a un caso de suplantación de identidad, ya que la credencial robada solo daría acceso a ese servicio y no al resto. Quizá el hecho de recordar cada vez más contraseñas con la aparición de nuevos servicios en Internet y que éstas sean seguras no es una tarea tan costosa… ¿o sí lo es?

¿Cuántos de ustedes usan a veces las mismas contraseñas para diferentes servicios?, ¿usamos siempre gestores de contraseñas para garantizar la robustez de las mismas y por ello no tener que memorizarlas? ¿o preferimos poder recordarlas y por este motivo las elegimos más sencillas?, ¿evitan apuntarlas en sitios visibles?, ¿son fáciles de descifrar si les conocen un poco (fechas, teléfonos, etc.)?, ¿qué opinan sobre las preguntas de seguridad para recordar la contraseña?, ¿son realmente robustas?, ¿cuántas veces han usado el servicio de recuperar contraseña por no acordarse ustedes mismos?, ¿cada cuánto cambian la contraseña?. Y quizá una bastante importante, ¿confiamos en la gestión de nuestras credenciales por parte del proveedor de servicios?, ¿son especialistas en seguridad todos ellos?, ¿deberían serlo si su negocio no es ese?, ¿les parece suficiente a ustedes la seguridad de usar sólo la combinación ‘usuario’ y ‘contraseña’?

Podríamos pensar que si compartiéramos una sola credencial para cualquier servicio (lógicamente debería ser robusta por el hecho de tener que recordar sólo una), estaríamos más expuestos frente a este tipo de robos porque podrían acceder a más servicios en nuestro nombre. Pero ¿es superior este riesgo al de tener más contraseñas con dudosa seguridad?.

Quizás no hemos pensado en el riesgo que entraña un robo de contraseñas al proveedor de nuestro servicio por el hecho de que no sea realmente especialista en seguridad aunque nuestra contraseña sea muy robusta.

Seguro que nos gustaría poder tener más servicios interesantes sin que para ello tengamos que darnos de alta otra vez, con otra credencial, si pudiera evitarse. De alguna manera podría frenarnos en algún momento un nuevo formulario de alta por no tener que generar una nueva credencial.

Ante esta tendencia surge el concepto de federación de identidades y con ello la opción de compartir credenciales y sesiones (cross domain SSO – single sign on ) así como intercambiar información entre servicios de manera segura, profesional, estándar, con cierta flexibilidad y siguiendo por tanto criterios de proporcionalidad. Todo ello sin que cada proveedor de servicios deba ser experto en la gestión de la seguridad de las mismas y sin que nosotros tengamos que recordar un número indeterminado de contraseñas. De esta manera se externaliza la identidad, delegándola en proveedores específicos de identidad digital especialistas, reputados y separados de los proveedores de servicios electrónicos, obteniendo mayores garantías y estableciéndose entre todos los actores un entorno de confianza que simplifique su gestión a nivel global.

Otro aspecto importante es que los usuarios deberían ser conscientes en todo momento de la información intercambiada entre su proveedor de identidad y el prestador del servicio. Además, deberían tener la capacidad de determinar qué datos se van a intercambiar, evitando que los prestadores de servicios puedan tener acceso a información que no sea proporcional a la naturaleza del servicio prestado. A partir de estos conceptos han ido surgiendo diversas tecnologías de gestión de identidad durante los últimos años, aunque cabe destacar que no todas presentan un mismo nivel de estandarización y madurez.

En el caso de SAML y arquitecturas como la propuesta por Liberty Alliance, ahora Kantara Initiative, son soluciones que atienden necesidades surgidas del entorno empresarial, por lo que, en reacción a la carencia de modelos centrados en las necesidades del usuario (usabilidad, comodidad, etc.), aparecen soluciones como OpenID o InfoCard.

Por otro lado, en Internet existen volúmenes ingentes de información repetida y almacenada en diferentes sistemas, y para atajarlo se han propuesto soluciones que permiten a los distintos servicios poder compartirla bajo la autorización de los propietarios. Para ello han surgido tecnologías como OAuth o UMA.

En resumen, la identidad electrónica está en desarrollo y aún queda mucho camino por recorrer hasta poder considerar que está socialmente asimilada (como puede ser una firma manuscrita o un documento de identidad físico, como el pasaporte). Ya se han dado los primeros pasos para ello y, en particular, España ostenta una posición de liderazgo mundial con el desarrollo del DNI electrónico como dispositivo de identidad física y electrónica del usuario.