Credenciales, identificadores y la seguridad

 Escrito por Jaime Bárcena

Photo by Markus Spiske on Unsplash

La seguridad es un concepto que sabemos es relativo, todos hemos visto esos memes donde el password de servidor está escrito en un Post-it en la sala del CPD y cosas por el estilo... Es cierto que es divertido, es cierto que está dramatizado y es cierto que es muy exagerado...Pero no es menos cierto que muchas veces dependiendo de qué control sea, la seguridad no es el valor absoluto y mucho menos definitorio de una instalación.

Debemos tener en cuenta que no todas las sociedades incluso bajo un mismo "paraguas" cultural tienen las mismas inquietudes. Eso no significa que no sea importante la seguridad, pero lógicamente no se va ha invertir lo mismo en seguridad en una tienda de golosinas que en una joyería. Ahora bien, lo importante es adecuar la seguridad al nivel requerido para que las operaciones diarias sean seguras.

Todos somos conscientes de que a mayor nivel de seguridad menor nivel de comodidad es decir que podríamos aplicar la norma de lo "inversamente proporcional" a estos dos parámetros, ya que a mayor comodidad, menor seguridad. Esto puede ser cierto y en muchos casos lógico. Sin embargo si algo he aprendido durante los años que llevo trabajando con identificación de largo rango y por tanto en el sector del control de accesos tanto en la vertical de seguridad como en la industrial, o la de tráfico es que la seguridad no se crea a partir de un solo punto, en esta entrada os voy a dar mi visión. 

He visto en muchos casos como en instalaciones se ha buscado un extra de seguridad basándose en los formatos. Esto se debe a que existe un mantra de que hay formatos seguros y formatos inseguros. Los formatos de las credenciales son un universo muy complejo que iremos desgranando más adelante en otras entradas, sin embargo, para que esta estrada sea más clara diremos que los formatos de tarjeta vienen dados por:

• La tecnología de transmisión
• El tipo de información
• La cantidad de información que se pueda almacenar. 

Para simplificar esto mucho puedo decir que en las diferentes tecnologías es posible almacenar información, también es posible usar el los números de serie que todas la s tarjetas llevan preprogramadas de fábrica. También me gustaría remarcar que no hay un formato inseguro a priori, lo inseguro y que puede ser duplicado es el número de serie de las tarjetas, por lo tanto lo seguro es usar la memoria que tienen las tarjetas.

Esto es una norma que debemos tener en cuenta para desarrollar nuestro proyecto de seguridad, sobre todo si pretendemos tener un único medio muy seguro. Es cierto que es algo relativo como veíamos antes y debemos entender muy bien cómo de crítica es la seguridad en la instalación. Sin embargo hay algo que nos permite tener niveles bajos de seguridad por cada medio de identificación y al mismo tiempo tener un sistema muy seguro. ¿Esto es posible?

Si, es posible, ¿Cómo? Pues utilizando la identificación de doble factor. Es decir dos credenciales en un mismo punto de acceso. Esto permite que las credenciales sean de bajo nivel de seguridad pero al combinarlas realizamos un refuerzo muy alto de la seguridad.

Por ejemplo, si operáis con banca online, tenemos la credencial de acceso a la zona privada del usuario, normalmente esto es una clave sencilla de carácter alfanumérico que nos ha entregado el banco o incluso la hemos creado nosotros. Es decir tenemos un nombre de usuario, y una clave. A continuación hacemos una operación y en ese momento se nos solicita la firma bancaria, puede ser una clave entregada por el banco o creada por nosotros, normalmente el banco nos solicita unas posiciones determinadas de la firma y para finalizar nos pide un código de autorización enviado por SMS a un teléfono.

Si lo pensamos tenemos 4 claves, 2 de ellas variables esto hace que el sistema sea casi inviolable, a la mayoría nos resulta totalmente seguro. Cada una por separado no pasaría un control de seguridad (fortaleza de contraseña) pero al unir las cuatro de 2 medios diferentes provoca que en un momento dado sea muy difícil que se produzca una suplantación.

Si esto lo entendemos cómo podemos trasladarlo al mundo de la identificación de largo rango, mediante el uso de dos medios diferentes que estén unidos en el software de control de acceso. Por ejemplo, la matrícula del vehículo con el que accedemos y una tarjeta de largo rango, esto provoca que sea muy difícil que alguien se cuele en la instalación porque debería tener las dos credenciales, matrícula y tarjeta.

Esto tiene un efecto colateral que puede ser mayor o menor en función del proveedor del sistemas de control de accesos. Esto se debe a que la credencial como ya hemos hablado es un medio físico, por ejemplo una tarjeta y el identificador es el número programado en la tarjeta que es manejado por el software de acceso. Cuantos más credenciales, más identificadores y por tanto el coste del sistema se puede ver afectado por el incremento de identificadores si el sistema cobra una cantidad por identificador activo. 

De ahí la importancia de saber usar los credenciales y los medios de identificación, ya que puedo tener 3 credenciales y un solo identificador... Hay fabricantes que posibilitan esto, veamos un ejemplo: La matrícula es una credencial con un código, 1234 ABC (para una matrícula española) pero el lector ANPR puede usar una tabla de equivalencias y correlacionar esta matrícula con un identificador por ejemplo 543210, que nosotros asignemos en la tabla. Si somos listos usaremos el identificador que usa ese trabajador en su tarjeta de control de accesos. Entonces el fabricante de lectores de RFID de largo rango puede suministrar tarjetas de doble tecnología UHF+MIFARE, por ejemplo. En el CSN de la MIFARE el id será 543210 y este código se programa en la parte UHF. De esta forma cuando el trabajador en cuestión entra por la barrera de acceso al parking de empleados el ANPR lee 1234 ABC y lo convierte a 543210 esto es lo que el software de control de accesos recibe y sabe que ese trabajador a accedido por la barrera (en coche), si se requiere en ese punto el doble factor el lector RFID de largo rango deberá leer 543210 y el sistema le permite el acceso. Una vez abandona el vehículo en el parking accede a una puerta automática accionada por un lector de largo rango manos libres, el usuario presenta su tarjeta y el sistema leerá 543210 (entrada peatonal) cuando ese trabajador pase por un torno del hall tendrá que pasar su tarjeta por el lector RFID del torno basado en MIFARE y este le enviará al control de accesos el id 543210 de la tarjeta.

De esta forma el usuario tiene 3 credenciales pero 1 único identificador. Habrá gente que diga que esto no les gusta porque es mejor tener diferenciados los identificadores y a otros les parecerá la solución definitiva a sus problemas de identificadores, dependerá si en la seguridad queremos basarla en las personas o si queremos basarla en los medios para definir los puntos de acceso. No hay una repuesta clara, pero podéis contactar con los fabricantes de medios y de sistemas y discutir la opción más conveniente para cada uno de vosotros, que para algo estamos aquí.