La promesa y el potencial de los tokens de acceso privado

La privacidad y la seguridad en Internet se han convertido en los últimos años en grandes preocupaciones tanto de particulares como de empresas. Los usuarios quieren navegar y acceder libremente a los contenidos sin que se recojan o rastreen sus datos. Mientras tanto, los propietarios de sitios web necesitan formas de validar que los visitantes del sitio son usuarios humanos reales y no bots o atacantes. Tradicionalmente, esto ha llevado al auge de los CAPTCHA (esos aparatosos "Comprobaciones "No soy un robot que molestan a los usuarios y perjudican la accesibilidad.

Ahora, una nueva tecnología llamada Private Access Tokens (PATs) pretende resolver este problema. Los PAT permiten a los usuarios demostrar su autenticidad sin revelar información personal ni completar retos CAPTCHA. En este artículo analizaremos en profundidad el funcionamiento de los PAT, sus ventajas y limitaciones y su incapacidad para distinguir entre robots y humanos. Consideraremos lo que deparará el futuro a este estándar emergente cuando se combine con estrategias de prueba de trabajo más completas proporcionadas por Friendly Captcha.

¿Qué son los tokens de acceso privado y cómo funcionan?

Los Private Access Tokens son fichas criptográficas que pueden utilizarse para validar usuarios y dispositivos sin recoger ni compartir datos identificativos. Son una extensión del protocolo Privacy Pass que actualmente está normalizando la IETF.

En la arquitectura PAT intervienen cuatro partes clave:

• Cliente - El navegador o la aplicación del usuario que realiza las solicitudes.
• Mediador - Una entidad que autentica al cliente y solicita tokens, normalmente el proveedor del dispositivo/plataforma.
• Emisor - Genera y firma los PAT tras examinar las solicitudes.
• Origen - El sitio web o la aplicación a la que accede el cliente.

He aquí un resumen de los pasos que hay que seguir cuando un cliente solicita acceso a un sitio web de origen:

1. El sitio de origen devuelve un código de estado 401, solicitando al cliente que presente un PAT válido.
2. El navegador o la aplicación del cliente envía esta solicitud al mediador junto con la autenticación.
3. Una vez que el mediador ha verificado la autenticidad del cliente, envía una solicitud de token anonimizado al emisor.
4. El emisor comprueba que la solicitud cumple las políticas del origen. Si es así, firma criptográficamente un PAT y lo devuelve al mediador.
5. El mediador reenvía el PAT al cliente.
6. El cliente envía la PAT al origen en sus cabeceras de solicitud.
7. Si la firma PAT se verifica correctamente, el origen permite al cliente acceder al recurso protegido.

Este enfoque basado en tokens permite confirmar la validez del usuario sin que el origen vea nunca los datos de identificación. Los propios PAT no revelan nada sobre la identidad del cliente. El mediador y el emisor tampoco pueden correlacionar los tokens con sitios concretos visitados. Se puede encontrar un interesante artículo sobre los PAT, que no está exento de críticas aquí.

Ventajas de los tokens de acceso privado

Los PAT ofrecen una serie de ventajas iniciales tanto para los usuarios finales como para los propietarios de las instalaciones:

• Mayor privacidad - Los usuarios no tienen que exponer información personal ni ser rastreados por los sitios. Los datos permanecen compartimentados entre el mediador, el emisor y el origen.
• Mejor accesibilidad - Elimina la necesidad de CAPTCHA visuales que suponen un reto para los usuarios con discapacidad.
• UX más fluida - Se acabaron los molestos avisos CAPTCHA y los retrasos para los usuarios legítimos.
• Adopción más fácil - Los sitios web no tienen que crear ni mantener SDK personalizados. La validación se realiza de forma transparente.
• Optimización móvil - Las aplicaciones pueden validar a los usuarios sin CAPTCHA que no funcionan bien en pantallas pequeñas.
• Resistencia de los robots - Los PAT indican que las solicitudes proceden de dispositivos auténticos, no de bots o emuladores.

Cuando se aplican correctamente, las PAT permiten una experiencia de usuario sin fricciones y sin sacrificar la seguridad. Plataformas tecnológicas como Apple y Google colaboran activamente para estandarizar y promover la adopción de esta tecnología.

Preocupaciones y limitaciones en torno a los tokens de acceso privado

Sin embargo, siguen existiendo algunos retos y cuestiones abiertas en relación con el uso de las PAT:

• Parcial Atención al cliente - Actualmente, las PAT solo funcionan en iOS 16+ y MacOS Ventura+ hasta que otras plataformas las hagan compatibles. A nivel mundial, la mayoría de los usuarios aún no pueden utilizarlas. Firefox para ordenadores de sobremesa, con una cuota de mercado de 15% en la UE, tiene una posición oficial de "aplazamiento", a la espera de un mayor desarrollo de las especificaciones de los controles de privacidad.
• Solución parcial - Los PAT señalan la autenticidad pero no determinan definitivamente la humanidad. Aún se necesitan señales adicionales. Los bots seguirán funcionando en hardware genuino de Apple o Google con una cuenta de iCloud o Google. Los bots pueden seguir apareciendo en otros navegadores populares, como Firefox.
• Reputación del mediador - Los emisores confían en que los mediadores verifiquen minuciosamente las identidades de los clientes. Un mediador deficiente podría dar lugar a abusos o, peor aún, a múltiples mediadores deficientes.
• Identidades múltiples - La arquitectura PAT no impone restricciones estrictas en torno a la definición de una identidad de cliente y permite que sea definida en su totalidad por un mediador. Si un usuario puede crear un número arbitrario de identidades de cliente que sean aceptadas por uno o más mediadores, un usuario malintencionado puede abusar fácilmente del sistema para anular la capacidad del emisor de aplicar políticas por cliente.
• Vinculabilidad - Aunque difícil, la correlación PAT por factores de huella digital todavía puede ser posible. Por ejemplo, se pueden utilizar múltiples claves para segmentar a los usuarios con una granularidad arbitraria, hasta que la especificación limite el número de claves que puede utilizar un servidor.
• Configurabilidad - Los sitios deben determinar qué puntos finales justifican la validación y protección PAT. Un usuario que aterrice en una página protegida se someterá al protocolo PAT inicial, lo que creará una latencia notable que probablemente tendrá un impacto financiero debido a la mala experiencia del usuario y a un ranking SEO/SERP más débil.
• Acaparamiento de fichas - A medida que aumente el uso de PAT, es posible que se hagan necesarias restricciones como los límites de dispositivos para evitar el acaparamiento de tokens. Dado que los PAT son tokens anónimos y reutilizables que no están permanentemente vinculados a usuarios o dispositivos específicos, un atacante podría obtener una gran cantidad de PAT válidos a través de diversos medios maliciosos. El atacante podría entonces distribuir estos tokens acaparados a un ejército de bots o dispositivos comprometidos, permitiéndoles eludir los controles de acceso protegidos por PAT en sitios web a escala, ya que los sitios no tienen forma de identificar la fuente ilegítima de los tokens. Esta amenaza de acaparamiento de tokens pone de relieve la necesidad de implementar PAT con cautela junto con otras señales sólidas de detección y defensa de bots, en lugar de confiar excesivamente en los PAT como una única señal pasiva de la que se puede abusar para superar los controles de acceso.

Aunque prometedoras, las PAT no son una solución mágica contra todos los bots, el fraude y los abusos. Si se aplican juiciosamente junto con otras medidas de seguridad, pueden mejorar la privacidad del usuario sin abrir vulnerabilidades significativas. Pero confiar en las PAT como única señal podría, en última instancia, socavar los objetivos de seguridad.

Friendly Captcha: Nuestra perspectiva sobre los tokens de acceso privado

En Friendly Captcha reconocemos los beneficios potenciales de los tokens de acceso privado. Sin embargo, dado el estado incipiente de esta tecnología, creemos que se justifica un enfoque cauteloso.

En un futuro previsible, nuestros productos seguirán basándose principalmente en la prueba de trabajo establecida y en las capacidades de detección de bots, recurriendo a las PAT como una señal más cuando sea necesario. A medida que se extienda la adopción de PAT, tenemos previsto integrar el soporte de forma selectiva con el fin de reducir la fricción para los usuarios de los clientes compatibles. Sin embargo, nos aseguraremos de que los flujos críticos, como el registro de cuentas y el inicio de sesión, mantengan métodos de validación sólidos, como la toma de huellas dactilares en el servidor y los modelos ML adaptativos.

Además, seguimos muy de cerca la evolución de la norma PAT, el panorama de los emisores y las mejores prácticas de los mediadores. Queremos fomentar la evolución responsable de esta tecnología antes de adoptarla plenamente. A medida que las PAT se vayan probando y sean capaces de disuadir ataques sofisticados a gran escala, ampliaremos nuestra integración y uso en consecuencia.

En resumen, estamos entusiasmados con el potencial de las PAT, pero creemos que se necesita más aprendizaje y rigor en torno a la eficacia en el mundo real, la seguridad y el impacto sobre la privacidad. Si ahora adoptamos una postura prudente, con el tiempo podremos implantar las PAT de forma segura sin poner en riesgo indebido a nuestros clientes o usuarios.

La hoja de ruta Friendly Captcha PAT

Estas son algunas de las principales áreas en las que nos centraremos mientras seguimos explorando la adopción de PAT:

• Experimentar con prototipos de integración en contextos de bajo riesgo para adquirir experiencia práctica.
• Desarrollar estrategias para utilizar PAT de forma selectiva en los flujos de usuarios donde puedan mejorar la privacidad sin comprometer gravemente la seguridad.
• Seguir de cerca el proceso de normalización y vigilar cualquier indicio de vulnerabilidad o explotación.
• Evaluar diferentes emisores y mediadores para determinar las asociaciones óptimas.
• Explorar complementos emergentes como el marco de tokens de estado privado de Google que añaden adaptabilidad.
• Supervisión de la expansión de la asistencia al cliente para calibrar la viabilidad real de PAT en nuestra base de usuarios.
• Investigación de técnicas complementarias, como el estrangulamiento inteligente, que disuadan del abuso de PAT.
• Planificar campañas de concienciación para educar a clientes y usuarios sobre cuándo y por qué pueden entrar en juego las PAT.

Nuestra hoja de ruta consiste en incrementar juiciosamente el uso de PAT en consonancia con el aumento de la compatibilidad de la plataforma y la seguridad probada a escala. Queremos que clientes y usuarios disfruten de las ventajas sin riesgos innecesarios.

Conclusiones: El futuro de los tokens de acceso privado

Los tokens de acceso privado tienen el potencial de mejorar significativamente tanto la experiencia del usuario como la privacidad en la Internet moderna. Sin embargo, para hacer realidad este potencial será necesaria una aplicación responsable y una mayor maduración.

En Friendly Captcha creemos que el camino a seguir es integrar las PAT poco a poco, en lugar de precipitarse hacia una dependencia global de ellas. Con un uso prudente que complemente los sólidos métodos heredados, las PAT pueden aprovecharse con seguridad para mejorar la seguridad y la privacidad con el paso del tiempo.

Nos comprometemos a mantener las necesidades de los clientes y las normas éticas de datos en el centro de todo este proceso. Los tokens de acceso privado son un avance prometedor, pero garantizar que se adopten sin problemas será una colaboración continua entre usuarios, empresas y plataformas tecnológicas.

Proteja sus sitios y aplicaciones web con Friendly Captcha: Experimente un nuevo nivel de seguridad que respeta la privacidad sin sacrificar la experiencia del usuario. Pruebe Friendly Captcha gratis durante 30 días y compruebe usted mismo la diferencia. Comience hoy mismo su prueba gratuita

FAQ