¿Qué es Fast Identity Online (FIDO)?

Fast Identity Online, o FIDO, es un conjunto de especificaciones de seguridad para la autenticación robusta. Desarrolladas por la Alianza FIDO, un consorcio de importantes empresas tecnológicas, estas especificaciones pretenden que la autenticación en línea sea más segura, sencilla y escalable. Los protocolos FIDO utilizan técnicas estándar de criptografía de clave pública para proporcionar una autenticación más robusta. Estos protocolos están diseñados para utilizarse junto con otras tecnologías, como la biometría y los dispositivos de segundo factor, para proporcionar una autenticación multifactor.

La Alianza FIDO se creó en 2012 para hacer frente a la falta de interoperabilidad entre los dispositivos de autenticación robusta y a los problemas a los que se enfrentan los usuarios a la hora de crear y recordar múltiples nombres de usuario y contraseñas. La misión de la Alianza FIDO es cambiar la naturaleza de la autenticación en línea mediante el desarrollo de especificaciones que definan un conjunto abierto, escalable e interoperable de mecanismos que reduzcan la dependencia de las contraseñas para autenticar a los usuarios.

Entender FIDO

Los protocolos FIDO están diseñados para proteger la privacidad del usuario y asegurar sus datos mediante técnicas estándar de criptografía de clave pública. Los protocolos no se basan en datos biométricos u otra información sensible almacenada de forma centralizada, que puede ser un objetivo para los piratas informáticos. En su lugar, utilizan dispositivos locales, como teléfonos inteligentes o claves de seguridad, para verificar la identidad del usuario.

Los protocolos FIDO están diseñados para ser fáciles de usar, con una experiencia de usuario sencilla y coherente en todos los dispositivos y plataformas. Esto se consigue mediante el uso de tecnologías web estándar y un conjunto común de protocolos que pueden ser implementados por cualquier sitio web o aplicación.

Componentes de FIDO

Las especificaciones FIDO definen dos componentes principales: el Marco de Autenticación Universal (UAF) y el Segundo Factor Universal (U2F). El UAF es un protocolo de autenticación sin contraseña que permite a los usuarios autenticarse con su dispositivo utilizando datos biométricos, como la huella dactilar o el reconocimiento facial. El U2F es un protocolo de autenticación de segundo factor que requiere que los usuarios presenten un segundo dispositivo, como una llave de seguridad, después de haber introducido su nombre de usuario y contraseña.

Tanto el protocolo UAF como el U2F utilizan criptografía de clave pública para asegurar el proceso de autenticación. Cuando un usuario se registra en un sitio web o una aplicación, se genera un nuevo par de claves. La clave privada se almacena de forma segura en el dispositivo del usuario, y la clave pública se registra en el sitio web o la aplicación. Cuando el usuario intenta autenticarse, el sitio web o la aplicación le pide al dispositivo del usuario que firme un desafío aleatorio con la clave privada. El sitio web o la aplicación pueden entonces verificar la firma con la clave pública registrada.

Ventajas de FIDO

Los protocolos FIDO ofrecen varias ventajas sobre los métodos de autenticación tradicionales. En primer lugar, proporcionan mayor seguridad al utilizar criptografía de clave pública, resistente a los ataques phishing, de intermediario y de repetición. En segundo lugar, ofrecen una experiencia de usuario más sencilla al eliminar la necesidad de que los usuarios recuerden e introduzcan contraseñas complejas. En tercer lugar, son escalables y pueden utilizarse en cualquier sitio web o aplicación, independientemente del tamaño o la complejidad de la base de usuarios.

Además, como los protocolos FIDO no se basan en datos sensibles almacenados centralmente, ofrecen una mayor protección de la privacidad de los usuarios. Los protocolos están diseñados para garantizar que los datos biométricos y otra información sensible nunca se compartan con el sitio web o la aplicación, lo que reduce el riesgo de filtración de datos y usurpación de identidad.

Implantación de FIDO

La aplicación de los protocolos FIDO requiere cambios tanto en el cliente como en el servidor de un sitio web o una aplicación. En el lado del cliente, el dispositivo del usuario debe ser capaz de generar y almacenar una clave privada, y de realizar las operaciones criptográficas necesarias para el proceso de autenticación. Esto puede lograrse mediante el uso de un dispositivo compatible con FIDO, como un smartphone o una llave de seguridad, o mediante el uso de un navegador compatible con FIDO.

En el lado del servidor, el sitio web o la aplicación deben ser capaces de registrar y almacenar claves públicas, y de verificar firmas. Esto puede lograrse mediante el uso de un servidor compatible con FIDO, o mediante el uso de un servidor de autenticación compatible con FIDO.

Implantación en el cliente

En el lado del cliente, el dispositivo del usuario debe ser capaz de generar y almacenar una clave privada, y de realizar las operaciones criptográficas necesarias para el proceso de autenticación. Esto puede lograrse mediante el uso de un dispositivo compatible con FIDO, como un smartphone o una llave de seguridad, o mediante el uso de un navegador compatible con FIDO.

Los protocolos FIDO están diseñados para ser fáciles de usar, con una experiencia de usuario sencilla y coherente en todos los dispositivos y plataformas. Esto se consigue mediante el uso de tecnologías web estándar y un conjunto común de protocolos que pueden ser implementados por cualquier sitio web o aplicación.

Implantación en el servidor

En el lado del servidor, el sitio web o la aplicación deben ser capaces de registrar y almacenar claves públicas, y de verificar firmas. Esto puede lograrse mediante el uso de un servidor compatible con FIDO, o mediante el uso de un servidor de autenticación compatible con FIDO.

Los protocolos FIDO están diseñados para ser escalables y poder ser utilizados por cualquier sitio web o aplicación, independientemente del tamaño o la complejidad de la base de usuarios. Esto se consigue mediante el uso de un conjunto común de protocolos y una arquitectura escalable que puede gestionar un gran número de usuarios y dispositivos.

Retos y limitaciones de FIDO

Aunque los protocolos FIDO ofrecen muchas ventajas, también presentan algunos retos y limitaciones. Uno de los principales es la necesidad de que los usuarios dispongan de un dispositivo compatible con FIDO. Aunque muchos smartphones y ordenadores modernos son compatibles con FIDO, no todos los dispositivos lo son, y los usuarios pueden tener que comprar una clave de seguridad aparte.

Otro reto es la necesidad de que los sitios web y las aplicaciones sean compatibles con los protocolos FIDO. Aunque la Alianza FIDO incluye a muchas de las principales empresas tecnológicas del mundo, no todos los sitios web y aplicaciones han implementado los protocolos. Los usuarios pueden encontrarse con que pueden utilizar la autenticación FIDO en algunos sitios web y aplicaciones, pero no en otros.

Compatibilidad de dispositivos

Uno de los principales retos de FIDO es la necesidad de que los usuarios dispongan de un dispositivo compatible con FIDO. Aunque muchos teléfonos inteligentes y ordenadores modernos son compatibles con FIDO, no todos los dispositivos lo son, y los usuarios pueden tener que comprar una clave de seguridad aparte. Esto puede ser un obstáculo para la adopción, sobre todo para los usuarios que no tienen un dispositivo compatible o que no quieren comprar un dispositivo aparte.

Sin embargo, la Alianza FIDO está trabajando para aumentar la compatibilidad de los dispositivos mediante el desarrollo de nuevas especificaciones y la colaboración con los fabricantes de dispositivos. El objetivo es que la autenticación FIDO esté disponible en el mayor número posible de dispositivos, para facilitar a los usuarios la adopción de los protocolos.

Asistencia para sitios web y aplicaciones

Otro reto de FIDO es la necesidad de que los sitios web y las aplicaciones sean compatibles con los protocolos. Aunque la Alianza FIDO incluye a muchas de las principales empresas tecnológicas del mundo, no todos los sitios web y aplicaciones han implementado los protocolos. Los usuarios pueden encontrarse con que pueden utilizar la autenticación FIDO en algunos sitios web y aplicaciones, pero no en otros.

Sin embargo, la Alianza FIDO está trabajando para aumentar el apoyo a los protocolos mediante el desarrollo de nuevas especificaciones y la colaboración con desarrolladores de sitios web y aplicaciones. El objetivo es que la autenticación FIDO esté disponible en el mayor número posible de sitios web y aplicaciones, para facilitar a los usuarios la adopción de los protocolos.

El futuro de FIDO

La Alianza FIDO trabaja continuamente para mejorar los protocolos FIDO y aumentar su adopción. La Alianza está desarrollando nuevas especificaciones, como el Proyecto FIDO2, cuyo objetivo es hacer que la autenticación FIDO sea aún más segura y fácil de usar. El Proyecto FIDO2 incluye la especificación WebAuthn, que se está desarrollando en colaboración con el World Wide Web Consortium (W3C), y el Client to Authenticator Protocol (CTAP), que está siendo desarrollado por la Alianza FIDO.

La Alianza FIDO también trabaja para aumentar la adopción de los protocolos FIDO colaborando con fabricantes de dispositivos, desarrolladores de sitios web y aplicaciones y otras partes interesadas. La Alianza promueve las ventajas de la autenticación FIDO, proporciona orientaciones para su implantación y ofrece programas de certificación para garantizar la interoperabilidad de los dispositivos y servidores compatibles con FIDO.

Proyecto FIDO2

El proyecto FIDO2 es una importante iniciativa de la Alianza FIDO cuyo objetivo es hacer que la autenticación FIDO sea aún más segura y fácil de usar. El proyecto incluye la especificación WebAuthn, que se está desarrollando en colaboración con el World Wide Web Consortium (W3C), y el Client to Authenticator Protocol (CTAP), desarrollado por la Alianza FIDO.

La especificación WebAuthn define una API web estándar que permite a sitios web y aplicaciones utilizar la autenticación FIDO. La especificación CTAP define un protocolo estándar para la comunicación entre un dispositivo cliente, como un teléfono inteligente o un ordenador, y un autenticador, como una clave de seguridad. Juntas, estas especificaciones permitirán a los usuarios utilizar la autenticación FIDO en cualquier sitio web o aplicación, con cualquier dispositivo.

Adopción y promoción de FIDO

La Alianza FIDO trabaja para aumentar la adopción de los protocolos FIDO colaborando con fabricantes de dispositivos, desarrolladores de sitios web y aplicaciones y otras partes interesadas. La Alianza promueve las ventajas de la autenticación FIDO, ofrece orientaciones para su implantación y ofrece programas de certificación para garantizar la interoperabilidad de los dispositivos y servidores compatibles con FIDO.

La Alianza FIDO también está trabajando para educar al público sobre los beneficios de la autenticación FIDO y animar a los usuarios a adoptar los protocolos. La Alianza está llevando a cabo campañas de concienciación pública, ofreciendo recursos educativos y organizando eventos para promover la autenticación FIDO.

Conclusión

En conclusión, Fast Identity Online (FIDO) es un conjunto de especificaciones de seguridad cuyo objetivo es hacer que la autenticación en línea sea más segura, sencilla y escalable. Los protocolos FIDO utilizan técnicas estándar de criptografía de clave pública para proporcionar una autenticación más sólida, y están diseñados para utilizarse junto con otras tecnologías, como la biometría y los dispositivos de segundo factor, para proporcionar una autenticación multifactor.

Aunque los protocolos FIDO ofrecen muchas ventajas, también presentan algunos retos y limitaciones. Sin embargo, la Alianza FIDO trabaja continuamente para mejorar los protocolos y aumentar su adopción. Con el desarrollo continuo de nuevas especificaciones y el creciente apoyo de fabricantes de dispositivos, desarrolladores de sitios web y aplicaciones, y otras partes interesadas, el futuro de FIDO parece prometedor.