Autenticación biométrica, OTP, MFA y cifrado con GPG: resumen de seguridad
Resumen
El documento recoge los principales mecanismos de autenticación: biométrica (algo que se es), OTP (algo que se tiene) y contraseñas o PIN (algo que se sabe), junto con la autenticación multifactor. Explica también el cifrado y la firma digital con GPG, la verificación de integridad mediante SHA256 y los certificados digitales y su cadena de confianza.
Puntos clave
- La autenticación biométrica tiene fases de adquisición de imagen, transformación a binario y cotejo; es alta en seguridad, no transferible y a prueba de suplantación, pero costosa y susceptible de falsos positivos.
- Un OTP (contraseña de un solo uso) corresponde a algo que se tiene, como DNIe/USB, correo electrónico o certificado digital.
- Una contraseña segura debería tener al menos 20 caracteres; se recomiendan gestores como Password Safe o LastPass.
- La autenticación fuerte combina al menos dos factores, como las aplicaciones Google Authenticator o Microsoft Authenticator.
- GPG es una herramienta de software libre para cifrado y firma digital que usa pares de claves asimétricas y cifrado híbrido; la clave pública se guarda con extensión .asc.
- La integridad de un fichero se comprueba comparando su resumen hash con el generado por los autores, usando siempre el mismo algoritmo (SHA256).
- Los certificados .pem están codificados en Base64, mientras que los .p12 son binarios y contienen la clave privada, por lo que al importarlos se pide contraseña.
T6. Autenticación Biométrica y Multifactor
Autenticación en algo que se es: Sistema Biométrico
Fases:
- Adquisición de imagen.
- Transformación (a binario).
- Cotejo para autenticar.
Ventajas:
- Alta seguridad y fiabilidad.
- Experiencia de usuario mejorada.
- No es transferible.
- A prueba de suplantación de identidad.
Desventajas:
- Costes elevados.
- Posibilidad de falsos positivos e imprecisiones.
Autenticación en algo que se tiene: Password de un Solo Uso (OTP)
Contraseña de un solo uso. Ejemplos:
- DNIe/USB.
- Correo electrónico.
- Certificado digital.
Autenticación en algo que se sabe: Contraseñas o PIN
Una contraseña segura debería tener al menos 20 caracteres. Gestores de contraseñas recomendados:
- Password Safe.
- LastPass.
Autenticación Multifactor (MFA)
La autenticación fuerte combina al menos dos factores. Aplicaciones como Authenticator (disponibles para dispositivos móviles) proporcionan códigos para verificar la identidad. Ejemplos populares son Google Authenticator y Microsoft Authenticator.
P4. Cifrado con GNU Privacy Guard (GPG)
¿Qué es GNU Privacy Guard o GPG?
Es una herramienta de software libre para el cifrado y la firma digital. Utiliza pares de claves asimétricas y un sistema de cifrado híbrido para garantizar la integridad de los datos.
¿Compilados o versiones de GPG?
- Windows: gpg4win.
- macOS: GPGTools.
¿Qué es Kleopatra?
Es un gestor de certificados y una interfaz gráfica de cifrado que permite usar GPG en modo gráfico o de ventanas.
¿Extensión de ficheros de clave pública?
.asc
¿Qué es SHA256?
Es un algoritmo de funciones hash criptográficas.
¿Cómo comprobar la integridad de un fichero?
Se debe calcular el resumen hash del fichero que tenemos y compararlo con el resumen hash generado por los autores. Si coinciden, la integridad se mantiene.
Dos resúmenes hash generados con algoritmos diferentes dan un resultado diferente, ¿se ha roto la integridad?
No. Para verificar la integridad, siempre se debe usar el mismo algoritmo. Se debería usar SHA256 tanto para generar el resumen hash del archivo original como para comprobar la integridad posteriormente.
P5. Certificados Digitales y Clave Pública
Extensiones de los ficheros de certificados:
- .pem: Codificado en Base64 (contiene "BEGIN CERTIFICATE" y "END CERTIFICATE").
- .p12: En formato binario (no se puede ver con un editor de texto). Contiene el certificado público, la clave privada y las firmas emitidas por la Autoridad de Certificación (CA) subordinada (en el caso de "User") y por AC2 (en el caso de "Acert").
Al importar un certificado, se solicita una contraseña porque es necesaria para acceder a la clave privada.
Los certificados parecen ser válidos porque están instalados y son reconocidos por el navegador.
Si firmamos un PDF con un certificado válido, la firma será aceptada y aparecerá un tick en verde.
Ruta de certificación (ejemplo):
USERTrust ECC Certification Authority -> GEANT OV ECC CA 4 -> login.uc3m.es
Cadena de verificación (ejemplo):
Global Sign -> Global Sign Extended Validation CA – SHA256 – G3 -> www.cugv.es
Descargar
PDF Word HTMLPreguntas frecuentes
¿Qué es GPG?
GNU Privacy Guard (GPG) es una herramienta de software libre para el cifrado y la firma digital. Utiliza pares de claves asimétricas y un sistema de cifrado híbrido para garantizar la integridad de los datos.
¿Cómo se comprueba la integridad de un fichero?
Se calcula el resumen hash del fichero que tenemos y se compara con el resumen hash generado por los autores. Si coinciden, la integridad se mantiene.
¿Por qué no se puede comparar un hash SHA256 con uno generado con otro algoritmo?
Dos resúmenes hash generados con algoritmos diferentes dan resultados distintos, por lo que para verificar la integridad siempre se debe usar el mismo algoritmo, como SHA256.
Ponte a prueba
Tarjetas de repaso
Pulsa una tarjeta para ver la respuesta.
Test
Preguntas generadas con IA a partir del documento: comprueba las respuestas con el texto.