Autenticación Biométrica, OTP, Multifactor y Cifrado con GPG: Protección Avanzada

T6. Autenticación Biométrica y Multifactor

Autenticación en algo que se es: Sistema Biométrico

Fases:

1. Adquisición de imagen.
2. Transformación (a binario).
3. Cotejo para autenticar.

Ventajas:

1. Alta seguridad y fiabilidad.
2. Experiencia de usuario mejorada.
3. No es transferible.
4. A prueba de suplantación de identidad.

Desventajas:

1. Costes elevados.
2. Posibilidad de falsos positivos e imprecisiones.

Autenticación en algo que se tiene: Password de un Solo Uso (OTP)

Contraseña de un solo uso. Ejemplos:

• DNIe/USB.
• Correo electrónico.
• Certificado digital.

Autenticación en algo que se sabe: Contraseñas o PIN

Una contraseña segura debería tener al menos 20 caracteres. Gestores de contraseñas recomendados:

• Password Safe.
• LastPass.

Autenticación Multifactor (MFA)

La autenticación fuerte combina al menos dos factores. Aplicaciones como Authenticator (disponibles para dispositivos móviles) proporcionan códigos para verificar la identidad. Ejemplos populares son Google Authenticator y Microsoft Authenticator.

P4. Cifrado con GNU Privacy Guard (GPG)

¿Qué es GNU Privacy Guard o GPG?

Es una herramienta de software libre para el cifrado y la firma digital. Utiliza pares de claves asimétricas y un sistema de cifrado híbrido para garantizar la integridad de los datos.

¿Compilados o versiones de GPG?

• Windows: gpg4win.
• macOS: GPGTools.

¿Qué es Kleopatra?

Es un gestor de certificados y una interfaz gráfica de cifrado que permite usar GPG en modo gráfico o de ventanas.

¿Extensión de ficheros de clave pública?

.asc

¿Qué es SHA256?

Es un algoritmo de funciones hash criptográficas.

¿Cómo comprobar la integridad de un fichero?

Se debe calcular el resumen hash del fichero que tenemos y compararlo con el resumen hash generado por los autores. Si coinciden, la integridad se mantiene.

Dos resúmenes hash generados con algoritmos diferentes dan un resultado diferente, ¿se ha roto la integridad?

No. Para verificar la integridad, siempre se debe usar el mismo algoritmo. Se debería usar SHA256 tanto para generar el resumen hash del archivo original como para comprobar la integridad posteriormente.

P5. Certificados Digitales y Clave Pública

Extensiones de los ficheros de certificados:

• .pem: Codificado en Base64 (contiene "BEGIN CERTIFICATE" y "END CERTIFICATE").
• .p12: En formato binario (no se puede ver con un editor de texto). Contiene el certificado público, la clave privada y las firmas emitidas por la Autoridad de Certificación (CA) subordinada (en el caso de "User") y por AC2 (en el caso de "Acert").

Al importar un certificado, se solicita una contraseña porque es necesaria para acceder a la clave privada.

Los certificados parecen ser válidos porque están instalados y son reconocidos por el navegador.

Si firmamos un PDF con un certificado válido, la firma será aceptada y aparecerá un tick en verde.

Ruta de certificación (ejemplo):

USERTrust ECC Certification Authority -> GEANT OV ECC CA 4 -> login.uc3m.es

Cadena de verificación (ejemplo):

Global Sign -> Global Sign Extended Validation CA – SHA256 – G3 -> www.cugv.es