Los estándares de identidad rápida en línea (FIDO) son protocolos de autenticación donde la seguridad y la experiencia del usuario se encuentran.
Los estándares FIDO, desarrollados por una asociación industrial abierta, la Alianza FIDO, ofrecen más seguridad que las contraseñas solas o los códigos de un solo uso y permiten una autenticación rápida, segura y más fuerte.
Incluye varias técnicas de autenticación como escaneos biométricos, escaneos de iris, reconocimiento de voz o reconocimiento facial. FIDO también facilita soluciones de autenticación existentes como tokens de seguridad, autenticación con tarjetas inteligentes, comunicación de campo cercano (NFC) y más.
Curiosamente, los orígenes lingüísticos del nombre FIDO se remontan a la palabra latina "fido", que significa confianza, según se define en el diccionario latino de la Universidad de Notre Dame, y es un acrónimo apropiado para el entorno de seguridad, donde la confianza es primordial.
La misión de la Alianza FIDO es "reducir la dependencia mundial de las contraseñas". Lo que comenzó en 2009 como la visión de PayPal y Validity Sensors para un estándar industrial que permitiera el uso de biometría para la identificación de usuarios en línea en lugar de contraseñas, se ha convertido ahora en eso.
Hoy en día, los miembros de la Alianza FIDO incluyen líderes tecnológicos globales en las industrias de empresas, pagos, telecomunicaciones, gobierno y salud, e incluyen gigantes tecnológicos como Amazon, Alibaba, Facebook y Google. Los sitios web y aplicaciones habilitados para FIDO ahora alcanzan a más de 3 mil millones de usuarios comerciales.
¿Qué son los estándares FIDO?
Los estándares FIDO ofrecen una serie de especificaciones abiertas y escalables como el Marco de Autenticación Universal (UAF), el Segundo Factor Universal (U2F) y FIDO2, permitiendo una experiencia de autenticación de usuario más simple y segura.
Facilita la identificación del usuario con sistemas biométricos, autenticación multifactor (MFA) y otras alternativas en sitios web y aplicaciones. Se enfatiza un modelo centrado en el dispositivo, donde se utiliza criptografía de clave pública estándar, donde se desafía al usuario a demostrar la posesión de la clave privada de varias maneras.
¿Quieres aprender más sobre Software de Autenticación Multifactor (MFA)? Explora los productos de Autenticación Multifactor (MFA).
¿Cómo funciona FIDO?
Cuando un usuario crea una cuenta o se registra en un servicio en línea que emplea el estándar FIDO, el dispositivo genera un conjunto de claves criptográficas. El sistema registra la clave pública con los servicios en línea y almacena la clave privada en el dispositivo.
Durante la autenticación, el sistema desafía al usuario a demostrar la posesión de la clave privada. Puedes hacerlo a través de diferentes métodos de autenticación habilitados para FIDO como autenticación biométrica, reconocimiento facial, autenticación multifactor y más. Puedes usar tu clave privada localmente en el dispositivo después de desbloquearlo mediante métodos seguros, que incluyen deslizar un dedo, hablar al micrófono, ingresar un pin o presionar un botón.
Los protocolos FIDO mantienen la privacidad del usuario protegida mientras aprovechas el acceso rápido y seguro a los servicios en línea. Bajo ninguna circunstancia los protocolos FIDO proporcionan información a los servicios en línea con los que puedan colaborar y rastrear al usuario a través de servicios.
Especificaciones FIDO
FIDO proporciona las siguientes especificaciones para reducir las redundancias de recordar contraseñas complejas y abordar la falta de interoperabilidad entre dispositivos de autenticación fuerte.
Marco de Autenticación Universal (UAF)
El Marco de Autenticación Universal fue publicado en 2014 y estaba destinado a facilitar la autenticación sin contraseña a través de biometría. Según UAF, cuando un usuario se autentica en un servicio o aplicación, se le desafiará con uno o más factores de seguridad en su dispositivo digital. Una vez que logren pasar esos, se liberará la clave privada, lo que puede ayudar al usuario a pasar un desafío emitido por el Servidor FIDO UAF.
El mecanismo utilizado por el usuario para verificar en el dispositivo puede ser biométrico, basado en posesión o en conocimiento para obtener la clave privada y completar el proceso de autenticación. La especificación UAF también guía sobre la creación y gestión de múltiples políticas para la verificación de transacciones. Este estándar FIDO es utilizado por varias organizaciones para mejorar su seguridad y proporcionar una experiencia satisfactoria tanto a los clientes como a sus equipos.
Segundo Factor Universal (U2F)
El estándar U2F establece pautas para fortalecer y simplificar la autenticación de dos factores (2FA) utilizando comunicación de campo cercano (NFC) o dispositivos USB basados en la tecnología similar a las tarjetas inteligentes. Fue desarrollado inicialmente por Yubico y Google con contribuciones de semiconductores NXP.
El diseño del estándar gira en torno a dispositivos USB que se comunican con el sistema host utilizando el protocolo de dispositivo de interfaz humana (HID), simplemente imitando un teclado. Permite que un navegador acceda a las características de seguridad del dispositivo y elimina la necesidad de instalar un software de controlador de hardware específico para leer el dispositivo USB.
Una vez que la computadora host lee el dispositivo USB y se establece una comunicación, se lleva a cabo una autenticación de desafío-respuesta donde el dispositivo utiliza técnicas de criptografía de clave pública y una clave de dispositivo única. Navegadores como Google Chrome, Opera, Firefox, Safari y Thunderbird admiten las especificaciones U2F utilizando claves de seguridad U2F como un método adicional de verificación en dos pasos en servicios en línea.
Protocolo de Cliente a Autenticador (CTAP)
CTAP empodera a un autenticador criptográfico itinerante como un teléfono móvil o una clave de seguridad de hardware para garantizar la interoperabilidad con un dispositivo cliente como una computadora portátil. Complementa el estándar de Autenticación Web (WebAuthn) publicado por el consorcio World Wide Web (W3C).
El protocolo se basa en el estándar de autenticación U2F lanzado por la Alianza FIDO. U2F y WebAuth fueron la base del desarrollo del estándar FIDO 2.0. La especificación CTAP se refiere a dos protocolos CTAP1 y CTAP2. CTAP 1, el nuevo nombre para el protocolo FIDO U2F, guía sobre el establecimiento de comunicación con autenticadores habilitados para FIDO U2F, y navegadores y sistemas operativos habilitados para FIDO2 para permitir la autenticación de dos factores.
Por otro lado, CTAP 2 define formas en que los navegadores y sistemas operativos habilitados para FIDO2 pueden comunicarse con autenticadores externos como dispositivos móviles o claves de seguridad FIDO para facilitar la autenticación sin contraseña, de dos factores o multifactor.
FIDO2
El propósito de FIDO2 es habilitar la autenticación sin contraseña. Está construido sobre U2F y una versión ampliada de CTAP. El estándar permite que las autenticaciones se vuelvan sin contraseña aprovechando la API web – WebAuthn.
FIDO2 elimina el riesgo causado por la mala gestión de contraseñas ya que sus credenciales de inicio de sesión criptográficas son únicas para cada sitio web y no se almacenan en un servidor, sino localmente en el dispositivo del usuario.
El flujo de comunicación definido por FIDO2 es:
- Se establece una conexión entre la aplicación (o navegador) y el autenticador.
- La aplicación reconoce las capacidades del autenticador y obtiene información sobre él utilizando el comando authenticatorGetInfo.
- La aplicación envía un comando de operación al autenticador si se encuentra capaz.
- El autenticador envía datos de respuesta o un mensaje de error.
Antes de ejecutar este protocolo, es importante que el autenticador externo y el host establezcan un canal de transporte de datos seguro y mutuamente autenticado.
¿Quién usa FIDO?
FIDO ayuda a las organizaciones a mitigar riesgos críticos de una violación de datos que surge debido a contraseñas débiles o mala gestión de contraseñas. Permite a tu empresa ahorrar en costos asociados con la provisión de dispositivos, restablecimiento de contraseñas, soporte al cliente y más, mientras proporciona una experiencia de usuario sin problemas.
70%
es el costo promedio de mano de obra de la mesa de ayuda para un solo restablecimiento de contraseña.
Fuente: Alianza FIDO
Debido a tales beneficios y a una variedad de otros, los casos de uso de FIDO se encuentran en diferentes organizaciones e instituciones.
Salud y seguros
En el sector de la salud, la autenticación FIDO ayuda a garantizar que los detalles de los pacientes, como registros médicos, información personal y otros datos sensibles, sean accesibles solo para ellos además de los proveedores de confianza.
Asegura a los pacientes que su información descansa con autoridades confiables que adhieren a estándares como la Ley de Portabilidad y Responsabilidad de Seguros de Salud (HIPAA). Envuelve a los sistemas médicos y unidades de salud con una fuerte capa protectora de seguridad para prevenir un ciberataque.
Las compañías de seguros utilizan la autenticación mediante protocolos FIDO para ayudar a garantizar que tengan una autenticación fuerte en su lugar.
Organizaciones empresariales
En las empresas, FIDO simplifica el proceso de autenticación de usuarios haciéndolo rápido y conveniente mientras proporciona autenticación. FIDO se utiliza típicamente para facilitar la autenticación de usuarios en su ciclo de vida dentro de una organización. Permite a los usuarios realizar transacciones de pago seguras y mantiene una capa de seguridad protectora alrededor de sus firmas digitales.
En entornos anclados a los estándares de autenticación FIDO, los usuarios pueden poseer diferentes autenticadores al mismo tiempo, como uno para una computadora portátil y otro para un dispositivo móvil. En el momento del registro del usuario, las credenciales FIDO se registran en un autenticador local y están vinculadas a una cuenta de usuario específica, que se utiliza durante la fase de autenticación.
Por ejemplo, donde un usuario ha perdido el dispositivo de autenticación, los estándares FIDO permiten a los administradores revocar y eliminar las credenciales, que pueden ser creadas en otro dispositivo siguiendo el proceso de registro. En casos donde las credenciales FIDO necesitan ser renovadas, los administradores aseguran que se aplique el mismo nivel de seguridad que en el proceso de registro. Inherentemente, el estándar FIDO no admite el concepto de renovación de credenciales, por lo que cualquier proceso de renovación tendrá que ser diseñado en el sistema que soporte la autenticación FIDO.
Servicios financieros
Los bancos y proveedores de servicios financieros han ampliado su alcance de entrega para llegar a los clientes donde están. Con la banca en línea y móvil, los clientes pueden utilizar servicios financieros lejos de las sucursales designadas, lo que lleva a una mayor demanda de seguridad de autenticación robusta.
Los protocolos FIDO abordan esta necesidad proporcionando estándares de autenticación seguros para bancos e instituciones financieras, donde los usuarios están encantados con una experiencia bancaria fácil y sencilla.
Gobierno
Las agencias gubernamentales pueden usar FIDO para proporcionar autenticación multifactor rápida y segura o basada en dispositivos móviles a servicios en línea. El estándar admite credenciales de verificación de identidad personal derivadas (PIV), lo que permite la emisión de credenciales de infraestructura de clave pública (PKI) basadas en tener tarjetas inteligentes PIV. Permite a los usuarios obtener acceso rápido y seguro a información y aplicaciones críticas.
Avanza más allá de las contraseñas
Implementa estándares FIDO para eliminar los riesgos asociados con contraseñas débiles o robadas. Equipa a tu equipo con autenticación sin contraseña para proporcionarles una experiencia de inicio de sesión sin problemas mientras mantienes una seguridad robusta alrededor de tus aplicaciones y servicios en línea.
Aprende más sobre los tipos de métodos de autenticación sin contraseña que puedes introducir en tu organización.

Sagar Joshi
Sagar Joshi is a former content marketing specialist at G2 in India. He is an engineer with a keen interest in data analytics and cybersecurity. He writes about topics related to them. You can find him reading books, learning a new language, or playing pool in his free time.