La recuperación de cuenta como punto débil del diseño

Recuperar una cuenta es entrar sin el autenticador de siempre y salir con uno nuevo. Visto así, cada flujo de recuperación es otra forma de autenticarse, y la cuenta queda tan protegida como el más débil de ellos. NIST SP 800-63B-4 reconoce cuatro clases de recuperación: códigos guardados por la persona, códigos que el servicio emite y envía a una dirección registrada, contactos de recuperación designados de antemano y repetir la verificación de identidad. Pide además que toda recuperación genere un aviso a la persona.

Hay dos errores que se repiten. El primero, aceptar como prueba datos que la persona sabe, porque esos mismos datos los conocen o los pueden conseguir otros. El segundo, avisar del cambio solo a la dirección nueva: si quien cambió la dirección no es el dueño, el aviso le llega al atacante y el dueño no se entera.

Un dato sirve como prueba solo si únicamente el dueño lo tiene. El número de contrato, el documento o la fecha de la última cita pueden parecer privados, pero viajan en carnés, facturas, certificados y recordatorios que pasan por muchas manos y buzones.

Abre el laboratorio y cruza flujos-de-recuperacion.txt con la última sección de guion-centro-de-llamadas.txt.

Cambiar el correo o el celular registrado no se llama recuperación, pero tiene el mismo efecto: decide a dónde llegarán los códigos y los avisos de ahí en adelante. Por eso esos cambios se tratan como operaciones sensibles y se avisan a la dirección anterior, que es la única que tiene el dueño si el cambio no lo hizo él.

Lee la línea «A quién avisa» de cada flujo.

Un código emitido para recuperar vale mientras nadie más lo vea, y cuanto más dura, más tiempo tiene otro para verlo en un buzón ajeno o en un celular prestado. NIST SP 800-63B-4 fija la vigencia máxima de los códigos emitidos según el canal: 10 minutos si van por mensaje de texto o por voz, y 24 horas si van por correo.

Lee codigos-emitidos.txt. Fíjate en qué códigos sirven de verdad para recuperar.

En recuperaciones-septiembre.txt hay 14 reclamos por reembolsos desviados y 11 de esas cuentas pasaron por el mismo flujo la semana anterior. El centro de llamadas no puede desaparecer: hay afiliados que pierden el celular y no tienen otro modo de volver. Lo que hay que cambiar es qué acepta el agente como prueba y qué puede hacer después la cuenta recuperada.