Garantía en federación, qué confía quién en quién

En una federación hay una aplicación que presta el servicio (la parte que confía, o RP), un proveedor de identidad (IdP) que autentica a la persona y le avisa a la aplicación, y la persona. NIST SP 800-63C-4 describe que la aplicación confía en que el proveedor de identidad represente bien los atributos de la persona, y que este a su vez confía en la prueba de identidad de quien creó la cuenta. El aviso que viaja entre ambos se llama aserción y comunica el resultado de la autenticación y los atributos acordados.

Abre el escritorio, entra en federacion y lee acuerdos.txt. Su pie lo resume.

El FAL1 exige, como mínimo, que la aserción vaya firmada con criptografía aprobada y que el destinatario compruebe la firma, que indique a qué aplicación va dirigida y que esté protegida contra la repetición. Sin firma, cualquiera podría escribir un aviso que dijera lo que quisiera.

Abre aserciones-2026-10-05.txt. La columna firma dice si el aviso venía firmado; la última, qué hizo la aplicación.

El FAL2 sube el listón: la aserción debe estar fuertemente protegida contra la inyección, dirigirse a un solo destinatario y apoyarse en un acuerdo de confianza establecido de antemano. Un aviso válido para varias aplicaciones a la vez se puede reutilizar en la que no era la destinataria.

acuerdos.txt dice qué nivel exige cada aplicación. Lee el de convenio-libranza y contrástalo con las aserciones que recibió.

Un acuerdo de confianza se incumple de varias formas: aviso sin firma, aviso con varios destinatarios donde solo se permite uno, emisor que no figura en el acuerdo de esa aplicación, o prueba de posesión que el nivel exige y no se hizo. En FAL3, el destinatario debe comprobar además que la persona controla un autenticador, no solo creer el aviso.

Recorre las ocho aserciones y compáralas con la fila del acuerdo de su destinatario. Cuenta las que se aceptaron aunque incumplían algo de él.

Una de las aserciones llegó firmada, con la audiencia correcta y aceptada, y aun así no debió aceptarse: su emisor es un proveedor de identidad que el acuerdo de esa aplicación no incluye. La firma prueba quién escribió el aviso, no que esté autorizado a hablar sobre los socios de la cooperativa.