Identidad, credencial y autenticador

Una identidad digital es el conjunto de datos que el sistema reconoce como de una persona: su nombre, su número de socio, su correo. Una cuenta es el registro donde esa identidad queda guardada junto con lo que puede hacer. Un autenticador es algo que la persona controla (un secreto que sabe, un dispositivo, una llave) y con lo que demuestra que la cuenta es suya. NIST lo define en SP 800-63-4 como un mecanismo para demostrar el control de uno o más factores.

La credencial, en el glosario de la cooperativa, es el vínculo que une la cuenta con sus autenticadores. Por eso se puede cambiar un autenticador sin cambiar la identidad ni la cuenta: se rompe un vínculo y se crea otro.

Abre el escritorio, entra en la carpeta conceptos y lee glosario.txt.

El glosario cierra con dos preguntas. La primera, «¿esta persona es quien dice ser?», se contesta con la prueba de identidad: un proceso que comprueba que los datos corresponden a una persona real y que quien los presenta es esa persona. Se hace una vez, al darse de alta. La segunda, «¿quien entra ahora controla la cuenta?», se contesta con el autenticador, cada vez que la persona entra.

Por eso se miden aparte. Abre cuentas-socios.txt: la columna del medio dice con qué se comprobó la identidad al alta; la última, qué autenticadores tiene vinculados hoy. Cuenta las cuentas cuya identidad se apoya solo en lo que la persona escribió en un formulario, sin ninguna otra evidencia.

La contraseña es el autenticador más común y el más débil frente al engaño, pero no es el único. En la muestra hay cuentas con una llave de seguridad física, con una passkey o con una aplicación. Una cuenta puede tener varios autenticadores vinculados a la vez, y es habitual que la contraseña siga ahí como respaldo aunque ya no se use.

Busca en cuentas-socios.txt la cuenta que tiene dos autenticadores vinculados y ninguno de ellos es una contraseña.

Los dos ejes son independientes. Una cuenta puede tener su identidad muy bien comprobada y entrar solo con una contraseña, o tener una identidad apenas declarada y proteger la entrada con dos autenticadores. Lo segundo no arregla lo primero: el segundo autenticador demuestra que quien entra es el mismo que se registró, pero nada dice de que quien se registró fuera quien afirmaba ser.

Recorre las cuentas cuya identidad solo se apoya en el formulario y fíjate en cuántos autenticadores tiene cada una.

Cuando alguien pierde su llave de seguridad, la cooperativa no crea una cuenta nueva: desvincula el autenticador perdido y vincula otro a la misma cuenta. Ese momento es delicado, porque quien lo pide podría no ser el titular. Si bastara con pedirlo, el autenticador más fuerte quedaría protegido por el proceso de recuperación más débil.