Políticas de autenticación y flujos opcionales

Cada paso de un flujo lleva un requisito. Obligatorio: se debe cumplir siempre. Alternativo: basta con que se cumpla uno de los alternativos del mismo nivel. Condicional: solo se evalúa si se cumple una condición, por ejemplo que la persona tenga cierto rol. Desactivado: el paso se salta como si no existiera.

Al revisar un flujo se pregunta qué pasos son realmente obligatorios. Un segundo factor puesto como paso alternativo o condicional no protege a todos: protege a quien cae en la condición, y a nadie más.

En la exportación de Aula Abierta el segundo factor es un paso condicional que se activa para quien tenga un rol concreto. Eso significa que protege a los grupos que llevan ese rol y a nadie más. Para saber si alguien queda fuera hay que cruzar los grupos con el rol.

Abre glosario.txt, flujo-navegador.txt y grupos-y-factor.txt. Identifica el grupo que puede editar notas y, sin embargo, no recibe segundo factor.

La política de contraseñas del reino fija longitud mínima, complejidad, historial y caducidad. Hoy se sabe que la longitud pesa más que las reglas de caracteres, y que las políticas muy cortas se ven en cuanto se lee la configuración. Lo que se revisa es lo que el servidor exige, no lo que la gente suele hacer.

Lee politica-de-contrasenas.txt y anota la longitud mínima que exige el reino aula.

La detección de fuerza bruta del servidor cuenta los intentos fallidos de una cuenta y la bloquea un tiempo, o para siempre, al pasar de un umbral. Sin ella, quien adivine contraseñas puede probar sin límite desde el servidor. Se revisa reino por reino, porque cada uno tiene su propia configuración.

Lee bloqueo.txt y fíjate en cuál reino con personal y estudiantes reales no tiene la detección activa.

Con lo encontrado, la recomendación debe cerrar la brecha sin romper nada y sin apoyarse en la voluntad de las personas. Eso se logra poniendo el segundo factor donde la configuración lo garantice, y no pidiendo a quien edita notas que lo active por su cuenta. Y se comprueba después con la exportación.