Autenticación fuerte en APIs

El Reglamento Delegado (UE) 2018/389 define la autenticación reforzada de cliente: se basa en dos o más elementos de categorías distintas, entre conocimiento (algo que solo el cliente sabe), posesión (algo que solo el cliente tiene) e inherencia (algo que el cliente es), y los elementos son independientes: que se vulnere uno no debe comprometer la fiabilidad de los demás.

Dos elementos de la misma categoría no cumplen: una contraseña y un PIN son ambos conocimiento.

El contrato y la política de un gateway pueden decir «dos factores» y cumplir en el papel una regla que no cumple en la práctica: basta con contar factores sin mirar su categoría. La política de autenticación de Calden lista por ruta cuántos factores exige y de qué categorías.

Léela y busca la ruta de pago cuyos dos factores pertenecen a la misma categoría.

El reglamento permite exenciones. Una de ellas es para pagos electrónicos remotos de bajo valor: no se exige autenticación reforzada si el importe individual no pasa de 30 EUR, y deja de aplicar cuando el acumulado desde la última autenticación reforzada supera los 100 EUR o cuando se han hecho cinco operaciones remotas individuales consecutivas. La cuenta la lleva el emisor y se reinicia cuando el cliente se autentica de forma reforzada.

Revisa las operaciones del cliente 4471: el banco no pidió autenticación reforzada en ninguna. Una de ellas debía pedirla.

En un pago remoto, el código de autenticación debe quedar vinculado de forma dinámica al importe y al receptor de la operación aceptados por el cliente. Si el código solo cubre una parte, un atacante con acceso a la solicitud puede cambiar el resto y el código sigue siendo válido: el cliente aprobó una cosa y el sistema ejecutó otra.

Compara los campos de la solicitud con los campos que el código firma.

Estos fallos se ven en el contrato y en la política mucho antes de llegar a producción, así que son buen terreno para un control automático: una prueba en el pipeline que lea la política de cada ruta de pago y falle si las categorías de los factores se repiten, si el enlace dinámico no cubre importe y receptor, o si una ruta nueva no declara nada. La revisión manual de una vez al año los ve tarde.