Inscripción web y retransmisión como riesgo

Los métodos de autenticación de desafío y respuesta funcionan así: el servidor manda un reto, el cliente lo responde usando su secreto sin enviarlo, y el servidor comprueba la respuesta. El secreto nunca viaja, y por eso el método se considera mejor que mandar una contraseña. Tiene, sin embargo, una limitación conocida desde hace años: la respuesta solo demuestra que el cliente conoce el secreto, no para qué servicio lo estaba demostrando.

De ahí sale la familia de problemas de retransmisión: si un tercero consigue que un cliente le entregue esa respuesta, puede presentarla ante otro servicio que acepte el mismo método y ese servicio la dará por buena. No hay que descifrar nada ni adivinar la contraseña; el fallo está en que la prueba no dice en qué conversación nació. Es, en el fondo, el mismo problema que se vio en la federación de identidad cuando un servicio acepta una afirmación emitida para otro.

Contra eso existen dos defensas, y las dos se leen en la exportación. La primera es cifrar el canal, porque obliga al tercero a estar en una posición mucho más difícil. La segunda es la protección extendida del canal: una comprobación que ata la respuesta al canal cifrado concreto por el que llegó, de modo que presentarla en otra conexión ya no sirve. Un punto de inscripción sin cifrado y sin esa protección es la combinación que más pesa en el informe, y pesa más todavía si ese punto atiende una plantilla que ya tenía problemas.

Abre el laboratorio y mira los tres puntos de inscripción. Uno de ellos atiende por un protocolo sin cifrado: la solicitud, la respuesta y la prueba de identidad viajan a la vista de cualquiera que mire la red de oficinas.

El cifrado del canal no es la única defensa que falta. Cuenta cuántos puntos aceptan el método de desafío y respuesta y tienen además la protección extendida desactivada: ese es el número que va al hallazgo, y es mayor que uno.

La tabla medidas trae cinco cambios con lo que cierra cada uno y lo que puede romper. Una recomendación sin esa segunda columna no se aplica: el administrador la lee, calcula a quién deja fuera y la aplaza. Elige la que cierra el problema de raíz en los tres puntos sin dejar a nadie sin servicio, según lo que dice el propio inventario del cliente.