Pero, ¿qué pasaría si un usuario no supiera de forma consciente su clave?
No podría darla de manera voluntaria ni involuntaria y esta alternativa es la que ha sido estudiada por investigadores de Stanford, Northwestern University y SRI International en su artículo “Neuroscience Meets Cryptography: Designing Crypto Primitives Secure Against Rubber Hose Attacks” [2], del cual hablaremos a continuación.
Esta idea puede sonar fantasiosa, pero se basa en un concepto bien establecido de la psicología cognitiva, el aprendizaje implícito.
El aprendizaje implícito es definido como “una manera de aprender sin necesidad de hacer preguntas o de prestar atención a una explicación en el que las personas estudian por la observación y la repetición" [3].
Múltiples experimentos diseñados sobre este aprendizaje, muestran que los conocimientos adquiridos de esta manera no son asequibles conscientemente por la persona entrenada, siendo un ejemplo popular el montar bicicleta donde se puede realizar la acción, pero no explicar el cómo se realiza.
Con base en esta idea, se busca implantar una contraseña por medio de aprendizaje implícito, uniendo esto con un método de autenticación adecuado, las personas no podrían dar su contraseña de manera consciente mientras que la autenticación sería posible. Esto se logra de la siguiente manera.
El sujeto es entrenado para hacer una tarea conocida como “Interception Sequence Learning” (SISL), en la cual se busca que desarrolle sensibilidad a una información estructurada sin darse cuenta.
Esto se realiza por medio de un juego similar a “guitar hero” donde objetos caen de manera vertical y el participante debe tratar de interceptarlos cuando se acercan al fondo.
Estas sesiones de aprendizaje tardan entre 30 - 45 minutos aproximadamente, y los participantes no son capaces de reconstruir o reconocer partes de la secuencia de 38 bits que representa la contraseña. Adicionalmente, estas llaves han sido modificadas para ser más eficaces, esto mediante la ampliación del número de columnas, permitiendo que existan casi 248 mil millones de claves posibles para enseñar a los usuarios.
Ahora, no basta con que la clave no sea asequible de manera consciente para el usuario, pues sigue siendo necesario probar que la conoce así sea en un nivel inconsciente para poder garantizar su autenticación.
El sistema de autenticación se basa en los detalles del proceso de entrenamiento. Durante el cual se tienen secuencias que corresponden a un Ciclo de Euler de la figura mostrada a continuación. Se busca que el usuario pueda anticipar cuál es el siguiente símbolo, lo cual se logra mediante el aprendizaje de secuencias de otros símbolos.
El aprendizaje de las secuencias para la clave se realiza mediante la constante repetición del patrón que se busca almacenar seguido por secuencias aleatorias, realizando este proceso múltiples veces. Luego de realizar el entrenamiento se procede con la autenticación.
El proceso de autenticación utiliza el mismo juego presentado durante el entrenamiento, en este caso se otorgan secuencias que pertenecen a la clave y secuencias aleatorias que no pertenecen. A partir de esto se vigila el rendimiento en las diferentes secuencias, de tal forma que si se tiene mejores resultados con las pertenecientes a la clave que con las aleatorias, se puede considerar el usuario como autenticado.
Como se puede apreciar, este método propuesto es una fuerte alternativa que protege contra múltiples problemas con los que nos encontramos en el contexto actual de seguridad.
Al manipular el nivel de información consciente que posee el usuario podemos permitirle autenticarse sin correr el riesgo de que pueda entregar su clave de manera accidental y sin que esta pueda ser espiada de forma eficaz. Al mismo tiempo también se mantiene la seguridad contra ataques de fuerza bruta por la complejidad del proceso de autenticación.
Sin embargo, el proceso no es perfecto, la longitud de las llaves utilizadas fue elegida de manera semi aleatoria, por lo cual el proceso no es óptimo, también es importante tener en cuenta que este tipo de aprendizaje es más fácil de olvidar, en especial cuando se trata de niveles de comparación tan sutiles.
Finalmente es importante recordar que la utilidad de todos estos acercamientos va más allá de la simple posibilidad de su implementación a larga escala, sino también de la constante búsqueda de métodos e ideas para asegurarnos que tanto nosotros como nuestros sistemas podamos estar seguros a lo largo del tiempo.
Si deseas tener siempre a la mano el artículo escrito por Miguel Muñoz, te invitamos a descargarlo, compartirlo y comentarnos qué opinas al respecto.
REFERENCIAS
- [1] https://latam.kaspersky.com/blog/panorama-amenazas-latam-2023/26586/
- [2] Neuroscience meets cryptography: Designing crypto primitives secure against rubber hose attacks
- [3] https://ecuador.unir.net/actualidad-unir/tipos-de-aprendizaje/
