La identificación es el primer paso en el proceso del control de accesos, seguida de la autenticación, la autorización y el registro de incidencias. Básicamente consiste en que el usuario solicita acceso al sistema, el cual le requiere algún tipo de credencial que le identifique, como puede ser un password, nombre de usuario, tarjeta o huella dactilar.
Qué es la identificación
La identificación es el primer paso en el proceso del control de accesos, seguida de la autenticación, la autorización y el registro de incidencias. El control de accesos consta básicamente de los siguientes pasos:
- Identificación: el usuario solicita acceso al sistema, el cual requiere al individuo algún tipo de credencial que le identifique, como puede ser un password, nombre de usuario, tarjeta o huella dactilar, que posteriormente será validada o no en el proceso de autenticación.
- Autenticación o autentificación: el sistema verifica la identidad del usuario, es decir, comprueba si el usuario es quien dice ser, comprobando las credenciales aportadas por el usuario en la identificación.
- Autorización: el sistema comprueba los permisos del usuario y verifica si está autorizado a acceder a los recursos que solicita o realizar las funciones que pretende.
- Registro o contabilización: los controles de acceso permiten saber quién, a qué y cuándo accede, así como quién lo intenta, por lo que deben guardar un registro completo de todas las incidencias para poder controlar su actividad en todo momento.
La identificación se consigue mediante la presentación de una propuesta de identidad, como un nombre de usuario y una contraseña.
El proceso general de identificación consta de los siguientes pasos:
- El usuario solicita acceso a un sistema.
- El sistema solicita al usuario que se identifique, es decir, el sistema solicita el identificador de usuario o credenciales.
- El usuario aporta las credenciales que le identifican y permiten verificar la autenticidad de la identificación
Identificadores de usuario
Los identificadores de usuario, también llamados credenciales o factores de autenticación, utilizados en los procesos de identificación y autenticación, pueden tener muchas formas.
Usualmente la información que puede usarse para identificar, contactar o localizar a una persona en concreto, se denomina PII (Personally Identifiable Information, Información personal de identificación). Este tipo de información personal en general está protegida por las leyes relativas al derecho al honor, la intimidad o la privacidad.
En función de lo que utilizan para la verificación, los identificadores de usuario básicamente pueden clasificarse en las siguientes categorías:
- Identificadores basados en algo que el usuario sabe (something the user knows, something you know, knowledge factor): como una contraseña (password o passphrase), nombre de usuario, PIN (Personal Identification Number, Número de identificación personal) o patrón.
- Identificadores basados en algo que el usuario tiene (something the user has, something you have, possession factor): como una tarjeta de identificación, tarjeta inteligente (smartcard), certificado digital, código de barras, testigo de un sólo uso (one-time token), dongle criptográfico o dispositivo USB (tipo epass token).
- Identificadores basados en una característica física del usuario (something the user is, something you are, inherence factor): este tipo de controles de acceso se basan en verificar patrones biométricos, como huellas dactilares, reconocimiento de iris, patrón retiniano, reconocimiento facial, señales bio-eléctricas o la secuencia de ADN.
- Identificadores basados en algo que el usuario hace de carácter involuntario (something the user does, something you do): como patrón de voz, escritura, firma o paso.
- Identificadores basados en ubicación y horario (where you are, when you are): controles de acceso basados en la ubicación física, lógica u horaria de la persona, por ejemplo mediante un dispositivo GPS.
Respecto a las características de los identificadores de usuario, cualquier sistema de identificadores de usuario ha de poseer unas determinadas características para ser viable:
- Ha de ser fiable con una probabilidad muy elevada, y por tanto con una tasa de fallo reducida.
- Económicamente factible para la organización, con un precio inferior al valor de lo que se intenta proteger.
- Soportar con éxito cierto tipo de ataques.
- Ser aceptable para los usuarios, que son quienes lo utilizarán.