Ventajas de las llaves PKI para proteger de los fraudes bancarios 

Los certificados digitales y las iKeys basadas en PKI se perfilan como la soluci?n tecnol?gica que garantiza la protecci?n de la informaci?n 

M?xico D.F a Marzo de 2007.- El aumento de los fraudes bancarios por Internet y las regulaciones para proteger las transacciones bancarias han provocado que la Comisi?n Nacional Bancaria y de Valores exija el uso y la implementaci?n de medidas y herramientas que aseguren la informaci?n de los usuarios. En este sentido, las instituciones financieras han optado por utilizar un dispositivo llamado OTP (One Time Password), el cual posee un n?mero personal (secreta) que deben introducir los usuarios cada vez que hagan operaciones v?a la p?gina Web de su banco; sin embargo, este mecanismo no ofrece protecci?n al 100%, ya que s?lo valida la identificaci?n (autenticaci?n) de la persona, lo que no garantiza que la informaci?n y todas las transacciones que se realicen v?a Internet, no sean v?ctimas de hackeo. 

SafeNet, desarrolladora de tecnolog?as criptogr?ficas para resguardar la identidad de un usuario asegura que la mejor herramienta de seguridad para los usuarios que utilizan Internet al acceder a sus bancos, son los tokens 100% criptogr?ficos iKey que posen la tecnolog?a PKI (Infraestructura de Llave P?blica), que ofrece un alto nivel de seguridad, ya que – aparte de que se debe mantener el token conectado al dispositivo-, el acceso requiere de datos o claves que s?lo sepa el usuario. De manera que ning?n intruso puede identificar lo que hay dentro del token, porque es un m?dulo criptogr?fico que almacena informaci?n de autentificaci?n, como el certificado digital. 

PKI, protecci?n integral al acceso 

La Comisi?n Nacional para la Protecci?n de los Usuarios de Servicios Financieros (Condusef) report? que de enero a octubre de 2006 recibi? 640 quejas de v?ctimas de fraude electr?nico, que significaron p?rdidas por $215 millones de pesos, cifra superior a la registrada en el 2005, cuando se atendieron 47 casos, con p?rdidas que no sobrepasaban los $10 millones de pesos.  

En respuesta al aumento de los fraudes electr?nicos, la Comisi?n Nacional Bancaria y de Valores emiti? la Circular 52 que indica que las instituciones bancarias deben de utilizar un medio seguro para almacenar la identidad de sus clientes, ya sea un token OTP o un token PKI; sin embargo, existen diferencias en cuanto a niveles de seguridad que destacan a las iKey PKI como la herramienta ?ptima.  

“La tecnolog?a que est? adoptando la banca para la autenticaci?n se llama OTP, que es un token de un s?lo uso; no obstante, ?sta no es la mejor herramienta ya que s?lo cumple con requerimientos de autentificaci?n y no con elementos que van m?s como son la privacidad e integridad”, explic? Roberto G?nzalez, Desarrollador de canales de SafeNet. 

Al respecto, Ricardo Akle, director asociado de PSC World, destac? que las principales diferencias entre los token OTP y el PKI radica en que el ?ltimo ofrece mayor seguridad, ya que permite que el usuario firme electr?nicamente (utilizando certificados digitales) una transacci?n, lo cual es legalmente equivalente a una firma aut?grafa. Los OTP son unas cajas que tienen inscrito una serie de passwords prehabilitados; cuando acceden a la pagina de Web de su banco te pide que acceder tu usuario, password y el n?mero que aparece en la caja. Este proceso  sirve para autentificar a la persona que esta accesando a la p?gina. De manera que si un hacker logra obtener todos los datos, ya puede hacer fraude. El OTP tiene una serie de deficiencias y elementos que s?lo quedan en la parte de autentificar a la persona que tiene esa caja.  

Akle destac? que en el caso de los tokens PKI no hay manera de que un intruso pueda identificar lo que hay dentro del iKey, gracias a su tecnolog?a criptogr?fica que resguarda las claves para identificarse y firmar cada transacci?n u operaci?n que el usuario realice en l?nea. 

“Los tokens PKI (iKey) permiten generar y almacenar las claves criptogr?ficas, tanto para identificarme (certificado digital) como para firmar (clave privada). Este dispositivo est? diseñado para proteger las claves, requiere una contraseña para su activaci?n: si lo pierdes o te lo roban, se bloquea (ya no funciona) al ingresar err?neamente la contraseña. Con el OTP no pasa esto, es m?s sencillo acceder a la informaci?n, s?lo bastar?a un keylogger (Phishing) en la m?quina para capturar el user name, password y n?mero de caja, y listo”, mencion? Akle. 

Hay que recordar que el Phishing es una herramienta muy eficaz para obtener la identidad de un cliente de banco, la t?cnica consiste en que el blanco a atacar recibe un correo falso de su banco pidi?ndole que se dirija a un portal tambi?n falso en donde debe actualizar sus datos, en este caso el OTP no brinda ninguna protecci?n porque en ese preciso instante el atacante puede usar los datos del cliente y ganar acceso a las cuentas del usuario para ocurrir lo inesperado. 

El uso de las iKey PKI protege tanto al usuario como al banco, porque garantiza que la persona poseedora de este dispositivo fue quien realiz? la transacci?n. “Con el OTP, si llegas al banco y le dices que te robaron el OTP y te hackearon, el banco tiene que comprobar que t? ten?as el OTP y que t? te hiciste el fraude. En cambio, con el iKey PKI, a trav?s de tu certificado digital y clave privada, firmas las transacciones, de manera que se puede comprobar los movimientos realizados y en caso de fraude, tanto el usuario como el banco quedan protegidos”, señal? Akle. 

Las transacciones electr?nicas que utilicen certificados y firmas electr?nicas avanzadas (FEA) se encuentran legalmente protegidas en Mexico. Un documento electr?nico firmado con una FEA, tiene la misma validez que un documento en papel firmado con firma aut?grafa. 

“Cada vez que una persona desee firmar un documento, el token iKey debe introducirse a la computadora o dispositivo; igual pasa con el acceso, s?lo te va a dar acceso si el identificador (certificado digital) de lo que requieres est? en el token. As?, cada que se realiza un movimiento, queda protegido el banco y el usuario, ya que se tiene la posibilidad de repudiar, para comprobar un posible fraude”, dijo Ricardo Akle. 

A decir de Roberto Gonz?lez, por medio del uso de la tecnolog?a PKI, los bancos y cualquier empresa, pueden ganar mucho implementando estas herramientas; ya que ofrece una soluci?n robusta de seguridad de informaci?n; adem?s, la tendencia en los pr?ximos años es utilizar la tecnolog?a PKI. El hecho de no migrar hacia PKI, implicar? a las empresas mayores costos de administraci?n, operaci?n, desconfianza de realizar operaciones v?a Internet y no poder cumplir con legislaciones futuras. 

Esquema completo para dar seguridad al 100% 

Para dar certeza en la protecci?n de la informaci?n concerniente a la identidad de una persona, Ricardo Akle señal? que los certificados digitales deben ser prove?dos por una empresa dedicada a la emisi?n de ?stos y que debe ser autorizada por las autoridades correspondientes como PSC World. 

Las empresas emisoras de certificados digitales est?n encargadas de verificar la documentaci?n y la personalidad de quienes soliciten un certificado digital. Una vez que se est? plenamente seguros de la identidad y autentificaci?n de la persona, se le otorga el certificado, el cual estar? almacenado en un token PKI.  

“La tecnolog?a ya est? disponible, lo que falta es adopci?n; por ejemplo, con las p?rdidas ocasionadas por un fraude por alrededor de $3 millones de pesos, se podr?a pagar todo un proyecto de PKI. Con los costos de un fraude podr?as pagar la diferencia que pudiera existir entre PKI y OTP, adem?s, lo importante es que en PKI, el banco no se encarga de administrar el iKey; cosa contraria en el OTP, que es administrado por la instituci?n bancaria”, asever? Akle. 

A continuaci?n se presentan algunas diferencias en seguridad que ofrecen las iKey en comparaci?n con los OTP: 
 

	Certificado digital legal + iKey	OTP
Cumplimiento con la Circular 52 de la CNBV	SI	SI
Privacidad	SI	NO
Autentificaci?n (asegura q esa persona es quien dice ser)	SI a la persona	SI al dispositivo
Integridad (asegura que toda la informaci?n llegar? completa sin ser editada o alterada)	SI	NO
No repudio (quiere decir que no se puede negar que la persona firm? el documento)	SI	NO
Cumplimiento regulatorio	C?digo de comercio, de procedimientos civiles, protecci?n al consumidor	NO
Seguridad (MIM)	SI	NO
Posibles operaciones fraudulentas	Protecci?n	Sin protecci?n
Protecci?n contra Phishing, Keylogger	Si	NO
Administraci?n de dispositivo	Sencilla a trav?s de agencia certificadora	Compleja
Durabilidad	Alta (se alimenta por el puerto USB)	Baja (la pila requiere alrededor de 2 años)