Importancia de la identidad digital y nuevas pautas

Los sistemas de identidad digital son una cuestión de gran importancia para definir uno mismo en el mundo digital, que es tan real como el mundo físico y en realidad nos afecta de una manera muy directa. Esta es la razón por la cual la construcción de los servicios de prueba de identidad digital y autenticación de identidad digital ya no es un problema opcional. Existe un amplio consenso en los EE. UU. De que la identidad digital y la autenticación son las bases de la seguridad en línea y se están convirtiendo rápidamente en una prioridad de seguridad nacional. Las versiones iniciales de tales servicios actualmente disponibles proporcionan servicios de aseguramiento de identidad que son usados ​​por varios sistemas para proporcionar alguna forma de autorización (física o lógica).

¿Qué es la Identidad Digital?

Una Identidad Digital es la información sobre un persona o una organización utilizada por los sistemas informáticos para representarlo en el ciberespacio. En pocas palabras, es el equivalente en línea a la identidad real de la persona u organización.

Leer : Robo de identidad en línea: prevención y protección.

Directrices de identidad digital

El Instituto Nacional de Estándares y Tecnología (NIST) ha sido reconocido como una fuente de referencia autorizada con respecto a la orientación de verificación de autenticación.

NIST lanzó recientemente el NIST SP 800-63, ahora llamado Pautas de identidad digital después de meses de revisión pública. Este conjunto de cuatro volúmenes proporciona directrices técnicas para organizaciones que emplean servicios de identidad digital. El nuevo documento actualiza los estándares anteriores y los expande para abordar la identidad y la autenticación como servicio, ofreciendo los conceptos y el lenguaje necesarios para el cuidado y la alimentación adecuados de las identidades digitales, algo que la mayoría de los expertos en la industria consideran un gasto prudente de los dólares de los contribuyentes.

Lanzado por primera vez en 2003, SP 800-63 es el famoso documento del NIST que introdujo los cuatro niveles de las pautas de identidad digital (LOA) - LOA 1, 2, 3 y 4 - especificadas por OM-M 04-04, Guía de autenticación electrónica para las agencias federales.

El objetivo principal de esta nueva edición de 800-63, su tercera iteración, es resolver los errores de las cartas de acuerdo para convertir el concepto en algo más significativo con la ayuda de los procesos de identidad modernos para el sector privado y gubernamental.

En pocas palabras, el nuevo documento introdujo los siguientes cambios importantes:

El nuevo documento desacopló las LOAS en gran parte en componentes para garantizar que cualquier iniciativa de autenticación co uld debe clasificarse como 1, 2 o 3 para una faceta y grado completamente diferente para la otra faceta, en lugar de un número general como LOA 3. En pocas palabras, la nueva SP 800-63 está dividiendo el esquema de clasificación en tres segmentos:

1. Inscripciones y pruebas de identidad (SP 800-63A)
2. Autenticación y administración del ciclo de vida (SP 800-63B)
3. Federación y afirmaciones (SP 800-63C)

Bajo el nuevo 800-63-3, según lo propuesto, se otorgarán básicamente 3 rangos: nivel de fiabilidad de la federación (FAL), nivel de garantía de autenticación (AAL) y nivel de seguridad de la identidad (IAL).

Niveles de seguridad de identidad digital (IAL):

• IAL1: autoafirmado; no es necesario vincular al solicitante con ninguna identidad particular de la vida real.
• IAL2: la existencia de la vida real de la identidad reclamada está respaldada por evidencia; ya sea físicamente presente o a prueba de identidad remota.
• 4ILA3 - La prueba de identidad exige una presencia física. Un representante capacitado y autorizado debe identificar los atributos.

Nivel de garantía de autenticación (AAL):

• AAL1: ofrece cualquier garantía de que el reclamante real tiene el control del autenticador; necesita al menos una autenticación de factor único.
• AAL2: ofrece una gran confianza en el control de los autenticadores por parte del solicitante; demanda dos factores de autenticación diferentes; exige técnicas criptográficas aprobadas.
• AAL3: ofrece una confianza extremadamente fuerte sobre el control de los autenticadores por parte del solicitante; se necesita una evidencia de tener una clave a través del protocolo criptográfico para la autenticación; también necesita un autenticador criptográfico "difícil".

Nivel de fiabilidad de federación (FAL):

• FAL1 - Permite la habilitación del RP por el suscriptor para recibir una aserción de portador.
• FAL2 - Impone la condición de que la afirmación debe encriptarse de manera que la única parte que pueda descifrarla sea el RP.
• FAL3 - Exige que el suscriptor presente la prueba de control de la clave criptográfica a la que se hace referencia en la aserción, así como en la afirmación artefacto.

Los principales cambios con respecto a SP 800-63A:

1. El proceso de prueba de identidad permitido se renueva.
2. Las opciones de pruebas en persona se expanden.

SP 800-63B

• Guía de contraseñas ha sido revisado.
• Se eliminan autenticadores inseguros.
• Se amplía el uso permitido de datos biométricos.

SP 800-63C

• Se agregan nuevas recomendaciones y demandas de federación.
• Las cookies como tipo de aserción han sido eliminado.

Puede obtener todos los detalles en nist.gov .