¿Quieres Seguridad total para tus datos y contraseñas?

En los últimos años hemos conocido varios casos de robos de datos online que han comprometido la solvencia de diversas empresas (Sony, Adobe, eBay, Ashley Madison…). Por eso, no es de extrañar que hayan surgido muchas nuevas start-ups que buscan atajar los problemas de seguridad, habiéndose convertido este sector en un lucrativo negocio. Fundada en 2013, Silicon:SAFE es el último ejemplo, pero a diferencia de la mayoría que basan sus soluciones en el software, ellos han apostado por el hardware y por un enfoque a largo plazo que no se rige por el ansia de rentabilidad.

Los creadores del proyecto son Roger Gross y Will Harwood, compañeros en Citrix en la década de 2000 y que decidieron montar una empresa para desarrollar una solución de este tipo. La idea se venía gestando en la mente de Harwood desde lo ocurrido en 2011 con Sony, cuando la multinacional sufrió un robo masivo de contraseñas. El desastre para la japonesa no fue tanto por el extravío de datos sino por la pérdida de reputación de una empresa cuyos clientes pensaban que sus datos estaban seguros (y no era así). Este es un patrón que se ha repetido una y otra vez en las grandes compañías que han sufrido este tipo de problemas en los últimos años.

Una solución diferente

Sony había utilizado el cifrado para proteger los datos de los clientes pero, aún así y paradójicamente, les pidió que cambiaran sus contraseñas. Partiendo de esta base, Groos y Hardwood decidieron que el cifrado por sí solo ya no era tan segurocomo parecía. Por tanto, la solución no podía pasar por él y había que pensar en otra cosa. Dándole vueltas a la idea, surgió una plataforma de hardware posiblemente única que llamaron Password Protect. Se trata, en esencia, de un dispositivo de autenticación de contraseñas basado en una arquitectura novedosapara solucionar los problemas de robos de identidad a granel.

El momento de la identificación es uno de las más peligrosos para el usuario expuesto al posible robo de sus datos por parte de los hackers. Pero normalmente, los ladrones saben que es más fácil y rápido robar contraseñas desde una localización concreta, un repositorio, que infectar a un gran número de equipos cliente o intentar capturar las pass en tránsito. En menos de un minuto se pueden conseguir un millón de contraseñas, y teniendo en cuenta que muchos usuarios reutilizan sus contraseñas en muchos servicios, el robo de passwords puede comprometer a cientos de webs. Es por eso que los repositorios de contraseñas son un chollo para los hackers.

¿Cómo protegernos?

Password Protect resuelve el problema de los robos de identidad a granel mediante la sustitución de la base de datos de contraseñas, vulnerable como hemos dicho a los ataques de los piratas informáticos, con un dispositivo de autenticación impenetrable basado en hardware. Las credenciales de entrada recibidas por el servicio son enviadas a un hardware de seguridad que sirve de almacenamiento de contraseñas y autenticación mediante la adopción de tres estrategias de protección:

• No-lectura. Se puede fijar una contraseña emparejada a un nombre de usuario y se puede verificar que los datos coincidan, pero no se permite leerlos fuera de la aplicación. Es decir, el sistema responde si los datos son correctos o no, y sólo esto sale del dispositivo, nunca los datos en sí mismos. Funciona como una válvula de retención de datos donde no existen puertas traseras ni anulaciones de contraseña del administrador.
• No-malware. No es posible ejecutar programas externos, lo que le hace inmune a todo tipo de infecciones de malware, ataques de desbordamiento de búfer y demás. De facto, cualquier ataque que busque afectar al código es imposible.
• No-PC o sistema operativo. Password Protect no es un ordenador como tal ni ejecuta un sistema operativo, una base de datos o una pila de software convencional. Así se reducen las posibilidades de ataque y se logra una inmunidad instantánea para las miles de vulnerabilidades asociadas a esa plataforma.

La solución está pensada para ofrecerse de dos formas, como un servicio cloud o preparado para ser integrado en una red privada. Lo malo es que los diferentes tipos de datos a proteger requieren diversos prototipos hardware lo que, lógicamente, requerirá tiempo y dinero. Actualmente, sus creadores aún están en fase de desarrollo y de búsqueda de financiación para poder producir la tecnología a gran escala. Simultáneamente, el sistema está siendo probado en Inglaterra por un banco y un gran proveedor de servicios. Ambos podrán comprobar si se trata o no de la solución definitiva para acabar con los problemas de protección de datos y contraseñas.