El sistema de inicio de sesión ayuda a detectar hacks en línea sin sacrificar la privacidad

Un nuevo sistema desarrollado por los investigadores de Cornell Tech ayuda a los usuarios a detectar cuándo se han comprometido sus cuentas en línea, sin exponer sus dispositivos personales al seguimiento invasivo por parte de los servicios web.

Los investigadores presentado El sistema, llamado registro de acceso de acceso cifrado (CSAL) del lado del cliente, en el Simposio de seguridad de USENIX el 15 de agosto en Seattle. Su método «privacidad primero» verifica si un inicio de sesión proviene del propio dispositivo de un usuario, abordando un defecto en cómo las plataformas principales como Google y Facebook registran actualmente el acceso a la cuenta.

El nuevo sistema podría ser especialmente útil para los usuarios con mayor riesgo de ataques cibernéticos específicos, como periodistas, activistas y figuras públicas, que necesitan verificar la actividad de la cuenta, dijeron los investigadores. El estudio fue motivado por el trabajo de los autores con los sobrevivientes de la violencia de la pareja íntima en la clínica de Cornell Tech para poner fin al abuso tecnológico (CETA); La seguridad de los sobrevivientes a menudo se basa en saber si sus socios han estado accediendo a sus cuentas.

La investigación fue dirigida por Carolina Ortega Pérez y Alaa Daffalla, ambos Ph.D. Candidatos en Ciencias de la Computación, y Thomas Ristenpart, profesor de Cornell Tech y Cornell Ann S. Bowers College of Computing and Information Science. El equipo descubrió que los registros de acceso existentes dependen de los datos del lado del cliente, como identificadores de dispositivos y direcciones IP, que los atacantes pueden falsificar fácilmente. Incluso después de que se comprometa una cuenta, los registros pueden sugerir engañosamente que el inicio de sesión proviene de un dispositivo familiar.

«Para los usuarios de riesgo, un incidente de compromiso de la cuenta podría ser potencialmente mortal. Las herramientas como CSAL capacitan a estos usuarios para diagnosticar accesos ilícitos a sus cuentas en línea, lo cual es crucial para su seguridad», dijo Daffalla.

CSAL ofrece una alternativa criptográfica. En lugar de enviar datos del lado del cliente de los proveedores de servicios, el sistema lo encripta de extremo a extremo utilizando una clave conocida solo en los dispositivos del cliente. Durante el inicio de sesión, el sistema operativo del dispositivo del cliente genera un token criptográfico que contiene identificadores de dispositivos, que está encriptado de extremo a extremo y almacenado por el proveedor de servicios, asegurando que solo el usuario pueda descifrar y verificar el origen del inicio de sesión.

Este enfoque permite a los usuarios detectar acceso no autorizado sin revelar su información de identificación a la plataforma que están utilizando. También evita la necesidad de plataformas para recolectar y almacenar huellas dactilares de dispositivos detalladas, que a menudo se usan para el seguimiento, dijo el equipo.

La investigación muestra cómo este sistema puede integrarse en los flujos de trabajo de autenticación existentes con una sobrecarga mínima. El sistema también es compatible con protocolos de seguridad ampliamente utilizados, lo que lo hace factible para la adopción de las principales plataformas, dijeron los investigadores. Al repensar cómo se generan e interpretan los registros de acceso, dijo el equipo, CSAL ofrece un camino prometedor para equilibrar la seguridad y la privacidad en la gestión de cuentas digitales.