La autenticación accesible y la seguridad

El 11 de agosto del 2020 se publicó el segundo borrador de las pautas WCA  G 2.2. En él se publican 9 nuevos criterios, pero el que más llama la atención es el 3.3.7 Accessible Authentication que describe:

Si un proceso de autenticación se basa en una prueba de función cognitiva , también debe estar disponible al menos otro método que no se base en una prueba de función cognitiva.

En resumen, debemos buscar una manera para acceder a la web o app que no ocasione un gran trabajo mental. La mayoría de los sitios web se basan en nombres de usuario y contraseñas para iniciar sesión. Memorizar un nombre de usuario y contraseña (o transcribirlos manualmente) supone una carga muy alta o imposible para las personas con ciertas discapacidades cognitivas.

Una posible solución es validarte mediante WebAuthn, los expertos en criptografía señalan que este protocolo recomienda o requiere la implementación de algoritmos viejos y débiles que se sabe que son vulnerables a los ataques.

También se recomienda la posibilidad de iniciar sesión con un proveedor externo mediante el método OAuth.

Método de registro OAuth

Está forma es muy usada por los ciberdelincuentes (no confundir con hacker) para atacar nuestras vulnerabilidades. Con la intención de ahorrarnos el tener que complementar los campos de acceso o inicio de sesión, les estamos facilitando el acceso a nuestros contactos, contraseñas, historiales de navegación, IP…

Por suerte las WCAG 2.2 están en desarrollo y se espera que para mediados del 2021 la versión definitiva esté publicada. Mientras tanto en lo posible no es recomendable aplicar estos dos métodos de validación a no ser que las aplique un cliente de reconocido prestigio que no use esas vulnerabilidades para beneficio propio. A su vez debemos tener muy presente la ley de protección de datos e intercalar esas validaciones con otros medios de validación cómo SMS.