L’autenticació accessible és menys segura?

Les Web Content Accessibility Guidelines (Pautes d'Accessibilitat al Contingut Web) introdueixen nous requisits perquè una autenticació es consideri accessible. Els criteris per aconseguir una «autenticació accessible» prohibeixen l'ús exclusiu d'elements cognitius en el procés d'autenticació, tot i que hi ha algunes excepcions.

Els dissenyadors i programadors web tenen a l'abast una àmplia varietat de tècniques per complir aquests criteris; una de les més efectives és fer servir protocols d'accés delegat, com l'Open Authorization (OAuth), o altres solucions com l'autenticació web (WebAuthn), cosa que planteja una pregunta important: afecten aquestes solucions la seguretat?

La resposta, és clar, depèn de com s'implementin en cada cas. Repassem alguns punts que els desenvolupadors d'una web han de tenir en compte.

Els mètodes d'autenticació accessible poden millorar la seguretat sense perjudicar les persones usuàries

Per concretar una mica, ens centrarem en «OAuth», un dels protocols més segurs fins avui. OAuth és una manera accessible de fer que les persones usuàries puguin introduir les seves dades, registrar-se o iniciar sessió ràpidament amb credencials d'altres llocs web (per exemple, el seu compte de Google o de Facebook).

Aquest «accés segur» pot millorar la privacitat i la seguretat. No obliga a memoritzar dades ni contrasenyes, i així elimina un problema de seguretat crucial. Un estudi de Security.org va descobrir que el 68% dels adults nord-americans fan servir la mateixa contrasenya a tots els seus comptes, cosa gens ideal en termes de seguretat.

Crear registres d'identificació per a cada usuari pot comportar eliminacions accidentals o no intencionades per la influència d'agents externs. OAuth sorgeix com una alternativa més còmoda, accessible i segura que fer servir la mateixa contrasenya a totes les plataformes. Tanmateix, només es pot plantejar adoptar-lo si es fa un ús adequat d'aquesta tecnologia.

   - OAuth és segur quan es fa servir correctament i amb seny

Fa poc, investigadors de seguretat del laboratori de Salt van descobrir problemes en implementacions d'OAuth que podrien afectar milions d'usuaris en centenars de llocs web. Diversos webs importants gestionen malament la verificació d'accés dels clients, cosa que pot atreure pirates informàtics i posar al seu abast informació privada de les persones usuàries. 

El problema d'OAuth, tot i ser crític, rau principalment en errors d'implementació i no en deficiències tecnològiques. Per tant, fer auditories i revisions periòdiques, a més de generar informes d'accessibilitat, s'ha de considerar una prioritat en l'àmbit de la seguretat i la privacitat empresarial. Els desenvolupadors han d'aplicar les millors pràctiques disponibles quan implementin qualsevol protocol d'autorització.

En el cas d'OAuth, aquestes pràctiques inclouen:

• Protecció d'extrem a extrem limitant la freqüència d'inicis de sessió, de sol·licituds de validació o amb altres mètodes

• Fer servir l'última versió de Transport Layer Security (TLS) o Secure Socket Layer (SSL)

• Establir un abast dels permisos d'accés, de manera que només s'accedeixi quan sigui necessari

• Eliminar els registres que no siguin necessaris o que no es facin servir

Cal tenir en compte que aquesta no és una llista completa de bones pràctiques. La manera d'implementar OAuth s'ha d'estudiar amb cura per endavant i adaptar-la a cada sistema. I perquè quedi clar: això també s'aplica a qualsevol mètode d'autenticació.

Les WCAG no exigeixen cap solució d'autenticació concreta per ser accessible

Cal destacar que les WCAG 2.2 no imposen l'ús d'OAuth, WebAuthn ni cap altre programa concret. Més aviat, se centren a limitar la freqüència d'ús d'elements que requereixen funcions cognitives en el disseny web accessible.

Podries estar caient en aquest error si permets que les persones usuàries facin servir el mètode tradicional d'introduir una contrasenya, que implica haver-la memoritzat i, per tant, una funció cognitiva. Ara bé, si la teva pantalla d'inici de sessió permet copiar i enganxar la contrasenya, ja compliries els requisits bàsics de les WCAG 2.2.

També hauries de revisar l'ús de captchas i de la doble verificació, per trobar l'equilibri entre seguretat i accessibilitat.

Robert