É menos segura a autenticación accesible?

As Web Content Accessibility Guidelines (Pautas de accesibilidade para o contido web) introducen novos requisitos para considerar accesible unha autenticación. Os criterios para lograr unha 'autenticación accesible' prohiben o uso exclusivo de elementos cognitivos no proceso de autenticación, aínda que hai algunhas excepcións.

Os deseñadores e programadores de páxinas web teñen á súa disposición unha ampla variedade de técnicas para cumprir estes criterios -unha das máis efectivas é usar protocolos de acceso delegado, como a Open Authorization (OAuth), ou outras solucións como a autenticación web (WebAuthn)-, o que nos formula unha pregunta importante: afectan estas solucións á seguridade?

A resposta, por suposto, depende de como se implemente en cada caso. Imos repasar algúns puntos que os desenvolvedores dunha web deben ter en conta.

Os métodos de autenticación accesible poden mellorar a seguridade sen prexudicar as persoas usuarias

Para concretar un pouco, imos centrarnos en ‘’OAuth’’, un dos protocolos máis seguros ata a data. OAuth é unha técnica accesible para que as persoas usuarias poidan introducir os seus datos, rexistrarse ou iniciar sesión rapidamente usando as credenciais doutras páxinas web (por exemplo, os datos que xa teñen en Google ou Facebook)

Este ''acceso seguro'' pode mellorar a privacidade e a seguridade. Non obriga a memorizar datos nin contrasinais, o que elimina un problema crucial de seguridade. Un estudo de Security.org descubriu que o 68 % das persoas adultas estadounidenses usan o mesmo contrasinal en todas as súas contas, o que non é o ideal en termos de seguridade

A creación de rexistros de identificación por persoa usuaria pode levar á eliminación accidental ou non intencionada por influencia de axentes externos. OAuth xorde como unha alternativa máis cómoda, accesible e segura que usar o mesmo contrasinal en todas as plataformas. Porén, a súa adopción só se pode considerar se se fai un uso axeitado desta tecnoloxía.

   - OAuth é seguro cando se emprega correctamente e con cabeza

Recentemente, investigadores de seguridade do laboratorio de Salt descubriron que as implementacións de OAuth presentan problemas que poderían afectar a millóns de persoas usuarias en centos de páxinas web. Varios sitios web importantes xestionan mal a verificación de acceso dos clientes, o que pode atraer hackers e poñer ao seu alcance información privada das persoas usuarias. 

O problema de OAuth, aínda que crítico, reside principalmente en erros de implementación e non en deficiencias tecnolóxicas. Polo tanto, realizar auditorías e revisións periódicas, ademais de xerar informes de accesibilidade, debe considerarse unha prioridade no ámbito da seguridade e a privacidade empresarial. Os desenvolvedores deben aplicar as mellores prácticas dispoñibles ao implementar calquera protocolo de autorización.

No caso de OAuth, estas inclúen:

• Protección de extremo a extremo limitando a taxa de inicios de sesión, as solicitudes de validación ou mediante outros métodos

• Usar a última versión de Transport Layer Security (TLS) ou Secure Socket Layer (SSL)

• Establecer un alcance para os permisos de acceso, permitindo acceder só as veces necesarias

• Eliminar os rexistros que non sexan necesarios ou que non se utilicen

Debemos ter en conta que esta non é unha lista completa das mellores prácticas. A maneira de implementar OAuth debe estudarse con coidado de antemán e adaptarse de forma personalizada a cada sistema. Para que quede claro, isto tamén se aplica a calquera método de autenticación.

As WCAG non esixen ningunha solución de autenticación concreta para ser accesible

É importante salientar que as WCAG 2.2 non impoñen o uso de OAuth, WebAuthn nin outros programas específicos para atopar unha solución. Máis ben, céntranse en limitar a frecuencia de uso de elementos que requiren funcións cognitivas no deseño web accesible.

Poderías estar caendo neste erro se permites que as túas persoas usuarias utilicen o método tradicional de introducir un contrasinal, o que implica ter que memorizalo e, polo tanto, unha función cognitiva. Con todo, se a túa pantalla de inicio de sesión permite copiar e pegar o contrasinal, estarías cumprindo os requisitos básicos das WCAG 2.2.

Tamén deberías revisar o uso de captchas e da dobre verificación, para atopar un equilibrio entre seguridade e accesibilidade.

Robert