Configuración de sistemas de control de acceso y autenticación de personas

Casi todos los ataques exitosos terminan en el mismo punto: alguien inicia sesión con una identidad que no es suya. Controlar quién accede a un sistema, cómo demuestra su identidad y qué puede hacer después es, por tanto, la primera línea de defensa de cualquier arquitectura de seguridad.

Este tema desarrolla el contenido «Configuración de sistemas de control de acceso y autenticación de personas» del módulo Bastionado de redes y sistemas, y cubre los cinco criterios de evaluación del resultado de aprendizaje correspondiente: los mecanismos de autenticación según sus factores, y las políticas y los protocolos basados en contraseñas, certificados y tarjetas inteligentes, tokens y OTP, y biometría, siempre a la luz de sus vulnerabilidades y de los ataques que los amenazan.

Cada capítulo sigue el mismo esquema: cómo funciona el mecanismo, qué políticas de bastionado se recomiendan, cómo lo atacan y cómo se detecta, y se cierra con ejercicios prácticos reproducibles en una máquina virtual Linux, sin necesidad de ningún dispositivo físico.

1. Fundamentos de la identidad y del control de acceso

  • Por qué las credenciales son el objetivo principal de los atacantes

  • El modelo AAA: identificación, autenticación, autorización y trazabilidad

  • Ciclo de vida de la identidad y principios de mínimo privilegio

  • Modelos de control de acceso: DAC, MAC, RBAC y ABAC

  • Los factores de autenticación y la independencia entre ellos

2. Factor de conocimiento: contraseñas y frases de paso

  • Entropía, longitud y frases de paso

  • Políticas de contraseñas según NIST SP 800-63B-4 y comprobación contra contraseñas filtradas

  • Almacenamiento seguro: sal, derivación de claves y algoritmos

  • Fuerza bruta, pulverización y relleno de credenciales: cómo distinguirlos y detenerlos

  • PIN, preguntas de seguridad y gestores de contraseñas

3. Factor de posesión: tokens, OTP y tarjetas inteligentes

  • Tipos de autenticadores de posesión y su resistencia al phishing

  • HOTP y TOTP: algoritmo, alta del dispositivo y límites

  • SMS, correo y notificaciones push: riesgos y mitigaciones

  • Tarjetas inteligentes, certificados y DNI electrónico

  • Implementación de TOTP desde cero y tarjeta inteligente simulada

4. Factor de inherencia: biometría y factores contextuales

  • Verificación e identificación, plantillas y umbrales

  • FAR, FRR y EER

  • Ataques de presentación, inyección y robo de plantillas

  • RGPD, evaluación de impacto y criterios de la AEPD

  • Contexto como señal de riesgo y no como autenticador

5. Autenticación criptográfica: clave pública, certificados y FIDO2

  • Reto y respuesta con clave pública

  • Claves SSH, restricciones y auditoría

  • Certificados X.509 y autenticación mutua con mTLS

  • FIDO2, WebAuthn y passkeys

6. Autenticación centralizada y federada

  • Directorios y LDAP

  • RADIUS, TACACS+ y 802.1X

  • Kerberos: tickets, TGT y ataques conocidos

  • SAML, OAuth 2.0 y OpenID Connect

  • JWT, sesiones y cookies

7. Autenticación multifactor, autenticación adaptativa y ataques

  • MFA frente a verificación en dos pasos y niveles de garantía AAL

  • Diseño de políticas de MFA sin penalizar la usabilidad

  • Autenticación basada en riesgo

  • Fatiga de MFA, phishing con intermediario y robo de sesiones

  • Detección y respuesta

Guías relacionadas

Licencia

Licencia CC BY-NC-ND 4.0

Esta página forma parte del curso Bastionado de Redes y Sistemas © 2026 de José Juan Sánchez Hernández y su contenido se distribuye bajo una licencia Creative Commons Attribution-NonCommercial-NoDerivatives 4.0 International.

Esta licencia exige que quienes reutilicen el material otorguen el debido crédito al autor. Permite copiar y redistribuir el material en cualquier medio o formato, únicamente en su forma original, y solo para fines no comerciales.