Contraseñas de un solo uso (OTP)

Requisitos:

• Acceso al panel de Ironchip con rol de administrador
• Aplicación Ironchip (móvil o escritorio) instalada en el dispositivo del usuario, o cualquier aplicación autenticadora compatible con RFC 6238
• Para la protección de la semilla: dispositivo con TPM (Windows), Android Keystore o iOS Secure Enclave y Keychain

Pasos a seguir:

1. Creareacion de el  OTP
2. Usar el OTP
3. Protección del OTP
4. Eliminar y reasignar un OTP

Crear un OTP

Los OTP de Identity Platform generan códigos TOTP conformes al RFC 6238, por lo que son compatibles con la aplicación Ironchip y con cualquier aplicación autenticadora que implemente este estándar.

Para ello abre la aplicación móvil de Ironchip y ve al apartado de la barra inferior con el icono de un candado con una flecha.

Pulsa en el botón + y selecciona una de las siguientes opciones:

• Scan a QR code: Escanea con la cámara del teléfono el código QR del OTP.
• Enter URL: Introduce la URL de configuración del OTP.
• Enter setup key: Introduce manualmente la clave de configuración del OTP.

Una vez añadido, el OTP queda creado y la aplicación empieza a mostrar sus códigos.

La ventana de validez temporal del OTP se configura en el momento de la generación del OTP y queda asociada a él. Para modificarla, elimina el OTP y crea uno nuevo con la ventana deseada.

Usar el OTP

Una vez dado de alta el OTP, el usuario lo utiliza como segundo factor en cualquier servicio protegido por Identity Platform, como el acceso a dispositivos de red mediante TACACS+, una VPN o una aplicación web.

Cuando el servicio solicita el segundo factor, el usuario abre la aplicación, lee el código vigente e introduce ese código. Identity Platform lo calcula de nuevo a partir de la clave del OTP y lo valida, aceptando los periodos incluidos en la ventana de validez configurada al crearlo.

En el acceso por SSH a un dispositivo con TACACS+, el código se introduce en el campo de contraseña. Para comprobarlo desde el propio dispositivo, ejecuta:

test aaa group ironchip-group <usuario> <código OTP> legacy

La validación se rechaza en los siguientes casos:

• Código caducado: Ha pasado su periodo y queda fuera de la ventana de validez, o el reloj del dispositivo está desfasado. Espera al siguiente código y comprueba que la hora del dispositivo es automática.
• Código ya utilizado: Cada código solo puede validarse una vez. Espera al siguiente código.
• OTP eliminado: Un administrador lo ha revocado. Da de alta un nuevo OTP.
• Contexto sospechoso: El ITDR bloquea el intento por la localización, el dispositivo o el horario, aunque el código sea correcto.

Todas las validaciones, correctas o rechazadas, quedan registradas en el apartado Events del panel y pueden exportarse mediante la exportación de eventos.

Protección del OTP

Los OTP de Ironchip están protegidos frente a la clonación de tokens, el phishing y la reutilización de credenciales.

La generación de los códigos OTP se apoya en el hardware seguro de cada plataforma: la clave del OTP nunca se almacena en claro y queda protegida por él, de modo que no puede copiarse a otro dispositivo:

• Windows (aplicación de escritorio): TPM (Trusted Platform Module). La clave se cifra con una clave generada y protegida por el TPM, ligada al equipo, y no puede descifrarse fuera de él.
• Android: Android Keystore, con StrongBox o TEE según el dispositivo. Es el equivalente al TPM en el teléfono: la clave que protege el OTP se genera dentro del hardware seguro y no es exportable.
• iOS: Secure Enclave y Keychain. Es el equivalente al TPM en el iPhone: la clave que protege el OTP se genera en el Secure Enclave y el OTP se guarda en el Keychain, accesible solo en ese dispositivo y con el dispositivo desbloqueado.

Al estar ligado al dispositivo, el OTP no se transfiere con una copia de seguridad ni con la migración a otro teléfono. En ese caso es necesario dar de alta un nuevo OTP.

Además, el ITDR de Ironchip controla el uso de los OTP:

• Anti-reutilización: Un código ya utilizado dentro de su ventana de validez se rechaza y el intento queda registrado.
• Anti-phishing: El ITDR evalúa la localización, el dispositivo, el horario y los patrones de uso de cada autenticación, y bloquea o exige una verificación adicional si el comportamiento es anómalo, aunque el código introducido sea correcto.
• Anti-clonado: Si el mismo OTP se utiliza desde contextos incompatibles, por ejemplo localizaciones distantes en un intervalo corto, el ITDR lo detecta y permite revocarlo.

Puedes exportar estos eventos a tu SIEM mediante la exportación de eventos del ITDR.

Nota: Se recomienda utilizar una ventana de validez reducida y combinar el OTP con una política de autenticación que incluya la comprobación de localización y de dispositivo.

Eliminar y reasignar un OTP

Para eliminar un OTP, abre la aplicación móvil de Ironchip y ve al apartado de la barra inferior con el icono de un candado con una flecha. Desliza el OTP hacia la izquierda y pulsa en la papelera roja.

Una vez eliminado, la aplicación deja de mostrar los códigos de ese OTP.

Para reasignarlo a otro dispositivo, o para crear uno con otra ventana de validez, elimina el OTP anterior y, a continuación, da de alta uno nuevo siguiendo los pasos de Crear un OTP en el dispositivo de destino.

Nota: Los OTP solo se almacenan en el teléfono del usuario, por lo que su eliminación se realiza siempre desde la aplicación móvil.