Guillem Alsina Gonzàlez
Los administradores de sistemas y responsables de tecnologías de la información se enfrentan a un desafío constante a la hora de proteger sus infraestructuras web frente al abuso volumétrico, es decir, aquel que se basa en un gran número de intentos repetidos. Este tipo de actividad automatizada, que engloba prácticas como la saturación de servicios mediante ataques distribuidos, el envío masivo de correo no deseado, o la prueba sistemática de credenciales robadas, obliga a los operadores a implementar medidas de contención. Sin embargo, los sistemas tradicionales de protección contra la actividad automatizada están perdiendo eficacia debido a los avances en la inteligencia artificial y a las nuevas políticas de privacidad de los navegadores. Las herramientas clásicas que dependían de la recolección de señales de los visitantes están siendo bloqueadas por las medidas de privacidad de los navegadores modernos, mientras que los sistemas de reconocimiento visual y resolución de problemas han sido superados por las capacidades de la IA generativa, que ahora los resuelve con mayor rapidez que un ser humano.
Como respuesta a esta pérdida de eficacia, muchos sitios web están optando por solicitar información identificativa directa, como direcciones de correo electrónico o inicios de sesión centralizados, llegando incluso a bloquear el acceso a quienes utilizan redes privadas virtuales. Esta tendencia genera fricción en la experiencia de navegación y perjudica la privacidad, ya que facilita el rastreo cruzado entre distintas plataformas. Además, la proliferación de agentes de inteligencia artificial que navegan en nombre de los usuarios complica la situación, ya que los operadores no disponen de herramientas para distinguir entre un asistente legítimo y un programa diseñado para el abuso masivo, optando por bloquear a ambos.
A lo largo de los últimos años, algunas grandes multinacionales tecnológicas han intentado solucionar este problema aprovechando su control sobre los sistemas operativos y la integración con el hardware de consumo, realizando propuestas que se basaban en la atestación del dispositivo, un mecanismo mediante el cual los componentes físicos certifican qué software se está ejecutando. Un ejemplo de ello fue un proyecto propuesto en 2023 que pretendía verificar tanto el navegador como el sistema operativo, lo que habría otorgado un poder desmesurado a las entidades certificadoras y habría dificultado enormemente el desarrollo de nuevos navegadores.
Otra aproximación, desplegada en 2022 en un ecosistema cerrado, utiliza tokens de acceso privado que protegen la identidad del usuario, pero vinculan indisolublemente el acceso a la web a la adquisición de equipos de fabricantes específicos. Ambas vías han sido criticadas por fomentar ecosistemas cerrados y alejar a la web de sus principios de apertura.
Frente a las propuestas previas basadas en la verificación del hardware del dispositivo, un grupo de trabajo de Mozilla presentó este pasado mes de mayo una nueva iniciativa denominada PACT, con la que propone utilizar señales de escasez para identificar a los usuarios legítimos. Esto significa que, para evitar el abuso volumétrico, los sitios web no necesitan conocer la identidad del visitante, sino asegurarse de que este está sujeto a un límite de peticiones.
Para que dicho límite sea efectivo, debe anclarse a un recurso escaso que un atacante no pueda replicar masivamente de manera barata, como puede ser una suscripción de pago a una red privada virtual, un número de teléfono verificado o una cuenta con un historial consolidado.
Esta iniciativa, acrónimo en inglés de Tokens de Control de Acceso Privado, fue debatida en una reunión del consorcio W3C junto a varios actores relevantes de la industria web, y la propuesta divide las responsabilidades entre distintos actores; por un lado, se encuentran los anclajes, que son aquellas entidades que disponen de la prueba de escasez y emiten validaciones iniciales a los usuarios basándose en un protocolo de privacidad que hace imposible vincular la emisión del token con su posterior uso, mientras que, por otro lado, operan los moderadores, encargados de gestionar las políticas de límites de tráfico para los sitios web.
Cuando un internauta visita una página, su navegador presenta una validación al moderador. Mediante técnicas de criptografía avanzada y pruebas de conocimiento cero, el moderador puede comprobar que el usuario cuenta con el respaldo de un anclaje de confianza, pero no puede averiguar de qué entidad específica proviene, lo que evita la filtración de información sobre los servicios que utiliza la persona. Una vez verificada esta validación inicial, el moderador emite una credencial con estado interno para el usuario. A medida que el visitante navega, el sitio web puede actualizar dinámicamente este estado interno para incrementar el límite de acceso si el comportamiento parece legítimo, o reducirlo si detecta actividad sospechosa.
Este modelo criptográfico permite a los sitios web establecer límites de acceso dinámicos basados en el comportamiento del visitante sin llegar a conocer su identidad real ni rastrear su navegación. Dado que cada sitio web está vinculado a un único moderador y las presentaciones de credenciales no se pueden correlacionar entre sí, se evita la creación de una huella digital que permita el seguimiento a través de múltiples páginas.
Los responsables del proyecto trabajan ahora en la estandarización de estos protocolos a través del IETF y el W3C para garantizar un ecosistema digital abierto. El objetivo es que los fundamentos criptográficos subyacentes y las interfaces de programación de aplicaciones necesarias, se conviertan en estándares abiertos que cualquier operador, desarrollador de navegadores, o proveedor de seguridad, pueda implementar, devolviendo a Internet su carácter universal mientras se protege eficazmente la infraestructura empresarial.
