Verificación de identidad y dispositivos

Un proveedor de identidad es el sistema central que autentica a los usuarios y emite tokens para otros servicios. Los IdP modernos admiten SSO, MFA y acceso condicional. Ejemplos: Okta, Azure AD (Entra ID), Google Workspace y Ping Identity.

SSO permite a los usuarios autenticarse una vez con el IdP y acceder a varias aplicaciones sin volver a introducir sus credenciales. Se basa en los protocolos SAML 2.0 u OIDC. Beneficio de seguridad: menos credenciales implican menos oportunidades de robo de credenciales; los controles de seguridad se centralizan en el IdP.

Los dos protocolos de SSO predominantes:

• SAML 2.0 — basado en XML, empresarial y ampliamente compatible con aplicaciones heredadas
• OIDC (OpenID Connect) — basado en JSON/JWT, moderno, construido sobre OAuth 2.0 y utilizado por aplicaciones en la nube y móviles

Ambos delegan la autenticación al IdP y devuelven un token firmado a la aplicación.

Los IdP modernos admiten el acceso condicional: decisiones de acceso basadas en señales de riesgo:

• Rol del usuario y pertenencia a grupos
• Estado de cumplimiento del dispositivo
• Ubicación geográfica
• Hora del día
• Puntuación de riesgo (anomalía en el inicio de sesión)

Las señales de alto riesgo activan una MFA adicional o bloquean completamente el acceso.

MDM inscribe y administra dispositivos, y hace cumplir las políticas de seguridad:

• Exigir bloqueo de pantalla mediante PIN o biometría
• Exigir el cifrado del disco
• Forzar las actualizaciones del sistema operativo
• Permitir el borrado remoto
• Enviar informes de cumplimiento al IdP para el acceso condicional

Ejemplos: Microsoft Intune, Jamf (Apple), VMware Workspace ONE.

Los certificados de dispositivos vinculan una identidad criptográfica a cada dispositivo administrado. Los emite una CA empresarial mediante MDM. Las políticas de Zero Trust pueden exigir un certificado de dispositivo válido antes de conceder el acceso; los dispositivos personales no administrados se bloquean incluso con credenciales de usuario válidas.

Zero Trust utiliza la telemetría de EDR como señal del estado del dispositivo. Un IdP puede consultar si EDR está instalado y funciona correctamente antes de conceder el acceso. Si EDR detecta un dispositivo comprometido, la integración con el acceso condicional activa la revocación automática del acceso.

El acceso JIT (PIM — Gestión de identidades privilegiadas) concede permisos elevados únicamente cuando son necesarios, durante un tiempo limitado y con aprobación. No existen roles de administrador asignados permanentemente. Azure AD PIM, las credenciales temporales de AWS IAM y HashiCorp Vault implementan este modelo.

Las aplicaciones también necesitan verificación de identidad. Enfoques:

• Cuentas de servicio con tokens de corta duración
• mTLS — TLS mutuo, en el que tanto el cliente como el servidor presentan certificados
• SPIFFE/SPIRE — marco de identidad de cargas de trabajo para microservicios

En los entornos SaaS y de nube, el aislamiento de identidades evita el acceso entre tenants. El espacio de identidades de cada cliente debe estar estrictamente aislado. Un error que permita a un tenant acceder a los datos de otro es una vulnerabilidad crítica.

Más allá de la autenticación diaria, la gobernanza de identidades garantiza:

• Revisiones periódicas de acceso (certificaciones): los responsables revisan quién tiene acceso
• Aprovisionamiento y desaprovisionamiento automatizados mediante SCIM
• Detección y eliminación de cuentas huérfanas
• Aplicación de la segregación de funciones

¿Qué componente de Zero Trust concede permisos elevados únicamente cuando son necesarios, durante un tiempo limitado y con aprobación, en lugar de asignar roles de administrador permanentemente?

Identidad en Zero Trust: un IdP centralizado con SSO (SAML/OIDC), MFA y políticas de acceso condicional. Verificación de dispositivos mediante comprobaciones de cumplimiento de MDM y certificados de dispositivos. JIT/PIM elimina los privilegios de administrador permanentes. Identidad de servicios mediante mTLS y SPIFFE. La gobernanza de identidades, con revisiones de acceso y aprovisionamiento automatizado mediante SCIM, garantiza que se mantenga el mínimo privilegio con el tiempo.