Latch: Cómo proteger las identidades digitales (II de IV)

Bajo las premisas anteriores comenzamos a trabajar en Eleven Paths sobre un proyecto que internamente llamamos Path 2 y que tenía como objetivo permitir que un usuario pudiera apagar y encender una cuenta a gusto, mediante una app en su terminal móvil. Si al final nuestras identidades se usan solo una porción de tiempo al día, ¿por qué no hacer que se apaguen el resto del tiempo? ¿Por que no hacer que estén apagadas mientras dormimos o estamos de vacaciones? ¿Y si conseguimos además que si alguien utiliza el usuario y la contraseña correcta en el sitio, además de bloquear el acceso, hacer que nos llegue una alerta? Y así nació Latch.

Figura 2: Logo de Latch de Eleven Paths

Latch es un servicio en la nube para que los usuarios pueden crear pestillos digitales para poner a sus identidades digitales, y que les permita poner ON/OFF las cuentas con tan solo hacer clic en la identidad que quiere desbloquear o bloquear cuando la vaya a utilizar. 

Digital Latches

Para entender cómo funciona es necesario comprender que en nuestro sistema, una Latch es un Token registrado en el servidor de Latch y que está unido por un lado a un usuario de Latch y por otro a un servicio digital que consultará su estado.

Para ello, inicialmente el usuario se saca una cuenta en el sistema Latch, para lo que necesita únicamente una dirección de e-mail y una contraseña. No se requiere ningún dato más, ni ninguna información relativa a las identidades que el usuario va a proteger con Latch. Ese usuario lo puede sacar directamente desde una web o desde la app del terminal móvil. A partir de ese instante, tras hacer login en la app tendrá una pantalla de inicio con un botón que dice "Add Service".

Desde ese botón se accede a todo el proceso de creación de una Latch para una identidad digital. Para que se pueda poner una Latch en una identidad digital es necesario que el servidor de la identidad se haya integrado con el servicio Latch y haya extendido las propiedades del usuario con espacio para almacenar el Token de la Latch que el usuario genere.

Una vez que el usuario hace clic en el botón de Add Service llega a una pantalla con la opción de Generate Pairing Code. El sistema utiliza una forma similar al que utilizan los dispositivos BlueTooth, por medio de un Token Temporal de Pareado. El usuario entonces introduce el token en sus preferencias de la identidad que quiere proteger y listo. Ya no va a tener que hacer ese proceso nunca más. Solo es necesario introducir el Token Temporal de Pareado una única vez en la vida por cada identidad.

Figura 3: Proceso de establecimiento de Latch a una identidad

El proceso se termina cuando el servidor se conecta al servidor de Latch por medio de su cuenta de servicio y solicita el pareo con ese Token Temporal de Pareado. El servidor de Latch, si el token no está caducado - por defecto dura 60 segundos - o usado, entonces da el OK y genera el Latch que usará para consultar el estado ON u OFF de la cuenta, según el dueño del servicio.

Figura 4: Proceso de solicitud de Token Temporal de Pareo en Latch

Al mismo tiempo, el usuario recibirá una nueva identidad en tu app, que podrá poner ON u OFF con solo hacer clic en ella. Ya no será necesario volver a parearla nunca más. Además, durante todo este proceso no se ha transmitido ningún dato personal ni el terminal móvil almacena ninguna información relativa a las cuentas que protege. De hecho, el servido de Latch no sabe en ningún momento con qué identidad está pareado ese Latch.

Figura 5: Ejemplo de app con Latches en cuentas de diferentes servicios

Tras hacer esto con todas sus identidades digitales, el usuario tendrá una lista como la que se puede ver en la Figura 5, y podrá activarlas o desactivarlas como si de un mando a distancia se tratase. El proceso de verificación de si la cuenta está activa o desactiva lo hará el servidor por medio de la API de Latch y enviando una consulta de estado asociado al Latch del usuario.

El servidor contestará si está ON u OFF y en caso de estar OFF el servidor bloqueará el acceso y el usuario recibirá una alerta que le indica que alguien - tal vez él o tal vez no - ha usado su usuario/password correctos en un sitio pero que ha sido bloqueado, ayudando a detectar el robo de identidad en tiempo real.

Figura 6: Latch app en Android

En la tercera parte de este artículo entraremos en más detalle cómo funciona, pero si quieres probarlo, puedes hacerlo ya desde terminales iPhone o desde Android - Windows Phone está en proceso de revisión, BlackBerry y Firefox OS están en fase de desarrollo - y usando la tienda de 0xWord - que ya tiene activado el servicio de Latch - o este Banco Fake que hemos creado para pruebas llamado "Neleve Bank" - si te sale una alerta de phishing en el navegador es verdad, parece un banco, pero no lo es, así que no metas datos de verdad. Sácate una cuenta de prueba y Latcheala!

Saludos Malignos!

************************************************************************************

- Latch: Cómo proteger las identidades digitales (I de IV)

- Latch: Cómo proteger las identidades digitales (II de IV)

- Latch: Cómo proteger las identidades digitales (III de IV)

- Latch: Cómo proteger las identidades digitales (IV de IV)

************************************************************************************