Autenticación continua

En síntesis

La autenticación continua es el esquema que sigue evaluando, mientras la sesión está abierta, si quien opera es la misma persona que se autenticó al inicio. En lugar de tratar el acceso como un control único en la puerta, trata la identidad de la sesión como algo que se sostiene o se pierde con el tiempo.

La comprobación es pasiva. La persona no vuelve a hacer nada, salvo que alguna señal justifique interrumpirla.

El problema que abre una sesión ya autenticada

Toda autenticación produce una sesión, y esa sesión es lo que el sistema acepta después como prueba de identidad. El MFA más exigente responde una pregunta en un instante y no vuelve a preguntar nada.

Ahí quedan tres huecos concretos.

• Robo de sesión — quien obtiene el token de sesión opera como el titular sin haber pasado nunca por la autenticación. El control de la puerta ya ocurrió.
• Toma del dispositivo — el equipo desbloqueado cambia de manos, dentro de una sesión legítima.
• Fraude asistido a distancia — el titular es guiado por teléfono para operar en beneficio de otro. La persona correcta hace la operación equivocada, y ninguna comprobación de identidad la detecta.

Los tres comparten la misma característica: la autenticación funcionó. Lo que falló fue suponer que su resultado sigue siendo cierto una hora después.

Qué se evalúa mientras la sesión sigue abierta

Las señales son de contexto y de comportamiento, y se leen sin pedirle nada al usuario.

• Biometría de comportamiento — el ritmo de tecleo, la forma de desplazar la pantalla, cómo se sostiene el dispositivo. Es un patrón estadístico, no una identificación, y por eso funciona como señal y no como prueba.
• Contexto del dispositivo — cambios en el equipo, en la red o en su postura de seguridad durante la sesión.
• Consistencia de la sesión — que el token siga usándose desde el mismo dispositivo y en condiciones compatibles con el inicio.
• Coherencia de la actividad — que lo que se está haciendo se parezca a lo que esa persona hace habitualmente.

Ninguna de estas señales identifica a nadie por sí sola. Su valor está en el cambio: lo que importa no es cómo escribe una persona, sino que a mitad de la sesión empiece a escribir distinto.

Continua, adaptativa y reautenticación no son lo mismo

Los tres términos se mezclan en las conversaciones de producto y describen momentos distintos.

• Reautenticación — volver a pedir el factor cada cierto tiempo o antes de una operación determinada. Es una interrupción programada.
• [Autenticación adaptativa](/glosario/autenticacion-adaptativa) — evaluar el riesgo en un evento puntual, típicamente el acceso o una operación sensible, y decidir si elevar la exigencia.
• Autenticación continua — evaluar de forma permanente, en segundo plano, y disparar una de las dos anteriores cuando la evidencia se degrada.

Puestas juntas, la relación es clara: la continua es la que observa, y la adaptativa es la que actúa cuando lo observado deja de cerrar. Una sesión de SSO larga es justamente el caso donde esa combinación rinde más, porque la comodidad de no volver a autenticarse es también una ventana larga para quien roba el token.

El monitoreo permanente agrega obligaciones, no solo capacidades

Evaluar comportamiento de forma continua implica tratar datos de las personas mientras usan el producto, y eso cae bajo las normas de protección de datos personales de cada país de la región. Hay que poder responder qué se recoge, con qué base legal, por cuánto tiempo se conserva y quién accede.

Es una conversación con el área legal antes que con el área de producto. Un esquema de autenticación continua que no la tuvo es una deuda regulatoria con forma de funcionalidad, especialmente en sectores donde el mismo regulador ya exige conservar evidencia del proceso de identidad.