LecturaQué es A07 y por qué sigue pasando
Cada vez que una aplicación le pregunta quién es usted, se juega algo importante: si la respuesta se puede falsificar, todo lo demás pierde sentido. Los permisos, el cifrado y los registros dependen de que la identidad sea la correcta. La categoría A07:2021, fallas de identificación y autenticación, agrupa los errores que permiten a alguien entrar como otra persona o mantenerse dentro cuando ya no debería.
Qué es: tres pasos que suelen confundirse
Un inicio de sesión hace, en realidad, tres cosas seguidas:
- Identificación: usted dice quién es, por ejemplo escribiendo
[email protected]. Todavía no ha demostrado nada. - Autenticación: usted prueba que de verdad es esa persona, con una contraseña, un código o una passkey.
- Sesión: la aplicación le entrega una "pulsera de entrada", normalmente una cookie, para no pedirle la contraseña en cada clic.
A07 cubre las fallas en cualquiera de los tres pasos. Lo que viene después, decidir qué puede hacer cada identidad, es autorización y corresponde a A01, control de acceso roto.
Breve historia
| Año | Hito |
|---|---|
| 1961 | El sistema CTSS del MIT introduce las contraseñas para separar a los usuarios de una computadora compartida |
| 2003 | OWASP publica su primer Top 10; "autenticación y gestión de sesiones rotas" ya aparece en la lista |
| 2013 y 2017 | La categoría ocupa el segundo lugar del Top 10 |
| 2017 | NIST SP 800-63B abandona las reglas de composición y los cambios periódicos de contraseña |
| 2019 | WebAuthn se convierte en estándar del W3C, la base técnica de las passkeys |
| 2021 | Baja al séptimo lugar y cambia de nombre a "fallas de identificación y autenticación" |
| 2025 | NIST publica la revisión 4 de SP 800-63B; el Top 10 2025 mantiene la categoría en el séptimo lugar con el nombre más corto "fallas de autenticación" (Authentication Failures) |
Bajó en 2021 porque los marcos modernos traen login y sesiones ya resueltos, pero no desapareció: los equipos siguen escribiendo su propio login o configurándolo a medias. Este curso usa la numeración 2021, la más citada.
Qué entra en A07
OWASP asocia esta categoría con más de veinte debilidades del catálogo CWE. Estas son las que verá durante el curso:
| CWE | Nombre corto | Cómo se ve en la práctica |
|---|---|---|
| CWE-287 | Autenticación incorrecta | El sistema acepta una identidad sin comprobarla bien |
| CWE-307 | Intentos excesivos sin restricción | El login permite miles de intentos por minuto |
| CWE-521 | Requisitos de contraseña débiles | Se aceptan contraseñas como 123456 |
| CWE-384 | Fijación de sesión | El identificador de sesión no cambia al iniciar sesión |
| CWE-613 | Expiración de sesión insuficiente | La sesión sigue viva días después o tras cerrar sesión |
| CWE-640 | Recuperación de contraseña débil | Enlaces de restablecimiento predecibles o que no vencen |
| CWE-204 | Diferencias observables en la respuesta | Mensajes distintos para "usuario no existe" y "clave incorrecta" |
| CWE-798 | Credenciales incrustadas | Una contraseña de administrador escrita en el código |
Por qué importa y por qué sigue pasando
Tres causas raíz se repiten en casi todos los incidentes de esta categoría:
- Reinventar la rueda. Alguien escribe su propio login en una tarde, con un
ifque compara contraseñas, sin pensar en los intentos ilimitados. - Pensar solo en el camino feliz. Se prueba que el usuario correcto entra, no al que intenta diez mil veces ni el enlace de recuperación usado dos veces.
- Confiar en que la contraseña basta. Miles de millones de pares de correo y contraseña circulan tras filtraciones. Como muchas personas reutilizan su clave, un atacante no necesita adivinar: solo probar lo que ya tiene.
Los informes públicos muestran patrones constantes: tiendas y plataformas de streaming con relleno de credenciales masivo, empresas comprometidas por una cuenta de acceso remoto sin MFA, ataques de fatiga de MFA con notificaciones push repetidas y enlaces de recuperación predecibles. En Costa Rica, una cuenta tomada puede terminar en transferencias SINPE fraudulentas o en la exposición de datos protegidos por la Ley 8968.
Por eso esta categoría toca a varios roles: quien desarrolla escribe el login, quien revisa código lo audita con ASVS y quien trabaja en un SOC recibe las alertas de cuentas tomadas.
Dónde se usa la autenticación
- Formularios de login web, el foco de este curso.
- APIs con tokens o llaves, que también se roban y se prueban en masa.
- Aplicaciones móviles, que suelen hablar con la misma API del sitio web.
- Inicio de sesión único (SSO) corporativo, donde una cuenta abre muchas aplicaciones.
- VPN, correo y escritorios remotos, el punto de entrada favorito en incidentes de ransomware.
Conceptos clave
| Concepto | Qué significa |
|---|---|
| Credencial | Lo que prueba la identidad: contraseña, código, llave o passkey |
| Factor | Tipo de prueba: algo que sabe, algo que tiene o algo que es |
| MFA | Autenticación multifactor: combinar al menos dos factores de tipos distintos |
| Sesión | Estado que recuerda que usted ya se autenticó, ligado a un identificador |
| Cookie de sesión | Dato que el navegador reenvía en cada petición con ese identificador |
| Hash de contraseña | Resultado de una función de un solo sentido; se guarda en lugar de la contraseña |
| Toma de cuenta | Cuando un atacante logra usar la cuenta de otra persona |