¿Qué es el Nivel de Garantía de Autenticación (AAL)?

¿Qué es el AAL (Nivel de Garantía de Autenticación)?#

El Nivel de Garantía de Autenticación (AAL, por sus siglas en inglés) se refiere a una clasificación utilizada para describir la fortaleza y fiabilidad de los procesos de autenticación. Definido en la Publicación Especial SP 800-63-3 del NIST, el AAL ayuda a las organizaciones a determinar el nivel de seguridad adecuado para sus interacciones digitales.

Existen tres niveles de AAL:

AAL1: Garantía Básica#

• Ofrece cierta confianza en la autenticación del usuario.
• Generalmente implica una autenticación de un solo factor, como una contraseña o un dispositivo OTP.

AAL2: Garantía Alta#

• Requiere dos factores diferentes para la autenticación.
• Este nivel aborda medidas de seguridad adicionales como la resistencia a ataques de repetición y tiempos de reautenticación más cortos.
• Las passkeys sincronizadas cumplen con el nivel AAL2.

AAL3: Garantía Muy Alta#

• Implica una autenticación multifactor que utiliza un autenticador basado en hardware.
• Presenta requisitos de seguridad estrictos, incluyendo la resistencia a la suplantación del verificador y la resistencia a la vulneración del verificador.
• Las passkeys vinculadas al dispositivo cumplen con el nivel AAL3.

Cada nivel se adapta a diferentes necesidades de seguridad, desde entornos de bajo riesgo en AAL1 hasta altas exigencias de seguridad en AAL3.

---

A continuación, se ofrece un análisis más profundo de los niveles de garantía de autenticación y sus implicaciones:

AAL1: Accesibilidad y Riesgos#

• Dirigido a aplicaciones de baja seguridad donde se prioriza la comodidad.
• Vulnerable a amenazas de seguridad comunes debido a la dependencia de formas de autenticación simples como las contraseñas (p. ej., Phishing, ataque Man-in-the-Middle, Credential Stuffing, ...)

AAL2: Medidas de Seguridad Mejoradas#

• Adecuado para transacciones que requieren una mayor seguridad.
• Combina factores físicos (p. ej., tokens de seguridad) y factores basados en el conocimiento (p. ej., contraseñas) para reforzar la seguridad.

AAL3: Estándares de Seguridad Más Altos#

• Diseñado para entornos de alto riesgo, garantizando la máxima seguridad.
• Utiliza medidas criptográficas avanzadas y resistencia del hardware a la manipulación física.

Mejoras en AAL Relacionadas con las Passkeys#

• El NIST aprueba las passkeys sincronizadas (p. ej., a través del Llavero de iCloud) como compatibles con AAL2, mejorando el marco de seguridad para las entidades digitales y allanando el camino para una adopción más amplia de las passkeys.
• Las passkeys también se pueden utilizar en escenarios de mayor riesgo como autenticación compatible con AAL3, si son passkeys vinculadas al dispositivo, que no permiten la sincronización de passkeys entre dispositivos como en AAL2.

Lea más sobre la conformidad de las passkeys con el AAL en este blog.

---

Preguntas Frecuentes sobre el Nivel de Garantía de Autenticación (AAL)#

¿Qué es AAL1 y cuándo se utiliza?#

AAL1 proporciona seguridad de autenticación básica, comúnmente utilizada en entornos de bajo riesgo donde la comodidad del usuario es una prioridad.

¿Cómo mejora AAL2 la seguridad con respecto a AAL1?#

AAL2 requiere dos factores de autenticación diferentes, lo que reduce significativamente el riesgo de acceso no autorizado en comparación con AAL1.

¿Cuáles son los requisitos para AAL3?#

AAL3 es el nivel más alto de garantía de autenticación, que implica autenticadores basados en hardware y medidas de seguridad estrictas como la resistencia a la suplantación del verificador.

¿Cómo afectan las passkeys a las clasificaciones AAL?#

Las passkeys sincronizadas (p. ej., a través del Llavero de iCloud) se clasifican como compatibles con AAL2, mientras que las passkeys vinculadas al dispositivo se clasifican como compatibles con AAL3. Lea más al respecto en este blog.

Acerca de Corbado

Corbado es la Passkey Intelligence Platform para equipos de CIAM que gestionan autenticación de consumidores a gran escala. Te ayudamos a ver lo que los logs de tu IDP y las herramientas de analytics genéricas no muestran: qué dispositivos, versiones de SO, navegadores y gestores de credenciales soportan passkeys, por qué los registros no se convierten en inicios de sesión, dónde falla el flujo de WebAuthn y cuándo una actualización de SO o navegador rompe el login en silencio — todo sin reemplazar Okta, Auth0, Ping, Cognito o tu IDP propio. Dos productos: Corbado Observe aporta observabilidad para passkeys y cualquier otro método de login. Corbado Connect añade passkeys gestionados con analytics integrado (junto a tu IDP). VicRoads ejecuta passkeys para más de 5M de usuarios con Corbado (+80 % de activación de passkey). Habla con un experto en Passkeys →