Implementación de mecanismos de autenticación 2FA y Qr para el sistema de información de la Junta de Agua Potable y Saneamiento de la comunidad de Pijal Alto – JAAPYS

Abstract

Este trabajo se desarrolló con el propósito de implementar mecanismos de autenticación 2FA y QR en un Sistema de Información existente de la Junta de Agua Potable y alcantarillado Pijál Alto, que por su época de desarrollo solo se había contemplado un mecanismo de autenticación basado en usuario y contraseña sin las seguridades necesarias para contrarrestar ataques y acceso no autorizado al sistema de información. La guía metodológica de OWASP WSTG y sus pruebas WSTG-INFO-01 hasta WSTG-INFO-08, WSTG-ATHN-01 hasta WSTG-ATHN-11 y WSTG-INPV-05 nos ha permitido identificar vulnerabilidades en la autenticación y diseño de la aplicación web desarrollado en lenguaje PHP, entre las vulnerabilidades que podemos mencionar es: la aplicación transportaba sus credenciales sobre canales no cifrados http, debilidades en las credenciales por defecto, falta de mecanismos de bloqueo y desbloqueo, acceso directo a páginas confidenciales, inyección SQL, tokens y credenciales sin tiempo de expiración y sin seguridad, ausencia de políticas de generación de credenciales, credenciales sin cifrado, falta de un mecanismo de autenticación 2FA, etc. Descubierto estas deficiencias nos hemos visto en la necesidad de remedir estas vulnerabilidades y robustecer con un doble factor de autenticación que en nuestro caso es 2FA ya sea por correo electrónico o QR con Google Autenticator. Continuamos con el desarrollo de las soluciones con un nuevo Front-end que utiliza la misma base de datos que fue necesario usarla para la continuidad del negocio. Bibliotecas de desarrollo Bootstrap framework, Implementation QR 2-D, instascan, php Mailer, Php Google Autenticator 2-factor, JQuery-datatables, jquery, Popper, sweetaler2, fueron muy importantes para plasmar la solución. Finalmente, realizamos una evaluación de los mismos puntos utilizando WSTG de OWASP pudiendo determinar mejor fortaleza en el mecanismo de autenticación del sistema.