Modeling Failure Dynamics in Time-Constrained Authentication Systems: Evidence of a Success Cliff in USSD Workflows

Resumen Técnico: Modelado de la Dinámica de Fallos en Sistemas de Autenticación con Restricciones Temporales

Planteamiento del Problema
Los sistemas interactivos con restricciones de tiempo, particularmente el USSD (Unstructured Supplementary Service Data) utilizado para servicios financieros móviles, operan bajo límites estrictos de sesión (típicamente ~120 segundos) y una interacción de usuario secuencial. Si bien los mecanismos de autenticación mejorados (por ejemplo, la autenticación de múltiples factores, los SMS OTP) mejoran la seguridad, introducen complejidad de interacción y cargas temporales. El problema central abordado es la falta de comprensión sobre cómo la complejidad de la autenticación, el tiempo de respuesta del usuario y las condiciones de la red interactúan para causar fallos en la sesión. La investigación existente se centra en fortalecer los protocolos o identificar vulnerabilidades, pero no logra modelar la fiabilidad operativa de estos flujos de trabajo bajo restricciones temporales del mundo real. Específicamente, existe una brecha en la comprensión de si pequeños incrementos en la complejidad conducen a una degradación gradual o a un colapso abrupto y no lineal en las tasas de éxito de la sesión.

Metodología
Los autores proponen un marco basado en simulaciones para modelar la dinámica de fallos en los flujos de trabajo de autenticación USSD. La metodología implica:

1. Modelado del Sistema: Una sesión USSD se modela como una secuencia de $N$ pasos (navegación base y autenticación). El tiempo total de la sesión ($T_{session}$) es la suma del tiempo de respuesta del usuario ($U_k$), el tiempo de ida y vuelta de la red ($R_k$), el retraso de bloqueo ($H_k$) y los retrasos de reintento ($D_k$).
2. Parametrización:
   • Tiempo de Respuesta del Usuario ($U_k$): Modelado mediante un modelo de nivel de pulsación de teclas (KLM) modificado y adaptado para teclados numéricos de teléfonos básicos, incorporando tiempos de procesamiento cognitivo, entrada física y cambio de contexto.
   • Latencia de Red ($R_k$): Modelada como una variable estocástica extraída de distribuciones Gamma que representan condiciones de red baja, media y alta (desde urbana estable hasta rural degradada).
   • Retraso de Bloqueo ($H_k$): Una variable crítica que representa el tiempo transcurrido mientras se espera la entrega de un subsistema externo (por ejemplo, un SMS OTP). Se modela como una distribución uniforme $U(5, 30)$ segundos, durante la cual el temporizador de la sesión continúa contando hacia abajo sin interacción del usuario.
   • Abandono: Tres modelos probabilísticos (basado en tiempo, basado en eventos y combinado) simulan el desinterés del usuario antes de los tiempos de espera estrictos (timeouts).
3. Métrica de Complejidad: La complejidad de la autenticación ($C_j$) se define como un proxy basado en el tiempo relativo a un PIN base de 4 dígitos.
4. Diseño Experimental: Se realizaron cuatro experimentos controlados con 50,000 ejecuciones de simulación cada uno, variando la complejidad de la autenticación (desde un PIN único hasta pasos múltiples con OTP), la latencia de red y la presencia de retrasos de bloqueo.
5. Análisis de Sensibilidad: La robustez de los hallazgos se probó contra variaciones en las probabilidades de error y los umbrales de detección del "Acantilato de Éxito" (Success Cliff).

Contribuciones Clave
El artículo introduce el concepto de "Acantilado de Éxito" (Success Cliff), un fenómeno de fallo no lineal donde las tasas de éxito de la sesión disminuyen drásticamente una vez que la complejidad de la autenticación supera un umbral crítico.

• Definición Formal: El Acantilado de Éxito ($Q$) se define matemáticamente como el nivel de complejidad donde la caída en la tasa de éxito ($\Delta$) y la aceleración de esa caída ($\Gamma$) exceden umbrales específicos.
• Identificación de la Condición Necesaria: El estudio identifica el retraso de bloqueo (espera de entrega fuera de banda) como la condición necesaria para la emergencia del Acantilado de Éxito. La complejidad por sí sola resulta en una degradación gradual y manejable, pero la interacción entre los retrasos de bloqueo estocásticos y los presupuestos de tiempo de sesión fijos causa un colapso abrupto.
• Taxonomía de Fallos: La investigación distingue entre dos regímenes de fallo:
  1. Degradación Gradual: Causada por la acumulación de complejidad dentro de la banda (in-band) y la latencia de red, lo que conduce a descensos predecibles en las tasas de éxito.
  2. Colapso No Lineal: Causado específicamente por la introducción de retrasos de bloqueo, que agotan el presupuesto de la sesión a través de mecanismos concurrentes (tiempo de espera de la sesión, tiempo de espera de la aplicación y tiempo de espera de respuesta del usuario).

Resultos

• Viabilidad de la Línea Base: Los flujos estándar de PIN único (baja complejidad) mantienen tasas de éxito superiores al 98% en diversas condiciones de red.
• Complejidad Sin Retraso de Bloqueo: El aumento de los pasos de autenticación (por ejemplo, múltiples PIN o desafío-respuesta) sin retrasos externos resulta en un descenso lineal y gradual de las tasas de éxito (una caída de aproximadamente 2.3–3.3 puntos porcentuales de baja a alta complejidad). No se detecta ningún Acantilado de Éxito.
• El Impacto del Retraso de Bloqueo: Cuando se introduce el SMS OTP (retraso de bloqueo):
  • Se detecta un Acantilado de Éxito en todas las condiciones de red, incluyendo la de baja latencia.
  • La transición del nivel de complejidad C3 (alta complejidad sin OTP) al C4 (alta complejidad con OTP) desencadena una caída brusca en las tasas de éxito.
  • Bajo una alta latencia de red, la tasa de éxito para la configuración C4 colapsa al 74.88%–75.28%, muy por debajo del umbral de viabilidad operativa del 98%.
  • El retraso de bloqueo introduce un segundo modo de fallo: Tiempo de Espera de Respuesta del Usuario. Debido a que el retraso de bloqueo consume una parte del presupuesto de tiempo por paso, los tiempos de respuesta normales del usuario que de otro modo tendrían éxito son empujados más allá del límite de tiempo de respuesta del usuario ($\tau_u$).
• Robustez: El análisis de sensibilidad confirma que la ubicación del Acantilado de Éxito (en la transición C3-a-C4) es invariante a los supuestos de probabilidad de error y los umbrales de detección cuando el retraso de bloqueo está presente.

Significancia y Reivindicaciones
El artículo sostiene que la fiabilidad operativa de los flujos de trabajo de autenticación segura en entornos con recursos limitados está fundamentalmente amenazada por la interacción entre las esperas de entrega incontrolables y los temporizadores de sesión fijos.

• Amenaza Arquitectónica: El hallazgo principal es que el retraso de bloqueo es la condición necesaria para el fallo no lineal. Los mecanismos de seguridad que dependen de la entrega fuera de banda (como SMS OTP) pueden hacer que los flujos de trabajo USSD sean operativamente inviables en regiones con redes degradadas, incluso si los pasos de autenticación son lógicamente sólidos.
• Implicaciones para la Inclusión Financiera: Para las poblaciones que dependen de USSD como su principal canal financiero, particularmente en zonas rurales con malas condiciones de red, la adopción de estándares de autenticación más estrictos podría conducir a tasas de fallo excluyentes. El estudio sugiere que, si bien la acumulación de complejidad es una preocupación, la introducción de retrasos de bloqueo plantea un riesgo estructural más severo.
• Guía de Diseño: El trabajo proporciona un marco para que los diseñadores evalúen si una propuesta de configuración de autenticación es operativamente viable antes de su despliegue, destacando que las mejoras de seguridad deben sopesarse contra las restricciones temporales específicas del entorno del usuario.

Los autores mantienen una postura modesta, reconociendo que su simulación depende de estimaciones derivadas de KLM y modelos de abandono conservadores. Señalan que las tasas de fallo en el mundo real podrían ser incluso mayores debido a factores como los límites de reintento por paso y la mayor variabilidad de los SMS en áreas rurales, sugiriendo que la dinámica reportada es probablemente una estimación conservadora del problema real.