Datos biométricos: Mayor Seguridad y Riesgos
En los últimos años, hemos asistido a una explosión en el uso de la biometría, en una gran variedad de situaciones en las que ya es posible el uso de técnicas de identificación biométrica. La usabilidad es un factor muy relevante. Otro es la privacidad. Existe una oposición natural a la posibilidad de crear una amplia base de datos personales centralizada. Las empresas deben tener cuidado con la forma en que implementan sus sistemas de autenticación biométrica para evitar violaciones de la privacidad de los empleados o clientes o la exposición inapropiada de información confidencial. Después de todo, mientras que es fácil emitir una nueva contraseña cuando la anterior se ve comprometida, es imposible dar a alguien un nuevo aspecto.
La autenticación biométrica utiliza características físicas o de comportamiento humano para identificar digitalmente a una persona para concederle acceso a sistemas, dispositivos o datos. Ejemplos de estos identificadores biométricos son las huellas dactilares, los patrones faciales, la voz o la cadencia de tecleo. Cada uno de estos identificadores se considera único para el individuo y puede combinarse con otros medios de autenticación para garantizar una mayor precisión en la identificación de los usuarios. Dado que la biometría puede proporcionar un nivel razonable de confianza en la autenticación de una persona, tiene el potencial de mejorar drásticamente la seguridad. Los ordenadores y dispositivos pueden desbloquearse automáticamente cuando detectan las huellas dactilares de un usuario autorizado. Las puertas de la sala de servidores pueden abrirse cuando reconocen el rostro de administradores de sistemas de confianza. Los sistemas de asistencia pueden extraer automáticamente toda la información relevante cuando reconocen la voz de un empleado en la línea de ayuda.
La mayoría de las empresas clasifican la autenticación biométrica como «eficaz» o «muy eficaz» para proteger los datos de identidad almacenados en las instalaciones y afirman que es eficaz para proteger los datos almacenados en una nube pública. La mayoría de las empresas ya utilizan la autenticación biométrica y el resto tiene previsto implantarla en los próximos años.
Tipos de biometría
Un identificador biométrico es aquel que está relacionado con características humanas intrínsecas. Se dividen en dos categorías: identificadores físicos e identificadores de comportamiento. Los identificadores físicos son, en su mayoría, inmutables e independientes del dispositivo. Entre ellos se encuentran:
- Huellas dactilares
Los escáneres de huellas dactilares se han vuelto omnipresentes en los últimos años debido a su amplia implantación en los smartphones. Cualquier dispositivo que se pueda tocar, como la pantalla de un teléfono, el ratón o el panel táctil de un ordenador, o el panel de una puerta, tiene el potencial de convertirse en un escáner de huellas dactilares fácil y cómodo. Según Spiceworks, el escaneo de huellas dactilares es el tipo más común de autenticación biométrica.
- Foto y vídeo
Si un dispositivo está equipado con una cámara, puede utilizarse fácilmente para la autenticación. El reconocimiento facial y los exámenes de retina son dos enfoques comunes.
- Reconocimiento fisiológico
El reconocimiento facial es el tercer tipo de autenticación más común. Otros métodos de autenticación basados en imágenes son el reconocimiento de la geometría de la mano, la lectura del iris o la retina, el reconocimiento de las venas de la palma de la mano y el reconocimiento de la oreja.
- Voz
Los asistentes digitales basados en la voz y los portales de servicios telefónicos ya utilizan el reconocimiento del habla para identificar a los usuarios y autenticar a los clientes.
- Suscripción
Los escáneres de firmas digitales ya se utilizan de forma generalizada en comercios y bancos y son una buena opción para situaciones en las que los usuarios y clientes ya esperan firmar con su nombre.
- ADN
Hoy en día, las pruebas de ADN se utilizan principalmente en las fuerzas del orden para identificar a los sospechosos. En la práctica, la secuenciación del ADN ha sido demasiado lenta para su uso generalizado. Esto está empezando a cambiar. Ya existe la posibilidad de realizar un cotejo de ADN en cuestión de minutos.
Enfoques más comunes
Los identificadores de comportamiento son un enfoque más reciente y, en general, se utilizan junto con otro método debido a su baja fiabilidad. Sin embargo, a medida que la tecnología mejore, estos identificadores de comportamiento pueden tener su uso ampliado. A diferencia de los identificadores físicos, que están limitados a un cierto conjunto fijo de características humanas, los únicos límites de los identificadores de comportamiento son la imaginación humana.
Hoy en día, este enfoque se utiliza a menudo para distinguir entre un humano y un robot. Esto puede ayudar a una empresa a filtrar el spam o detectar los intentos de fuerza bruta para iniciar sesión y contraseña. A medida que la tecnología mejora, es probable que los sistemas mejoren la identificación precisa de las personas, pero siguen siendo menos eficaces para distinguir entre humanos y robots. He aquí algunos enfoques comunes:
- Patrones de escritura
Cada persona tiene un estilo de escritura diferente. La velocidad a la que escribimos, el tiempo que tardamos en pasar de una letra a otra, el grado de impacto en el teclado, todo ello se tiene en cuenta.
- Movimientos físicos
La forma en que alguien camina es única para un individuo y puede utilizarse para autenticar a los empleados de un edificio o como capa secundaria de autenticación para lugares especialmente sensibles.
- Normas de navegación
Los movimientos del ratón y de los dedos en trackpads o pantallas táctiles son exclusivos de los individuos y relativamente fáciles de detectar con el software, sin necesidad de hardware adicional.
- Patrones de compromiso
Todos interactuamos con la tecnología de diferentes maneras. El modo en que abrimos y utilizamos las aplicaciones, los lugares y momentos del día en los que es más probable que utilicemos nuestros dispositivos, el modo en que navegamos por los sitios web, la forma en que inclinamos nuestros teléfonos cuando los sujetamos o incluso la frecuencia con la que consultamos nuestras cuentas en las redes sociales son características de comportamiento potencialmente únicas. Hoy en día, estos patrones de comportamiento pueden utilizarse para distinguir a las personas de los bots. Y también pueden utilizarse en combinación con otros métodos de autenticación o, si la tecnología mejora lo suficiente, como medidas de seguridad independientes.
¿Qué fiabilidad tiene la autenticación biométrica?
Las credenciales de autenticación, como los escaneos de huellas dactilares o las grabaciones de voz, pueden filtrarse de los dispositivos, los servidores de la empresa o el software utilizado para analizarlas. También existe un alto potencial de falsos positivos y falsos negativos. Un sistema de reconocimiento facial puede no reconocer a un usuario que lleve maquillaje o gafas, o a alguien que esté enfermo o cansado. Las voces también varían.
Las personas tienen un aspecto diferente cuando se despiertan, o cuando intentan utilizar el teléfono en un entorno público abarrotado, o cuando están enfadadas o impacientes. Los sistemas de reconocimiento pueden ser engañados con máscaras, fotos y grabaciones de voz, con copias de las huellas dactilares o engañados por miembros de la familia o colegas de confianza cuando el usuario legítimo está durmiendo.
Los expertos recomiendan que las empresas utilicen varios tipos de autenticación simultáneamente y que aumenten rápidamente si ven estafas. Por ejemplo, si la huella dactilar coincide, pero la cara no, o se accede a la cuenta desde un lugar inusual en un momento inusual, puede ser el momento de cambiar a un método de autenticación de respaldo o a un segundo canal de comunicación. Esto es especialmente crítico para las transacciones financieras o los cambios de contraseña.
¿Cuáles son los riesgos para la privacidad en la autenticación biométrica?
Algunos usuarios pueden no querer que las empresas recopilen datos sobre, por ejemplo, la hora del día y los lugares en los que normalmente utilizan sus teléfonos. Si esa información se filtra, podría ser utilizada por acosadores o, en el caso de los famosos, por periodistas sensacionalistas. Algunos usuarios pueden no querer que sus familiares o cónyuges sepan dónde están en todo momento.
La información también puede ser utilizada de forma abusiva por regímenes gubernamentales represivos o por fiscales penales que traspasen los límites. Las potencias extranjeras pueden utilizar la información para intentar influir en la opinión pública. Comerciantes y anunciantes poco éticos pueden hacer lo mismo.
Cualquiera de estas situaciones podría llevar a una importante vergüenza pública para la empresa que recogió los datos, a multas reglamentarias o a demandas colectivas. Si los escaneos de ADN se generalizan, podrían dar lugar a toda una nueva área de problemas de privacidad, incluyendo la exposición de las condiciones médicas y las relaciones familiares.
¿Qué tan segura es la autenticación biométrica?
La seguridad de los datos de autenticación biométrica es de vital importancia, incluso más que la seguridad de las contraseñas, ya que las contraseñas se pueden cambiar fácilmente si se exponen. Sin embargo, una huella dactilar o un escáner de retina son inmutables. La divulgación de esta u otra información biométrica puede poner a los usuarios en riesgo permanente y crear una importante exposición legal para la empresa que pierde los datos. En caso de infracción, se crea un enorme desafío porque las asignaciones físicas, como las huellas dactilares, no pueden ser reemplazadas. Los datos biométricos en manos de una entidad corrupta también tienen implicaciones muy temibles pero reales.
En última instancia, cada empresa es responsable de sus propias decisiones de seguridad. No es posible externalizar el cumplimiento de la normativa, pero puede reducir el coste del cumplimiento y las posibles repercusiones de una filtración eligiendo al proveedor adecuado. Además, las empresas que no mantienen credenciales registradas tienen algunas protecciones legales. Por ejemplo, muchos minoristas pueden evitar importantes costes de cumplimiento manteniendo sus sistemas «fuera de alcance». La información de pago se cifra directamente en el terminal de pago y pasa directamente a un procesador de pagos. Los datos brutos de las tarjetas de pago nunca tocan los servidores de la empresa, lo que reduce las implicaciones de cumplimiento y los posibles riesgos de seguridad.
Si una empresa necesita recopilar información de autenticación y mantenerla en sus propios servidores, deben aplicarse las mejores prácticas de seguridad. Esto incluye el cifrado de los datos en reposo y en tránsito. Existen nuevas tecnologías para el cifrado en tiempo de ejecución, que mantienen los datos cifrados incluso mientras se utilizan. El cifrado no es una garantía absoluta de seguridad, por supuesto, si las aplicaciones o los usuarios autorizados a acceder a los datos se ven comprometidos. Sin embargo, hay algunas formas en las que las empresas pueden evitar mantener los datos de autenticación encriptados en sus servidores.
Autenticación local o basada en dispositivos
El ejemplo más común de un mecanismo de autenticación local es el módulo de seguridad de hardware de un smartphone. La información del usuario, como un escáner de huellas dactilares, una imagen facial o una impresión de voz, se almacena dentro del módulo. Cuando se requiere la autenticación, la información biométrica es recogida por el lector de huellas dactilares, la cámara o el micrófono y enviada al módulo, donde se compara con el original. El módulo indica al teléfono si la nueva información se corresponde o no con la que ya tenía almacenada. Con este sistema, la información biométrica en bruto nunca es accesible para ningún software o sistema fuera del módulo, incluido el propio sistema operativo del teléfono. En la actualidad, los módulos de seguridad de hardware de los teléfonos inteligentes se utilizan para proporcionar seguridad, así como para autenticar aplicaciones de terceros.
Las empresas también pueden utilizar lectores biométricos basados en teléfonos inteligentes siempre que sus usuarios o clientes tengan acceso a los mismos, sin tener que recopilar y almacenar nunca la información de identificación biométrica en sus propios servidores. Existe una tecnología similar para otros tipos de dispositivos, como las tarjetas inteligentes, las cerraduras inteligentes o los escáneres de huellas dactilares para PC. El reconocimiento de huellas dactilares basado en el teléfono es el mecanismo de autenticación biométrica más común hoy en día. La autenticación basada en el teléfono inteligente ofrece importantes ventajas de usabilidad. En primer lugar, los usuarios tienden a averiguar inmediatamente si han perdido su teléfono inteligente, tomando medidas inmediatas para localizarlo o reemplazarlo. Sin embargo, si pierden una tarjeta de identificación que sólo utilizan para acceder a un edificio durante sus horas libres, es posible que no se den cuenta durante un tiempo de que ya no está en su poder. Los fabricantes de teléfonos inteligentes también están en plena carrera por mejorar y facilitar el uso de su tecnología. Ninguna otra industria o empresa individual puede igualar la escala de inversión en móviles o las pruebas de usabilidad y seguridad que reciben los teléfonos.
Por último, la autenticación telefónica ofrece a los usuarios la máxima flexibilidad. Pueden optar por teléfonos con identificación facial, escáner de huellas dactilares o reconocimiento de voz, o alguna otra tecnología nueva que aún no se ha inventado, pero que dominará el mercado mañana. Sin embargo, el uso de un mecanismo de terceros, como los teléfonos inteligentes de los consumidores, pone el proceso de autenticación fuera del control de la empresa. Otro inconveniente de la autenticación basada en dispositivos, en general, es que la información sobre la identidad se limita a ese único dispositivo. Si las personas utilizan una huella dactilar para desbloquear su teléfono inteligente, tampoco pueden utilizar la misma huella dactilar para desbloquear la puerta de la oficina sin autorizar por separado la cerradura de la puerta o para desbloquear el ordenador sin autorizar por separado el escáner de huellas dactilares del ordenador.
Las empresas que necesitan autenticar a los usuarios o clientes en múltiples dispositivos en múltiples lugares necesitan tener algún tipo de mecanismo centralizado para almacenar las credenciales de autenticación o aprovechar un dispositivo que el usuario lleva consigo en todo momento. Por ejemplo, las empresas pueden colocar el mecanismo de autenticación dentro de un sello inteligente que los empleados utilizan en la oficina. También pueden utilizar un smartphone para autenticar al empleado y luego comunicar la verificación de la identidad a otros dispositivos y sistemas a través de Bluetooth, NFC, Wi-Fi o Internet.
Tokenización o cifrado
Otro enfoque para permitir que los nuevos dispositivos reconozcan a los usuarios autorizados es la tokenización, el cifrado unidireccional o la función hash. Digamos, por ejemplo, que la identificación por retina, voz o huella dactilar se utiliza para reconocer y autenticar a los empleados allí donde puedan ir dentro de una empresa, pero ésta no quiere que los archivos de imagen o audio se almacenen en servidores donde los hackers o los empleados malintencionados puedan hacer un mal uso de ellos.
En su lugar, la empresa utilizaría un dispositivo que, digamos, escanea la cara o la huella dactilar de una persona, convierte esa imagen en un código único y luego envía ese código al servidor central para la autenticación. Cualquier dispositivo que utilice el mismo método de conversión puede entonces reconocer al empleado y los datos de identificación en bruto nunca estarán disponibles en ningún sistema.