Autenticación biométrica, qué es y cómo romperla

Basado en el artículo de ANA DASCALESCU

¿Qué es autenticación biométrica?

La autenticación biométrica es simplemente el proceso de verificar la identidad de un sujeto utilizando las
características únicas de su cuerpo, y luego iniciar sesión en un servicio, una aplicación, un dispositivo, etc.

Para entenderlo mejor, la biometría es el nombre general que recibe cualquier tipo de medición y cálculo
corporal. La identificación biométrica verifica que "tú eres tú" basado en las medidas de tu cuerpo. La
autenticación biométrica va un paso más allá y usa esa información para compararlo con una base de datos,
en donde previamente se han almacenado los datos del sujeto a autenticar.

Simplificando: la identificación biométrica es como un vecino que mira a través del agujero de la puerta a dos
personas que golpearon la puerta. El vecino decide cuál de ellos es David en función de la altura, el color del
pelo, el color de los ojos, etc. La autenticación biométrica es el vecino que mira a través del agujero y, si se
trata de David, lo deja entrar. Si no es, la puerta permanece cerrada.

El concepto es sencillo, lo complicado es la tecnología detrás de esto y lo que trataremos en esta extensa
explicación de autenticación biométrica, una tecnología fascinante con una adopción significativa en el
presente y un gran potencial en el futuro.

¿Cómo funciona la autenticación biométrica?

La autenticación biométrica funciona al comparar dos conjuntos de datos: el primero está predeterminado
por el propietario del dispositivo, mientras que el segundo pertenece a un "usuario visitante" del dispositivo.
Si los dos datos son casi idénticos, el dispositivo sabe que "visitante" y "propietario" son uno y lo mismo, y
dan acceso a la persona.

Lo importante a tener en cuenta es que la coincidencia entre los dos conjuntos de datos tiene que ser casi
idéntica pero no exactamente idéntica. Esto se debe a que es casi imposible que dos datos biométricos
coincidan al 100%. Por ejemplo, se puede tener un dedo ligeramente sudoroso o una pequeña cicatriz que
cambia el patrón de impresión.

Diseñar el proceso para que no requiera una coincidencia exacta disminuye en gran medida la posibilidad de
un falso negativo (el dispositivo no reconoce la huella dactilar) pero también aumenta las probabilidades de
que una huella dactilar falsa se considere genuina (un atacante haciéndose pasar por el usuario real).

Métodos de autenticación biométrica populares

Hay varios tipos de identificación a través del propio cuerpo. A continuación, se muestran las tecnologías
biométricas más populares.

Escáneres de huellas digitales

Hay tres tipos de escáneres de huellas digitales: óptico, capacitivo y de ultrasonido.
 Un escáner óptico toma una fotografía del dedo, identifica el patrón de impresión y luego lo compila en
un código de identificación.
 Un escáner capacitivo funciona midiendo las señales eléctricas enviadas desde el dedo al escáner. Las
crestas de impresión, que tocan directamente el escáner, envían corriente eléctrica, mientras que los
valles entre las crestas crean espacios de aire. Un escáner capacitivo básicamente mapea estos puntos
de contacto y huecos de aire, lo que resulta en un patrón único. Este método es el utilizado por los
teléfonos inteligentes y computadoras portátiles actuales.
 Los escáneres ultrasónicos harán su aparición en la próxima generación de teléfonos inteligentes.
Básicamente, estos emiten ultrasonidos que se reflejan en el escáner y, similar a uno capacitivo, forman
un mapa del dedo único para el individuo.
¿Cómo se almacenan sus huellas dactilares?
Tanto Google como Apple almacenan su huella digital en el dispositivo y (supuestamente) no hacen una copia
en sus propios servidores.

TouchID de Apple no almacena la imagen real de la huella digital, sino una representación matemática de la
misma. Entonces, incluso si un atacante alcanza esta representación matemática, no puede realizar
ingeniería inversa para revelar la imagen real de la huella dactilar. No solo eso, sino que los datos de las
huellas dactilares en sí están cifrados.

Como señala este investigador, TouchID puede ser atacando, pero sigue siendo un método muy seguro de
autenticación biométrica. Para que alguien hackee un iPhone usando sensores TouchID, necesitarían una
copia realmente buena de la huella dactilar de alguien. Esto les permitiría acceder al teléfono, pero no a una
copia de su huella digital, por lo que es diferente al robo de una contraseña.

Además, ni siquiera el sistema operativo del dispositivo puede acceder directamente a los datos de las huellas
dactilares, y mucho menos una aplicación. Igualmente, Apple se ha alejado de la autenticación de escaneo
de huellas dactilares y ha comenzado a reemplazar TouchID por FaceID.

Los teléfonos con Android operan bajo pautas similares. Almacenan los datos de la huella digital en una parte
segura del procesador principal llamada Trusted Execution Environment (TEE). El TEE está aislado de otras
partes del procesador y no interactúa directamente con las aplicaciones instaladas. Al igual que con los
dispositivos Apple, los datos de huellas digitales se almacenan en un estado cifrado. Además, la eliminación
de un usuario del dispositivo también debería eliminar las huellas dactilares almacenadas en él.

Muchos desarrolladores de teléfonos inteligentes pretenden incorporar escáneres de huellas digitales

directamente en la pantalla. La empresa Vivo fue la primera en comercializar dicho dispositivo. El teléfono
Vivo tiene un sensor Synaptic CMOS, una pequeña cámara pegada a la parte posterior del panel OLED.
Cuando la pantalla OLED se enciende, también ilumina la huella digital, que el sensor ve y luego la compara
con la información que ya está almacenada. Para los usuarios, el resultado es una experiencia perfecta:
simplemente toca la pantalla con el dedo y el teléfono se desbloquea.

¿Escáneres de ojos?
Los investigadores de seguridad consideran el ojo como una de las partes más confiables del cuerpo para
realizar la autenticación biométrica ya que la retina y el iris permanecen casi sin cambios durante toda la vida
de una persona.
 Un escáner de retina iluminará los complejos vasos sanguíneos del ojo de una persona utilizando luz
infrarroja, haciéndolos más visibles que el tejido circundante. Al igual que las huellas dactilares, no habrá
dos personas que tengan el mismo patrón de retina.
 Un escáner de iris se basa en fotos o videos de alta calidad de uno o ambos iris de una persona. Los iris
también son únicos para el individuo.

Cómo funcionan los escáneres de iris

Cuando se trata de biometría, el iris tiene varias ventajas importantes en comparación con una huella
dactilar:
 No difunde la información cada vez que toca algo.
 El iris se mantiene prácticamente sin cambios a lo largo de toda la vida de una persona. Una huella
dactilar, por otro lado, puede ensuciarse, marcarse o erosionarse.
 No se puede usar una huella digital con las manos sucias o sudorosas. Los iris, sin embargo, no tienen ese
problema.
Sin embargo, los escáneres de iris han demostrado ser fáciles de engañar simplemente al usar una fotografía
de alta calidad de los ojos o la cara del sujeto.
A pesar de estas limitaciones, esta tecnología se ha abierto camino como una característica de seguridad en
aeropuertos, bancos y otros edificios sensibles. Por supuesto, al igual que con otras medidas de seguridad,
se usa en conjunto con otras tecnologías de autenticación.

En la fase de alta/inscripción/enrolamiento, el escáner hace una fotografía del iris del sujeto a enrolar, usando
tanto la luz normal como la luz infrarroja para capturar detalles que de otro modo no serían visibles. Después
que el dispositivo registra el iris de la persona, elimina todos los detalles innecesarios, como las pestañas, y
luego transforma esa información en datos matemáticos, la cifra, y la almacena.

Durante la verificación, el escáner de iris emite nuevamente luz infrarroja para detectar esos detalles ocultos.
Debido a que un escáner de iris suministra su propia luz, también funciona en condiciones de poca luz u
oscuridad.

Reconocimiento de voz
El mayor problema con el reconocimiento de voz es lo fácil que es crear una reproducción de alta calidad de
la voz de una persona. Incluso los teléfonos inteligentes de baja calidad pueden registrar con precisión la voz
de una persona, con inflexiones, tono y acentos.

Por otro lado, el reconocimiento de orador, a diferencia del reconocimiento de voz, busca identificar quién
está hablando y no lo que se dice específicamente.

Para identificar al orador, un software especializado descompondrá las palabras en paquetes de frecuencias
llamados formato. Estos paquetes incluyen el tono de un usuario, y juntos forman la impresión de voz del
sujeto.

La tecnología de reconocimiento de altavoces puede ser:

 Dependiente del texto, lo que significa que se desbloquea después de identificar ciertas palabras o frases
(por ejemplo "¡Hola, Alexa!" para Amazon Echo o "Ok Google").
 Independiente del texto, donde intenta reconocer la voz en sí, pero ignora lo que realmente se dice.
A diferencia de otros métodos mencionados aquí, el reconocimiento de los altavoces viene con un problema
de usabilidad significativo, ya que es fácil que los ruidos de fondo distorsionen la voz de la persona y la
vuelvan irreconocible.

Cuando se trata de dispositivos de consumo, la activación de la voz puede parecer incómoda (por ejemplo,
hablar con Siri en el metro).

Esto no ha impedido que estas tecnologías ganen adopción general. Por ejemplo, el éxito que han logrado
Amazon Echo, Google Home y otros parlantes con control de voz integrados en muchas casas inteligentes.
La experiencia de autenticación biométrica de este tipo de dispositivos es increíble para los usuarios.

Al mismo tiempo, son un riesgo de seguridad.

Otras tecnologías biométricas

Los métodos anteriores son los más conocidos y más populares, pero no los únicos. Estas son algunas otras
tecnologías.

Sistemas de reconocimiento facial

En términos generales, los sistemas de reconocimiento facial abordan la autenticación biométrica desde
muchos ángulos. La forma clásica es simplemente extraer las características de la cara de una imagen (ojos,
nariz, distancia entre tus labios y tu nariz, etc.) y compararlas con otras imágenes para encontrar las
coincidencias.
El análisis de textura de la piel, sus líneas únicas, marcas de belleza, arrugas, etc. se convierten en un espacio
matemático, que luego se compara con otras imágenes.

Estas características pueden ser fácilmente engañados con maquillaje, máscaras o, en algunos casos,
simplemente obstruyendo parte de su rostro. Aquí es donde las imágenes térmicas y otras tecnologías
intensificaron el juego hasta que llegamos a este punto: el de la adopción generalizada de sistemas como el
Apple FaceID.

El iPhone FaceID usa más de 30.000 puntos de infrarrojos para mapear el rostro, luego se crea un mapa 3D
de las características de la cara. Este mapa, como en el caso de Touch ID, se envía a Secure Enclave en la CPU
para compararlo con el ya almacenado en el dispositivo. ¿El resultado? El teléfono es desbloqueado
simplemente mirándolo.

Apple ha dicho que hay un uno en un millón de posibilidades de que alguien más desbloquee un iPhone
usando FaceID. Por supuesto, eso sonó como un desafío para los expertos en seguridad y un investigador de
Vietnam engañó a FaceID con una máscara impresa en 3D hecha de silicona y cinta de papel.

Geometría de las manos y los dedos

Como el caso del de iris o los mapas tridimensionales de caras, nuestras manos son lo suficientemente
diferentes de las de otras personas y eso los convierte en un método de autenticación viable en ciertos casos.

Un escáner de geometría de mano mide el grosor de la palma, la longitud y el ancho de los dedos, la distancia
de los nudillos, etc. Las ventajas de este tipo de sistema son su bajo costo, facilidad de uso y discreción.
También tiene algunas desventajas importantes: el tamaño de una mano puede variar a lo largo del tiempo
y los problemas de salud pueden limitar los movimientos. Más importante aún, una mano no es única, por lo
que el sistema tiene poca precisión.

Geometría de las venas

Nuestro diseño de venas es completamente único y ni siquiera los gemelos tienen la misma geometría. De
hecho, el diseño general es diferente de una mano a otra. Las venas tienen una ventaja adicional ya que son
increíblemente difíciles de copiar y robar porque son visibles bajo circunstancias estrictamente controladas.
Un escáner de geometría de vena ilumina las venas con luz cercana al infrarrojo, lo que hace que sus venas
sean visibles en la imagen.

Ventajas y desventajas de la autenticación biométrica

Las técnicas de autenticación biométrica tienen que ver con la seguridad. Como característica, su principal
competidor es la contraseña (o el código PIN, en ocasiones), por lo que una comparación entre los dos
revelará tanto sus defectos como sus debilidades. Veamos.

Ventaja: facilidad de uso

Una exploración de huellas dactilares o iris es mucho más fácil de usar que una contraseña, especialmente
una larga. Solo se necesita un segundo (y ni eso) para que los teléfonos inteligentes más modernos
reconozcan una huella dactilar y permitan que el usuario acceda al teléfono. Los escáneres de ultrasonido
pronto se convertirán en algo común, ya que los fabricantes pueden colocarlos directamente detrás de la
pantalla, sin tomar ningún espacio adicional en un teléfono.
El reconocimiento de voz, por otro lado, es un poco dudoso y los ruidos de fondo pueden alterar fácilmente
el proceso y hacerlo inoperable.

Desventaja: no se puede revocar la huella dactilar, el iris y la voz de forma remota

Una gran desventaja de la seguridad biométrica es que un usuario no puede alterarlos remotamente. Si se
pierde acceso a un correo electrónico con una contraseña, siempre se puede iniciar una recuperación remota.
Durante este proceso, podrá cambiar su contraseña o agregar autenticación de dos factores.
La biometría, sin embargo, no funciona así: se debe estar físicamente cerca del dispositivo para cambiar de
forma segura el conjunto de datos inicial. Un ladrón podría robar el teléfono inteligente, crear un dedo falso
y luego usarlo para desbloquear el teléfono a voluntad. A menos que haya bloqueado el teléfono de forma
remota, un ladrón robará rápidamente toda la información del dispositivo.

Ventaja: el atacante tiene que estar cerca

La mayor ventaja de la biometría es que un delincuente informático debe tener proximidad física para
recopilar la información necesaria para eludir el inicio de sesión. Esto reduce el círculo de posibles
sospechosos en caso de que el bloqueo biométrico quede anulado de alguna manera.
La proximidad también lo pone en riesgo de ser descubierto in fraganti.

Desventaja: las "huellas dactilares maestras" pueden engañar a muchos teléfonos y escáneres
Cuando se registra una huella digital por primera vez, el dispositivo le pedirá múltiples presiones desde
diferentes ángulos. Estas muestras se usarán como el conjunto de datos original para comparar con los
intentos de desbloqueo posteriores.

Sin embargo, los sensores de teléfonos inteligentes son pequeños, por lo que a menudo dependen de
coincidencias parciales de huellas dactilares.

Los investigadores han descubierto que un conjunto de 5 "huellas dactilares maestras" puede explotar estas
coincidencias parciales y abrir alrededor del 65% de los dispositivos. Es probable que el número disminuya
en las condiciones de la vida real, pero una tasa abierta de incluso 10% a 15% es enorme y puede exponer
millones de dispositivos.

Desventaja: la biometría dura toda la vida

Siempre puede cambiar su contraseña si alguien la aprende, pero no hay forma de modificar su iris, retina o
huella digital. Una vez que alguien tiene una copia de estos, no hay mucho que se pueda hacer para
mantenerse seguro, una cosa es cambiar una contraseña y otra muy distinta es usar otro dedo.

En uno de las mayores fugas de información jamás ocurridos, la Oficina de Administración de Personal de EE.
UU. Filtró 5.6 millones de huellas dactilares de empleados. Para las personas involucradas, una parte de su
identidad siempre estará comprometida. En la Revista CPO, exploran más riesgos del uso de datos
biométricos, especialmente en el contexto de la aplicación de la ley.

Desventaja: vulnerabilidades en el software de autenticación biométrica

Hace un par de años, los investigadores de seguridad descubrieron debilidades en los dispositivos Android
que les permitían extraer remotamente la huella digital de un usuario, usar puertas traseras en el software
para secuestrar pagos móviles o incluso instalar malware. Además, pudieron hacerlo de forma remota, sin
tener acceso físico al dispositivo.

Métodos de hacking para la autenticación biométrica

Los investigadores de seguridad han demostrado una y otra vez cómo engañar a los escáneres de huellas
digitales e iris. Estos son solo algunos de los métodos que usan.

Hackear la huella digital creando un dedo falso

Para abrir un teléfono inteligente protegido con una huella digital, el atacante primero deberá encontrar una
impresión de alta calidad, que contenga una cantidad suficiente de patrones específicos para abrir el
dispositivo. A continuación, el atacante levantará la huella digital, la colocará sobre un laminado de plástico
y luego colocará un dedo para que se ajuste a este molde.

Una vez que crea el dedo falso, todo lo que tiene que hacer es colocarlo en el escáner, presionar con el dedo
para conducir la electricidad y luego usar el teléfono desbloqueado.
Un bloqueo de huella digital es inútil si alguien roba el teléfono, y luego simplemente levanta la impresión
desde el dispositivo.

Hackear un escáner de iris

Para algunos escáneres de iris, todo lo que se necesita es tomar una foto con una cámara barata en modo
nocturno, imprimir el iris en papel y luego colocar una lente de contacto húmeda para imitar la redondez del
ojo humano.

Hackear el sensor biométrico y robar los datos

Otro método más insidioso para obtener los datos de huellas dactilares de un teléfono y desbloquearlo es
hackear directamente la parte del teléfono responsable de almacenar la información.

Para dispositivos iOS, esto significa "romper" Secure Enclave. Técnicamente, esto es posible, pero está más
allá del alcance de un delincuente común y corriente. Los pocos hackings confirmados han sido realizados
por Cellebrite. Aún así, el software y la experiencia podrían alcanzar el mercado masivo y llegar a las manos
de los "Script Kiddies".

En el caso de los dispositivos Android, los investigadores han demostrado que es posible engañar al entorno
de ejecución de confianza proporcionado por Qualcomm al cargar una aplicación personalizada, que luego
ejecuta un escalamiento de privilegios hasta que obtiene un mayor acceso al Trusted Execution Environment
(TEE).

Afortunadamente para nosotros los usuarios, un cibercriminal necesitaría mucha experiencia para hackear
el teléfono de esa manera.

Seguridad biométrica para dispositivos móviles

Aquí hay algunos consejos simples para ayudar a minimizar la cantidad de impresiones que se encuentran en
su teléfono:
 Proteja el teléfono con una cubierta resistente a huellas dactilares u oleófoba y protector de pantalla.
 Use un dedo diferente a su índice o pulgar.
 Si la conveniencia no es su principal preocupación, use tanto la huella digital como la contraseña /
bloqueo de PIN. Esto es especialmente útil para teléfonos inteligentes y portátiles. Aquí hay una guía
completa para la seguridad de su teléfono, y las mejores sugerencias de contraseña.
 Si la computadora portátil u otro dispositivo lo admite, use un aleatorizador de huellas dactilares. En
resumen, registra 2-3 huellas dactilares, y la pantalla de bloqueo le pedirá que proporcione un dedo
diferente cada vez que inicie sesión.