Biometría

La biometría es el uso de características físicas o de comportamiento únicas para autenticar a alguien y verificar su identidad.

Esas características pueden ser rasgos faciales, huellas dactilares, el iris o los patrones de una voz.

Se ha convertido en una pieza habitual de la autenticación en entornos muy distintos, desde dispositivos móviles y sistemas de acceso físico hasta aplicaciones en línea y pagos, y su atractivo principal es que reduce la dependencia de las contraseñas, que fallan de maneras bien conocidas.

Qué la caracteriza

Física y de comportamiento. La biometría física usa huellas dactilares, caras, iris y voces. La biometría de comportamiento usa cómo firma, teclea o se mueve una persona; por sí sola es una señal menos sólida, y en combinación resulta útil.

Su sitio está dentro del multifactor. La biometría se combina normalmente con otro factor en lugar de usarse sola, que es lo que hace que la autenticación multifactor sea más fuerte que cualquier método por separado.

El algoritmo decide la seguridad. Lo bien que funcione la biometría depende del algoritmo de reconocimiento que compara la muestra con la plantilla almacenada y, en concreto, de si resiste los intentos deliberados de engañarlo.

La privacidad no es un asunto secundario. Los datos biométricos tienen que almacenarse y tratarse de forma segura y conforme a la normativa de protección de datos. En la Unión Europea son una categoría especial de datos personales, lo que sube el listón tanto de la base legal exigida como de la protección técnica.

Un ejemplo

Una empresa despliega reconocimiento facial para controlar el acceso a sus instalaciones.

Los empleados se registran y el sistema guarda una plantilla derivada de sus rasgos faciales, no una fotografía.

Cuando alguien llega, el sistema compara lo que ve la cámara con las plantillas registradas y concede el acceso si hay coincidencia.

Además de eso, el despliegue tiene que responder a dos preguntas que no van de la cámara: dónde se guardan las plantillas y quién puede llegar hasta ellas, y si el sistema resiste los ataques de presentación, es decir, los intentos de engañarlo con una fotografía, una máscara o un modelo tridimensional.

La propiedad que la hace distinta

Cualquier otra credencial se puede cambiar. Una contraseña se restablece, un certificado se vuelve a emitir, un token se revoca. Una huella dactilar no.

Ese único hecho tiene tres consecuencias prácticas, y son la razón de que la biometría esté diseñada como está en los sistemas bien construidos.

La primera es que la plantilla no debería salir nunca del dispositivo. Las implementaciones modernas la guardan en un elemento seguro del móvil o del portátil y solo responden sí o no, de modo que no hay una base de datos central de plantillas biométricas que robar. Un despliegue que envía datos biométricos en bruto a un servidor ha creado un activo que no se puede rotar después de una brecha.

La segunda es que la biometría autentica a una persona frente a un dispositivo, y el dispositivo se autentica frente al servicio. Así funciona exactamente una passkey, y por eso la huella se entiende mejor como lo que desbloquea la credencial que como la credencial en sí.

La tercera es que el modelo de amenaza se ha movido. La voz y el vídeo sintéticos, que el glosario trata en la ficha de deepfake, han convertido la verificación biométrica remota en una comprobación menos fiable de lo que era, y por eso la detección de vida es hoy un requisito y no un refinamiento.

Dónde leer más

Biometrics Institute: material independiente sobre la evolución de la biometría, con orientación sobre un despliegue responsable.

IEEE, An introduction to biometrics: una panorámica de los conceptos, los retos y las aplicaciones.