Huella dactilar, Face ID… ¿Cómo funciona la seguridad biométrica?

Pones el dedo sobre el móvil y se desbloquea. Miras la pantalla y accedes a tu aplicación bancaria. Acercas el teléfono al datáfono y autorizas un pago con tu rostro. Acciones que hace unos años parecían propias de una película de ciencia ficción se han convertido en gestos completamente cotidianos.

La responsable es la biometría, un conjunto de tecnologías capaces de utilizar determinadas características físicas o de comportamiento para verificar nuestra identidad.

Pero su popularización también ha cambiado algunas de las ideas que teníamos sobre ella. Hoy sabemos que la biometría puede resultar muy cómoda y proporcionar una capa importante de seguridad, pero no es infalible. Y, sobre todo, que utilizar tu cara o tu huella para desbloquear tu propio teléfono no es exactamente lo mismo que entregar tus datos biométricos a una empresa para que los almacene en una base de datos.

Así que empecemos por lo básico: ¿qué ocurre realmente cuando pones el dedo sobre un sensor o miras a la cámara de tu móvil?

¿Qué es la seguridad biométrica?

La biometría utiliza características físicas, fisiológicas o de comportamiento de una persona para reconocerla o verificar su identidad. Una huella dactilar, determinados rasgos del rostro o el patrón del iris son algunos de los ejemplos más conocidos.

La Agencia Española de Protección de Datos (AEPD) recuerda que también existen tecnologías capaces de analizar características conductuales, como determinados patrones de comportamiento.  

Su gran diferencia respecto a los sistemas de seguridad tradicionales está en aquello que utilizamos para demostrar quiénes somos.

Los métodos de autenticación

Podemos resumir los métodos de autenticación en tres grandes categorías:

• Algo que sabes: una contraseña, un PIN o una respuesta de seguridad.
• Algo que tienes: un teléfono móvil, una tarjeta o una llave de seguridad.
• Algo que eres: una característica biométrica, como tu rostro o tu huella.
• Una combinación de varios factores: por ejemplo, disponer físicamente del móvil y desbloquearlo mediante biometría.

Este último punto es importante. La tendencia actual no consiste simplemente en sustituir todas nuestras contraseñas por nuestra cara, sino en utilizar diferentes factores y tecnologías para conseguir sistemas de autenticación más cómodos y resistentes a determinados ataques.

Otros dos sistemas biométricos de identificación bastante comunes son el reconocimiento facial o Face ID y el sonido de la voz. El primero es habitual también en dispositivos móviles, que combinan su cámara con un software que mide los parámetros de cada rostro.

En cuanto a la identificación por el sonido de la voz, es imprescindible para hacer funcionar Alexa, Siri, Google Voice y otros asistentes de voz del mercado.

¿Cómo funcionan la huella dactilar y el reconocimiento facial?

Cuando configuras la huella dactilar en un dispositivo compatible, el sistema analiza determinadas características y crea una representación matemática o plantilla biométrica.

Cuando vuelves a colocar el dedo sobre el sensor, el sistema compara la nueva lectura con la referencia que registraste anteriormente para comprobar si existe suficiente coincidencia.

Con el reconocimiento facial sucede algo parecido. El dispositivo analiza determinados rasgos del rostro y los compara con el patrón registrado durante la configuración.

Existen dos conceptos importantes que solemos confundir.

Identificación y autenticación biométrica no son lo mismo

Aunque a menudo hablamos simplemente de “reconocimiento”, existen dos operaciones diferentes.

La autenticación o verificación biométrica

La autenticación o verificación biométrica responde a una pregunta: “¿Eres realmente quien dices ser?”. El sistema compara el dato biométrico con una referencia previamente asociada a esa persona. Es lo que se conoce como una comparación uno a uno (1:1).

La identificación biométrica

La identificación biométrica, en cambio, intenta averiguar “¿quién eres?”. Para hacerlo, compara el patrón con los correspondientes a diferentes personas de una base de datos: una operación uno a muchos (1:N).

No es una diferencia menor. La AEPD señala que la identificación implica generalmente mayores riesgos para los derechos fundamentales, especialmente cuando se utiliza en contextos relacionados con vigilancia o control.  

Desbloquear tu teléfono con el rostro, por tanto, es muy diferente de utilizar cámaras para buscar el rostro de una persona entre miles de individuos.

¿Qué tipos de seguridad biométrica existen?

La huella y el rostro son las modalidades que encontramos con mayor frecuencia en nuestros dispositivos, pero no son las únicas.

Huella dactilar

Los sensores de huellas están presentes en móviles, ordenadores y sistemas de acceso. Dependiendo del dispositivo pueden utilizar diferentes tecnologías para detectar las particularidades de nuestra huella.

Su gran ventaja es la rapidez: basta con apoyar un dedo para realizar la comprobación.

Reconocimiento facial

Los sistemas más avanzados no se limitan a hacer una fotografía y comprobar si se parece a otra. Pueden utilizar información de profundidad y otros parámetros para crear una representación del rostro y dificultar que el sistema pueda engañarse simplemente mostrando una fotografía.

Por eso no todos los sistemas de “desbloqueo facial” ofrecen necesariamente el mismo nivel de seguridad.

Iris y otros rasgos físicos

También existen sistemas que analizan el iris, patrones vasculares de la mano u otras características fisiológicas.

Su utilización es menos habitual en los dispositivos que usamos diariamente, pero pueden encontrarse en determinados entornos que requieren sistemas específicos de autenticación.

Biometría del comportamiento

Aquí la tecnología no se fija únicamente en cómo eres físicamente, sino en cómo actúas.

El ritmo al escribir, la manera de utilizar un dispositivo o determinados patrones de interacción pueden ayudar a detectar comportamientos anómalos. La biometría conductual puede utilizarse como una señal adicional dentro de sistemas de prevención del fraude y análisis de riesgo.

¿Es segura la biometría?

Que algo sea biométrico no significa automáticamente que sea inexpugnable. Los sistemas biométricos realizan comparaciones y trabajan con determinados umbrales de coincidencia. Por eso pueden producirse falsos positivos (aceptar erróneamente a alguien) y falsos negativos (rechazar a la persona legítima).  

También existen intentos de engañar a los sensores mediante técnicas de suplantación. Los fabricantes incorporan mecanismos para dificultarlos, como la detección de profundidad o las llamadas pruebas de vida, pero la seguridad dependerá de la tecnología concreta y de cómo se haya implementado.

Además, existe una diferencia fundamental respecto a una contraseña: nuestros rasgos biométricos no pueden sustituirse fácilmente. Si alguien descubre tu contraseña, puedes cambiarla. Si una plantilla biométrica se ve comprometida, no puedes cambiar de dedos o de cara.

Por eso, más que pensar en la biometría como una llave mágica, conviene entenderla como una pieza dentro de un sistema de seguridad más amplio.

¿Dónde se guardan nuestros datos biométricos?

Esta es probablemente una de las preguntas más importantes que podemos hacernos. No todos los sistemas biométricos funcionan de la misma manera. En muchos sistemas modernos de autenticación, la información biométrica se procesa localmente en el propio dispositivo, en lugar de enviarse a la empresa o página web a la que estamos intentando acceder.

Es especialmente relevante en las passkeys, una de las principales evoluciones recientes de la autenticación digital.

Una passkey utiliza criptografía para permitirnos entrar en una cuenta sin introducir la contraseña tradicional. Podemos autorizar el acceso mediante el mismo método que utilizamos para desbloquear nuestro dispositivo: biometría, PIN o patrón.

Cuando utilizamos biometría con una passkey basada en los estándares FIDO, la información biométrica permanece en el dispositivo. El servicio online recibe la confirmación necesaria para completar la autenticación, pero no recibe nuestra huella o nuestros datos faciales.  

Esta diferencia resulta fundamental: usar tu huella para autorizar algo no significa necesariamente que estés enviando tu huella a Internet.

¿Por qué las passkeys están cambiando nuestra forma de identificarnos?

Durante años, la contraseña ha sido la reina de Internet. Y también uno de sus principales puntos débiles. Podemos olvidarla, repetirla en diferentes servicios, elegir una demasiado sencilla o entregársela sin querer a un ciberdelincuente mediante phishing.

Las passkeys buscan resolver buena parte de estos problemas. Cada credencial está vinculada al servicio correspondiente y utiliza criptografía de clave pública, de manera que no existe una contraseña tradicional que podamos introducir accidentalmente en una página falsa.  

La biometría desempeña aquí un papel muy interesante: hace que un mecanismo criptográfico bastante complejo resulte extremadamente sencillo para el usuario.

Tú solo ves una instrucción: “Confirma con tu huella”. Por debajo, están ocurriendo bastantes más cosas.

¿Qué ocurre con la privacidad de los datos biométricos?

Los datos biométricos utilizados para identificar de manera unívoca a una persona reciben una protección especial bajo el Reglamento General de Protección de Datos (RGPD). La AEPD considera tanto la identificación como la autenticación biométrica tratamientos que pueden implicar categorías especiales de datos.   Esto significa que una empresa no puede pensar simplemente: “Poner un lector de huellas es cómodo, así que vamos a utilizarlo”.

El tratamiento debe contar con una base jurídica adecuada y analizar cuestiones como su necesidad, proporcionalidad, finalidad y los riesgos que supone para las personas. Dependiendo del caso, puede ser necesaria además una evaluación de impacto en protección de datos.  

Por eso existe una enorme diferencia entre utilizar la biometría dentro de tu propio teléfono y que una organización cree una base de datos biométrica para identificar o controlar el acceso de miles de personas.

Ventajas y riesgos de la seguridad biométrica

La biometría se ha popularizado porque reúne dos cualidades que no siempre han ido de la mano en ciberseguridad: seguridad y comodidad.

Entre las principales ventajas de la biometría encontramos:

• Permite autenticarnos en segundos sin memorizar nuevas contraseñas.
• Puede combinarse con la posesión de un dispositivo para reforzar la autenticación.
• Facilita sistemas como las passkeys resistentes al phishing.
• Puede simplificar operaciones sensibles como autorizar pagos o acceder a determinadas aplicaciones.

Pero la biometría también presenta riesgos que no debemos ignorar:

• Un dato biométrico comprometido no puede cambiarse como una contraseña.
• Los sistemas pueden producir falsos positivos y falsos negativos.
• Determinados usos pueden resultar excesivamente invasivos para la privacidad.
• Deben existir alternativas para quienes no puedan o no quieran utilizar determinados sistemas biométricos.

La propia AEPD advierte contra la idea de considerar automáticamente la biometría como un sistema más seguro por el mero hecho de ser biométrico. La seguridad depende del sistema completo, de su diseño y del contexto en el que se utiliza.

El futuro de la biometría: menos contraseñas, pero no necesariamente más datos biométricos

Hace unos años parecía que el futuro de la seguridad consistiría en llenar el mundo de escáneres capaces de reconocer nuestras caras, voces, ojos y dedos. La evolución está resultando algo diferente.

La biometría seguirá teniendo un papel importante, pero una de las tendencias más interesantes consiste precisamente en utilizarla de forma local para no tener que compartirla. Las passkeys son un buen ejemplo: nuestra cara o nuestra huella pueden servir para desbloquear una credencial criptográfica sin convertirse ellas mismas en la credencial que enviamos a Internet.  

Si te ha interesado este artículo te recomendamos: