Cuidado con a quién entregas tus datos biométricos. Parte 2.

viernes, 18 de agosto de 2017

Si sucede que nuestro usuario y contraseña se ven expuestos, nos vemos obligados a cambiar nuestra contraseña para volver a una situación de control de nuestra identidad. Sin embargo, en caso de que uno de nuestros rasgos se vea comprometido y lo estemos usando para proteger el acceso a nuestra información, no tenemos la posibilidad de cambiar nuestro rasgo (al menos de forma fácil) para volver a retomar el control. En el caso de los rasgos conductuales, como es el caso de la voz o la firma, podríamos llegar a modificarlos pero imagino que coincidimos con que no sería muy deseable.

El impacto de ver comprometidos nuestros datos biométricos es tan alto que la Comisión Europea financió desde el año 2008 al 2011 el proyecto TURBINE (TrUsted Revocable Biometric IdeNtitiEs) que tenía como objetivo crear identidades biométricas revocables.

La mayoría de los terminales móviles que gestionan datos biométricos, como smartphones y tabletas, disponen de un chip de seguridad o una zona especial en su procesador en el que se almacena la información biométrica de los usuarios del dispositivo, así como el algoritmo de comparación formando lo que se conoce como un entorno confiable de ejecución (TEE – Trusted Execution Environment). Cuando una app quiere verificar una identidad, no tiene acceso ni a los datos biométricos capturados por el sensor, ni a los almacenados, ni al algoritmo de comparación. Tan solo recibe el resultado de la comparación realizada evitando que una app maliciosa pudiera hacerse con nuestros datos.

Vamos con un ejemplo de este TEE. El DNI electrónico español (no lo puedo evitar, acabo siempre hablando de él) dispone en su chip de dos de nuestras huellas dactilares almacenadas y del algoritmo de comparación en su interior que permite que en caso de olvidarnos del PIN de la tarjeta podamos acudir a una comisaría y en unos kioscos bastionados podamos capturar nuestra huella y establecer un nuevo PIN, todo ello de forma desatendida. El chip del DNI y su sistema operativo, que cuenta con la certificación de seguridad Common Criteria EAL4 actúa como TEE para nuestros datos biométricos.


El reconocimiento biométrico hace más usable y conveniente para el usuario los procesos de autenticación. En la actualidad existen múltiples librerías y servicios online que nos permiten incorporar a nuestras apps y aplicaciones de escritorio mecanismos de reconocimiento biométrico de forma muy sencilla, pero es importante que nos planteemos que la responsabilidad de la custodia de dichos datos biométricos generados es exclusivamente nuestra y que debemos asegurarnos en la medida de lo posible que dichos datos no quedan expuestos o puedan ser manipulados.

Si por un error u omisión, nuestra aplicación o apps permite que los datos biométricos de nuestros clientes, empleados o proveedores se vean expuestos, como dice nuestro Chairman Chema Alonso, solo habrá una cosa que podremos hacer y es decir “Lo siento”. Ya no tendremos una nueva oportunidad para corregir el problema generado.

Si os estáis planteando incorporar a vuestra app un reconocimiento biométrico, es conveniente verificar las medidas de seguridad que incorporan las librerías o servicios web que pensáis utilizar, saber si estos cuentan con alguna certificación de seguridad y si se apoyan en mecanismos seguros de custodia de información como los TEE de los terminales.

Adicionalmente, no está de más que verifiquéis vuestra app con algún sistema de análisis de vulnerabilidades de aplicaciones móviles como mASAPP de ElevenPaths. Esta herramienta es capaz de analizar en tiempo real e identificar de manera continua los riesgos de seguridad.



Si por el contrario la aplicación en la que os estáis planteando incorporar un reconocimiento biométrico está basada en tecnología web, en este caso por la arquitectura de las aplicaciones web, mucho cuidado con los componentes y librerías que seleccionáis. Aquellos componentes basados en lenguajes, como JavaScript, al ejecutarse en el navegador y tener su código fuente accesible son muy vulnerables a ataques que permiten capturar, manipular o incluso inyectar datos biométricos a la aplicación. Ataques como XSS (del inglés Cross-Site Scripting) permitirían ejecutar en páginas web visitadas por el usuario códigos JavaScript que podrían manipular o exponer los datos biométricos.

Es conveniente evitar este tipo de librerías dado que, aunque pueden ser muy convenientes, su uso pone en riesgo la identidad y datos personales de los usuarios de nuestra aplicación.

Es una buena idea invertir tiempo y esfuerzo en hacerle la vida más fácil al usuario incorporando un reconocimiento biométrico en lugar de hacerle recordar complicadas passwords, pero el uso de éste nos puede generar una falsa sensación de seguridad. La biometría por sí sola no es más robusta que una contraseña y es una buena idea combinarla con otros factores de autenticación generando sistemas multifactor para hacerlos más seguros y usables.

Los algoritmos de reconocimiento requieren de entornos seguros para la captura, extracción, almacenamiento y comparación de los datos generados. Sin ellos estaremos generando un entorno más vulnerable y de riesgo para las personas que utilicen nuestros sistemas.

Nuestra recomendación es utilizar sistemas que hayan sido verificados y que cuenten con medidas de seguridad suficientes para no tener que lamentar fugas de información. Tengamos en cuenta que si exponemos las identidades biométricas de clientes, proveedores o empleados al intentar mejorar la usabilidad corremos un riesgo elevado que puede tener consecuencias de fugas de seguridad y de multas con una legislación cada vez más concienciada y vigilante con estos temas.

Más información:
Cuidado con a quién entregas tus datos biométricos. Parte 1.

Rames Sarwat 
VP de Alianzas Estratégicas y Partnerships 

No hay comentarios:

Publicar un comentario