¿Se puede confiar en la autenticación biométrica?

En los últimos años la autenticación biométrica se ha popularizado mucho sobre todo en dispositivos móviles. Por lo general, las empresas la venden como una característica avanzada y que ofrece mejoras a nivel de seguridad, sin embargo, no son pocos los que cuestionan dicha afirmación y siguen defendiendo las contraseñas tradicionales, incluso a pesar de reconocer sus inconvenientes.

La autenticación biométrica suena a algo cool y moderno, a tecnología avanzada que mejora la seguridad a la vez que facilita la vida, pero la realidad es que, al menos en el sector de consumo, arrastra enormes inconvenientes que al final dejan al usuario incluso más expuesto que si usara una contraseña.

El principal inconveniente reside en que la “contraseña” para acceder es el propio usuario, ya sea su iris, su cara o su huella dactilar. Esto quiere decir que la autenticación biométrica se basa en datos que están expuestos al público y que para colmo no se pueden cambiar a menos que uno pase por un proceso de cirugía plástica o sea víctima de alguna desgracia que cambie enormemente su fisionomía. La única alternativa es usar guantes, pasamontañas y gafas de sol todo el tiempo menos cuando se vaya a pasar por el método de autenticación biométrica, lo cual suena bastante absurdo.

Todo el tema de que el usuario sea su propia contraseña empeora si tenemos en cuenta la enorme popularidad de la que gozan las redes sociales y plataformas como YouTube y Twitch. En la actualidad decenas de millones de personas exponen partes de sus vidas en Internet mostrando su cara. Si a eso sumamos la mejora en la calidad de las fotografías tanto en dispositivos como en las plataformas de redes sociales, tenemos como resultado una enorme granja de datos que a buen seguro está siendo aprovechada por los actores maliciosos.

En resumidas cuentas, la autenticación biométrica no es ni mucho menos la panacea que aparenta ser, así que vamos a exponer dos de sus inconvenientes y dos consejos para reforzar de verdad la seguridad de las cuentas en línea.

Dejas tu contraseña impresa en el dispositivo móvil

Empezamos por lo más obvio, y es el uso de la huella dactilar como medio de autenticación biométrica. Este método es bastante popular desde hace años, pero su uso en términos de seguridad es una muy mala idea, tanto, que está al mismo nivel que emplear ‘12345’ como contraseña.

Las huellas dactilares son un medio muy empleado para identificar de forma única a una persona, ya que, al menos en un principio, solo los hermanos gemelos deberían de tener dos idénticas (y posiblemente ni eso si han vivido circunstancias muy diferentes). Dejar huellas dactilares es lo más fácil del mundo debido a cómo funciona nuestro cuerpo, así que estas están presentes en el dispositivo móvil empleado por el usuario.

La consecuencia de usar la huella dactilar como medio de autenticación hace que solo sea necesario robar el dispositivo móvil para acceder a él, mientras que una contraseña tradicional requeriría de emplear como mínimo una herramienta de fuerza bruta (probar contraseñas una a una hasta hallar la correcta) si los actores maliciosos no la conocen.

Si dejar la huella dactilar impresa en el dispositivo no es suficiente, podemos sumar la alta calidad de las fotografías que uno se encuentra por Internet. Una foto en la que se exponen los detalles de la palma de mano podría dejar la puerta abierta para que actores maliciosos repliquen la huella dactilar.

Como vemos, emplear la huella dactilar como medio de seguridad sonará muy moderno, pero es una pésima idea que deja el terreno excesivamente llano a los actores maliciosos y a otras organizaciones dedicadas al ciberespionaje y la cibervigilancia.

Debido a que la huella dactilar es un dato que está excesivamente expuesto, algunas empresas han apostado por emplear los vasos sanguíneos en lugar de la parte externa de la mano. Este método ofrece más seguridad al apoyarse en un dato que, al menos en un principio, no está fácilmente expuesto ante las miles de millones de cámaras y superficies que hay en el mundo. Sin embargo, es importante tener en cuenta el uso de los vasos sanguíneos no es perfecto, si bien su suplantación es bastante más difícil.

Tu cara está por todas partes

El reconocimiento facial es otro método de autenticación biométrica que se ha popularizado mucho en los últimos tiempos, pero cuyo uso, desde ciertas perspectivas, podría ser hasta más desaconsejable que las huellas dactilares.

Vivimos en una época en la que la obsesión por la seguridad ha terminado por plantear cuestiones en torno al anonimato y la recopilación de datos. Aparte de las ya mencionadas redes sociales y plataformas de vídeo, en este frente se suma la gran cantidad de cámaras que hay colocadas en comercios y muchos lugares públicos con el propósito de identificar fácilmente a ladrones y otros delincuentes, pero que al final terminan siendo un medio para identificar a toda persona que pase delante de ellas.

Aunque las empresas se esfuerzan para hacer que sea difícil engañar al sistema de autenticación, la realidad es que no es algo imposible de hacer. Por otro lado, si uno quiere estar realmente protegido de los actores maliciosos, lo sensato es pensar que estos siempre van dos pasos por delante, y más viendo que esos actores maliciosos no tienen por qué adoptar el perfil del típico malo de una película de Hollywood, sino que probablemente sea una empresa con muchos medios.

Salvo que se viva en un lugar que esté totalmente apartado de las ciudades y los pueblos y sin visitarlos nunca, lo más probable es que nuestra cara esté registrada o al menos haya sido grabada en algún lugar, así que si la usamos como medio de autenticación, es altamente probable que otra persona tenga dicha “contraseña”.

Mejor usa la autenticación en varios factores

Aparte de que sería mejor evitar los actuales métodos de autenticación biométrica debido a que se apoyan en datos públicos, algo que debería de hacer el usuario es emplear algún método de autenticación en varios factores.

Como ya dijimos al principio, las contraseñas no son un método infalible ni tampoco especialmente segura, pero para muchos son más seguras que los métodos de autenticación biométrica. Debido a que la seguridad perfecta no existe, el usuario debería de apilar capas de seguridad y protección para minimizar las probabilidades de que un actor malicioso o un tercero se haga con sus credenciales y datos.

La autenticación en varios factores permite reforzar la seguridad de las cuentas en línea, sin embargo, sería importante no apoyarla en los SMS y las llamadas telefónicas al ser dichas vías inseguras. En su lugar lo recomendable es emplear alguna aplicación y/o llaves de seguridad como Yubikey.

Usa cifrado de disco o ficheros y ten a mano un botón de la muerte

Los portátiles, las tablets y los móviles son dispositivos que tienen altas probabilidades de acabar extraviados o robados. Los métodos de autenticación biométrica son toda una tentación para llevar a cabo actos de robo y ver si, dentro del mismo dispositivo, hay datos que contribuyan a desbloquearlo, ya sea buscar huellas dactilares o fotografías para suplantar la cara.

Ante los robos sería recomendable emplear el cifrado de disco o al menos de los datos. En Android esta característica solo está soportada de forma completa en las versiones 9 y anteriores del sistema operativo, mientras que la 10 y posteriores emplean un cifrado basado en archivos, el cual permite cifrar diferentes ficheros con distintas claves que se pueden desbloquear de forma independiente.

Por su parte, iOS empela una metodología de cifrado de ficheros llamada Protección de Datos (Data Protection), mientras que los equipos Mac con Intel pueden ser protegidos con una tecnología de cifrado de volumen llamada FileVault y los que equipan Apple Silicon emplean un modelo híbrido.

Los usuarios de Windows tienen a su disposición BitLocker como tecnología de cifrado de datos, mientras que los de Linux suelen recurrir a LUKS, que pide una contraseña en el inicio del sistema para acceder a las particiones cifradas.

Aparte de emplear cifrado de disco, sería conveniente habilitar, en caso de soportarlo el sistema, un botón de la muerte que permita “destruir” el dispositivo y al menos neutralizar los datos en caso de que el dispositivo sea robado o acabe extraviado.

Conclusión

Como vemos, es importante proceder con mucha precaución a la hora de usar los métodos de autenticación biométrica, incluso podría ser más recomendable evitar su uso viendo los datos en los que se apoya y lo fácil que es obtenerlos.

Eso sí, que los métodos de autenticación biométrica no sean de confianza no convierten a las contraseñas en una panacea frente a los problemas de seguridad y privacidad a los que se enfrenta el usuario a la hora de proteger sus credenciales, así que lo mejor, o más bien lo menos malo, es apoyarse en un mecanismo de autenticación en varios factores.