Las vulnerabilidades de sistemas biométricos más habituales son aquellas relacionadas con el robo de datos, el hackeo del hardware o el software para la interceptación de datos biométricos y el almacenamiento no seguro.
En las siguientes líneas repasamos las principales vulnerabilidades de los sistemas biométricos.
Contenido del artículo
Principales vulnerabilidades de los sistemas biométricos
Los sistemas de identificación biométrica cada vez se usan más como medida de seguridad y control de accesos, ya que la verificación biométrica se considera, por sus características, una de las más seguras, además de cómoda y rápida para los usuarios.
Sin embargo, a pesar de las ventajas que el uso de la biometría ha aportado a la seguridad, esta también presenta vulnerabilidades que pueden comprometer la información confidencial o el acceso a lugares restringidos, así como vulnerar la ley de protección de datos biométricos.
Conocer estas vulnerabilidades es fundamental para poder adoptar medidas desde el diseño y por defecto para evitar el robo o la manipulación de los datos biométricos, la pérdida o el mal funcionamiento de los sistemas biométricos.
Robo de datos biométricos
El robo de datos biométricos puede producirse debido a varias vulnerabilidades, tanto del hardware como del software, que facilitan la interceptación de los datos biométricos durante diferentes momentos del proceso, cuando se produce la transmisión entre el dispositivo de captura de datos biométricos y el sistema de almacenamiento o procesamiento.
Si los datos no se cifran adecuadamente en el momento de su captura y no se transmiten, almacenan y procesan cifrados, se corre el riesgo de que al ser interceptados puedan robarse y ser usados por los cibercriminales para crear réplicas biométricas o usarlos para otros ciberataques o incluso ponerlos a la venta en la dark web (donde la compra de datos biométricos robados se produce).
Para evitar esta vulnerabilidad es fundamental implementar protocolos de cifrado y asegurarse de que los datos biométricos nunca se transmitan o almacenen en texto plano.
Spoofing
El spoofing (o suplantación de identidad) es otra de las vulnerabilidades a las que están expuestos los sistemas biométricos.
En este caso, aunque no es fácil y requiere de ciertas herramientas y conocimientos para llevarlo a cabo, se crean artefactos falsos para engañar al sistema biométrico, como huellas falsas de silicona para engañar al lector de huellas, o máscaras 3D o fotografías del rostro para engañar el sistema de reconocimiento facial.
Cabe señalar que a medida que se han ido mejoran los sistemas biométricos, sus sensores y sus algoritmos, llevar a cabo este tipo de acciones de suplantación de identidad es más complicado.
Almacenamiento no seguro
Almacenar los datos biométricos de forma no segura es otra de las vulnerabilidades de sistemas biométricos. Una base de datos biométricos que no esté debidamente protegida contra accesos no autorizados o no esté cifrada, puede ser fácilmente hackeada y robada.
Un acceso no autorizado a estas bases de datos puede tener consecuencias desastrosas, ya que los datos biométricos, a diferencia de las contraseñas, no se pueden cambiar si son comprometidos y no pueden volver a usarse como medida de seguridad.
Por lo tanto, es clave utilizar técnicas avanzadas de cifrado y almacenamiento seguro, así como implementar controles de acceso estrictos y monitorizar quién accede a estas bases de datos.
Vulnerabilidades del hardware
El hardware utilizado en los sistemas biométricos, como los sensores de huellas dactilares, las cámaras y los escáneres de iris, también puede presentar vulnerabilidades. Estos dispositivos pueden ser manipulados físicamente o empleando malware para alterar su funcionamiento o para extraer datos biométricos directamente de ellos.
Además, tampoco se escapan al desgaste natural del hardware, los defectos de fabricación y los fallos técnicos, que pueden afectar a la precisión y a la fiabilidad del sistema biométrico.
Para minimizar las vulnerabilidades derivadas del estado del hardware, es fundamental realizar un mantenimiento regular y hacer pruebas de diagnóstico de forma periódica para identificar y corregir cualquier problema que pueda comprometer la seguridad del sistema.
Baja calidad de los datos biométricos
La baja calidad de los datos biométricos puede hacer que el sistema no funcione de forma correcta y tenga problemas y fallos a la hora de verificar la identidad de los usuarios de forma precisa, lo que puede aumentar la tasa de falsos positivos y falsos negativos.
Los falsos negativos (rechazos) pueden ser solo una molestia y una pérdida de tiempo para el usuario o la entidad, pero los falsos positivos (aceptados) sí que pueden representar una amenaza para la seguridad, puesto que autorizan el acceso por error a personas no autorizadas.
La calidad de los datos biométricos se ve afectada por diversos factores, como la resolución de las imágenes, la calidad y sensibilidad del sensor, la iluminación, el ángulo de captura o las condiciones ambientales en el momento de capturar los datos. Por ello, es fundamental que los sistemas biométricos estén equipados con sensores de alta calidad y tener implementados programas y procedimientos que garanticen una captura correcta y de alta calidad de los datos.
Falsificación de plantillas biométricas
Las plantillas biométricas (la representación digital de los datos biométricos) son vulnerables ante las falsificaciones mediante el uso de malware. La falsificación puede llevarse a cabo desde cero, creando a través de diferentes iteraciones una plantilla similar o coincidente con otra almacenada en el sistema (un ataque que se conoce como hill-climbing), o realizarse a través de la manipulación de datos biométricos originales.
Evitar la falsificación de plantillas biométricas pasa, como con otras vulnerabilidades, por utilizar técnicas de cifrado seguras e implementar medidas de seguridad en el almacenamiento y transmisión de datos biométricos.
Dependencia de un solo factor de autenticación
Muchas veces confiamos en que la biometría es una medida de seguridad suficiente y que al utilizarse una característica física o conductual única y que nadie más que el usuario puede poseer, no es necesario usar otro factor de autenticación. Esto es un error.
Basta con que un dato biométrico se vea comprometido, para que la verificación biométrica también lo esté, si no existe otro factor más de autenticación. Imaginemos que una base de datos con plantillas biométricas de huellas dactilares no estaba debidamente protegida ni cifrada y esas plantillas son robadas, los cibercriminales podrán usarlas para entrar en el sistema al que dan acceso sin requerir otra autenticación.
Para mitigar esta vulnerabilidad es recomendable utilizar otro factor de autenticación junto al dato biométrico, por ejemplo, una tarjeta o una contraseña.
Cambios en las características biométricas
Las características biométricas de una persona pueden cambiar a lo largo de los años debido a diferentes factores, como el envejecimiento, enfermedades o lesiones. Estos cambios pueden afectar a la precisión de los sistemas biométricos, que pueden producir tasas más altas de falsos negativos.
Evitar este problema requiere de usar sistemas biométricos que admitan la actualización de las plantillas biométricas.
El sesgo
El sesgo algorítmico también puede convertirse en una vulnerabilidad de los sistemas biométricos, que puede derivar en discriminación e injusticias en los sistemas de identificación biométrica y errores en la autenticación en los sistemas de verificación biométrica.
Para evitar esta vulnerabilidad es fundamental que los algoritmos de reconocimiento biométrico sean entrenados con conjuntos de datos diversos y representativos de todos los grupos demográficos con los que tendrá que trabajar el sistema. Así mismo, se deben implementar mecanismos para detectar y corregir cualquier sesgo que pueda surgir durante el uso del sistema.
En conclusión, para que los sistemas biométricos sean lo más seguro y eficientes posible, es necesario conocer las vulnerabilidades que presentan e implementar medidas de seguridad técnicas y organizativas que las solucionen o, cuanto menos, que las mitiguen hasta un nivel aceptable. Estas medidas de seguridad deben formar parte de la política de seguridad de la información o de protección de datos de la empresa que use sistemas de identificación o autenticación biométricos.
