La idea de autenticación basada en el aspecto físico de una persona o en su comportamiento era muy común en las historias de ciencia ficción. Los pagos aprobados con la huella digital aparecieron en "Regreso al futuro 2" en 1989. El almirante Kirk accedió a archivos de alta seguridad mediante el escaneo de retina en "Star Trek II" en 1982.
Hoy en día, la identificación biométrica, desde el reconocimiento facial hasta el escaneo de la forma de andar, ya no es ciencia ficción y se ha incorporado a la vida cotidiana, gracias a los rápidos avances tecnológicos y a la creciente frustración con el sistema de contraseñas.
"La biometría basada en la posesión previene los ataques a distancia", explica Andrew Shikiar, director ejecutivo de FIDO Alliance, una coalición de empresas y organizaciones gubernamentales con sede en Estados Unidos establecida para reducir la dependencia de las contraseñas. Shikiar se refiere a la autenticación basada en lo que alguien "posee", como el rostro o la voz, en lugar de algo que alguien "sabe", como una contraseña. La idea es que el pirateo de contraseñas se pueda mitigar si las aplicaciones y servicios también tienen un nivel de acceso biométrico.
Si consideramos la penetración de los smartphones, que ha puesto un escáner de voz conectado a Internet en manos de la mayoría de la población mundial, es fácil entender por qué la biometría se está extendiendo rápidamente.
Los datos de Statista sugieren que el mercado global de la biometría crecerá de 36.6 mil millones de dólares en 2020 a 68.6 mil millones de dólares en 2025. Mientras tanto, Goode Intelligence predice que una de cada cinco tarjetas de pago estará equipada con tecnología biométrica para 2026.
El sector financiero ha sido uno de los primeros en adoptar la biometría, integrando el reconocimiento de huellas digitales en soluciones de pago y aplicaciones bancarias online. El sector de viajes y turismo está adoptando la biometría para permitir el acceso a las habitaciones de hotel, mientras que centros educativos están explorando el uso del reconocimiento facial para el pago de almuerzos.
Incluso el COVID-19, y el consiguiente aumento del trabajo en remoto, ha sido un catalizador del crecimiento. Andrea Carmignani, CEO de Keyless, una startup de biometría con sede en el Reino Unido, afirma que cada vez más clientes corporativos han recurrido a la empresa para fortalecer la seguridad en los dispositivos de los trabajadores remotos: "Estamos viendo un creciente interés en la implementación de nuestras soluciones en la fuerza laboral", explica.
Como resultado, se espera que el número de verificaciones de identidad digital a nivel mundial se triplique: de 1.1 mil millones en 2021 a 3.8 mil millones en 2026, según Goode Intelligence, lo que generaría un total de 17.2 mil millones de USD en ingresos para proveedores y servicios de verificación de identidad.
Los riesgos se han multiplicado
El problema con la rápida expansión de los datos biométricos es la capacidad de imponer controles de calidad para proteger estos datos.
Una preocupación es la concentración del riesgo en los smartphones, que tienen diferentes estándares tecnológicos. "Los niveles de seguridad detrás de la cámara o los sensores de huellas digitales que tenemos en algunos teléfonos no son muy altos, pero hemos puesto allí todas nuestras tarjetas de crédito", dice Peter Heuman, CEO de NEXT Biometrics, que produce sensores de huellas digitales autónomos.
Los datos biométricos pueden desbloquear el acceso a transacciones o procesos sin controles adicionales. Sin embargo, los datos biométricos más comunes no son completamente seguros todavía. Por ejemplo, dos gemelos pueden tener voces coincidentes, las huellas digitales pueden ser clonadas con masilla y el reconocimiento de iris y retina puede ser falsificado utilizando imágenes de alta resolución.
También existen otros desafíos. Los escáneres de huellas digitales pueden facilitar la propagación de agentes patógenos como el virus COVID-19, y los sistemas de reconocimiento facial pueden no funcionar de manera óptima cuando los usuarios llevan mascarillas.
Además, una vez comprometidos, los incidentes de seguridad biométrica son más difíciles de recuperar. "Si robo tu contraseña, puedes restablecerla, pero no puedes restablecer tu biometría", señala Carmignani.
También existen preocupaciones éticas. Los datos de reconocimiento facial, por ejemplo, pueden recopilarse sin el consentimiento del usuario, lo que plantea preocupaciones sobre la privacidad.
Facebook recientemente anunció que eliminará sus datos recopilados a través de servicios de reconocimiento facial en respuesta a estos problemas, pero otros están ampliando su uso. El gobierno de la India, por ejemplo, ha acelerado su proceso de implementación de cámaras de reconocimiento facial en los principales centros de transporte.
Y luego están los simples problemas de usabilidad. El reconocimiento de voz no funciona bien en entornos ruidosos, los sensores de huellas digitales se dañan con la lluvia o funcionan menos eficientemente para aquellos que realizan trabajos manuales.
Todo esto puede parecer simplemente frustrante cuando se trata de acceder a una sola aplicación, pero en países como la India o Estonia, donde la verificación biométrica está cada vez más presente en el acceso a servicios estatales fundamentales, estas disfunciones pueden tener consecuencias desastrosas si las cosas salen mal. En la India, por ejemplo, ha habido muertes después de que algunos ciudadanos perdieron el acceso a alimentos subsidiados por el Estado debido a fallas en los lectores de huellas digitales en áreas remotas.
Las mejores prácticas institucionales
En este contexto, están surgiendo buenas prácticas para garantizar que los estándares de seguridad sean sólidos. Una solución es el acceso en etapas, donde la simple verificación biométrica no es la única forma de acceder a un servicio, sino que forma parte de la autenticación multifactor.
También se están desarrollando nuevas tecnologías que, en lugar de basarse en controles de huellas digitales o rostro "estáticos" únicos, procesan la observación dinámica del ser humano para confirmar la identidad de un usuario de manera continua. Por ejemplo, es posible observar la forma de escribir en un teléfono inteligente para detectar cambios repentinos que podrían indicar que el teléfono ha sido pirateado de forma remota.
La empresa de Carmignani, Keyless, no almacena datos biométricos, sino que los encripta y distribuye en varios servidores, lo que limita el riesgo de compromiso de datos en caso de hackeo. Otras empresas están trabajando para expandir la biometría más allá de la verificación inicial, agregando la capacidad de recuperar cuentas para evitar que los usuarios queden bloqueados sin acceso en caso de que funcione mal.
La mayoría de este trabajo se está llevando a cabo dentro de las empresas o a nivel industrial por asociaciones como FIDO Alliance. Esto ha llevado a pedidos, dentro de la comunidad empresarial, de pautas estatales para regular la biometría.
Esta tecnología representa un avance en comparación con las contraseñas en términos de seguridad. Pero llegar a un acuerdo sobre cómo utilizar estos datos puede convertir este potencial en una realidad efectiva sin demasiados riesgos.
