/El alta digital de Veridas, primera en cumplir con los nuevos requisitos de la CCN para la emisión de certificados cualificados

REQUISITOS DE CERTIFICACIÓN Y EVALUACIÓN

En este apartado, en el que se hace referencia a las evaluaciones exigidas, cabe resaltar cómo el CCN demanda que los motores biométricos de las soluciones cualificadas hayan sido evaluadas por parte del National Institute of Standards and Technology, NIST. El NIST está considerado como el evaluador independiente más prestigioso del mundo y, por ello, Veridas siempre ha presentado sus motores de biometría facial y biometría de voz para su evaluación, obteniendo fantásticos resultados año tras año. 

Concretamente, la guía solicita que “el sistema biométrico de comparación facial entre el solicitante y la foto del documento de identidad debe haber sido evaluado, según el Face Recognition Vendor Test (FRVT) en la categoría VISABORDER, del NIST y haber obtenido una tasa de FNR (False Negative Rate) menor o igual a 5% para un FPR (False Positive Rate) de menor o igual a 1/1.000.000. La base de datos utilizada para la prueba debe ser la utilizada por el NIST en 2020 o superior” (artículo 24).

A este respecto, Veridas obtuvo una tasa de FNR de 0,80% en su último envío de septiembre de 2021, muy por debajo de la tasa exigida por el CCN, lo que le sitúa entre los mejores motores biométricos del mundo. 

REQUISITOS FUNDAMENTALES DE SEGURIDAD (RFS)

• Protección frente a ataques en la captura de evidencias: la herramienta debe garantizar que se utiliza un único dispositivo y en un único acto secuencial de tiempo. Además, debe asegurarse de que el proceso se ejecuta a tiempo real, sin permitir archivos pregrabados. 

• Verificación biométrica: la herramienta deberá proporcionar una verificación biométrica facial a través del selfie y el documento capturados. También deberá incorporar pruebas de vida activas o pasivas e implementar mecanismos de prevención de ataques de presentación.
  De cara a evaluar los requisitos de verificación biométrica, el CCN especifica que deberá hacerse aplicando la IT-14, o también conocido como módulo de evaluación biométrica (MEB). Estos requisitos quedan explicados más adelante. 

• Auditoría: el anexo define diferentes características que debe tener la herramienta de auditoría que acompaña la solución del fabricante. 

• Comunicaciones seguras: la herramienta deberá establecer canales seguros cuando intercambie información sensible con entidades autorizadas o entre distintas partes del producto, de acuerdo con lo establecido en la guía CCN-STIC-807.

• Administración confiable: la herramienta deberá asegurar que solo un usuario con permisos de administrador será capaz de realizar las funciones administrativas, distinguiendo entre el rol de configurador y el de auditor. 

• Identificación y autenticación: la herramienta deberá identificar y autenticar a cada usuario antes de darles acceso, implementando mecanismos que impidan ataques, protegiendo la confidencialidad e integridad de las credenciales de autenticación y bloqueando o cerrando la sesión tras un periodo determinado de inactividad. 

• Protección de credenciales y datos sensibles: si la herramienta almacenase credenciales y/u otros datos sensibles, estos deberían almacenarse utilizando los mecanismos criptológicos autorizados en la CCN-STIC-807.  

VALIDACIÓN DE LOS DOCUMENTOS PRESENTADOS

En este apartado del Anexo F.11 se detallan los siguientes requisitos respecto a la validación de los documentos de identidad presentados: 

1. La herramienta implementará mecanismos de detección de ataques de replicación y ataques de impresión. 
2. La herramienta debe ser capaz de verificar que la fecha de validez del documento no ha expirado.
3. La herramienta deberá comprobar la integridad de los datos de la zona de inspección visual (Visual Inspection Zone o VIZ) con la zona de lectura mecanizada (Machine Readable Zone o MRZ).
4. La herramienta generará alertas al operador cada vez que detecte alguno de los ataques descritos o hayan fallado las comprobaciones de las pruebas. 

MÓDULO DE EVALUACIÓN BIOMÉTRICA (MEB)

Como hemos comentado anteriormente, El MEB establece un conjunto de pruebas a realizar por parte del laboratorio al software objeto de evaluación (Target Of Evaluation o TOE) de cara a verificar la capacidad de verificación biométrica de la herramienta en evaluación. En este conjunto de pruebas se distinguen seis tipologías de ataques a prevenir: 

1. Ataques de presentación de impostores: el objetivo de esta prueba es comprobar que el TOE no es vulnerable a la suplantación de un usuario fidedigno por parte de un atacante con parecido al usuario fidedigno.
2. Ataques de presentación usando vídeos: el objetivo de esta prueba es comprobar que el TOE no es vulnerable a la suplantación de un usuario fidedigno por parte de un atacante que utilice un vídeo de un usuario fidedigno. 
3. Ataques de presentación usando máscaras de muy bajo coste: el objetivo de esta prueba es comprobar que el TOE no es vulnerable a la suplantación de un usuario fidedigno por parte de un atacante que utilice una máscara de bajo coste (por ejemplo, de papel) como artefacto. 
4. Ataques de presentación usando máscaras avanzadas: el objetivo de esta prueba es comprobar que el TOE no es vulnerable a la suplantación de un usuario fidedigno por parte de un atacante que utilice una máscara avanzada como artefacto. 
5. Ataques de presentación usando maquillaje: el objetivo de esta prueba es comprobar que el TOE no es vulnerable a la suplantación de un usuario fidedigno por parte de un atacante que utilice maquillaje como artefacto.
6. Ataques usando herramientas informáticas de deepfake: el objetivo de esta prueba es comprobar que el TOE no es vulnerable a la suplantación de un usuario fidedigno por parte de un atacante que utilice herramientas informáticas de deepfake. Estas herramientas son capaces de manipular el video y el sonido, de tal manera que se superponen elementos a las imágenes actuales. Centrándose en un posible uso de usurpación de la identidad, el deepfake se utilizaría para modificar el rostro de una persona sobre el vídeo donde aparece otra.