¿Qué significa la biometría?
Según la ISO 2382-37, la biometría es “el reconocimiento automático de los individuos en función de sus características biológicas y de comportamiento”.
El reconocimiento biométrico está basado en características físicas, fisiológicas o conductuales (características biométricas). Desde sus inicios, han ido desarrollándose multitud de sistemas, que emplean cada vez más tipos de características biométricas, ampliándose al mismo tiempo los casos de uso a los que pueden aplicarse.
¿Qué es la biometría?
A día de hoy, podría decirse que la biometría basada en características físicas del individuo es la más extendida, desarrollada y, por tanto, madura. Entre las biometrías más empleadas se encuentran la biometría facial, la biometría de voz, iris o, huella dactilar.
Por contraposición, es importante incidir en qué NO es la biometría.
- La biometría no es la caracterización del individuo en base al género, la raza, la orientación sexual, la religión o las creencias políticas.
- La biometría tampoco es el análisis del estado de ánimo de la persona. No consiste en la detección de emociones ni en el estudio de la reacción humana ante diferentes estímulos.
- La biometría no consiste en la identificación del estado de salud o condición física de las personas. No identifica enfermedades, ni parámetros físicos como el pulso, el oxígeno en sangre o la tensión arterial. La biometría tampoco determina la predisposición de las personas a contraer enfermedades.
Los puntos anteriores son tratados por disciplinas técnicas diferentes a la biometría.
Tecnología biométrica
La tecnología biométrica puede aplicarse de dos formas distintas:
- Identificación (1:N). Este es el método conocido como 1:N, puesto que compara a un individuo contra un grupo (es decir, contra cada una de las personas que conforman ese grupo). La finalidad es conocer si ese individuo es uno de los pertenecientes a ese grupo. Aquí se debe además tener en cuenta que no es lo mismo (y en ello se basa precisamente la distinción que hace el próximo reglamento europeo de IA) que esta identificación se lleve a cabo con el conocimiento y consentimiento del usuario, o de forma “remota” (es decir, sin ese conocimiento).
El siguiente ejemplo muestra una búsqueda 1:N en la que se emplea una imagen de Rafa Nadal y se identifica su rostro en una base de datos de fotografías del tenista en distintos escenarios.
- Autenticación o verificación. Este método se basa en una comparación 1:1, dado que los datos del individuo se comparan contra otros datos asociados a ese mismo individuo. La finalidad en este caso es comprobar su identidad, es decir, verificar que es quien dice ser.
¿Cómo funciona la biometría?
Puede decirse que el elemento clave en un sistema de reconocimiento biométrico es el motor empleado. Se entiende por motor biométrico el conjunto de procesamientos matemáticos implementados en un sistema informático que permite llevar a cabo el reconocimiento de una persona a partir de una o más características fisiológicas.
De forma habitual se definen dos etapas en todo procesamiento biométrico.
- Registro biométrico.
- Comparación biométrica. El proceso de comparación biométrica puede tener dos fines: verificación (1:1) o identificación (1:N), tal y como se ha indicado anteriormente.
A continuación se explica el funcionamiento de cada una de las etapas.
Registro biométrico
El registro biométrico consiste en la generación de un vector biométrico a partir de una característica fisiológica de la persona. Por ejemplo, a partir de su cara, voz, huella dactilar, iris, etc. La siguiente imagen muestra una explicación del proceso de registro para el caso concreto en el que se emplea la cara como factor biométrico. En este caso, se habla de vector facial para referirse al vector biométrico.
- El primer paso consiste en la obtención de una fotografía que contiene el rostro de la persona.
- Esta imagen se envía al motor biométrico, que lleva a cabo el procesamiento de la imagen. Se trata de la etapa más importante, ya que en función de las tecnologías empleadas, el motor biométrico tendrá mayor o menor precisión. En apartados posteriores se detalla la evolución que han tenido los motores biométricos desde los modelos basados en landmarks o puntos característicos, hasta los modelos actuales basados en Inteligencia Artificial.
- Como resultado, el motor biométrico obtiene un vector facial, referenciado como (x1, y1, z1…) en el esquema anterior. El vector facial es una representación matemática de las características biométricas de la persona.
- Como resultado del proceso de registro, el vector facial es almacenado para que pueda ser empleado en un proceso posterior de comparación biométrica. El vector facial se almacena asociado a un identificador de la persona. Este identificador puede ser un valor totalmente anonimizado (ej: un hash obtenido del nombre de la persona o del número de DNI).
Este almacenamiento puede llevarse a cabo en una base de datos centralizada, distribuida o incluso puede almacenarse en el dispositivo móvil del usuario.
Comparación biométrica
El proceso de comparación biométrica consiste en la generación de un nuevo vector facial a partir de una nueva captura de la característica fisiológica de la persona, y la comparación con respecto al vector facial previamente almacenado.
Desde un punto de vista técnico, es importante tener en cuenta que lo que se comparan no son imágenes píxel a píxel, sino vectores faciales.
La siguiente imagen muestra una explicación del proceso para el caso concreto en el que se emplea la cara como factor biométrico.
- El primer paso consiste en la obtención de una nueva fotografía que contiene el rostro de la persona.
- Esta imagen se envía al motor biométrico, que lleva a cabo el procesamiento de la imagen.
- Como resultado, el motor biométrico obtiene un vector facial referenciado como (x2, y2, z2…) en el esquema anterior.
- Se obtiene el identificador del usuario asociado al vector. Esto permite encontrar en la base de datos el vector facial previamente almacenado, referenciado como (x1, y1, z1…) en el esquema anterior.
- Posteriormente se lleva a cabo una comparación entre los dos vectores anteriores. El proceso de comparación de vectores no implica el uso de tecnología avanzada. Desde el punto de vista matemático, se emplea habitualmente la regla coseno para determinar cómo de alejados se encuentran ambos vectores.
- Finalmente, la distancia entre vectores obtenida en el punto anterior se normaliza para que represente el nivel de similaridad entre los vectores comparados. De esta forma, vectores que se encuentran próximos, obtendrán un nivel de similaridad elevado. Es decir, representan situaciones donde la comparación biométrica es exitosa. Por el contrario, vectores que se encuentran alejados, obtendrán un nivel de similaridad bajo. Es decir, representan situaciones donde la comparación biométrica no es exitosa.
¿Qué son los sistemas de reconocimiento biométrico?
El avance del ser humano ha ido siempre de la mano de nuevos desarrollos tecnológicos. De la misma manera que pasamos del transporte en caballo al coche o el avión, de los mapas dibujados a mano a los satélites y el GPS, e infinidad de nuevas invenciones que hacen nuestra vida más fácil, el modo en que nos identificamos hoy en día, ha provocado una respuesta tecnológica que tiene como objetivo principal seguir aumentando nuestra calidad de vida.
La digitalización ha traído consigo múltiples beneficios pero también ha alimentado la incertidumbre acerca de la identidad de las personas detrás de las pantallas. Las tecnologías de reconocimiento biométrico surgen como respuesta a esta necesidad de garantizar la identidad de las personas en un mundo cada vez más global, complejo y virtual.
Existen diferentes tipos de biometría, entre los que destacan la biometría facial, de voz, iris o dactilar. En términos digitales, la biometría facial y la biometría de voz se han convertido en las alternativas más fiables y amigables para usuarios y compañías.
Sistemas biométricos old-school o de landmarks
Los primeros sistemas de biometría facial se basaban en el reconocimiento o identificación de puntos característicos, llamados landmarks, que representaban la imagen facial de la persona.
El principal problema de estos sistemas es su trazabilidad, es decir, la posibilidad de reconstruir la imagen original. Además, son muy frágiles a los cambios en el aspecto como la barba o el uso de gafas o mascarilla.
Sistemas biométricos basados en Inteligencia Artificial
En los últimos años, los motores de biometría se han desarrollado con Inteligencia Artificial. Estos sistemas se entrenan para aprender a reconocer caras como el cerebro humano, capaz de distinguir a una persona en diferentes circunstancias, y con mayor precisión debido a la infinidad de datos que procesan.
Los motores biométricos están diseñados para proteger la privacidad de sus usuarios por defecto. Cuando se procesa una imagen facial o un fragmento de audio, estas evidencias se convierten en un vector matemático irreversible.
Esto significa que si ese vector se perdiera, o alguien intentara descifrarlo, le sería imposible, ya que solo sirve a efectos de comparación con otro vector (una nueva imagen o audio en el momento de verificar la identidad de la persona). Además, dichos vectores solo pueden ser procesados por el mismo motor que los creó, es decir, son interoperables ya que no pueden utilizarse por otros sistemas.
A continuacuón se muestra un ejemplo de vector facial generado a partir de una versión concreta de motor biométrico.
<0x0><0x2><0x6><0x3>+ep,<0xC5><0xC7>|<0xCD><0xC>T;<0xD2>p<0xEE>w<0xC7><0xA6><0xFC><0xC2><0x1E><0xAA><0xE3> <0x0><0x13><0x1><0x80><0x0><0x0><0x0><0x0>e_x’#<0xEF><0xC7><0xD2><0xEA>7Lp<0xAA><0x94><0x9F><0xBD>><0x87>42puT~<0x93>zj<0xE1>qa<0xDF><0xF0>)I<0xF8>k<0x1F>KQ<0x12>9<0xDF>M#<0xC><0xDE>=<0xEA><0xC><0xE2><0xD9>$<0xAB><0x95><0xFC>k<0xBD><0x7><0xD3><0x82><0x0>3<0x80>2<0x9><0x1><0xC6>d<0xF1><0xC4>is><0x84>sT<0x7><0x8B><0xF8><0x84><0xE6><0xC6><0xC1>+<0xB><0x8A><0xAC><0x99><0x13>o<0x85><0xED>c<0xF0>|<0xF8><0xDD>R<0x98>5<0xD0><0xBC>^<0xC9>B<0x84><0x15><0x18><0xA6>,<0x93>U<0x8><0xFB><0xEE>O<0x16><0x9A><0xEB><0xDB><0xA0><0x89>.<0x1B>*<0xDB><0xBD>Pz<0x9D>=<0x18><0x9C><0x9A><0xC2>!<&<0x7>'<0x95><0x8B>F<0xD><0x9C><0x88><0x2>3<0xD5><0x81><0xD7><0x87><0x1><0xE0>9;<0xFB><0xBB><0xE1><0x92>x<0xEC><0xB1>><0xD1><0xC4>x=<0xC2>zgTW<0xF0><0x3><0x9C><0xC0><0xAE><0xFD><0xDC>”\<0xA2><0x80><0x8B><0xEE>n<0xA9>*<0xFB><0x1A><0x9C><0xCD>x<0x89>'<0x0><0xD4><0x88><0xA7>$^<0xA><0xDB><0x1F><0x3>_<0xE9><0x83><0xD6><0x6>X<0xFA><0xDB>l%<0x96><0xD4><0xAB>IQ{<0x9E>d2<0x1>d<0xB5>}1<0x9F>QB<0xA1>t<0x9F><0xC9>aS<0xD9><0xC1><0x1D>)F<0xEF><0xB3><0xFE><0xD9>N<0x6><0xB6>3<0xE4>##<0xA6>W<0x1B><0x15><0x8A><0xF><0xDD><0xC5><0xD0><0x81><0x16>lH<0xEB>ELk<0xCF><0x9C><0xFC><0xD1>u<0x1A><0x5><0xD4><0xF0><0xFD><0xB9><0xBD><0x96><0x82><0xBA><0x9A>=<0x0><0xE3><0xA>
Las características de estos vectores faciales. Son las siguientes.
- Los vectores faciales garantizan la privacidad.
- Los vectores faciales son irreversibles.
- Los vectores faciales no son interoperables entre distintos sistemas. No son compatibles con versiones de distintos fabricantes ni con otra versión del modelo biométrico, incluso del mismo fabricante.
- Revocables: El rasgo biométrico no cambia. El vector facial sí lo hace.
- Los vectores faciales incluyen una capa de cifrado.
- Los vectores faciales no incluyen información personal adicional de la persona.
¿Para qué sirve la biometría?
La biometría nos permite verificar nuestra identidad en el mundo digital de manera segura y certera. La directiva de servicios de pagos (PSD2) de la Unión Europea, define tres niveles de seguridad o formas en las que podemos verificar nuestra identidad:
- Posesión (algo que tienes): Se trata de la forma más tradicional de acceder a un servicio que nos pertenece, y es a través de una llave o acreditación física que poseemos. Este sería el caso de la llave de nuestra casa, nuestro coche, o incluso nuestro documento de identidad. El gran riesgo de esta vía de autenticación es la posibilidad que existe de perder esta credencial, o de que alguien se haga pasar por nosotros simplemente por el hecho de tenerla.
- Conocimiento (algo que sabes): Si avanzamos un poco, en un nivel por encima se encuentra aquello que nosotros sabemos, por ejemplo, una contraseña o código de acceso. En este caso, no se trata de algo físico que podamos perder, pero sí que existe el riesgo de que nos olvidemos o incluso de que otra persona averigüe por diferentes métodos esa información, pudiendo suplantar nuestra identidad.
- Inherencia (Algo que eres): Por encima de las anteriores, y como la auténtica vía de verificación nos encontramos nosotros mismos y todo aquello que nos hace únicos. Del mismo modo en que nos parecería ridículo llamar por teléfono a nuestros padres y dar un código para que nos reconocieran, resulta arcaico que hoy en día, en la era digital, seamos esclavos de contraseñas y credenciales físicas para acreditar nuestra identidad. La biometría nos permite verificar nuestra identidad de manera sencilla, rápida y disponible en cualquier ocasión, ya sea a través de un selfie o pronunciando unas pocas palabras.
La biometría: única manera de asegurar la identidad real
Para contar con una identidad verificada con certeza en el entorno digital, es necesario emplear la identidad biométrica y la identidad legal.
- La biometría como factor inherente a la persona.
- El documento nacional de identidad, como representación de la identidad otorgada por el estado.
Estos dos factores están unidos a través de la biometría facial, que se convierte de facto en el factor biométrico que permite unir la identidad otorgada por el estado, con la identidad real.
Identidad real en forma de fotografía e identidad otorgada por el estado en forma de DNI, del redactor del informe. El redactor del informe consiente la publicación de las fotografías.
Onboarding digital
Teniendo en cuenta lo anterior, el uso de la biometría facial como factor de autenticación en el entorno digital requiere de un proceso conocido como onboarding digital. El proceso de onboarding digital se encuentra ampliamente extendido para diferentes casos de uso.
- Apertura de cuentas bancarias.
- Registro online en empresas de telecomunicaciones, eléctricas y seguros.
- Verificación de identidad para obtener certificados digitales. En España, FNMT permite obtener un certificado digital a través de un proceso de este tipo desde junio de 2023.
- Verificación de identidad para el juego online.
- Reserva de una habitación de hotel.
- Verificación de identidad y del carnet de conducir para el alquiler de un vehículo.
- Acceso a eventos deportivos.
Un proceso de onboarding consta fundamentalmente de dos etapas por parte del usuario.
- La captura de una fotografía de su documento de identidad.
- La captura de una foto selfie.
A partir de las evidencias capturadas, se lleva a cabo un proceso que consta de tres etapas.
- La verificación de que el documento de identidad es auténtico, está vigente y puede ser empleado para el caso de uso concreto donde el usuario realiza el onboarding digital. Habitualmente, esto supone ser mayor de edad.
- La comparación biométrica entre la foto impresa en el documento y la foto selfie capturada en vivo por el usuario.
- La verificación mediante diferentes técnicas de prueba de vida (activas o pasivas) de que el usuario que lleva a cabo el proceso es legítimo. Esto implica verificar que la imagen empleada como foto selfie es auténtica, y no se trata de una suplantación de identidad como una fotocopia, una máscara o un deepfake.
Las etapas anteriores pueden complementarse con pasos adicionales, en función de la regulación y el caso de uso.
Por ejemplo, la apertura de cuentas bancarias en España, regulada por SEPBLAC, requiere la realización de un proceso de vídeo-identificación o videollamada entre el usuario y un agente de back-office. De forma adicional, requiere la revisión manual por parte del agente de todas las evidencias capturadas (fotografías del documento, selfie y vídeo-identificación), para la aceptación o rechazo del alta.
De forma similar sucede con el proceso de verificación de identidad para la obtención de certificados digitales, en el que el Centro Criptológico Nacional (CCN) establece los requerimientos.
En este caso de uso, no hay que olvidar la necesidad de cumplir con el reglamento eIDAS (ver referencia) y en particular, con el artículo 24 1d. Este artículo establece que “Al expedir un certificado cualificado para un servicio de confianza, un prestador cualificado de servicios de confianza verificará, por los medios apropiados y de acuerdo con el Derecho nacional, la identidad y, si procede, cualquier atributo específico de la persona física o jurídica a la que se expide un certificado cualificado”, donde se habilita la opción de realizarlo “utilizando otros métodos de identificación reconocidos a escala nacional que aporten una seguridad equivalente en términos de fiabilidad a la presencia física. La seguridad equivalente será confirmada por un organismo de evaluación de la conformidad”.
Por lo tanto, aquellos procesos de verificación de identidad mediante técnicas biométricas como los que lleva a cabo FNMT en España para la emisión de certificados digitales han demostrado un nivel de seguridad equivalente a la presencia física.
La evolución al nuevo eIDAS2 reconoce el papel de la biometría como un factor de alta confianza que pueda ser empleado en el futuro Wallet de identidad digital europeo (ver referencia). En concreto, se establece que “European Digital Identity Wallets should ensure the highest level of security for the personal data used for authentication irrespective of whether such data is stored locally or on cloud-based solutions, taking into account the different levels of risk. Using biometrics to authenticate is one of the identifications methods providing a high level of confidence, in particular when used in combination with other elements of authentication. Since biometrics represents a unique characteristic of a person, the use of biometrics requires organisational and security measures”.
Autenticación biométrica
Una vez que un usuario ha llevado a cabo un proceso de onboarding, es posible generar un vector facial a partir de la foto selfie empleada en el proceso de alta, de manera que pueda emplearse como vector facial de registro.
De esta forma, el usuario podrá llevar a cabo un proceso de autenticación biométrica para diferentes casos de uso. Por ejemplo,
- Login biométrico.
- Firma de operaciones.
- Confirmación de pagos.
El proceso de autenticación biométrica se realiza tal y como se ha explicado en apartados anteriores. El usuario captura una foto selfie, se genera un vector facial a partir de la imagen, y este vector es comparado con el vector facial de registro, dando como resultado la aceptación o rechazo del proceso de autenticación. Al igual que se ha descrito en el proceso de onboarding, el proceso de autenticación incluye siempre la verificación de que el usuario que está llevando a cabo el proceso es legítimo, y que no se trata de ningún tipo de impersonación.
En este sentido, como parte de la normativa europea PSD2 (Segunda Directiva de Servicios de Pago), los bancos y otras entidades proveedoras de pagos deben implementar la autenticación reforzada de clientes. Se trata de un mecanismo diseñado para reforzar los requisitos técnicos de verificación de la identidad de usuarios.
La autenticación reforzada exige que el servicio de pago utilice al menos dos datos distintos, conocidos como factores de autenticación. Estos factores se dividen en tres grupos:
- Conocimiento: algo que el usuario conoce, como una contraseña o PIN.
- Posesión: algo que el cliente posee, como un dispositivo móvil.
- Inherencia: hace referencia a factores biométricos.
Por tanto, PSD2 habilita al uso de características biométricas como uno de los factores a emplear para el proceso de autenticación reforzada y confirmación de pagos. Resulta habitual combinar la biometría con el factor de posesión, evitando así el uso de contraseñas. En este sentido, la iniciativa FIDO es la más conocida, al hacer uso del dispositivo y la biometría del dispositivo móvil (ej: FaceID).
Si bien PSD2 tiene un alcance limitado a pagos, el establecimiento de dos factores como mecanismo fuerte de autenticación se ha implantado como un estándar dentro de la industria, extendiéndose a otros ámbitos.
De la presunción a la certeza
El uso de tecnologías biométricas permite pasar de la presunción a la certeza, asegurando que la persona que lleva a cabo un proceso es realmente quien dice ser. Esto da lugar a procesos de autenticación más seguros en comparación con el uso de alternativas tradicionales basadas en el uso de contraseñas.
El hecho de que una contraseña sea muy segura, en el sentido de tener una longitud significativa, haga uso de carácteres en minúscula y mayúscula, números y carácteres especiales, no garantiza en ningún caso la certeza de la identidad.
Cualquier contraseña, por compleja que sea, puede ser cedida, cuando no robada, del mismo modo que una contraseña sencilla.
Uno de los ejemplos más comunes y aceptados de cesión voluntaria de contraseñas y certificados tiene lugar en el ámbito laboral. Habitualmente, los certificados digitales son emitidos a nombre del Director General y Director Financiero, quienes reciben un archivo en forma de credencial para la firma de operaciones en nombre de la empresa. Por razones operativas, resulta habitual que este certificado sea usado desde los dispositivos electrónicos de otros empleados de la compañía para la firma de contratos.
El uso de tecnologías biométricas permite verificar la identidad real de la persona que lleva a cabo el proceso de firma de operaciones en el ámbito laboral, pasando de la presunción, por el mero hecho de contar con un certificado digital, a la certeza.
Veridas, simplemente sé tú
Veridas lleva 4 años en el mundo de la biometría basada en Inteligencia Artificial desarrollando motores propios de reconocimiento facial y de voz. Nuestras tecnologías, reconocidas a nivel global, se encuentran ya en funcionamiento en diferentes sectores como la banca, los seguros o las telecomunicaciones, y han validado ya millones de identidades en todo el mundo de una forma ágil, rápida y segura.
Nuestra misión es proteger la identidad de las personas en el mundo digital, luchar contra el fraude online y garantizar que la digitalización tenga un impacto social real mejorando la calidad de vida de todas las personas. Gracias a Veridas, puedes olvidarte de las contraseñas, los trámites burocráticos presenciales, las llamadas interminables en call centers o las suplantaciones de identidad… simplemente sé tú.
