Los sistemas de seguridad basados en huellas dactilares de los teléfonos y otros dispositivos electrónicos podrían ser más vulnerables de lo que se pensaba.
Los sistemas de autenticación basados en huellas dactilares cuentan con sensores pequeños que no capturan la huella completa del usuario. En su lugar, escanean y almacenan huellas parciales, y muchos teléfonos permiten usar distintos dedos en el sistema de autenticación. La identidad se confirma cuando la huella de un usuario coincide con cualquiera de las huellas parciales guardadas.
Un nuevo estudio sugiere que podría haber suficientes similitudes entre las huellas parciales de distintas personas como para crear una «MasterPrint».
El concepto de MasterPrint se parece al de un hacker que intenta descifrar un sistema basado en PIN mediante una contraseña de uso común, como 1234, explica Nasir Memon, profesor de informática e ingeniería de la Universidad de Nueva York Tandon. «Aproximadamente el 4 % de las veces, la contraseña 1234 será correcta, lo que supone una probabilidad relativamente alta cuando uno se limita a adivinar».
Por ello, los investigadores se propusieron averiguar si podían encontrar una MasterPrint que revelara un nivel similar de vulnerabilidad. En efecto, descubrieron que ciertos atributos de los patrones de las huellas dactilares humanas eran lo bastante comunes como para suscitar preocupación por la seguridad.
Para el estudio, publicado en IEEE Transactions on Information Forensics & Security, los investigadores analizaron 8.200 huellas parciales. Con un software comercial de verificación de huellas dactilares, encontraron un promedio de 92 posibles MasterPrints por cada lote de 800 huellas parciales seleccionado al azar. (Definieron una MasterPrint como una huella que coincide con al menos el 4 % de las demás huellas del lote seleccionado al azar).
Sin embargo, encontraron una sola MasterPrint de huella completa en una muestra de 800 huellas completas. «No es de extrañar que la probabilidad de que una huella parcial coincida por error sea mucho mayor que la de una huella completa, y la mayoría de los dispositivos se basan únicamente en huellas parciales para identificar a las personas», afirma Memon.
El equipo analizó los atributos de las MasterPrints obtenidas de imágenes de huellas dactilares reales y, a continuación, creó un algoritmo para generar MasterPrints parciales sintéticas.
Los experimentos demostraron que las huellas parciales sintéticas tienen un potencial de coincidencia aún mayor, por lo que es más probable que engañen a los sistemas de seguridad biométrica que las huellas parciales reales. Con sus MasterPrints simuladas digitalmente, el equipo informó que logró hacerlas coincidir con entre el 26 y el 65 % de los usuarios, dependiendo del número de impresiones de huellas parciales almacenadas para cada usuario y suponiendo un máximo de cinco intentos por autenticación. Cuantas más huellas parciales almacene un teléfono inteligente para cada usuario, más vulnerable será.
Aunque el trabajo se realizó en un entorno simulado, la investigadora posdoctoral y coautora Aditi Roy subraya que las mejoras en la creación de huellas sintéticas y las técnicas para transferir MasterPrints digitales a objetos físicos con el fin de suplantar un dispositivo plantean importantes riesgos de seguridad.
La elevada capacidad de coincidencia de las MasterPrints pone de manifiesto los desafíos que supone diseñar sistemas fiables de autenticación basados en huellas dactilares y refuerza la necesidad de esquemas de autenticación multifactor.
«A medida que los sensores de huellas dactilares se hacen más pequeños, es imprescindible mejorar considerablemente su resolución para que puedan capturar características adicionales de las huellas», afirma el coautor Arun Ross, profesor de informática e ingeniería de la Universidad Estatal de Michigan.
«Si no se mejora la resolución, la singularidad de la huella dactilar de un usuario se verá inevitablemente comprometida. El análisis empírico realizado en esta investigación lo demuestra claramente».
Los resultados de la investigación del equipo se basan en la comparación de minucias, que un proveedor determinado puede utilizar o no, señala Memon. No obstante, mientras se utilicen huellas parciales para desbloquear dispositivos y se almacenen varias impresiones parciales por dedo, la probabilidad de encontrar MasterPrints aumenta considerablemente.
