Un collar con token de seguridad, unos auriculares o unas gafas podrían eliminar las vulnerabilidades de la autenticación por voz, la práctica de iniciar sesión en un dispositivo o servicio usando únicamente la voz.
Hablar con los aparatos electrónicos se ha convertido en una forma popular —e incluso esencial— de controlarlos. En la era de Internet de las cosas, los asistentes de voz conectan a las personas con sus dispositivos móviles, hogares y vehículos.
Mediante interacciones habladas, hacemos llamadas, enviamos mensajes de texto, consultamos el correo electrónico, obtenemos indicaciones para viajar, controlamos electrodomésticos e incluso accedemos a cuentas bancarias. Por ejemplo, el banco Barclays empezó recientemente a utilizar una tecnología que emplea la voz para verificar la identidad de los clientes que llaman a sus centros de atención.
«Si un sistema utiliza únicamente tu firma de voz, puede ser muy peligroso».
Pero el sonido es un «canal abierto» que puede ser fácilmente suplantado tanto por imitadores mediocres como por hackers sofisticados.
«Cada vez se utiliza más la voz como característica de seguridad, pero en realidad tiene grandes vulnerabilidades», afirma Kang Shin, profesor de informática y de ingeniería eléctrica e informática en la Universidad de Michigan. «Si un sistema utiliza únicamente tu firma de voz, puede ser muy peligroso. Creemos que se necesita un segundo canal para autenticar a la persona propietaria de la voz».
Vibraciones del habla
La solución desarrollada por Shin y sus colegas se llama VAuth (se pronuncia «vi-auth»): un dispositivo ponible que puede adoptar la forma de un collar, unos auriculares o un pequeño accesorio para las gafas.
El dispositivo registra continuamente las vibraciones que produce el habla en el cuerpo del usuario y las combina con el sonido de su voz para crear una firma única y segura.
El proceso de hablar genera vibraciones que pueden detectarse en la piel de la cara, la garganta o el pecho. El sistema aprovecha la coherencia instantánea entre las señales del acelerómetro del token de seguridad ponible y el micrófono del dispositivo electrónico. Solo puedes usar la autenticación por voz con tu dispositivo cuando llevas puesto el token de seguridad.
El equipo construyó un prototipo con un acelerómetro comercial, que mide el movimiento, y un transmisor Bluetooth, que envía la señal de vibración al micrófono del dispositivo del usuario. También desarrollaron algoritmos de correspondencia y software para Google Now.
«VAuth es el primer intento serio de proteger este servicio y garantizar que tu asistente de voz solo escuche tus órdenes, y no las de otras personas», afirma Shin. «Proporciona seguridad física, difícil de vulnerar incluso para atacantes sofisticados. Solo con esta garantía se puede confiar en que el asistente de voz sea personal y seguro, especialmente en situaciones como las operaciones bancarias y la seguridad del hogar».
Esto supone un cambio radical respecto de los mecanismos biométricos de voz existentes, que requieren que cada persona que vaya a utilizarlos se registre, afirma Kassem Fawaz, quien trabajó en el proyecto como estudiante de posgrado en la Universidad de Michigan y ahora es profesor adjunto en la Universidad de Wisconsin.
«Además, VAuth resuelve un problema clave de la biometría de voz. Una característica biométrica de la voz, al igual que una huella dactilar, no es fácil de mantener protegida. A partir de unas pocas grabaciones de la voz del usuario, un atacante puede suplantarlo generando una “huella vocal” coincidente».
«Los usuarios poco pueden hacer para recuperar su seguridad, ya que no pueden cambiar de voz sin más. En cambio, si pierden VAuth por cualquier motivo, pueden desvincularlo fácilmente para impedir que un atacante utilice su dispositivo».
97 % de precisión
Cuando el equipo probó VAuth con 18 usuarios y 30 órdenes de voz, alcanzó una precisión de detección del 97 % y una tasa de falsos positivos inferior al 0,1 %, independientemente de su posición en el cuerpo y del idioma, el acento o incluso la movilidad del usuario. También frustró con éxito varios ataques prácticos, como los ataques de repetición, los ataques con voz distorsionada y los ataques de suplantación.
Los investigadores encuestaron a 952 personas para conocer su disposición a llevar un token de seguridad.
«El setenta por ciento dijo estar dispuesto a probar en serio VAuth en una de las tres configuraciones que desarrollamos, y la mitad dijo estar dispuesta a pagar 25 dólares más por la tecnología», afirma Huan Feng, quien trabajó en el proyecto como estudiante de posgrado.
Los investigadores presentarán su artículo el 19 de octubre en la Conferencia Internacional sobre Computación Móvil y Redes, MobiCom 2017. La Fundación Nacional de Ciencias proporcionó financiación. Los investigadores han solicitado protección mediante patente y buscan socios para comercializar la tecnología y ayudar a llevarla al mercado.
