Demostrar la identidad forma parte de la vida cotidiana moderna. Muchas personas deben mostrar el permiso de conducir para comprar alcohol en una tienda, mostrar un documento de identidad a los guardias de seguridad en el trabajo, introducir contraseñas y códigos de acceso para consultar el correo electrónico y otra información privada, y responder preguntas de seguridad al llamar a bancos o compañías de tarjetas de crédito para solicitar atención al cliente.
La autenticación también es cada vez más fácil para las personas. Basta pensar en el iPhone. Para desbloquear las primeras versiones se necesitaba un código de acceso de varios dígitos. Después, Apple presentó Touch ID, que desbloqueaba el teléfono mediante un lector de huellas dactilares. La versión más reciente, que acaba de salir, es el iPhone X, que puede usar su cámara para realizar reconocimiento facial para autenticar a un usuario.
Como investigador de seguridad de software que estudia las tecnologías de autenticación para dispositivos portátiles, sé muy bien que las tecnologías cambian, pero el desafío sigue siendo el mismo: ¿cómo puede un sistema digital autenticar la identidad de una persona de carne y hueso?
Tres factores de identidad
Hay tres formas principales de demostrar una identidad. Una consiste en algo que sabes, como una contraseña o el apellido de soltera de tu madre. Este método presupone que el usuario autorizado dispone de información que ningún usuario no autorizado posee. Pero no siempre es así: en el caso de los 145,5 millones de estadounidenses afectados por la filtración de datos de Equifax revelada en septiembre de 2017, es posible que los delincuentes conozcan ahora ingentes cantidades de información que antes era privada.
Un segundo método de autenticación consiste en algo que tienes, como la llave de la puerta principal de tu casa o una tarjeta inteligente que pasas al entrar al trabajo. Esto presupone que solo un número limitado de personas —quizá una sola, aunque también podría tratarse de un pequeño grupo, como una familia o compañeros de trabajo— tiene permiso para entrar en un espacio físico o usar un servicio digital.
Una tercera forma consiste en autenticar a la persona —quién eres— mediante algún aspecto de su biología. Hay varios tipos de datos biométricos, como las huellas dactilares, el reconocimiento facial, el escaneo del iris y las huellas vocales. Esta estrategia, por supuesto, presupone que el rasgo corporal es único de esa persona concreta y, algo crucial, que el sistema digital correspondiente puede distinguir entre unas personas y otras.
Combinar dos o más métodos puede mejorar la seguridad y se denomina autenticación de dos factores o multifactor.
Las consecuencias de la autenticación digital
Esta creciente dependencia de la autenticación digital podría, en realidad, reducir la seguridad. Aunque las cámaras, los sensores y otros dispositivos pueden facilitar el proceso de autenticación, también tienen sus propias vulnerabilidades.
Cuando un sistema intenta autenticar a una persona, debe comparar la información que presenta —lo que sabe, lo que tiene o quién es— con una base de datos previamente almacenada de usuarios autorizados. Como deja claro la filtración de datos de Equifax, esas bases de datos también son vulnerables a los ataques. La información robada podría usarse en otro lugar; por ejemplo, para averiguar qué banco utiliza una persona y responder preguntas de seguridad al llamar para transferir dinero. También se podría corromper la propia base de datos y modificar la información para que un atacante lograra hacerse pasar por otra persona y entrar en un espacio físico o en un sistema.
Otra posible amenaza de seguridad propia de la biometría es que los delincuentes no necesitan adivinar una contraseña ni obligar a alguien a revelarla: basta con tener a la víctima presente —incluso a punta de pistola— para obtener su huella dactilar o su rostro, autenticar su identidad y desbloquear un sistema.
Complicaciones futuras
A medida que la autenticación se vuelve más compleja, con múltiples factores y comunicaciones seguras entre sensores y bases de datos, los usuarios están menos dispuestos a pasar por tantos obstáculos. Por eso, los responsables de seguridad intentan simplificarles el proceso sin debilitar las protecciones. Esto ocurre a menudo en sitios web que instan a los usuarios a iniciar sesión con sus cuentas de Facebook o Google, pues esos sitios se apoyan en la avanzada seguridad de los gigantes tecnológicos en lugar de crear sus propios sistemas de autenticación.
En un escenario futurista, la autenticación podría producirse sin que el usuario siquiera se diera cuenta: al entrar en una tienda, el reconocimiento facial podría identificarte y autenticarte. Después, al pagar, solo tendrías que escanear tus compras y salir; la tienda cargaría automáticamente el importe a la tarjeta de crédito que eligieras. No es ciencia ficción: Amazon ha patentado un sistema para hacer exactamente esto en sus tiendas de conveniencia Amazon Go sin cajeros.
Esto es posible, en parte, gracias a la práctica cada vez más habitual de que los sistemas informáticos se autentiquen entre sí; así, el sistema de la tienda te reconocería, se conectaría con la compañía de la tarjeta de crédito y autorizaría la compra por su cuenta.
Puede ser más cómodo e incluso más seguro que una banda magnética en una tarjeta de plástico que llevas en la cartera. Sin embargo, los posibles peligros exigirán una seguridad mucho mayor para la información privada, en particular los datos biométricos. La identidad real sigue siendo cuestión de carne y hueso.
