=-[ 0x06 ]-==================================================================
=-[ NetSearch Ezine #7 ]-====================================================
=-[ Seguridad Biometrica  ]-=================================================
=-[ por Memonix ]-===========================================================

                                
                           
                         SEGURIDAD BIOMETRICA   
                         ====================                                                                
                                                   
                      Memonix <memonix@bigfoot.com>                        
                                                  
                       

 1.INTRODUCCION:
   ------------

 Actualmente nos encontramos en la era del comercio electronico, donde las
 personas se ven abrumadas por la cantidad de nombres de usuario, 
 contraseas, claves de tarjeta que han de ser capaces de recordar; todos 
 estos sistemas de autentificacion parecen un poco antiguos para el nivel de
 desarrollo que se pretende alcanzar y que en muchos casos ya se ha 
 alcanzado, siendo aqui donde entra en juego el papel de la biometria, la 
 cual utiliza parametros biologicos para autentificar la identidad de los
 usuarios, pudiendo pasar desde las huellas digitales, la voz, el iris hasta
 el ritmo de tecleo de una persona, factores que no se pueden copiar ni
 olvidar, es decir: la contrasea es la persona.
 La gran mayoria de estos sistemas no son relativamente nuevos, pero hasta
 hace muy poco eran demasiado caros. Los sistemas de seguridad mas avanzados
 llevan empleando las huellas digitales, el reconocimiento del iris, la 
 imagen facial o la voz desde hace mucho tiempo. Hasta hace bien poco estos
 sistemas estaban fuera del alcance de la mayoria de las empresas y usuarios,
 pero el creciente uso y expansion de sistemas como Internet han hecho 
 necesario que se desarrollen sistemas que garanticen la identidad tanto a 
 usuarios como a comercios en red; la extension del uso lleva a un 
 abaratamiento.
 El tema de la seguridad biometrica tambien conlleva aspectos referentes a 
 la etica y a la privacidad biometrica, para indagar mas en el asunto se 
 puede leer la entrevista realizada a Simon Davies "A View From Europe", lo
 cual queda fuera del ambito de este articulo que se limitara a dar una 
 vision general de algunos de los productos biometricos existentes en el
 mercado.

 2.SISTEMAS DE VOZ:
   ---------------

 Los sistemas de reconocimiento mediante la voz se pueden usar como 
 sustitutos de las contraseas, para el comercio electronico para comprobar
 la identidad en las transacciones, para acceder a un archivo concreto, etc.
 Pero estos sistemas sin ninguna duda son mas usados y tienen mayor demanda
 para los sistemas de voz de los moviles, las alarmas de una casa y en un
 posible futuro para los sistemas de votacion.
 Estos sistemas usan tanto la verificacion de voz como el reconocimiento de
 voz, para asegurarse de quien es la persona que esta hablando y tambien
 para cerciorarse de que la respuesta dada es correcta.
 A favor de esta tegnologia se podria decir que es un metodo "natural" de
 identificacion ya que no supone para el usuario ninguna traba, es un metodo
 rapido, elimina los errores ortograficos, etc.
 Actualmente las empresas desarrolladoras de algoritmos de identificacion 
 para sistemas de voz son en su mayoria AT&T, ITT, France Telecom, Bellcore,
 Texas Instruments, y Siemens. 
 En el mercado actual destacan dos productos que usan este sistema:
 VoiceCheck y VeriVoice.

 - VoiceCheck:
   ~~~~~~~~~~

 Este sistema simplemente necesita de minuto y medio para estar operativo,
 en este intervalo de tiempo se realizaran una serie de preguntas, doblandose
 la seguridad ya que no solo ha de ser la misma voz la que conteste a las
 preguntas, sino que tambien ha de decir lo mismo, siendo las preguntas del
 tipo fecha de nacimiento, edad, etc.
 Pensando en la seguridad para evitar posibles suplantaciones mediante la
 utilizacion de la voz grabada, Voicecheck rechaza una entrada identica a la
 grabada, porque es imposible que se pronuncie una palabra o una frase de la
 misma manera dos veces, y no solo se trata de responder a la pregunta,
 tambien hay que tener en cuenta el tiempo ya que este es limitado ademas de
 contar con que cada vez las preguntan se formulan de manera aleatoria.
 A su vez para las transacciones online tambien podemos contar con este mismo
 sistema, basandose en una base de datos de verificacion que puede ser usada
 en cualquier plataforma que soporte Java 1.3; este sistema puede manejar
 peticiones de verificacion desde Internet, una LAN, un sistema telefonico o
 desde sistemas como los PDAs.
 Como es logico Voicecheck no es ninguna especie de diccionario, es decir lo
 puede usar cualquier persona sea cual sea su idioma, pudiendo ser capaz de
 encontrar direfencias en sonidos que para el oido humano suenen exactamente
 igual, a su vez el sistema tambien cuenta con sus propias alarmas para 
 generar y logear las verificaciones erroneas.
 Tambien cabria destacar que este sistema puede trabajar en conjuncion con
 firmas digitales o con una PKI.
 Otro producto de la misma compaia (Veritel), es Voicecall teniendo las 
 mismas caracteristicas que Voicecheck siendo un Interactive Voice Response
 (IVR) orientado a los sistemas telefonicos PBX y CENTREX, pudiendo ser
 utilizado para calling cards, buzones de voz, sistemas de mensajeria y 
 acceso remoto a datos via modem.

 - VeriVoice:
   ~~~~~~~~~

 Las caracteristicas de Verivoice son practicamente equivalentes a las de
 Voicecheck, por lo que no se comentara nada mas sobre el salvo decir que
 el porcentaje de error del sistema, falsos positivos y falsos negativos,
 esta testeado resultando en un +/- 1.5%.

 3.SISTEMAS OPTICOS:
   ----------------

 Esta clase de sistemas se podria decir que se dividen en dos clases.
 
 *Reconocimiento del iris

 *Exploracion de la retina

 Estos sistemas estan siendo desarrollados sobre todo para servicios tales
 como la videoconferencia, video e-mail y puede que en un futuro para la
 identificacion de los presos en las carceles. 
 En cuanto a un sistema basado en el reconocimiento del iris hablaremos de
 IrisScan, y en el caso de la exploracion de retina de EyeScan.

 - IrisScan:
   ~~~~~~~~

 Cada persona tiene un unico y complejo modelo de la estructura de su iris,
 estando esta compuesta por la corona, filamentos, pecas, surcos radiales,
 estrias, etc; tambien se podria decir que teoricamente los reconocimientos
 del iris son mas precisos que las exploraciones de retina.
 IrisScan esta orientado para trabajar en servidores NT, el proceso se basa
 primero en un video el cual toma una imagen que localiza el ojo y el iris,
 los limites de la pupila y el limbo son definidos. El modelo del iris es
 procesado y codificado en un registro de 512 bytes, el cual es almacenado
 y usado para el reconocimiento en cualquier transaccion, no encontrandose
 muchos problemas con el uso de gafas y lentillas, durando el proceso de 
 verificacion unos dos segundos.

 - EyeScan:
   ~~~~~~~
 
 La exploracion de la retina se basa en los vasos sanguineos encontrados en
 el fondo de la retina, conos, bastones y coroide. Esta tegnologia puede que
 ante ciertos casos no sea del todo eficaz, personas ciegas, cataratas, etc;
 ademas se encuentra el hecho de que el porcentaje de falsos negativos es
 algo mayor que en los demas sistemas. El proceso basico consiste en que
 una leve luz infrarroja es proyectada hacia la retina, siendo aqui absorvida
 por los vasos sanguineos, la luz infrarroja con el diseo de la retina es
 reflejada de vuelta a una camara, la cual captura el diseo de la retina
 y lo convierte en datos de 35 bytes.
 Esta tegnologia tiene en contra que puede llegar a producir daos en los
 usuarios, cataratas, y que no resulta una forma tan sencilla de 
 autentificarse como puede ser un sistema de voz.
 Se podria mencionar que cuando este sistema proyecta la luz infrarroja hacia
 la retina se buscan puntos de alto contraste dentro de la imagen y se
 triangula para calcular distancias y angulos entre ellos, en este punto es
 posible encontrar una forma de saltarse estos sistemas de autentificacion
 consistiendo simplemente en la colocacion de una foto del ojo junto con un
 dibujo con los puntos clave.

 4.SISTEMAS DACTILARES:
   -------------------

 Estos sistemas se basan en pequeas caracteristicas como las curvas,
 espirales, montes de las yemas, arcos, etc. Los dispositivos de este tipo
 son sin duda los mas utilizados, suponiendo una cuota del 80% del mercado 
 de seguridad biometrica, pudiendo decir que los Automatic Fingerprint
 Identification Systems (AFIS) son los sistemas con un futuro mas creible,
 se cree que la posibilidad de que dos personas, incluso gemelos, tengan la 
 misma huella digital es de una entre un billon, por lo que podemos
 considerar que este es un metodo absolutamente seguro.
 La tegnologia se basa en la lectura de los patrones de las lineas de las
 puntas de los dedos, que contienen todas las caracteristicas antes 
 mencionadas. 

 - FingerLoc:
   ~~~~~~~~~

 Este producto es un semiconductor que puede ir integrado en una gran 
 variedad de productos como ordenadores, perifericos, telefonos moviles,
 PDAs. FingerLoc no lee la imagen de la superficie de la piel como hacen
 otros productos de su misma clase, en cambio lo que hace es transmitir una
 seal electrica al dedo, basandose en que entre la superficie formada por
 piel muerta y la dermis hay una capa de grasa, que es la responsable de que
 cuando se quema un dedo salga una ampolla, siendo esto la grasa que aflora
 a la superficie; esta tegnologia usa esa capa de grasa para conducir la
 seal y el chip registra los cambios y modulaciones de la seal electrica
 tras pasar por el dedo, es decir la ventaja de este sistema es que da igual
 el estado de la superficie de la piel lo cual tiene gran trascendencia para
 otros productos semejantes que tienen que tener en cuenta enfermedades de la
 piel, piel gastada por la edad, suciedad, sequedad, por lo que no pueden
 crear una imagen de los dedos de un 15 - 20% de la poblacion, mientras que
 FingerLoc puede funcionar en un 98% de la poblacion.

 - FingerSec:
   ~~~~~~~~~

 Este sistema como caracteristicas a resaltar se podria decir que tiene cinco
 niveles de seguridad, cada uno de ellos tiene en cuenta mas patrones por lo
 que la autentificacion es mas lenta, tanto los falsos positivos como
 negativos estan sobre un 0.01% lo que es una cifra aceptable.

 Otros productos a tener en cuenta son Biomouse y SecureStart.

 5.SISTEMAS FACIALES:
   -----------------

 Estos sistemas han salido adelante sobre todo gracias a los avances en
 la tegnologia multimedia, pudiendolo considerar como una de los metodos de
 autentificacion mas "naturales" que existen. En primer lugar mediante una
 camara se captura el rostro del individuo y se separa de los demas objetos
 de dentro de la imagen, despues un software especifico reconoce las
 estructuras faciales generales como los ojos, la boca y determina el resto
 del rostro, mas tarde elimina todos los detalles secundarios dejando el
 rostro en un rectangulo llamado mascara binaria. El reconocimiento tiene
 lugar mediante la comparacion del rostro capturado con los demas rostros
 almacenados en la base de datos.
 Estas imagenes se tratan en dos dimensiones, estableciendo areas oscuras y
 claras para particulares caracteristicas; estas areas oscuras y claras son
 convertidas a algoritmos que tambien son almacenados en la base de datos.
 Otros metodos tambien usados consisten en calcular la distancia entre cada
 rasgo facial, el empleo de rostros tridimensionales lo que elimina ciertos
 riesgos de falsificacion, recurriendo a la inteligencia artificial o a las
 imagenes termales que usan una camara infrarroja para capturar los vasos
 sanguineos de debajo de la piel.
 Actualmente se podria decir que esta tegnologia es de las menos usadas en
 el campo de la biometria suponiendo aproximadamente el 2% del mercado.

 En esta categoria hay una gran cantidad de productos:

 1.VisualCheck: orientado para los sistemas de pago remotos y evitar el 
 fraude

 2.VisualAccess: para el control de visitas a lugares que necesiten de cierta
 seguridad

 3.VisualTimeCard: para el control de asistencia y puntualidad para puestos
 de trabajo o similares situaciones

 4.Crime Capture System: utilidad de uso policial para el reconocimiento de
 criminales; para la misma funcion tambien se encuentran Face ID, Crime Lab,
 etc.

 Otros programas a tener en cuenta son FacePASS, FaceNET, FaceIt Sentinel,
 etc.

 6.GEOMETRIA DE LA MANO:
   --------------------

 Esta tegnologia fue una de las primeras en desarrollarse en el campo de la
 biometria, basandose en que la mano de una persona difiere totalmente de la
 de cualquier otra, teniendo tambien en cuenta que la forma de la mano casi
 no cambia a lo largo del tiempo. Estos sistemas leen y almacen las
 caracteristicas geometricas de la mano del usuario, construyendo un modelo
 a partir de ciertas caracteristicas como la longitud de los dedos y del
 pulgar, la anchura y el espesor, llegando a tomar alrededor de noventa
 medidas distintas; el proceso de captura de los datos es muy rapido, no
 durando mas de un segundo; tambien se podria decir que los registros
 resultantes no ocupan mas de diez bytes, siendo de los mas pequeos en el
 campo de la biometria.

 Algunos productos son:

 - Data Knight 2000:
   ~~~~~~~~~~~~~~~~

 Este sistema usa tegnologia infrarroja para obtener una imagen 
 tridimensional  altamente detallada de la mano, mas tarde esta imagen es
 analizada, reducida a un registro de nueve bytes y almacenada en la memoria
 del sistema junto con los privilegios de acceso del usuario. Cuando un 
 usuario intenta acceder por ejemplo a un archivo protegido, el sistema
 pedira que se presente la mano para la autentificacion, a la vez que los
 registros estan continuamente siendo actualizados aprendiendo de los cambios
 que sufre la mano del usuario a traves del tiempo.
 Data Knight 2000 tambien cuenta con la posibilidad de aadir una clave
 personal a cada cuenta reforzando la seguridad, ademas de contar con un
 sistema de auditoria propio que permite controlar todas las transacciones
 realizadas.

 Otros productos de similares caracteristicas son HandKey, HandPunch.

 7.SISTEMAS DE PULSACIONES DINAMICAS:
   ---------------------------------

 El origen de estos sistemas esta en la capacidad que tenian los receptores
 de telegrafo de la segunda guerra mundial para reconocer a la persona que
 estaba codificando el mensaje, todo ello basandose en la forma de pulsar.
 Actualmente lo que se reconoce es el ritmo de tecleo del usuario, lo que es
 uno de los campos mas innovadores dentro de la seguridad biometrica; es
 decir cada persona tiene en su forma de teclear caracteristicas que son
 propias de el.
 Algunas de las caracteristicas mas importantes son la cantidad de tiempo
 que una persona tiene apretada una tecla, y la cantidad de tiempo que pasa
 entre que dos teclas son utilizadas; para que todo esto tenga efecto el
 usuario ha de tener una sesion de practicas para que el sistema pueda
 construir un registro de referencia.
 Actualmente solo existe un producto en el mercado que incorpora esta
 tegnologia.

 - Biopassword:
   ~~~~~~~~~~~

 La compaia Netnanny compro la patente de esta tegnologia y Biopassword es
 su producto, por el momento solo funciona bajo Windows NT, siendo una
 aplicacion cliente servidor que corre bajo el sistema de autentificacion de
 NT; simplemente en la primera sesion se solicita al usuario que teclee su
 contrasea 15 veces, esta forma de tecleo que detecta el sistema es
 almacenada junto con la contrasea en el servidor NT. Aunque un intruso se
 haga con nuestra contrasea ha de teclearla igual que nosotros.
 Otra caracteristica importante es que Biopassword tiene en cuenta que la 
 forma de teclear de una persona varia con condiciones como el cansancio
 despues de diez horas de trabajo, y de ahi tambien que en el proceso inicial
 la contrasea se repita 15 veces para que el sistema adopte un promedio
 bastante similar al que se puede encontrar en la vida real. Debido a esto
 se puede observar que el algoritmo utilizado no depende realmente del ritmo
 de tecleo, pero las verdaderas variables que registra Biopassword son uno
 de los mejores secretos guardados por esta compaia.
 Otro punto importante a favor de este sistema es su bajo coste, ya que es
 software, no teniendo que fabricar ningun tipo de hardware adicional. 

 8.SISTEMAS DE OLOR CORPORAL:
   -------------------------

 Cada persona posee un olor propio debido a diversas propiedades quimicas,
 estas caracteristicas se pueden almacenar en un registro usando para ello
 sensores que capturan el olor corporal de algunas zonas del cuerpo no
 "intrusivas" como puede ser la palma de la mano. Esta tegnologia parece que
 no tiene mucha aceptacion, por lo que se sabe poco de ella y por el momento
 no hay muchas compaias que tengan pensado desarrollar ningun producto
 consistente en este sistema.

 9.SISTEMAS DE RECONOCIMIENTO DEL ADN:
   ----------------------------------

 Actualmente el uso del ADN de una persona esta muy restringido por las leyes
 presentes, tambien hay que tener en cuenta que estos sistemas son muy
 costosos y el tiempo de autentificacion se alarga mucho mas que en los 
 sistemas anteriores; a su vez el problema de la etica biometrica toca fondo
 en esta tegnologia, ya que al obtener un fragmento del ADN de una persona se
 esta en posesion de informacion sensible de ese usuario y tambien la forma
 de obtener ese fragmento de ADN es un metodo bastante "intrusivo" ya que
 requeriria obtener sangre, tejido, etc.
 Uno de los puntos a favor de esta tegnologia, es que el porcentaje de falsos
 positivos y negativos es practicamente nulo, pero hasta que no se reduzcan
 los tiempos de autentificacion no se podra hablar de una tegnologia
 realmente eficaz.

 10.SISTEMAS DE RECONOCIMIENTO DE LA FORMA DE LA OREJA:
    --------------------------------------------------

 Esta tegnologia solamente esta esepecificada en papel, ya que no hay ninguna
 aplicacion que la utilize y tampoco se espera que la haya en un futuro
 proximo.

 11.SISTEMAS DE RECONOCIMIENTO DEL TRAZADO DE LAS VENAS:
    ---------------------------------------------------

 Estos sistemas analizan los distintos modelos de las venas de la palma de la
 mano, la estructura se capta a traves de la luz infrarroja; esta tegnologia
 tampoco ha tenido mucha acogida, siendo muy poco usada.

 12.SISTEMAS DE RECONOCIMIENTO DE LA FIRMA PERSONAL:
    -----------------------------------------------

 Estos sistemas son tambien conocidos como Dynamic Signature Verification
 (DSV), constituyendo otra de las formas "naturales" de autentificacion,
 siendo ademas uno de los sistemas mas baratos que existen y de ahi el gran
 numero de compaias que tienen patentes sobre esta tegnologia. Todos los
 productos existentes intentan diferenciar y clasificar las distintas partes
 de las que consta una firma, llegando a diferenciar las partes que son
 habituales de las que son especificas de cada firma.
 Hay ciertas caracteristicas biometricas de una persona que son unicas como
 puede ser la forma de andar, hablar, etc; cuando hablamos de la firma de una
 persona podemos pensar que aunque esta firma sea una caracteristica
 biometrica de esa persona, con la practica puede llegar a ser duplicada por
 cualquier otra persona, pero segun estudios realizados es casi "imposible"
 que una persona consiga reproducir el nombre firmado de otra persona.
 Este tipo de sistemas analizan dos partes de la firma, las caracteristicas
 especificas de esta misma y tambien las caracteristicas especificas del
 proceso de firma; siendo tenidas en cuenta caracteristicas tales como la
 velocidad, la presion ejercida sobre el boligrafo, las direcciones de
 escritura, la longitud del trazo, los puntos en los que el boligrafo es
 levantado del papel, etc.
 Estas firmas y caracteristicas son almacenadas para su posterio comparacion,
 a su vez todas estas caracteristicas van siendo analizadas para que el 
 sistema vaya detectando y almacenando las pequeas diferencias que se
 producen a lo largo del tiempo.  
 Algunos ejemplos son :

 - SignCrypt:
   ~~~~~~~~~

 Este sistema esta orientado para Windows CE, siendo capaz de encriptar y
 desencriptar archivos una vez que ha verificado la firma de los usuarios,
 es decir a partir de la firma del usuario crea una clave con la que encripta
 los archivos pertenecientes a ese usuario estando esta clave basada en DES.

 - DataVision:
   ~~~~~~~~~~

 El funcionamiento de DataVision se basa en la captura y extraccion de la
 firma del usuario de un documento en formato .tiff, luego esta firma es
 colocada en un registro, pudiendo ser este transmitido a traves de una red,
 siendo el proceso restante similar al de otros productos.

 13.SISTEMAS DE RECONOCIMIENTO DE LA SALINIDAD DEL CUERPO:
    -----------------------------------------------------

 Esta tegnologia esta siendo desarrollada por IBM y el MIT, identificando los
 niveles naturales de salinidad del cuerpo humano, consiguiendose a traves de
 la electricidad ya que la sal es conductor de ella, usandose para ello
 descargas electricas menores a las que transporta nuestro cuerpo, por lo que
 no hay peligro alguno.

 14.SMARTCARDS:
    ----------

 Las smart cards suponen un gran complemento al campo de la biometria, ya que
 ambos sistemas juntos proporciona dos niveles de seguridad, siendo bastante
 frecuente en ciertos ambientes el uso de ambos, usando una smart card como
 dispositivo de almacenamiento de contraseas. Un ejemplo de sistema que usa
 ambos metodos es BioMouse Plus, que consta de un escaner de reconocimiento
 dactilar y un lector de smart cards, autentificandose el usuario insertando
 la smart card y mas tarde prodeciendo al reconocimiento con el escaner;
 incluso estos metodos son tambien utilizados para reforzar PKIs (Public Key 
 Infrastructure).

 15.CONCLUSON:
    ---------

 La biometria es un campo que esta en constante expansion, esperandose que
 en un futuro sea la forma estandar de sistemas de autentificacion; mientras
 tanto los desarrolladores seguiran perfeccionando sus productos para
 intentar solventar uno de los mayores problemas a los que se enfrenta la
 seguridad biometrica, los falsos positivos y negativos, que aunque han sido
 reducidos en gran medida, es de vital importancia el reducirlos al 0%.
 De todos las tegnologias explicadas en este articulo, como se ha podido
 comprobar hay muchas que aun estan en pleno desarrollo, habiendo muchas
 otras que aun estan en camino. Solo nos cabe esperar. 


 
           "The core lesson from history is that perfect identity              
                     always equates to perfect control"                
       
