Míreme a los ojos

En el mundillo de la criptografía hay una curiosa expresión que se aplica a los algoritmos o programas cuya seguridad es, digamos, cuestionable. Si un vendedor anuncia un producto con afirmaciones exageradas, pretendidos méritos inexistentes, métodos matemáticos revolucionarios sin comprobar, o sencillamente pretende hacernos creer que su remedio es la panacea universal sin decirnos cómo ni por qué, se dice que está vendiendo "aceite de serpiente". Es una reminiscencia de aquellos buhoneros que recorrían el Oeste americano vendiendo medicinas milagrosas a golpe de charlatanería.

Podría darles muchos ejemplos, pero me quedo con uno que tengo encima de la mesa. Un compañero de Libertaddigital.com acaba de pasarme un comunicado de prensa en el que una empresa española (llamémosla F) va a comercializar un método de control de accesos basado en la exploración del iris. En cuanto leí la expresión "fiabilidad del cien por cien", saltó la alarma aceite de serpiente en mi mente. Y como hace algún tiempo hablé del asunto en mi artículo Mi cara es mi pasaporte, hice un poco de investigación y volví a la escena del crimen.

Cierto es que el examen del iris constituye uno de los métodos de identificación biométrica más fiables. Hay diversos trucos sencillo paras engañar a los sistemas de identificación de huellas dactilares. Sin embargo, engañar a un sistema de reconocimiento basado en el iris no parece tarea fácil. ¿O sí?

Una revista alemana comprobó si los sistemas biométricos de seguridad eran fáciles de engañar. Y resulta que es bastante fácil. Incluso se atrevieron con un sistema basado en el examen del iris. ¿Cómo? Pues de la forma más boba: fotografiaron el iris de un usuario, lo digitalizaron, hicieron una copia de alta calidad en una impresora color, hicieron un agujerito en el centro para simular la pupila... y acceso autorizado. Al fabricante, por lo visto, no le hizo maldita la gracia. Requiere el consentimiento de un usuario legítimo, cierto, pero imagínense una cámara de alta definición que tomase imágenes de alta calidad. Al McGyver de turno sólo tendría que molestarse en escoger.

Por eso en los lugares en que se usa la identificación mediante el iris, hacen falta medidas de seguridad adicionales. Tomemos el aeropuerto de Amsterdam, por ejemplo. Allí toman los datos del iris de una persona, los almacenan en una tarjeta inteligente y cuando el usuario quiere pasar a la zona de seguridad acerca su ojo al detector y presenta su tarjeta en un lector. Si los datos del iris coinciden con los de la tarjeta, se autoriza el acceso. El proceso toma unos diez segundos, así que aparentemente hemos mejorado: el policía que se limita a mirar los pasaportes con cara de aburrimiento es apenas más rápido, pero también más susceptible de ser engañado.

Claro que antes hay que revisar el pasaporte del viajero, comprobar su identidad, escanear su iris y preparar la tarjeta, lo que lleva un cuarto de hora. Si es un viajero habitual, no tendrá que volver a pasar por ese trámite. Pero, además de la comprobación de identidad inicial, hará falta que un guardia vigile junto al identificador de iris y que se asegure que nadie hace el truco del "iris de papel". De otro modo, no hemos hecho nada. Seguiremos necesitando el respaldo humano.

Si las cosas se hacen bien, y se eliminan todas las posibles formas de hacer trampa –que las hay, y muchas–, el sistema es en teoría seguro. El problema consiste en que una cosa es la teoría y otra la práctica. La probabilidad de que haya otra persona con un iris igual al mío sería similar a la de que me tocase la lotería primitiva dos veces seguidas. Sin embargo, un identificador mediante iris no puede comprobar todos y uno de los rasgos del iris. Por eso, el sistema toma un conjunto de rasgos característicos y los almacena como una ristra de bits (igual se hace con las huellas dactilares).

Pero a la hora de comprobar la identidad del sujeto, hay problemas: a veces el sistema niega el acceso a un usuario autorizado, o bien deja pasar al primo de Osama por error. ¿Por qué? Pues porque estos sistemas tienen márgenes de error, y de ellos depende el funcionamiento del sistema. Un margen demasiado pequeño haría que algunos usuarios autorizados fuesen rechazados. Y al contrario, demasiada tolerancia haría que alguien cuyo iris se parezca algo al mío se pudiese hacer pasar por mí.

¿Cómo son los sistemas de identificación de iris en la práctica? El sistema más frecuentemente usado (fabricado por Iridian Technologies y comercializado por diversos vendedores bajo licencia) fue analizado por el laboratorio de investigación del Ejército norteamericano. Al parecer, el sistema rechaza un iris autorizado una vez de cada quince, y autoriza un iris desconocido una vez de cada 50-100. Es decir, uno de cada quince viajeros autorizados oirá un desagradable pitido que hará venir a los guardias en tropel hasta que pueda convencerles de que es trigo limpio.

Por supuesto, el vendedor dirá que no, que su sistema es mejor. El "truco" son dos. Por un lado, los datos del fabricante se basan en tests de laboratorio bajo condiciones controladas, no en ambientes reales como un edificio o un aeropuerto. Y en segundo lugar, se juega con los números. Disminuir la tolerancia hace que el sistema no deje pasar a personas indeseables, pero al coste de cerrar el paso a usuarios legítimos. Y al contrario, podemos hacer que ningún usuario autorizado sea tomado por un terrorista, pero al precio de arriesgarse a que toda una cuadrilla de talibanes se cuele sin ser detectados. Y eso suponiendo que no sepan el truco del iris de papel.

Y eso es lo que hay. El iris puede formar la base de uno de los mejores sistemas de identificación biométrica que hay. Pero del dicho al hecho hay mucho trecho. Así que, señores de la empresa F, yo les recomendaría que modificasen su modo de hacer publicidad, y que no vendiesen la moto de la seguridad cien por cien, porque corren el riesgo de que personas menos magnánimas y benévolas que yo les pongan a parir. Claro que, considerando el pastón que se moverá en el mercado de sistemas de seguridad biométrica, lo mismo les sale rentable después de todo. Ustedes mismos.


Arturo Quirantes edita la página Taller de Criptografía.

• Compartir
• Tuitear
• Enviar
• Enviar