Liveness Detection Preguntas frecuentes: lo que deben saber las organizaciones
Liveness detection Se ha convertido en un elemento importante de la verificación de identidad a distancia, ya que las organizaciones buscan mejores formas de distinguir a los usuarios reales de fotografías, vídeos reproducidos, máscaras, imágenes sintéticas y otras formas de suplantación de identidad.
Sin embargo, la verificación de la presencia en vivo es solo una parte de la seguridad de la identidad. A la hora de evaluar la tecnología biométrica, es fundamental comprender qué hace, qué no hace y cómo encaja en una estrategia de identidad más amplia.
A continuación se ofrecen las respuestas a algunas de las preguntas más frecuentes sobre liveness detection.
¿Qué es « liveness detection »?
Liveness detection es una función de seguridad biométrica diseñada para determinar si la muestra biométrica se está capturando de una persona real y viva que se encuentra presente durante la interacción, y no de una representación artificial.
En la verificación facial, por ejemplo, la tecnología de detección de vida real puede analizar una imagen o un vídeo en busca de señales que ayuden a distinguir a una persona real de una fotografía, una pantalla, un vídeo pregrabado, una máscara u otro intento de imitar una captura biométrica legítima.
En pocas palabras, « liveness detection » ayuda a responder a la siguiente pregunta: ¿Hay una persona real presente en el momento de la captura?
¿Cómo funciona « liveness detection »?
Liveness detection analiza los datos biométricos capturados para detectar señales asociadas a la presencia humana real y indicios de que un atacante pueda estar intentando engañar al sistema.
Las técnicas concretas varían en función de la tecnología. Algunos métodos funcionan de forma pasiva mientras la persona se hace un selfi o mira a la cámara. Otros requieren que el usuario realice una acción, como girar la cabeza o seguir una instrucción.
La cuestión más importante no es simplemente cómo funciona la tecnología, sino para detectar qué tipos de ataques se ha diseñado y probado, y cómo se comporta en el entorno en el que se va a utilizar realmente.
¿Es lo mismo el « liveness detection » que el reconocimiento facial?
No. El reconocimiento facial y el « liveness detection » abordan cuestiones diferentes.
El reconocimiento facial o la verificación facial determinan si los rasgos faciales de una persona coinciden con una referencia fiable, como un documento de identidad o un registro de inscripción.
Liveness detection evalúa si la muestra biométrica parece proceder de una persona real que se encuentra presente en el momento de la captura.
Estas dos funciones suelen utilizarse conjuntamente, pero no son intercambiables. Una coincidencia facial sólida no demuestra necesariamente que la muestra proceda de una persona viva. Del mismo modo, un resultado positivo en la verificación de vitalidad no demuestra que la persona sea el titular legítimo de la identidad declarada.
¿Por qué es importante « liveness detection » para la verificación de identidad a distancia?
Cada vez son más las interacciones relacionadas con la identidad que se realizan de forma electrónica, desde la apertura de cuentas y la incorporación de empleados hasta la recuperación de credenciales y el acceso a servicios digitales.
Esa comodidad también brinda a los atacantes la oportunidad de suplantar la identidad de usuarios legítimos mediante fotografías, imágenes mostradas, vídeos pregrabados, máscaras, contenidos multimedia manipulados u otras técnicas.
Liveness detection Aporta un nivel adicional de seguridad al ayudar a determinar si parece que una persona real está participando en la interacción, en lugar de basarse únicamente en si una imagen parece realista o si se obtiene una coincidencia biométrica.
¿Qué tipos de ataques puede ayudar a identificar liveness detection ?
En función de la tecnología y la implementación, « liveness detection » puede ayudar a identificar ataques relacionados con:
- Fotografías impresas
- Imágenes que se muestran en teléfonos, tabletas o monitores
- Vídeo reproducido
- Máscaras bidimensionales o tridimensionales
- Imágenes faciales retocadas
- Ciertas formas de contenidos sintéticos o «deepfake» que se presentan durante la captura
No se debe dar por sentado que ninguna tecnología de detección de vida real sea capaz de detectar todos los ataques en todos los entornos. El rendimiento puede variar en función del tipo de ataque, la calidad de la cámara, el dispositivo, la iluminación, la compresión y otros factores. Por lo tanto, las organizaciones deben mostrarse cautelosas ante afirmaciones generales de que una solución es simplemente «a prueba de deepfakes» o «a prueba de fraudes».
¿Puede « liveness detection » detectar los «deepfakes»?
Liveness detection puede ayudar a identificar determinados ataques de «deepfake» o de medios sintéticos, sobre todo cuando el contenido manipulado se presenta ante una cámara o un sensor biométrico.
Sin embargo, el fraude mediante deepfakes puede adoptar diferentes formas. Los contenidos sintéticos pueden mostrarse ante una cámara o introducirse digitalmente sustituyendo o manipulando la imagen captada por la cámara. Esto significa que las organizaciones deben tener en cuenta tanto lo que se presenta durante la captura biométrica como si el propio proceso de captura digital es fiable. Por lo tanto, la verificación de la presencia real debe formar parte de una estrategia más amplia de defensa contra el fraude basado en identidades sintéticas y deepfakes.
¿Cuál es la diferencia entre un ataque de presentación y un ataque de inyección?
La principal diferencia radica en el lugar donde se produce el ataque.
Un ataque de presentación se produce en el sensor biométrico. Un atacante puede mostrar a la cámara una fotografía, un vídeo reproducido, una pantalla o una máscara.
Un ataque de inyección se produce durante el proceso de captura digital. Los datos biométricos fraudulentos o manipulados pueden sustituir a la imagen prevista de la cámara o insertarse en la información que se envía al sistema biométrico.
Esta distinción es importante porque una tecnología diseñada principalmente para analizar lo que aparece ante una cámara puede que, por sí sola, no detecte manipulaciones en otras partes de la aplicación o del flujo de datos. Por lo tanto, una seguridad de identidad eficaz requiere que las organizaciones evalúen tanto la muestra biométrica como la integridad del proceso de captura.
¿Cuál es la diferencia entre el « liveness detection » pasivo y el activo?
La identificación pasiva liveness detection evalúa una captura biométrica sin que el usuario tenga que realizar ninguna acción concreta. Desde el punto de vista del usuario, esta experiencia suele eliminar las dificultades y puede ser tan sencilla como hacerse un selfi o mirar a la cámara.
La función « liveness detection » (Ojos activos) pide al usuario que realice una prueba, como girar la cabeza, parpadear, hablar o seguir otra instrucción.
Los enfoques pasivos pueden ayudar a reducir la fricción, mientras que los enfoques activos proporcionan una señal explícita de desafío y respuesta. Sin embargo, que un enfoque sea activo no significa automáticamente que sea más seguro, y que sea pasivo tampoco significa automáticamente que sea menos seguro. El enfoque adecuado depende del caso de uso, el nivel de riesgo, el colectivo de usuarios, el entorno operativo y los tipos de ataque a los que la organización espera enfrentarse.
¿Verifica « liveness detection » la identidad de las personas?
No por sí solo.
Liveness detection ayuda a demostrar que hay una persona real presente, pero la presencia y la identidad son cosas diferentes. Por ejemplo, un estafador que utilice un documento de identidad robado a otra persona podría seguir siendo una persona realmente viva. Un sistema de verificación de vitalidad podría determinar correctamente que la persona está presente, mientras que la afirmación general sobre su identidad sigue siendo fraudulenta.
Por eso, la verificación de identidad puede combinar la comprobación de que la persona está viva con controles adicionales, como la comparación biométrica, la verificación de documentos o credenciales, la inteligencia de dispositivos y sesiones, y el análisis de fraudes.
El hecho de que se trate de una persona real es un indicador de seguridad importante, pero no constituye por sí solo una decisión definitiva sobre la identidad.
¿Qué grado de precisión tiene liveness detection?
No existe una cifra de precisión única que se aplique a todas las soluciones o implementaciones de detección de vida.
El rendimiento puede variar en función de los tipos de ataques que se prueben, los umbrales de seguridad, la calidad de las cámaras y los dispositivos, la iluminación, la calidad de la imagen y el entorno en el que se utilice la tecnología. Las organizaciones no deben limitarse a fijarse únicamente en una cifra de precisión que aparezca en los titulares.
Una evaluación significativa debe tener en cuenta tanto la eficacia con la que la tecnología detecta los ataques como la frecuencia con la que se rechaza erróneamente a usuarios legítimos. Las pruebas independientes también pueden aportar datos valiosos cuando se comprenden claramente la metodología y las condiciones de las pruebas.
¿Cómo deberían las organizaciones evaluar la tecnología de « liveness detection »?
Las organizaciones deberían evaluar la tecnología de detección de personas vivas en función de su modelo de amenazas específico y su entorno de implementación, en lugar de basarse únicamente en una puntuación o certificación.
Algunas preguntas útiles son:
- ¿Contra qué tipos de ataques a la presentación se ha probado esta tecnología?
- ¿Cómo aborda la cuestión de los medios manipulados o alterados digitalmente?
- ¿Se ha sometido a pruebas independientes?
- ¿Reflejan las pruebas los dispositivos y las condiciones de funcionamiento reales?
- ¿Cómo logra equilibrar la detección de ataques con el falso rechazo de usuarios legítimos?
- ¿Cómo se ha evaluado la evolución demográfica?
- ¿Se pueden ajustar los umbrales en función del riesgo de la transacción?
- ¿Cómo se actualiza la tecnología a medida que evolucionan las técnicas de ataque?
El objetivo debería ser comprender cómo funciona la tecnología como parte del proceso completo de identificación, y no solo cómo funciona un componente biométrico de forma aislada. Echa un vistazo a esta guía para obtener más información sobre cómo evaluar la tecnología « liveness detection ».
¿Es suficiente « liveness detection » para prevenir el fraude de identidad?
Ninguna técnica biométrica por sí sola puede prevenir todos los tipos de fraude de identidad.
Liveness detection Ayuda a confirmar que parece haber una persona real presente, pero las organizaciones también pueden necesitar determinar si esa persona se corresponde con la identidad declarada, si las credenciales que lo acreditan son legítimas, si el proceso de captura ha sido manipulado y si la transacción en su conjunto parece fiable. Por ese motivo, la verificación de la presencia real resulta más eficaz como parte de una estrategia de garantía de identidad por capas.
La pregunta más acertada no es simplemente: «¿Ha superado esta persona la comprobación de autenticidad?».
Es:
«¿Tenemos pruebas suficientes para confiar en esta interacción de identidades?»
