Escrito por Andrew Bud, Consejero Delegado y Fundador
Cuando lanzamos iProov en 2013, nos pareció obvio quelos"ataques de repetición" serían una de las amenazas más peligrosas para la verificación. Estos ataques se producen cuando una aplicación, un dispositivo, un enlace de comunicaciones o una tienda se ven comprometidos y se roban imágenes de vídeo de una víctima; las imágenes robadas se utilizan posteriormente para suplantar la identidad de una víctima. Desde el principio, diseñamos nuestro sistema para que fuera muy resistente a este peligro. Sin embargo, hasta ahora el mercado no ha empezado a comprender el peligro de los ataques de repetición.
¿Qué es un ataque de repetición y cómo se puede resistir?
Un número cada vez menor de personas sigue creyendo que el reconocimiento facial es la clave de la seguridad de la verificación facial. Y no lo es. En la práctica, sería absurdo que un delincuente intentara suplantar la identidad de una víctima tratando de parecerse a ella: es increíblemente difícil y tan improbable que tenga éxito que casi carece de sentido. Dado que nuestros rostros son públicos y fáciles de copiar, es mucho más eficaz presentar imágenes de la víctima. La mayoría de los protagonistas de la industria siguen centrándose en las copias de artefactos: fotos, imágenes en pantalla (fotogramas o vídeos) o máscaras. Se gasta mucha energía en las máscaras. Real-f Co., con sede en Japón, crea algunas de las máscaras más realistas que existen: la textura de los poros de la piel es perfecta e incluso los conductos lagrimales brillan. Aunque son visualmente atractivas, estas obras de arte pueden costar 10.000 dólares. Las máscaras no son una forma escalable de atacar económicamente a un gran número de víctimas. Por supuesto, una detección robusta de las máscaras es esencial, pero hay peligros mayores.
Si un atacante puede implantar malware en un dispositivo de usuario, por ejemplo haciendo que los usuarios hagan clic en un enlace fraudulento, dicho malware puede potencialmente obtener acceso a las imágenes capturadas por las aplicaciones en el dispositivo. Esto ocurre con todas las aplicaciones, por muy blindadas que estén. Las medidas de blindaje de aplicaciones no bloquean los ataques, simplemente aumentan el esfuerzo que el atacante debe invertir para tener éxito. Y si el premio es el acceso a millones de dispositivos, los motivos empresariales para hacerlo son convincentes. Por eso, en iProov nunca confiamos en la integridad del dispositivo. Una vez robado, el vídeo se reproducirá digitalmente en un dispositivo malicioso, eludiendo la cámara y sin aparecer nunca en pantalla.
Por eso nuestra tecnología Flashmark hace que cada vídeo de verificación sea único. Flashmark ilumina la cara del usuario con una secuencia única de colores desde la pantalla del dispositivo. El rostro iluminado es lo que llamamos "biometría de un solo uso". Al igual que un código de acceso de un solo uso, el número que se envía por SMS para autenticarse en muchos servicios seguros, queda obsoleto en cuanto se utiliza y carece de valor si es robado.
Cualquier malware o ataque que intente robar un vídeo de cara con Flashmarked se encuentra con que es totalmente inútil: con la secuencia de colores equivocada en la cara, es detectado y rechazado inmediatamente. Esta misma tecnología también proporciona la única defensa sólida de la industria contra imágenes fijas animadas, vídeos sintéticos y Deepfakes, una amenaza que iProov ha puesto de relieve durante varios años.
La gran ventaja de esta tecnología es que es extremadamente fácil de usar. Otros métodos de defensa de la reproducción destruyen la usabilidad al bombardear al usuario con instrucciones cada vez más desconcertantes para que mueva la cabeza de una manera, luego el teléfono de otra, recite números, etc. Muy a menudo fracasan porque los usuarios hacen lo que se les dice o porque, sencillamente, es imposible entender las instrucciones. iProov Flashmark es totalmente pasivo: no requiere ninguna acción por parte del usuario, por lo que las tasas de éxito de las transacciones son excepcionalmente altas.
La sugerencia de que los dispositivos de los usuarios son impermeables, o que las aplicaciones móviles pueden hacerse incorruptibles, es engañosa y peligrosa. Creemos que el núcleo de una buena seguridad biométrica reside en la capacidad de detectar y desviar ataques basados en la reproducción de grabaciones robadas y otras imágenes digitales, inyectadas directamente en el flujo de datos. Cualquier otra cosa defrauda a las empresas y a sus usuarios.
