Una nueva biometría (la forma de nuestro oido)

IDNoticias, 18 de Oct.

Científicos del departamento de Electrónica y Ciencias de Computación de la Universidad de Southampton en el Reino Unido, han presentado una ponencia en la Cuarta Conferencia Internacional sobre Biometría de la IEEE, que expone una técnica que puede resaltar highlight estructuras tubulares, tales como los oídos humanos, para hacer de éstas una modalidad biométrica viable, según reporta un artículo de University of Southampton News.


La técnica emplea un dispositivo llamado “image ray transform”, que permite que la estructura del oído pueda resaltarse con suficiente calidad para que permita verificar la identidad.

Los científicos esperan que otras técnicas similares podrían emplear el “image ray transform” para crear nuevas formas de utilizar la biometría del modo de andar, que identifique a una persona mediante su postura y su ciclo al caminar. Igualmente podría tener aplicación en varios escenarios biométricos 3D.

Adicionalmente, la técnica que expusieron en su documento toma en consideración temas potenciales como los oídos que están tapados por el cabello, lo que implica que la técnica aislaría el oído con respecto a la cabeza cuando se realiza la identificación.

Para más info (en inglés) en http://www.ecs.soton.ac.uk/about/news/3438

Un saludo
Rames

Sé como tecleas y por tanto sé quien eres (keystroke biometrics)

Durante el siglo XIX el uso del telégrafo se popularizó en los Estados Unidos como el principal método de comunicación a larga distancia. Los mensajes se transmitían por un operador utilizando el código morse en secuencias de puntos y rayas. Con el tiempo se hizo común poder reconocer el operador que emitía el mensaje a través del ritmo único que realizaba al transmitir el mensaje. Durante la Segunda Guerra mundial se empleó esta técnica para identificar que el mensaje provenía de operadores de confianza.

Al igual que los operadores telegráficos, todos nosotros tenemos una serie de pautas de comportamiento cuando tecleamos. Estas pautas consisten en diversos factores como la velocidad, el tiempo de presión y liberación de cada tecla, el uso de las teclas auxiliares, etc. que son perdurables a través del tiempo, lo que permite reconocer a una persona por la forma única que tiene de teclear una frase. Estas pautas son difíciles de imitar o reproducir por otras personas.

Existen múltiples métodos de medición biométrica de personas, tantos que casi asusta pensar que somos tan únicos por tantas cosas. Somos "medibles" o "identificables" por rasgos personales o morfológicos como las huellas dactilares de los dedos, las características de nuestro iris, la forma de nuestra cara (biometría facial), la forma de nuestras manos (geometría de la mano), las venas de nuestra mano, nuestro ADN, la estructura de nuestro oído, etc. pero también se nos puede identificar por ciertos comportamientos (biometría del comportamiento) como son como realizamos una firma manuscrita, nuestra voz o la forma en que tecleamos.

Ningún método biométrico (a excepción del ADN) se ha demostrado como infalible o libre de errores. Cada método muestra un índice de fiabilidad y un coste de captación/comparación de muestras como se indica en el siguiente gráfico de la consultora Frost & Sullivan:

De todas maneras, si como yo eres un incrédulo y necesitas probar para creer. Te dejo un enlace a una demo de un proveedor de esta tecnología de reconocimiento biométrico de partron de tecleo (keystroke biometrics) llamado Psylock para que puedas crearte un perfil y probar con tu mujer, amigo o compañero que funciona. No es perfecto pero funciona suficientemente bien como para utilizarlo como un segundo factor de autenticación de forma adicional a la contraseña en una acceso remoto a nuestra red corporativa o en el acceso a nuestro PC.

La demo personalizada en https://www.psylock.com/CustomerDemo/index.jsp?lang=en&c=SmartAccess

(me gustaría oir tus comentarios)

Un saludo
Rames

Mejico emitirá 110 millones de DNI con captura de Iris

El próximo vernaro, el gobierno Mejicano tiene previsto iniciar el despliegue de su documento nacional de identidad para sus 110 millones de ciudadanos. En el documento está previsto que se registre varios aspectos biométricos de los ciudadanos como las características del iris, las huellas digitales y la biometría facial.

El proyecto ha sido adjudicado a la filial mejicana de Unisys por parte de la Secretaría de Interior y está pendiente otra licitación para la adquisición de las tarjetas de ciudadano. El gobierno espera que la emisión de las tarjetas se realice a lo largo de 3 a 4 años a través de más de 3.000 centros de registro distribuidos por todo el país encargado a la empresa Unisys junto con los centros de registro del gobierno ya existentes.

Lo que hace diferente de los demás proyectos, es la adición de la biometría del iris (en España ya se incorpora al DNIe, información de dos huellas dactilares y una fotografía del ciudadano que permite el uso de la biometría facial), el elevado número de centros de registro (en España se realiza en menos de 300 comisarias) y además que los mejicanos no han tenido un Documento Nacional de Identificación antes, si exceptuamos la tarjeta de identificación de votantes.

Todavía no se ha decidido la tecnología de las tarjetas que se emplearán, y hay que tener en cuenta que aunque las tarjetas inteligentes critpográficas son una excelente opción, el elevado número de ciudadanos hace que los costes de su uso se disparen y se estén barajando otras opciones. También se esta estudiando emplear la tarjeta para otras tareas como licencia de conducir, peajes, tarjeta de viaje e incluso como tarjeta de cajero automático.

Existe un interés creciente en América Latina y Asia para abordar nuevos proyectos de documento nacional de identidad o actualizar los proyectos existentes. Especialmente en países que no tienen un documento nacional de identidad o no utilizan la biometría para evitar los problemas de fraude de identidad.

Hace un año que tuvimos la suerte de poder trabajar con el equipo de Soluciones de Identidad de Unisys, y quedamos sorprendidos de su visión y capacidades. No obstante, a partir de la experiencia de España, parece dificil conseguir que un país con 110 millones de habitantes, que no ha tenido antes DNI, pueda desplegar 3.000 oficinas de registro y realizar el despliegue en 3 a 4 años. Si lo consiguen será sin duda un gran caso de éxito.

Un saludo
Rames

PKI at the door (La PKI llama a tu puerta)

Hasta ahora el control de acceso físico en las organizaciones (la apertura de puertas) se basa en el uso de una tarjeta de proximidad que utiliza la tecnología RFID (contactless card). Los lectores se encargan de leer en la mayoría de los casos el número de serie único que el fabricante graba en cada tarjeta, o bien alguna información grabada en la memoria del chip, para posteriormente verificar dichos datos contra una base de datos para obtener los permisos de acceso (día y horario, autorización, etc.) y proceder o no a la apertura de la puerta.

Este esquema de cerraduras electrónicas, que lleva años reemplazando a las cerraduras mecánicas, permite una mayor seguridad con un mayor control dejando registro de quien accede y limitando el acceso a determinados horarios o fechas (p.e. días laborables) y permitiendo la revocación de las tarjetas (o llaves electrónicas) a través de la base de datos. Es frecuente ver este funcionamiento en multitud de hoteles que utilizan tarjetas de banda magnética o chip de radiofrecuencia RFID para habilitar el acceso a las habitaciones y que se desactivan cuando finaliza el periodo contratado.

Una posible evolución de este funcionamiento es lo que se ha dado en llamar "PKI at the door" y que emplea un par de claves de cifrado asimétrico (contenidas en una tarjeta criptográfica en forma de certificado digital) y que hasta ahora se utilizaban para el control de acceso a equipos o aplicaciones, también para el control de acceso físico.

¿Pero que aporta esta nueva tecnología? ¿Por qué es necesaria esta evolución?. Pues bien, hasta ahora la emisión de llaves electrónicas estaba limitada a la propia organización mediante la edición de la base de datos de acceso (o el acceso a los equipos controladores de acceso) y la seguridad no incluía la validación de la autenticidad de la tarjeta. Es decir, que hoy es posible con un equipo sencillo, duplicar una tarjeta de acceso físico. La tecnologia PKI proporciona un nivel superior de seguridad, al permitir la emisión por terceros de confianza (Autoridades de Certificación) de elementos únicos sin posibilidad de duplicación, permitiendo la externalización de la emisión de llaves manteniendo el control de acceso a nuestras instalaciones.

Además, la tecnología PKI at the door, permite el uso del protocolo OCSP para realizar una validación del estado de revocación del certificado contenido en la tarjeta mediante una pequeña transaccion de red (< 1K) para comprobar la vigencia de dicha llave.

No obstante la adopción de esta nueva tecnología no está exenta de obstaculos, principalmente la necesidad de contar con una buena infraestrura de red, los costes de cambiar los lectores y tarjetas y la mayor complejidad de administración. Entre las ventajas, podemos destacar la unificación de las credenciales para el acceso físico y logico a los sistemas de información, obteniendo los beneficios de una seguridad unificada y convergente.

En los próximo años podremos ver si esta tecnología es aceptada y adoptada por las organizaciones, y si los beneficios que proporciona convencen para afrontar los posibles obtaculos para su adopción. De momento, parece que la especificación de seguridad FIPS 201, relacionada con tarjetas de identificación para los empleados del gobierno de Estados Unidos, incluirá PKI on the door.
Os dejo un video (en inglés) donde algunos importantes fabricantes del sector dan su visión acerca de esta tecnología.
http://www.secureidnews.com/2010/10/18/industry-discusses-pki-at-the-door?issue=secureidnews_20101019

También la revista re:ID publicó en su número de primavera un especial sobre PKI on the door
http://www.regardingid.com/images/reid_spring10_web.pdf
Un saludo
Rames

Encuesta: 63% de los consumidores prefieren la huella dactilar al PIN para la seguridad de sus tarjetas de crédito

Una reciente encuesta online realizada por Unisys Corp. en Estados Unidos, indica que dos tercios de los consumidores consideran más seguro el reconocimiento de la huella dactilar como método para verificar la identidad de su tarjeta de crédito frente a otros métodos como la identificación mediante fotografía, el uso de un código PIN o la verificación de la firma manuscrita.

La encuesta online fué realizada el pasado 20 de Septiembre a unos 305 encuestados. Los resultados indican una mayor aceptación del consumidor del uso de tecnologías biométricas para asegurar las transacciones financieras y evitar la suplatación de identidad.

En respuesta a la pregunta: "¿Cual creé usted que es el método más seguro para verificar que su tarjeta de crédito es solo utilizada por usted?", un 63% de los encuestados prefieren el uso de la verificación biométrica de su huella dactilar como el mejor método para la verificación de su identidad, un 20% prefiriño la identificación mediante la fotografía, un 13% indicó su preferencia por el uso del código PIN y un 6% consideró la firmas manuscrita como el método preferido.

El vicepresidente de soluciones de identidad de Unisys, Bryan Ichikawa, afirmó que "A medida que avanzamos hacia una era cada vez más digital, los métodos tradicionales de verificación de identidad ya no son suficientes y como muestra nuestra encuesta, la identificación biométrica es un método válido y preferido de autenticación de identidad que podrían resultar útiles en una variedad de campos, incluso más allá de la banca como en la seguridad sanitaria y el transporte."

Ahora que el mercado de las tarjetas bancarias se mueve hacia la especificación EMV, que sustituye el uso de la banda mágnética por un chip criptográfico para luchar contra el fraude, y los dispositivos biométricos de huella dactilar se han popularizado y abaratado, es el momento propicio para que la proxima generación de tarjetas de crédito proporcionen la posibilidad al usuario de incluir en la tarjeta su huella dactilar como alternativa al uso del PIN, lo que según la encuenta aumentaría la confianza de los usuarios y facilitaría el uso de las tarjetas evitando el inconveniente de recordar multiples códigos PIN de diferentes tarjetas. Por contra, supondría una inversión en hardware para actualizar los terminales de pago para incluir lectores biométricos.

Un saludo
Rames.

Una encuesta indica que ha crecido el uso del DNI electrónico entre los españoles

La red de blogs Ocio Networks ha elaborado por segundo año consecutivo un Estudio de Hábitos de Internet, en el que se ha entrevistado a 1.875 internautas. Uno de los apartados de esta encuesta analiza el uso y el conocimiento del DNIe y el comercio electrónico por parte de los usuarios, donde destaca que, aunque sigue siendo minoritaria, la utilización del DNI electrónico se ha extendido entre los españoles. Así lo ha confirmado el 24% de los encuestados que ha reconocido haberlo usado alguna vez en Internet este 2010, frente al 15% que lo hizo el año pasado.

Según este estudio, también se ha producido un importante aumento en el conocimiento del DNIe y sus utilidades, ya que este año un 82% de los entrevistados ha manifestado conocer para qué sirve y dónde se puede utilizar, al contrario que el 67% que así lo afirmó en 2009. Además, dicho conocimiento se ha incrementado de forma generalizada en todos los grupos de edad, mientras que el uso del DNI electrónico ha crecido de forma más significativa entre los usuarios de entre 21 y 50 años.

Por Comunidades Autónomas, en Navarra (40%), Aragón (34%) y Murcia (34%) es donde más ha crecido el uso del DNIe respecto al año pasado, aunque su empleo ha aumentado de forma considerable en todas. En cambio, Madrid (22%) y Galicia (26%) son las comunidades que se mantienen más estables.  
(fuente: DINTEL)

Oracle anuncia su intención de adquirir el fabricante de software de E-SSO Passlogix

El rápido desarrollo de Internet y sus tecnologías asociadas ha provocado una rápida adopción de aplicaciones y servicios distribuidos por parte de los usuarios empresariales. Cada aplicación o servicio (correo electrónico, correo móvil, etc.) se construye empleando diferentes herramientas, con diferentes características de seguridad y sobre diferentes plataformas o infraestructuras. Cada aplicación y servicio utiliza por tanto un repositorio propio centralizado para almacenar la información de seguridad asociada a cada usuario. Además las colaboraciones entre empresas y organismos, y la tendencia a la externalización de los servicios agravan esta situación.

La unificación de acceso mediante un logon único para los usuarios, junto a una gestión de las identidades centralizada y una autenticación fuerte de los usuarios se han convertido en principales preocupaciones de los responsables de seguridad de las empresas y organismos públicos.

Según indica la web de PassLogix, en Junio de 2006 Oracle y Passlogix alcanzaron un acuertdo OEM que permitía a Oracle la venta del producto Passlogix v-GO Sign-On bajo su propia marca siendo un componente clave de la estrategia Oracle Fusion Middleware. El acuerdo se llevó a cabo debido a la fuerte demanda de los clientes para implementar soluciones de logon único empresarial (Enterprise Single Sign-On).

Tras más de cinco años de colaboración, Oracle ha anunciado que ha alcanzado un acuerdo para adquirir Passlogix (http://www.oracle.com/us/corporate/press/176326)  para complementar su linea de productos de gestión de identidades.

Algunos de los competidores de Passlogix en el área de Enterprise Single Sign-On (E-SSO) son IBM (con su producto Tivoli Access Manager que inicialmente fue licenciado a Passlogix), Novell, ActivIdentity, Evidian (del grupo Bull), Computer Associate e Imprivata. Habrá que ver que otros movimientos se producen en este mercado, aunque ya se ha producido una consolidación.

Conseguir que los usuarios accedan con un unico logon a todos los sistemas, servicios y aplicaciones que necesitan para desempeñar su función es un reto complejo en grandes organizaciones. Hace unos meses presente en el foro tendencias del SITI/asLAN 2010 una presentación donde me permitía recomendar una estrategia para conseguir finalizar con éxito un proyecto de estas características (http://slidesha.re/btpHXh).

Los proyectos de E-SSO van a menudo acompañados de la implantación de una solución de autenticación fuerte, ya que sustituir varias password que gestiona un usuario por una sola, no mejora necesariamente la seguridad (aunque facilita su memorización) sino que puede incrementar el riesgo, ya que la perdida o compromiso de una contraseña da acceso a todos los sistemas y aplicaciones a los que tiene acceso un usuario. Por ello si se acompaña de la autenticación por smart card o algún tipo de reconocimiento biométrico que mantenga la sensación de facilidad de uso al usuario, conseguiremos mejorar tanto la productividad como la seguridad de la empresa.