Técnicas Biométricas Aplicadas a la Seguridad

1. Técnicas Biométricas Aplicadas a la Seguridad Juan Alberto Sigüenza Pizarro Escuela Politécnica Superior Universidad Autónoma de Madrid

2. Objetivos del curso • Estudio de las tecnologías mas recientes implicadas en el análisis de las características biométricas de las personas… • …y su utilización en la seguridad informática.

3. Contenidos del curso IGeneralidades • Introducción general a la Biometría • Reconocimiento de patrones y Biometría • Rendimiento y evaluación de dispositivos biométricos

4. Contenidos del curso IIBiometría estática • Reconocimiento de huella dactilar • Reconocimiento de Iris y Retina • Reconocimiento mediante geometría de la mano

5. Contenidos del curso IIIBiometría dinámica • Identificación de escritura manuscrita • Reconocimiento de la firma • Dinámica de tecleo

6. Contenidos del curso IVAplicaciones biométricas • Multimodalidad • Smartcards • Biometría y técnicas forenses • Estándares biométricos • Seguridad Informática y PKI

7. Profesores del curso I • Los profesores participantes son investigadores de referencia en universidad española, dentro de las diferentes áreas que componen la biometría. • En la actualidad estos profesores se enmarcan dentro de ABIE (Agrupación de Biometría Informática Española) http://www.ii.uam.es/~abie/index.html, habiendo celebrado una primera reunión en febrero de 2002. • Asimismo les ha sido concedido un proyecto conjunto en última convocatoria de proyectos de investigación del MEC. Organismo: TIC2003-08382-C05-04, denominado Seguridad multimodal basada en la autentificación biométrica mediante la fusión de expertos unimodales, 2003-2005. • Por último está en proceso de edición por parte de estos profesores de un libro sobre Biometría y seguridad coordinado por Juan Alberto Sigüenza y Marino Tapiador y que será publicado en los próximos meses por la editorial RA-MA.

8. Profesores del curso II • José Colas (UAM) • Virginia Espinosa (EUPMt)  videoconferencia • Marcos Faundez (EUPMt)  videoconferencia • Javier García Villalba (UCM) • Javier Ortega (UPM / UAM) • Raúl Sánchez Reillo (UC3M) • Juan Alberto Sigüenza Pizarro (UAM) • Marino Tapiador Mateos (UAM) • Carlos Vivaracho (UVA)

9. Forma de evaluación • Asistencia regular • Trabajo relacionado con alguno de los temas tratados en la asignatura • Exposición oral del proyecto/trabajo.

10. Bibliografía general del Curso • Automated biometrics. Technologies and Systems. • David D. Zhang (Ed.) • Kluwer Academic Publishers, 2000. • Biometrics. Personal identification in Networked Society. • A. Jain, R. Bolle, S. Pankanti (Eds.) • Kluwer Academic Publishers, 1999.

11. Introducción general a la Biometría Juan Alberto Sigüenza Pizarro Escuela Politécnica Superior Universidad Autónoma de Madrid

12. ¿Qué es la Biometría? • El término biometría clásicamente se aplica de forma general a la ciencia que se dedica al estudio estadístico de las características cuantitativas de los seres vivos, p. e. peso, longitud, etc. • Sin embargo en épocas mas recientes éste término se utiliza también para referirse a los métodos automáticos que analizan determinadas características humanas con el fin de la identificación y la autentificación de las personas.

13. Sistemas de identificación de identidad • Apariencia: El aspecto de una persona (altura, género, peso) • Conducta social: La forma en que se interactúa con otros. • Nombre y apellidos: Como se llama. • Códigos: Como se llama una persona para una organización (p. e. el DNI) • Conocimiento: Lo que uno sabe. • Posesión: Lo que uno posee. • Biodinámica: Lo que uno hace. • Morfología y Fisiología: Lo que hace a uno ser como es (p. e. características faciales) • Características físicas superpuestas: Lo que la persona es en el momento (p. e. piercing, peluca, tatuaje, etc.)

14. Biometría informática • La Biometría entraría a formar parte dentro del mundo de la criptografía y la seguridad informática en uno de los tres niveles o puntos críticos en los que se suelen diferenciar tradicionalmente los buenos sistemas de seguridad: 1. Algo que el usuario sabe. (P .e. una clave secreta) 2. Algo que el usuario tiene. (P. e. una tarjeta personal, un token, etc.) 3. Algo que el usuario es. (P. e. un dato personal biométrico)

15. Porqué la Biometría • Renovación de password

16. Historia de la Biometría I • Siglo VII en China, huellas dactilares en documentos y en arcilla. • Año 1000, Quintiliano utilizó huellas dejadas por las palmas de unas manos ensangrentadas para esclarecer un crimen. • 1686, Malpigio hizo el primer estudio sistemático de las huellas dactilares. • 1856, William Herschel fue el primero en implantar la huella del pulgar como método de identificación en documentos para personas analfabetas.

17. Historia de la Biometría II • 1880, Henry Faulds, un médico escocés que trabajaba en Tokio, publico un artículo en la revista Nature sugiriendo que las huellas dactilares encontradas en la escena de un crimen podía identificar al culpable. Este médico tuvo ocasión de utilizar esta técnica para eliminar la inculpación de un inocente y encontrar al culpable de un robo en Tokio. • 1941, Murray Hill de los laboratorios Bell inicia el estudio de la identificación por voz. • 1986, Alec Jeffreys, utilizó por primera vez el DNA para identificar al autor de unos asesinatos en Inglaterra.

18. Historia de la Biometría III • La utilización de la Biometría como una tecnología moderna y de aplicación a usos comerciales tiene su arranque en los años 70 con la implantación de los primeros sistemas de reconocimiento automática de las huellas dactilares. • Mas recientemente organizaciones científicas como IEEE han comenzado a dar cobertura a eventos relacionados con la biometría. • Asimismo en 1998 se constituyó el consorcio Bio API con el fin de desarrollar un API ampliamente aceptado y disponible que sirva para las diversas tecnologías biométricas.

19. Historia de la Biometría IV • Implicaciones de gobiernos • National Biometric Test Center (San José State University) 1995. • Biometrics Management Office y Biometrics Fusion Center 1998 (Departamento de Defensa USA) • Biometrics Working Group, UK

20. Historia de la Biometría V • Organizaciones y Asociaciones • Biometrics Consortium: vendedores, integradores, usuarios finales, fabricantes de hardware y software, agencias gubernamentales. • Association for biometrics, UK • The Biometric Foundation, USA • International Biometric Industry • Biometric Testing Services

21. El cuerpo humano y la Biometría • Las características externas de los individuos (fenotipo) que son las estudiadas por la Biometría, se corresponden con las características genéticas heredadas (genotipo) que hacen a cada individuo singular. • Existen múltiples características que “a priori” nos permiten distinguir a una persona de cualquier otra. Sin embargo los trabajos de investigación biométrica han ido seleccionando a lo largo de los años aquellas que permiten una mayor fiabilidad desde el punto de vista de la identificación.

23. Tipos de Biometría • Dependiendo de las características usadas para la identificación se pueden establecer dos grandes tipos aquellas que se fijan en los aspectos físicos y aquellas que se fijan en aspectos vinculados a la conducta. En la actualidad hablamos de • Biometría estática o física, para referirnos al estudio del conjunto de características físicas • y de Biometría dinámica o conductual, para el conjunto de características conductuales.

24. Ejemplos de Biometría estática • Huella dactilar • Retina e Iris • Rayas y geometría de la mano • Cara • Poros de la piel • Olor corporal • Emisiones térmicas • Venas de muñecas y manos • Análisis de DNA

25. Ejemplos de Biometría dinámica • Escritura manuscrita • Firma • Voz • Tecleo • Gesto y movimiento corporal

26. ¿Que piensan los usuarios?

27. Requisitos de un registro biométrico I • Para que las características físicas y conductuales permitan ser utilizadas como elementos de identificación deben cumplir con una serie de requisitos básicos.

28. Requisitos de un registro biométrico II • Universal: todas las personas tiene que presentar la característica. • Singular: dos personas cualesquiera tienen que ser distinguidas suficientemente una de otra basándose en la característica. • Estable: La característica tiene que ser lo suficientemente estable a lo largo del tiempo y en condiciones ambientales diversas. • Cuantificable: la característica tiene que ser mensurable cuantitativamente. • Aceptable: el nivel de aceptación de la característica por parte de las personas debe ser suficiente como para ser considerada como parte de un sistema de identificación biométrico. • Rendimiento: el nivel de exactitud requerido debe ser elevado para que la característica sea considerada como aceptable. • Usurpación: permite establecer el nivel al que el sistema es capaz de resistir a técnicas fraudulentas.

29. Requisitos de un registro biométrico III • El objetivo final de la utilización de estas características, es el de poseer un conjunto de herramientas que permitan conseguir bien la Identificación, bien la Verificación de la identidad de una persona.

30. Identificación • Se trata de responder a la siguiente pregunta: ¿Quién es la persona X? • Es decir tenemos información sobre una persona de la que desconocemos su identidad. • Este tipo de comparación se denomina uno a muchos (1:N) puesto que para proceder a la identificación de una persona se deben comparar las características biométricas de la misma con las de todas las personas almacenadas en una base de datos.

31. Requisitos de la Identificación • Una base de datos donde se almacenen las características biométricas de un amplio número de personas. • Un mecanismo para capturar y procesar las características biométricas de la persona a identificar. • Un procedimiento para comparar las características de la persona a identificar con las almacenadas en la base de datos y que permita tomar la decisión de contestar a la pregunta anterior.

32. Verificación • Se trata de responder a la siguiente pregunta: ¿Es esta persona X? • Es decir una persona reclama tener una determinada identidad y el sistema debe verificar que es cierto. • Este tipo de comparación se denomina uno a uno (1:1) puesto que únicamente se comparan las características biométricas de una persona con las de la persona que reclama ser.

33. Requisitos de la Verificación • Un sistema de identificación tipo usuario mas password al que se le puede añadir un sistema tipo token o carné de identidad. • Un mecanismo para capturar y procesar las características biométricas de la persona a identificar. • Un procedimiento para comparar las características de la persona a identificar con la previamente almacenada para esa persona y que permita tomar la decisión de contestar a la pregunta anterior.

34. Automatización de datos biométricos • Los sistemas que utilizan la Biometría para la identificación y la verificación se valen habitualmente de recursos informáticos que son capaces de procesar miles de datos en pocos segundos. P. e. comparar una huella dactilar con un banco de datos de huellas.

36. Procedimiento de automatización • Alta de muestras en el sistema • Generación de plantillas • Medida de la correlación entre plantillas • Establecimiento de umbral • Toma de decisión

38. Alta de muestras en el sistema I • Dispositivos de captura de datos biométricos: escáner para huellas, sistemas de registro de voz, etc. • Estos dispositivos deben presentar unos márgenes de tolerancia adecuados para permitir la reproducibilidad de la información capturada en momentos distintos.

39. Alta de muestras en el sistema II • La Calidad de los datos adquiridos va a depender de: • El número de muestras que se tomen de cada usuario. (se suelen utilizar medidas promedio) • El momento en que las muestras se toman.

40. Alta de muestras en el sistema III • Como medida de la exactitud del proceso de darse alta en un sistema biométrico se utiliza el FTER: “Failure To Enroll Rate” o índice de fallo en el procedimiento de darse de alta. Se calcula de la siguiente forma: Número insatisfactorio de altas en el sistema Número total de intentos de darse de alta

41. Alta de muestras en el sistema IV Algunos factores que causan errores se resumen en la tabla

42. Alta de muestras en el sistema V • El procedimiento de darse de alta es mas largo que los de identificación o verificación. • Ello provoca molestias en los usuarios: • Por lo que en algunos sistemas el procedimiento es opcional y se limita el nivel de acceso. • En otros casos se permite la utilización de umbrales dinámicos por parte de los usuarios: • Mas restringidos para algunas aplicaciones. • Mas abiertos para otras.

43. Generación de plantillas I • Los datos biométricos capturados son información si procesar y se denominan muestras biométricas. • Estas muestras no pueden ser utilizadas directamente durante el proceso de reconocimiento debido a su complejidad y tamaño. • Es preciso que la información que contienen sea procesada con el fin de extraer las características que vayan a ser utilizadas durante el proceso de identificación / verificación.

44. Generación de plantillas II • La información procesada recibe el nombre de plantilla, y consiste en una representación invariante y compacta de las muestras biométricas. • Hay dos tipos principales de plantillas: • Las que se generan cuando el individuo se da de alta en el sistema. • Las que se generan cada vez que el individuo intenta acceder al sistema.

45. Medida de la correlación entre plantillas • A diferencia de los sistemas basados en contraseñas y PIN que son binarios (SI/NO, correcto/incorrecto, etc.) en los sistemas biométricos se establece un sistema de puntuación no estándar. • Los sistemas de puntuación se basan en rangos del tipo (1, 100) o (+1, -1). • Por tanto estos rangos no generan valores absolutos sino que permiten establecer el grado de fuerza o debilidad en la proximidad entre plantillas.

46. Establecimiento de umbral • Una vez que se ha asignado una puntuación a una plantilla, esta se compara con una puntuación umbral previamente establecida. • Este umbral puede variar de persona a persona, de transacción a transacción y para cada intento de verificación.

47. Toma de decisión • El resultado de la comparación entre las puntuaciones de la plantilla y el umbral nos puede conducir a diversas alternativas: • Correlación entre ambas. • No correlación. • Imposibilidad de alcanzar una conclusión definitiva.

48. Medida del rendimiento • Tolerancia de tipo I (False Rejection Rate) • Causa frustración al usuario. • Tolerancia de tipo II (False Aceptance Rate) • Causa fraude. • Equal Error Rate • La representación gráfica del FRR y FAR da un punto de corte que es el EER.

49. Medida del rendimiento Umbral