martes, 22 de julio de 2008

Cantidad de Visitas al Articulo:

BioPKI - Primera Parte

PKI "o" Biometría? Por que no "y"?

user_guard_big

Desde hace mas de 7 años que estoy involucrado en temas referentes a la seguridad, debido a que tuve la suerte de estar trabajando en compañías que tenían como foco de negocios aplicaciones basadas en PKI o Biometría. Cada uno de estos temas, fueron avanzando a través de los años, hasta convertirse en tecnologías maduras, sólidas, y con precios razonables.

Normalmente, cuando comenzamos a evaluar soluciones de seguridad referidas a la identificación de personas, surgen estas dos tecnologías, además de otras claro está. Y la primer pregunta es si se usa PKI "o" Biometría, aunque mi pregunta ahora es, y por que no PKI "y" Biometría?. En la práctica, son tecnologías que pueden complementarse perfectamente, y dependerá de la necesidad para determinar si se justifica o no. Surge entonces un concepto nuevo, que podemos denominar BioPKI - Biometric Public Key Infraestructure.

Pero antes de avanzar en este tema, creo conveniente hacer una breve introducción a cada tema, para aquellos que no los conozcan.

Que es PKI?

Para definir PKI, utilizo literalmente la definición existente en Wikipedia:

"En criptografía, una infraestructura de clave pública (o, en inglés, PKI, Public Key Infrastructure) es una combinación de hardware y software, políticas y procedimientos de seguridad que permiten la ejecución con garantías de operaciones criptográficas como el cifrado, la firma digital o el no repudio de transacciones electrónicas"

A veces se utiliza el término PKI solo para hacer referencia a la tecnología, pero en realidad PKI es mas amplio y engloba los procedimientos, los cuales determinan que hacer en caso de ocurrir alguna falla. Por ejemplo, si utilizo PKI para el control de pagos, y por algún inconveniente técnico no está disponible, debe existir un procedimiento de seguridad alternativo para completar la operación, de tal forma de evitar, en este caso, la falta de pago.

alarma_mini_small Nota: He escuchado varias veces la frase: "Tengo tal o cual tecnología implantada, por lo tanto estoy seguro". La experiencia indica que de no existir las políticas y procedimientos de seguridad adicionales, la "SOLUCIÓN" de seguridad NO es completamente segura, por mas que la tecnología sea realmente buena.

Esta tecnología se basa en que cada persona tenga un par de claves: una pública y otra privada, enlazados en lo que se conoce como certificado digital o certificado de identidad. Estos certificados son emitidos por Autoridades de Certificación tales como VeriSign, Thawte, etc. Estos certificados se los puede verificar en una lista de certificados vencidos generados por las mismas compañías emisoras, ya sea por fecha o por razones de seguridad. Existen también soluciones de verificación simultánea de varios tipos de certificados, tales como el producto Validation Authority de la empresa Tumbleweed.

Se puede utilizar PKI para identificar a la persona que presenta un certificado, ya sea para acceso a aplicaciones o para permitir realizar alguna operación sensible, para cifrado de información de tal forma de evitar que otras personas que no posean la clave privada no puedan ver el contenido plano de la misma, para firmar digitalmente un documento de tal forma de garantizar que no sea modificado o bien para garantizar en No Repudio, es decir, que la persona que realiza una operación NO pueda negar la misma.

El punto débil de la tecnología, es que si alguien logra robar mi clave secreta, tiene la posibilidad de suplantar mi identidad, y de esa forma llevar a cabo un fraude.

Que es Biometría?

Es la tecnología que permite verificar o identificar a una persona a través de un atributo unívoco de la persona, como por ejemplo huella digital, geometría de la mano, iris del ojo, etc.

El proceso característico de la biometría es la captura de una muestra (eje.: imagen de la huella digital) a través del dispositivo biométrico para tal efecto, para luego procesar la misma a través de algún algoritmo de extracción de puntos característicos (minucias), y por último la comparación contra un banco de datos previamente almacenado del mismo tipo. Esta comparación se realiza con un algoritmo de matching, entregado por la misma empresa vendedora del dispositivo de captura biométrico, o alguna empresa independiente del dispositivo. En ningún caso se hace una comparación por igualdad, dado que cada muestra tomada es diferente, sino que se entrega un resultado (score), el cual es comparado contra un umbral mínimo requerido para considerar la comparación como satisfactoria. El tamaño y características de las muestras dependerán de cada algoritmo, así como los valores de umbrales utilizados.

Existen en todos los algoritmos, sin importar la tecnología biométrica utilizada, dos conceptos importantes: el FAR (False Acceptance Rate) y el FRR (False Rejection Rate). Esto es, la tasa de falsas aceptaciones (cuando el algoritmo dice que una persona es quien dice ser, y realmente no lo es) y los falsos rechazos (cuando el algoritmo dice que la persona no es, cuando si lo es). Estos tasas, pueden ser ajustadas con la definición de los umbrales adecuados, de tal forma de minimizarlas. Cabe señalar, que si subimos mucho el umbral, nos arriesgamos a incrementar el FRR mientras que si lo bajamos puede elevarse el FAR, lo cual para mi punto de vista es peor que el primer caso.

Existen diferentes proveedores de dispositivos biométricos y algoritmos. Dependerá de la solución a construir, la selección adecuada de los mismos. Mencionaré solo algunos:

TecnologíaEmpresas
Huella DigitalNEC, Neurotechnology, Secugen, Digital Persona, etc.
Iris del OjoNeurotechnology
Geometría de la ManoRecognition System
Reconocimiento de CarasNeurotechnology

Por último, mencionaré que cada compañía proveedora de éste tipo de tecnologías utiliza diferentes tipos de muestras lo que hace imposible la interoperabilidad de dispositivos. (eje.: si hago una captura de una muestra de huella digital con un sensor Digital Persona, no podré compararlo con una muestra tomada por un sensor Secugen). La buena noticia es que existen compañías que se dedican a desarrollar soluciones que permiten standarizar las muestras de tal forma de permitir la mencionada interoperabilidad, lo que ofrece flexibilidad a los consumidores finales, a la hora de decidir que y donde comprar.

La utilización de esta tecnología es claramente la de identificar unívocamente a una persona, debido a que nadie puede suplantar nuestra huella digital por ejemplo, pero no pude ser utilizada para procesos de encripción o firma digital, dado que como hemos dicho anteriormente, cada muestra es diferente de la anterior, lo que hace imposible completar este tipo de acciones.

Que es BioPKI - Biometric Public Key Infraestructure?

Ahora bien, si consideramos las ventajas de ambas tecnologías, podemos pensar BioPKI como una solución robusta, y que saca provecho de las fortalezas que hemos considerado, evitando en cada caso las debilidades mencionadas.

Consideramos entonces, una muestra biométrica como identificación de una persona, que luego es firmada y/o encriptada a través de un algoritmo de clave pública, considerando además las políticas y procedimientos de seguridad para almacenamiento, recuperación y verificación del resultado obtenido. Además de la muestra podemos considerar información adicional, para que el resultado obtenido pueda ser considerado como prueba independiente.

Analizaré en posteriores artículos, algunos detalles mas específicos de una solución que cumpla con BioPKI.

So far, So good!

Cantidad de Visitas al Articulo:

2 comentarios:

Anónimo dijo...

Muchas gracias por la información entregada en este articulo, me aclaró bantes dudas. Me gustaría aprobechar de consultarte, si conoces alguna API de java que sea gratis y que permita transformar una muestra en formato .BMP a forma .WSQ, saludos.

Pedro Fuentes J.
knut1574@hotmail.com

Gustavo Suhit dijo...

Perdo, lamentablemetne no conozco ninguna. De hecho, mas que de BMP, debería ser de formato RAW y con ciertas características para que WSQ funcione.
Pero encesitas una librería de compresión WSQ de todas fromas.
Saludos,

 
Este Weblog, InforMateando..., está licenciado bajo Licencia Creative Common - por Gustavo Suhit