Métodos de identificación: el cebrebro también puede ser la contraseña

Este artículo se publicó originalmente en Cooking Ideas, un blog de Vodafone donde colaboramos semanalmente.

En muchas ocasiones subestimamos la importancia que tienen las contraseñas, especialmente aquellas con las que nos identificamos ante ordenadores y servicios de Internet. La culpa, en parte, está en lo tedioso que resulta lidiar con la creciente necesidad de utilizar cada vez más claves en más lugares.

Tampoco los sistemas operativos ni el software ayudan a crear un "habito saludable" con respecto a las contraseñas, otorgándoles mucha menos importancia que, al menos en teoría, merecen. Muchos de ellos se ofrecen voluntariosamente a guardar las contraseñas del usuario para ahorrarle a éste el paso de tener que teclearlas; y hacer así su vida más cómoda, aunque también sea, al menos en teoría, menos segura.

Es el caso del correo electrónico, el acceso a discos duros virtuales o a servicios y páginas de Internet cuyos datos de acceso "memoriza" el navegador, a los que diariamente se accede sin teclear en ningún momento una contraseña que verifique que quien los está utilizando es su legítimo propietario.

Tampoco la mayoría del software que utiliza contraseña considera conveniente recordar de vez en cuando la importancia de cambiar las claves transcurrido cierto tiempo. Ni la mayoría del software tampoco se preocupa de comprobar que la contraseña elegida por el usuario sea más o menos fuerte ni que al menos no se utilicen palabras ampliamente utilizadas como contraseñas. En cambio suelen aceptar casi cualquier cosa. Muy en parte debido a que nadie quiere arriesgarse a perder un usuario al obligarle a pensar en una contraseña más elaborada y compleja, más segura.

Lo anterior sin considerar que, por encima de todo, el hecho de teclear la contraseña correcta no implica necesariamente que quien está accediendo al sistema sea realmente su legítimo usuario.

En este sentido hace poco mencionaba por aquí un método desarrollado para verificar, de forma automática y constante a lo largo del tiempo, que quien está haciendo uso de un sistema u ordenador es la misma persona que se identificó ante él. La autenticación cognoscitiva identifica al usuario por su forma de pensar y actuar delante del ordenador.

Es decir, aquella se trataba de una nueva forma de certificar la identidad del usuario analizando factores intrínsecos a él, como la forma en la que interactúa con el sistema, o por cómo maneja el ratón o teclea. Un software se encargaría de analizar de forma constante y automáticamente, y de forma transparente para el usuario, su «huella cognoscitiva», verificando la identidad de quien está utilizando el ordenador.

También hay en desarrollo procedimientos que buscan nuevas formas de identificación, más allá del método de teclear una contraseña que se compara con la guardada de forma local o en servidores remotos. Puede que el método actual sea válido para la inmensa mayoría de las personas y en relación a los sistemas actuales. Pero conforme evoluciona la manera en la que se manejan los ordenadores serán necesarias nuevas formas de identificarse ante ellos.

Si los ordenadores se manejan mediante gestos o forman parte de la vestimenta probablemente serán necesarias nuevas formas de identificar al usuario.

Un método vinculado a su individualidad pasaría por sus registros biométricos, como el reconocimiento ocular (del iris), la lectura de la huella dactilar o el reconocimiento facial.

Aunque el reconocimiento ocular apenas ha salido de las películas el uso de la huella dactilar o el reconocimiento facial sí han llegado a implementarse en electrónica de consumo, aunque con más pena que gloria. O al menos no se ha producido la adopción general de estos nuevos modelos para identificarse ante ordenadores y sistemas. El primero tuvo una tímida adopción por parte de algunos fabricantes de ordenadores portátiles que incluían un lector de huella dactilar, aunque su utilidad práctica rápidamente se demostró nula.

El reconocimiento facial se ha implantado en las últimas versiones del sistema operativo móvil Android, que utiliza la cámara frontal del teléfono para "ver" al usuario y, caso de ser su legítimo propietario, dar acceso al teléfono. Su adopción es casi residual dado lo engorroso del proceso: no sólo resultó que se podía "romper" este mecanismo de seguridad poniendo delante del teléfono una foto del usuario (aunque siguientes versiones mejoren este sistema); tampoco resulta útil en situaciones tales como intentar acceder estando en movimiento o situaciones de poca luz y oscuridad, donde el código numérico no falla.

Como sea, de los de los métodos desarrollados en los últimos años ninguno ha desplazado el método común de escribir una contraseña o clave o, en el mejor de los casos, trazar un patrón preestablecido en la pantalla del teléfono móvil, que al fin y al cabo no difiere mucho de la fórmula de teclear una serie numérica. Tampoco han cuajados métodos de identificación complementarios como el del DNI electrónico o los certificados digitales, cuya aplicación práctica apenas va más allá de lo puntual y de lo anecdótico.

Mientras tanto, los investigadores siguen trabajando en nuevas formas de identificación. Una de las últimas propuestas pasa por comprobar las señales del cerebro o los latidos del corazón como formas de certificar la identidad.

Los latidos del corazón, según investigadores citados por ABC Science, sigue un patrón que se considera único e individual para cada persona, incluso aunque varíe el ritmo cardiaco.

Del mismo modo que lo es la reacción del cerebro ante determinados estímulos externos. El cerebro de una persona producirá una respuesta eléctrica única al reconocer, por ejemplo, una imagen de su madre.

De modo que el método de identificación se podría basar, según explican los investigadores, en la selección de dos imágenes de entre un grupo, una genérica y otra de un sujeto conocido y personal, caso de la fotografía de su madre.

Elegir la pareja de imágenes adecuada ya sería en sí misma una forma de identificarse. Pero además la selección de ambas fotos iría acompañada de una lectura de las señales del cerebro correspondientes a la reacción de ver sendas imágenes. De modo aunque otra persona elija esa misma combinación, por casualidad o por que la conozca, la reacción de su cerebro al visualizarlas y elegirlas no sería la misma, y por tanto la identificación sería nula.

Este tipo de mecanismos de identificación podrían considerarse válidos por sí mismos o complementarios a los métodos actuales, también al "viejo método" de teclear una contraseña. Eso sí, para ello todavía se debe resolver, entre otras cosas, que su aplicación no requiera poner instrumentos de medida en contacto con la persona, sino que sea posible captar este tipo de señales de forma remota.

Publicado por Nacho # 17/Oct/2012

Artículo original en Microsiervos