📌 Autenticación biométrica — Explicación detallada

📖 ¿Qué es?

La autenticación biométrica no se basa en algo que sabes o tienes, sino en algo que eres.
Esto puede ser físico (huella dactilar, rostro, iris) o conductual (manera de caminar o escribir).

🔧 Cómo funciona (Proceso técnico)

1️⃣ Inscripción (Enrollment)

• Se captura una muestra biométrica → por ejemplo, una huella dactilar.

• Se extraen características → se convierten en una plantilla matemática (NO se guarda la huella real).

• Se almacena la plantilla en un sistema seguro.

2️⃣ Autenticación (Matching)

• Cuando quieres acceder, vuelves a escanearte.

• El nuevo escaneo se convierte en una plantilla temporal.

• Se compara con la plantilla almacenada.

• Si es similar (dentro de un margen de error tolerable), se permite el acceso.

✅ Nota importante:
NO se almacenan imágenes reales → se guardan solo valores matemáticos → protege tu privacidad.

🎭 Analogía simple

Es como un guardia de seguridad en una puerta:

• Guardas tu "perfil físico" en una ficha → huella, cara, voz.

• Cada vez que quieres pasar, el guardia te mira → compara con la ficha.

• Si pareces tú → te deja entrar.

• Si eres muy distinto (incluso con una máscara), no te deja entrar.

🚨 Errores en autenticación biométrica (muy importante como Blue Team)

Métrica Explicación Riesgo
FRR (False Reject Rate) Rechaza a un usuario legítimo. (Tipo I) Incomodidad / bloqueo de usuarios.
FAR (False Acceptance Rate) Acepta a un impostor. (Tipo II) Brecha de seguridad. Altísimo riesgo.
CER (Crossover Error Rate) El punto donde FRR y FAR son iguales. Cuanto más bajo, mejor es el sistema.

➡️ Conclusión:
Para un atacante, lo importante es aprovechar sistemas con alta FAR (fácil de engañar).
Para Blue Team → debemos ajustar la sensibilidad para balancear entre seguridad y usabilidad.

📊 Factores adicionales clave

• Rendimiento (Performance):
  En lugares con mucho tráfico (aeropuertos) → debe ser rápido → menos de 2 segundos es ideal.

• FER (Failure to Enroll Rate):
  Algunas personas NO pueden ser enroladas → huellas dañadas, discapacidades → importante tener alternativas.

• Costo:
  Huella → barato.
  Facial/iris → caro pero más seguro.

• Privacidad y accesibilidad:
  Usuarios pueden considerarlo intrusivo → sobre todo reconocimiento facial.

🧠 Ejemplos reales

Tecnología Uso típico Observación
Huella dactilar Teléfonos, puertas de oficina, portátiles Barato, pero vulnerable a huellas falsas (ejemplo: impresión 3D)
Reconocimiento facial Desbloqueo de móviles, controles fronterizos Puede ser engañado con fotos si no se usa detección 3D/IR
Reconocimiento de iris Centros de datos, militares Muy seguro, pero caro e incómodo
Reconocimiento de voz Call centers, dispositivos IoT Vulnerable a grabaciones, pero útil para accesibilidad

🟪 Purple Team — Visión integral (Ataque y defensa)

🔴 Red Team (cómo atacar)

• Suplantación → fotos o videos para reconocimiento facial (ataques de presentación).

• Copias → huellas falsas con cera o impresión 3D.

• Replay attacks → reproducción de grabaciones de voz.

🟦 Blue Team (cómo defender)

• Anti-spoofing obligatorio → detección de vida → verificar calor, movimiento o profundidad (3D).

• Política de fallback segura → si biometría falla, no permitir autenticación sencilla (ejemplo: solo PIN).

• Protección del template biométrico → nunca almacenar imágenes reales. Solo templates cifrados.

• Registro y auditoría → todas las autenticaciones biométricas deben quedar registradas.

🟪 Purple Team (cómo validar)

• Pruebas regulares de suplantación.

• Revisar configuraciones → ¿Está activo el anti-spoofing?

• Validar fallback → ¿Qué ocurre si biometría no funciona?

• Revisión de logs → ¿hay accesos fuera de lo normal con biometría?

✅ Resumen final (mental + visual)

AUTENTICACIÓN BIOMÉTRICA 

➡️ Inscripción:  - Captura - Creación de plantilla - Almacenamiento 

➡️ Autenticación: - Nuevo escaneo - Comparación con la plantilla - Autorización (si coincide) 

➡️ Factores clave: - FRR → Bloqueo usuarios legítimos - FAR → Acepta intrusos → CRÍTICO - CER → Indicador de calidad 

➡️ Desafíos: - Spoofing (suplantación) → Red Team - Anti-spoofing → Blue Team - Privacidad y costos 

➡️ Purple Team: - Test de bypass (ataques) - Validación de defensas (anti-spoofing, fallback) - Auditoría continua