Biometría: tipos, tasas de error, liveness y privacidad

Las mañanas de frío

La empresa de Daniel sustituye las tarjetas de fichar del almacén por relojes de huella dactilar. El piloto en la oficina sale de maravilla. Luego llega el invierno y, las mañanas de frío, más o menos uno de cada cinco trabajadores del almacén no consigue fichar al primer intento: los dedos secos, agrietados o con polvo no se leen. Algunos de los trabajadores mayores ni siquiera lograron registrarse. Se forma cola en el reloj, alguien deja abierta la puerta lateral y la encargada del turno empieza a apuntar las horas en papel. Después llega un correo del departamento legal preguntando dónde se guardan las huellas, si los trabajadores firmaron un consentimiento y qué pasa con los datos cuando alguien se va.

En el artículo de factores presentamos la biometría como “algo que eres”, resumida en unos párrafos. Eso basta para diseñar una pantalla de inicio de sesión. No basta para las decisiones que de verdad le toca tomar a un profesional, como las que ahora tiene Daniel encima de la mesa: ¿la comparación se hace en el dispositivo o en un servidor?, ¿qué tasa de falsos aceptados es asumible?, ¿la detección de vida es suficiente para un pago?, ¿podemos siquiera guardar estos datos aquí?

La biometría parece sencilla desde fuera (“escanea tu cara y entras”) y es sutil por dentro. Es la única categoría de factor en la que un error de diseño puede perjudicar a la gente para siempre, porque nadie te puede dar una huella nueva. Y es también el factor con más legislación específica alrededor. Por eso tiene artículo propio, construido sobre un modelo mental: un sistema biométrico nunca pregunta “¿es esta Sara?” y obtiene un sí o un no limpios. Mide una puntuación de similitud entre una muestra nueva y una plantilla guardada, y compara esa puntuación con un umbral que alguien eligió. Casi todas las decisiones que vienen a continuación tratan de dónde poner ese umbral y de cuánto fiarse de la muestra.

Las modalidades principales

“Biométrico” abarca cualquier rasgo humano medible y lo bastante estable como para distinguir a una persona de otra. En la práctica, unas pocas modalidades dominan.

Hay dos distinciones estructurales que importan más que la modalidad en sí. La primera es verificación frente a identificación. La verificación, uno a uno, pregunta si esta persona es quien dice ser: una muestra nueva contra una plantilla guardada, como cuando desbloqueas el móvil o los trabajadores de Daniel fichan tras teclear su número de empleado. La identificación, uno a muchos, pregunta quién es esta persona: una muestra contra toda una base de datos. Es mucho más difícil, porque tasas de error despreciables en uno a uno se disparan cuando buscas entre millones de plantillas y tienes millones de oportunidades de coincidir con la persona equivocada. Casi toda la autenticación es uno a uno; la identificación a gran escala es cosa de los controles fronterizos y las fuerzas de seguridad, con riesgos y marcos legales distintos.

La segunda distinción es fisiológica frente a comportamental. La huella, el rostro, el iris, la voz y las venas miden un rasgo físico que se captura en un momento. La biometría de comportamiento mide cómo actúas, y sus señales se acumulan de forma continua. La tratamos aparte, cerca del final, porque cumple otro papel.

Cómo funciona la comparación

Entender el proceso es lo que permite razonar sobre los fallos. Sea cual sea la modalidad, todos los sistemas biométricos siguen más o menos las mismas etapas.

flowchart TB
  accTitle: Proceso biométrico de alta y verificación
  accDescr: Dos carriles. El carril de alta captura una muestra, extrae rasgos y guarda una plantilla protegida en un almacén seguro. El carril de verificación captura una muestra nueva, ejecuta una comprobación de detección de vida o de ataques de presentación, extrae rasgos y un comparador la contrasta con la plantilla guardada para producir una puntuación de similitud, que un umbral convierte en aceptar o rechazar.
  subgraph ENROLL[Alta · una vez]
    C1[Captura la muestra] --> F1[Extrae rasgos]
    F1 --> T1[(Guarda plantilla protegida)]
  end
  subgraph VERIFY[Verificación · cada inicio de sesión]
    C2[Captura la muestra] --> L2{Detección de vida / PAD}
    L2 -->|Sospecha de suplantación| RJ[Rechazar]
    L2 -->|Viva| F2[Extrae rasgos]
    F2 --> M2[Comparador frente a la plantilla]
    M2 --> S2[Puntuación de similitud]
    S2 --> TH{¿Puntuación ≥ umbral?}
    TH -->|Sí| OK[Aceptar]
    TH -->|No| RJ
  end
  T1 -. se compara con .-> M2

Destacan tres cosas. El sistema no guarda ni compara imágenes en bruto al comparar; compara plantillas de rasgos, representaciones matemáticas compactas, y una buena plantilla no se puede convertir de nuevo en la imagen original. La detección de vida va antes de la comparación o junto a ella, porque un comparador que acepta encantado una buena foto no vale nada sin esa barrera delante. Y la decisión final es una comparación con un umbral que fija alguien. De ahí salen las tasas de error.

Las métricas de error: FAR, FRR, EER

Esta es la parte sobre la que cualquier profesional tiene que saber razonar en voz alta.

Como la comparación es una puntuación frente a un umbral, solo caben dos errores. En un falso aceptado, la puntuación de un impostor supera el umbral y entra; la tasa es la FAR, False Accept Rate, también llamada False Match Rate en la terminología ISO. Es el error de seguridad. En un falso rechazo, la puntuación de un usuario legítimo se queda corta y se le deja fuera; la tasa es la FRR, False Reject Rate o False Non-Match Rate. Es el error de usabilidad, y es el que sufrían los trabajadores de Daniel las mañanas de frío.

FAR y FRR no son diales independientes. Son los dos extremos del mismo dial, el umbral. Si lo subes y exiges un parecido mayor, entran menos impostores, pero se rechaza a más usuarios legítimos en un mal día, con el dedo mojado o mala luz. Si lo bajas, los usuarios legítimos pasan sin problema y los impostores tienen más opciones. Con un sistema dado no puedes minimizar las dos a la vez. Eliges un punto de la curva según el riesgo. ¿Desbloquear una app de música? Inclínate hacia una FRR baja, porque un usuario frustrado importa más que un falso aceptado ocasional. ¿Autorizar una transferencia? Inclínate hacia una FAR baja, porque es mejor pedirle a un usuario real que lo intente otra vez que dejar pasar a un impostor. Un reloj de fichar está en medio: que un compañero fiche por otro es un riesgo real pero limitado, y una cola de trabajadores que no pueden fichar es un coste diario.

La EER, Equal Error Rate, es el punto en que FAR y FRR se igualan. Resume toda la curva en un número, y eso la hace útil para comparar sistemas: un lector con una EER del 0,1 % suele ser mejor que uno del 2 %. Pero casi nadie funciona en la EER. Las implantaciones reales se apartan de ella a propósito, normalmente fijando una FAR baja, por ejemplo “como mucho un 0,001 %”, y asumiendo la FRR que salga, así que un fabricante que solo da la EER está escondiendo el punto de trabajo. Y una FAR suelta no significa nada sin su FRR, ni al revés. “Una tasa de falsos aceptados de 1 entre 50.000” suena estupendo hasta que descubres que la FRR con ese ajuste es del 8 % y uno de cada doce usuarios se queda fuera las mañanas de lluvia.

Hay otras dos tasas que se confunden fácilmente con estas. La FTE, Failure to Enroll, es la proporción de personas que no consiguen registrar una plantilla útil, como trabajadores manuales con las huellas gastadas o personas con ciertas afecciones oculares en el caso del iris. Es un problema de inclusión, y esos trabajadores mayores del almacén eran la FTE de Daniel. La alternativa tiene que cubrirlos o los habrás excluido. La FTA, Failure to Acquire, es la proporción de capturas que no producen una muestra útil, un dedo demasiado seco o una cara fuera de encuadre. Una FTA alta infla en silencio la FRR que la gente sufre en la vida real.

Cuando evalúes a un fabricante, no aceptes nunca una cifra suelta. Pregunta con qué FAR se midió la FRR y sobre qué conjunto de datos público, y luego pregunta por la FTE y por el rendimiento frente a ataques de presentación según un estándar reconocido. Las referencias son las evaluaciones FRVT, FpVTE e IREX del NIST y la metodología de pruebas ISO/IEC 19795. Un fabricante que sabe situar sus cifras en ese marco va en serio.

Detección de vida y antisuplantación

Un comparador solo responde si la muestra coincide con la plantilla. No responde si la muestra viene de una persona real que está ahí. Esa segunda pregunta es la detección de vida, formalmente detección de ataques de presentación (PAD), estandarizada en la ISO/IEC 30107. Sin ella, el mejor comparador del mundo cae ante una foto impresa, un vídeo reproducido, un dedo de silicona o un deepfake hecho con IA.

Los ataques cambian según la modalidad. Contra el rostro se usan fotos impresas, pantallas de móvil que reproducen vídeo, máscaras de papel o impresas en 3D y, cada vez más, deepfakes inyectados directamente en la señal de la cámara. Contra la huella se moldea una huella latente en gelatina, silicona o cola blanca. Contra la voz se usan grabaciones, audio empalmado o clones de voz en tiempo real; a mediados de los 2020 ya había fraudes bancarios documentados con voces clonadas por IA. Contra el iris se usan impresiones de alta resolución, a veces con una lentilla encima.

La detección de vida tiene dos estilos. La activa le pide al usuario que haga algo: parpadear, girar la cabeza, leer en voz alta un número aleatorio, seguir un punto que se mueve. Es más difícil de burlar con material estático, pero añade fricción y las reproducciones sofisticadas pueden sortearla. La pasiva analiza la propia muestra en busca de señales de una presentación real, como la textura y el reflejo de la piel, la profundidad que da un sensor 3D, los micromovimientos, el flujo de sangre bajo la piel o los artefactos que deja una pantalla puesta delante de una cámara, sin que el usuario haga nada más. Da la mejor experiencia, y es hacia donde se han movido los flujos de consumo.

Los sistemas fuertes combinan las dos, y la ISO 30107 clasifica la PAD por niveles: el nivel 1 resiste artefactos baratos como una foto impresa, el nivel 2 otros más sofisticados como una máscara bien hecha. Cuando de ella depende un pago o un alta de cliente, pregunta qué nivel se probó de forma independiente en un laboratorio como iBeta, no cuál se declara. Una comparación facial 2D sin detección de vida es uno de los diseños más comunes y peligrosos que hay: parece seguridad fuerte y cae ante alguien que enseña una foto. Si no puedes pagar una detección de vida de verdad, una passkey bien implementada es mejor uso del presupuesto que un escaneo facial que solo parece seguro.

Guardar los datos biométricos

La biometría se diferencia de cualquier otro factor en algo que condiciona todas las reglas de almacenamiento: no se puede revocar. Si se filtra una base de datos de contraseñas, todo el mundo cambia la suya. Si se filtra una base de datos de huellas en bruto, esas huellas quedan comprometidas el resto de la vida de cada persona afectada. No hay restablecimiento posible.

Así que un sistema serio nunca guarda la foto de tu cara ni la imagen de tu huella. Guarda una plantilla, y usa protección de plantillas para que ni siquiera la plantilla pueda convertirse de nuevo en el rasgo ni relacionarse entre sistemas. La biometría revocable (cancelable biometrics) aplica a los rasgos una transformación repetible y revocable antes de guardarlos, de modo que una plantilla filtrada pueda revocarse y la persona volver a registrarse con una transformación nueva, lo que recupera una especie de restablecimiento. Los criptosistemas biométricos, como las fuzzy vaults y los fuzzy extractors, atan la biometría a una clave criptográfica para que lo guardado no revele por sí solo ni el rasgo ni la clave. El estándar de referencia es la ISO/IEC 24745, cuyos requisitos centrales son la irreversibilidad, la imposibilidad de vincular y la renovabilidad.

La arquitectura más fuerte mantiene la plantilla en el dispositivo del usuario, dentro de hardware seguro, y compara ahí. El Secure Enclave de Apple, un entorno de ejecución de confianza (TEE) o el StrongBox de Android guardan la plantilla donde ni el propio sistema operativo puede leerla. Touch ID, Face ID y Windows Hello funcionan así, y tu biometría nunca llega a los servidores de Apple ni de Microsoft. En las tarjetas inteligentes y en algunos lectores, la plantilla y la comparación viven dentro del chip y el rasgo nunca sale de él. Después, el dispositivo responde por el resultado, “una biometría válida ha desbloqueado esta clave”, normalmente mediante una aserción FIDO2 o WebAuthn. El servidor sabe que la persona registrada está presente y nunca ve la biometría.

A veces las bases de datos biométricas centrales son inevitables, como en los sistemas nacionales de identidad o algunos controles fronterizos, pero concentran un riesgo irreversible y exigen controles igual de extremos. Para un producto normal, y para los relojes de Daniel, lo razonable por defecto es: en el dispositivo, en hardware seguro, comparado en local. Antes de que nadie construya un almacén biométrico central, alguien en la sala debería preguntar: “¿Cuál es nuestro plan el día que se filtre esta base de datos?”. Con las contraseñas, la respuesta es un cambio forzoso. Con la biometría no hay una buena respuesta, y si el equipo no sabe darla, lo que está mal es el diseño.

Privacidad y regulación

Como los datos son sensibles e irrevocables, la biometría es una de las áreas con regulación más específica de toda la identidad. No se puede tratar como un atributo más.

La Biometric Information Privacy Act (BIPA) de Illinois es la ley más estricta y más litigada de Estados Unidos. Exige aviso por escrito y consentimiento explícito antes de recoger identificadores biométricos, obliga a publicar un calendario de conservación y destrucción y, sobre todo, da a las personas una acción privada, de modo que pueden demandar directamente por daños tasados por cada infracción. De la BIPA han salido varios acuerdos enormes, muchos por relojes de fichar con huella exactamente como los que instaló Daniel. Texas y Washington tienen sus propias leyes biométricas, y otros estados van detrás. En la UE y el Reino Unido, el artículo 9 del RGPD convierte los datos biométricos usados para identificar de forma única a alguien en una categoría especial de datos personales que no se puede tratar salvo que se cumpla una condición concreta, normalmente el consentimiento explícito, y arrastra la protección de datos desde el diseño, las evaluaciones de impacto, la minimización y una limitación estricta de la finalidad. Casi todas las leyes modernas de protección de datos siguen el mismo patrón: la LFPDPPP mexicana clasifica la biometría como dato sensible, la LGPD brasileña la trata como dato personal sensible, y así sucesivamente. Da por hecho que la biometría es una categoría regulada allí donde operes, y revisa la ley local.

El esqueleto práctico es el mismo en todos los regímenes: consentimiento explícito e informado; minimización de datos, es decir, una plantilla protegida y no una imagen, guardada en el dispositivo cuando sea posible; una política definida de conservación y borrado; y una alternativa para quien no pueda o no quiera registrarse. Este último punto enlaza directamente con la FTE. Es un requisito de inclusión y también legal, no un extra opcional.

Biometría de comportamiento

Todo lo anterior era fisiológico. La biometría de comportamiento identifica a una persona por patrones en su forma de actuar, y cumple un papel realmente distinto. Mira la dinámica del tecleo, el ritmo, el tiempo entre teclas y tus erratas habituales; la del ratón, cómo lo mueves, cómo trazas las curvas y cómo haces clic; el tacto y los deslizamientos, la presión, la velocidad, el arco y el ángulo en la pantalla y cómo sujetas el móvil; y la forma de andar y de manejar el dispositivo, los patrones de los sensores de movimiento cuando caminas con él.

Es silenciosa: no hay aviso ni escaneo, solo señales que ya existen mientras alguien usa la app. Es continua y no puntual: una huella demuestra presencia al iniciar sesión, mientras que las señales de comportamiento la siguen demostrando durante toda la sesión, algo que encaja con la verificación continua que desarrolla el artículo de Zero Trust. Siempre es una señal de apoyo y nunca el único factor, porque necesita un periodo de aprendizaje para construir el perfil de cada usuario y va cambiando, así que alimenta un motor de riesgo adaptativo en lugar de decidir el acceso por sí sola. Y es muy buena contra el robo de cuentas. Cuando alguien que teclea y desliza de otra forma está manejando una sesión cuya contraseña era correcta, a menudo es la analítica de comportamiento la que lo detecta. Por eso la despliegan tanto los bancos y las plataformas de identidad de clientes, con proveedores como BioCatch, TypingDNA o los módulos de comportamiento de las plataformas antifraude: sube la seguridad sin fricción visible. Piensa en ella como el copiloto silencioso del motor de riesgo del artículo de factores. No te para en la puerta; vigila si quien está dentro se sigue moviendo como la persona a la que se dejó entrar.

Elegir y combinar modalidades

Ninguna modalidad es la mejor en general. La correcta es la que tiene un perfil de error, un coste y una resistencia a la suplantación adecuados al caso de uso y a la gente que la va a usar. Una app de pagos en móviles modernos tira de cara o huella porque el hardware y el enclave seguro ya están ahí. Un puesto fronterizo puede justificar el iris por su precisión y estabilidad. Un centro de llamadas quizá solo tenga la voz y tendrá que invertir mucho en defensas contra la clonación.

Cuando una modalidad no basta, los sistemas recurren a la biometría multimodal, combinando dos rasgos como la cara y la voz y fusionando sus puntuaciones. La fusión puede hacerse a nivel de rasgos, de puntuación o de decisión, y bien hecha baja las dos tasas de error a la vez y obliga al atacante a suplantar dos rasgos distintos al mismo tiempo. El precio es más fricción en la captura y más hardware, así que se reserva para contextos de mayor exigencia y no para desbloquear un móvil. La regla útil es ajustar el modo de fallo de la modalidad a tu tolerancia al riesgo. Si un falso rechazo solo molesta, ajusta con holgura y elige algo cómodo. Si un falso aceptado es catastrófico, como mover dinero o cruzar una frontera, ajusta fino, exige una detección de vida probada y plantéate un segundo rasgo o directamente otro segundo factor.

La biometría puede excluir sin que nadie lo note

Una biometría que funciona para la mayoría puede dejar fuera en silencio a una minoría, y eso es un fallo de inclusión y, cada vez más, también legal. La FTE no es una cifra abstracta; son personas que no pueden usar tu sistema. Los trabajadores manuales, las personas mayores y algunas afecciones médicas producen huellas gastadas o difíciles de leer, como comprobó Daniel. Algunas discapacidades, lesiones y afecciones oculares impiden capturar bien el iris o la cara. Los problemas del habla y los sitios ruidosos rompen la voz. Y el reconocimiento facial y otros sistemas han mostrado diferencias de rendimiento entre grupos demográficos, con más errores para algunos tonos de piel, edades o géneros cuando los datos de entrenamiento no eran representativos. El programa FRVT del NIST mide estas diferencias de forma explícita, e ignorarlas supone lanzar un sistema menos preciso para unos usuarios que para otros.

La regla que se deriva es firme: la biometría necesita siempre una alternativa equivalente que no sea biométrica, como un PIN, una passkey o un token de hardware, y esa alternativa no puede ser más débil que la biometría a la que respalda. Una alternativa tan débil que los atacantes vayan a por ella, el problema de la recuperación del artículo de MFA, desbarata el propósito. Una tan incómoda que los excluidos se queden de hecho fuera desbarata la inclusión. Diseña la alternativa como un camino de primera. En el almacén, eso significó tarjeta más PIN en todos los relojes, disponible para cualquiera y sin preguntas.

Las plantillas envejecen

Otra sutileza pilla desprevenidas a muchas implantaciones: los rasgos biométricos cambian. Las caras envejecen, engordan y adelgazan, se dejan barba; las huellas se desgastan con el trabajo manual; la voz cambia con la salud y la edad. La plantilla capturada en el alta se va alejando poco a poco de la muestra viva, y el resultado es una FRR que sube en silencio con el tiempo. Se rechaza cada vez más a usuarios legítimos, no porque el sistema haya empeorado, sino porque ellos han cambiado respecto a una referencia congelada.

Los sistemas maduros lo resuelven actualizando la plantilla, refrescándola con cuidado cuando el usuario se autentica con éxito para que siga los cambios graduales. Hay que hacerlo con prudencia. Si se actualiza con demasiadas ganas, un intento casi acertado de un atacante podría envenenar la plantilla; si se actualiza con comparaciones fallidas, el sistema aprendería a aceptar a la persona equivocada. Por eso las actualizaciones solo ocurren tras verificaciones correctas con mucha confianza, y algunas implantaciones programan además un nuevo registro periódico. La precisión biométrica no es un número fijo de una ficha técnica; se degrada sin mantenimiento, y tu plan de operación tiene que contar con ello.

Biometría y passkeys

El sitio más limpio para la biometría en la autenticación moderna es detrás de una passkey, y la razón une este artículo con los anteriores. Una passkey, una credencial FIDO2 o WebAuthn, guarda una clave privada en el hardware seguro del dispositivo. Tu huella o tu cara no te autentican ante el servidor; desbloquean la clave privada local, que después firma el desafío del servidor. La biometría nunca sale del dispositivo, y la red solo ve una firma criptográfica.

Esa disposición esquiva el peor riesgo de la biometría. No hay base de datos biométrica central que atacar, porque el rasgo se queda en el enclave. La detección de vida y la comparación las resuelve la plataforma, Touch ID, Face ID, Windows Hello, que invierte en detección de ataques de presentación como tú difícilmente podrías. Y la experiencia es justo la que la gente ya espera: mirar el móvil o tocar el lector. Así que el diseño más fuerte para consumidores no es “añadir reconocimiento facial a nuestro inicio de sesión”. Es “adoptar passkeys y dejar que la biometría de la plataforma las desbloquee”. La biometría se convierte en la barrera local cómoda de un factor criptográfico resistente al phishing.

Resumen

En biometría, los detalles lo deciden todo. Las modalidades difieren en coste, precisión y facilidad de suplantación, y las distinciones de fondo son verificación frente a identificación y fisiológica frente a comportamental. La comparación produce una puntuación de similitud frente a un umbral, nunca un sí o un no limpios. FAR y FRR son los dos extremos de un mismo umbral; la EER sirve para comparar sistemas pero rara vez es donde funcionan, así que pide siempre la FAR junto con su FRR, más la FTE y la FTA. La detección de vida, o detección de ataques de presentación, no es negociable, porque sin ella un comparador cae ante una foto, una grabación o un deepfake. El almacenamiento debe evitar las imágenes en bruto, preferir plantillas protegidas o revocables y, idealmente, comparar en el dispositivo dentro de hardware seguro, porque una filtración biométrica no tiene vuelta atrás. La BIPA, el artículo 9 del RGPD y las leyes locales sobre datos sensibles exigen consentimiento, minimización, límites de conservación y una alternativa inclusiva. Y la biometría de comportamiento es una señal de apoyo silenciosa y continua que brilla contra el robo de cuentas.

Tres preguntas para ponerte a prueba

1. Un fabricante anuncia un sistema de reconocimiento facial con una EER del 0,4 %. ¿Qué tres preguntas le harías antes de confiarle la autorización de pagos?
2. Tu equipo de producto quiere guardar plantillas faciales en una base de datos central en la nube “para que los usuarios puedan entrar desde cualquier dispositivo”. Explica el riesgo concreto que esto crea y que un almacén de contraseñas no tiene, y propón una arquitectura que cumpla el mismo objetivo sin biometría en bruto centralizada.
3. Te piden añadir el inicio de sesión con huella a una app de almacén que usan trabajadores con las huellas a menudo gastadas o sucias. ¿Qué dos métricas de error vigilarías más de cerca y qué alternativa diseñarías para que ningún trabajador se quede fuera?

Ejercicios prácticos

1. Lee el punto de trabajo en un informe real. Busca un informe público FRVT o FpVTE del NIST, o una ficha de fabricante que cite uno, y localiza una pareja de FAR y FRR para un umbral concreto. Escribe una frase que describa ese punto de trabajo en lenguaje llano (“con una tasa de falsos aceptados de 1 entre N, se rechaza a un M % de los usuarios legítimos”).
2. Audita tus propios dispositivos. En un móvil y un portátil que uses, averigua dónde guarda cada uno su plantilla biométrica (enclave seguro, TEE u otro) y si la comparación ocurre en el dispositivo. Anota si la biometría sale de él en algún momento.
3. Redacta un aviso de consentimiento. Escribe un aviso breve, al estilo de la BIPA, para registrar a los empleados en un reloj de fichar con huella: qué recoges, para qué, cuánto tiempo lo guardas, cuándo lo destruyes y qué alternativa tiene quien no quiera. Contrástalo con el listón de consentimiento explícito del artículo 9 del RGPD.