PulseID: los latidos del corazón, la próxima contraseña

¿Sabríais cuál fue la contraseña más utilizada en 2017? Una vez más, 123456. Está claro que la biometría (la verificación de la identidad de una persona basada en características de su cuerpo o de su comportamiento) está de moda como sistema de identificación, y lo está porque la identificación digital basada en usuario y contraseña genera problemas, tanto de seguridad como de gestión.

Pero las actuales soluciones biométricas extrínsecas como la voz, el reconocimiento facial, de iris o de la huella dactilar presentan tres problemas principales:

• Exposición a robos: son accesibles desde el exterior, lo que facilita la obtención de los datos. Por ejemplo, hay un hacking de huellas o pensemos en los incidentes con el reconocimiento facial del iPhone X o con la identificación mediante el iris de Samsung.
• Experiencia invasiva: en según qué circunstancias o situaciones estos sistemas de identificación pueden resultar intrusivos o incómodos (por ejemplo el uso de gafas en el caso del reconocimiento de iris).
• Validación exclusiva del acceso: una vez se valida la identidad del usuario que accede, no se vuelve a comprobar que lo siga siendo a lo largo de la sesión, por lo que podrían producirse robos de sesión o aprovechamiento de un terminal desbloqueado.

Por todo esto, a finales de diciembre de 2016 un equipo de compañeros, del que formo parte, decidimos presentar una idea un tanto “loca” a la Innovation Call de Telefónica, dentro del ámbito de la ciberseguridad, basándonos en trabajos científicos recientes de universidades estadounidenses. Queríamos identificar a las personas a partir de los latidos de su corazón. Resultó que nos dieron la oportunidad de trabajar en ello y pasamos a ser intraemprendedores y a utilizar la metodología “Lean” como se explica en Lean Elephants, una visión magnífica de la innovación en las grandes corporaciones de una compañera ¡lectura recomendada! Y así nació PulseID.

Con esta solución, conseguimos dar respuesta a los tres problemas:

• Sistema de identificación biométrica intrínseca: no es accesible desde el exterior, por lo que la obtención de datos para el hackeo se hace prácticamente imposible.
• Transparencia: el sistema valida la identidad de la persona de forma automática sin que se requiera ningún tipo de acción por parte del usuario, lo cual garantiza una buena experiencia.
• Continuidad: Además de validar la identidad de forma automática, lo hace de manera continua, lo que asegura que a lo largo de toda la sesión y en todo momento de uso el usuario es el correcto.

Y una ventaja más: ¡es más económico que las soluciones actuales de identificación por electrocardiograma!

¿Qué tecnología requiere PulseID? ¿Cómo funciona?

El sistema se basa en una tecnología muy sencilla y de bajo coste, como son los sensores PPG (PhotoPlethysmoGraphy) presentes en todos aquellos wearables que actualmente son capaces de medir las pulsaciones por minuto (el led verde). De hecho, existe la idea de la integración de nuestro algoritmo con todas estas pulseras inteligentes para identificar a los usuarios o del desarrollo de una pulsera propia, en colaboración con un fabricante.

El procedimiento de PulseID sigue los mismos pasos que la identificación por huella de los terminales móviles:

1. Primero se crea un perfil biométrico del usuario, también llamado modelo. Este perfil se almacena de forma segura y cifrada en la pulsera (privacy by design), de manera que no se crea una base de datos centralizada con datos biométricos, lo cual sería un plato demasiado suculento para los ciberdelincuentes.
2. Constantemente se recoge la señal completa del pulso (que no los latidos por minuto) y se pasa por una red neuronal que, a través de machine learning, es capaz de discernir si el usuario se corresponde con el del modelo.

Con todo ello, a principios de 2018 hemos presentado una solicitud de patente en Europa. ¡Fingers crossed!

Algunas de las preguntas que pueden surgir son ¿y si el usuario se pone nervioso? ¿Y si sufre una cardiopatía?

Al igual que con la voz la variación del volumen o el tono no impide seguir identificando a la persona, nuestro corazón tiene una morfología única, lo que supone una forma única de latir y el sistema utiliza esas características personales para la identificación, las cuales seguirán presentes aunque el corazón lata a distinta velocidad e intensidad. En el caso de la cardiopatía incluso puede ayudar a la identificación ya que es una cualidad que nos diferencia del resto.

Así, estamos ante un sistema robusto y pragmático con infinidad de aplicaciones: el login en páginas webs, uso como segundo factor de autenticación, acceso al puesto de trabajo, identificación segura en cualquier entidad bancaria, apertura y personalización de las condiciones del vehículo, acceso al domicilio o incluso la posibilidad de que un arma únicamente se dispare cuando la sostenga su propietario lícito. Y, en un futuro, tal vez ayudar a detectar cardiopatías y emociones…

Además, su implantación en empresas se simplificará gracias al trabajo de la Alianza FIDO, que busca la creación de un estándar en autenticación biométrica para un gran ecosistema de hardware, móviles múltiples apps y webs…

Por último, no debemos olvidar la legislación, concretamente el Reglamento General de Protección de Datos que entrará en vigor en mayo de este año  y exige a las empresas adoptar las medidas necesarias para asegurar la confidencialidad, integridad y accesibilidad de los datos. De no ser así, las multas podrían alcanzar los 20 mil millones de euros o el 4 por ciento de la facturación total. PulseID cubre estos requisitos en su totalidad para garantizar un aspecto clave en este momento como la seguridad. Se trata, además, de una solución acorde a los nuevos tiempos, en la que la tecnología está al servicio de los usuarios para facilitarles la vida, para lo que cumple los requisitos de agilidad y sencillez que impone la  revolución digital. Olvidémonos de usuarios y contraseñas de una vez… ¡dejemos que la biometría haga el trabajo por nosotros!

Imagen: provista por Javier Esteban Zarza