Los sistemas de identidad deben proteger los datos de las personas de injerencias ilegítimas
Un sistema de identidad robusto debe estar acompañado por un marco fuerte de seguridad digital. La recolección de grandes cantidades de información personal relacionada con la identidad, incluyendo datos biométricos, son objetivos de atacantes interesados en explotar estos datos para su beneficio. Por esto, un marco de seguridad digital en un sistema de identidad implica la preservación de la disponibilidad, la confidencialidad y la integridad de la información de las personas y su infraestructura.
Instituir infraestructuras tecnológicas seguras en todo el ciclo de vida de la identidad
El proceso de establecer un sistema de identidad requiere de infraestructuras tecnológicas robustas. Estos sistemas deben ser probados para analizar su robustez a través de varias pruebas de estrés y herramientas de pruebas de penetración. En ese sentido, vale la pena recopilar algunas recomendaciones construidas basados en el trabajo de la organización Access Now para la seguridad digital en sistemas de identidad.
La recolección y almacenamiento de los datos no debe ser centralizada
La recolección y almacenamiento centralizado para los sistemas de identidad, especialmente aquellos que incluyen datos biométricos, poseen serios riesgos para la seguridad de los datos. Por esto, se debe promover arquitecturas descentralizadas y el reconocimiento de múltiples formas de identificación.
Separar las funciones de identificación, caracterización y autenticación en la arquitectura del sistema
El sistema debe mantener separados los datos que se utilizan para cada función de la identidad legal. Los actores del sistema que pueden acceder a la autenticación de las personas no deberían poder acceder a la identificación. Los sistemas deben priorizar la autenticación sobre la identificación.
Evitar la creación de historiales de autenticación
La mayoría de las agencias de autenticación crean historiales de autenticación de cada persona usuaria. Estos historiales no son datos por sí mismos, sino datos sobre los datos o metadatos que pueden revelar información sobre las personas incluyendo sus movimientos y actividades. Por eso, es necesario un enfoque que minimice la cantidad de metadatos en estos historiales y que los mantenga separados.
Asegurarse de que el sistema esté basado en modelos para comunicaciones seguras, incluyendo tráfico con cifrado de extremo a extremo tanto como sea posible
Los sistemas de identidad transportan datos personales muy sensibles y, por eso, deben contar con infraestructuras de comunicaciones que cuenten con los mejores protocolos de protección de los datos.
Transparencia en términos de divulgación de políticas de seguridad digital
Las políticas de seguridad digital deben ser divulgadas de forma activa y con los términos más claros posibles.
Un marco legal y de política pública que incentive el reporte de vulnerabilidades
Cualquier sistema de identidad debe fomentar la participación de investigadores de seguridad digital en la constante mejora del sistema a través de la divulgación de vulnerabilidades de seguridad digital.
Notificación de cualquier caso de filtración de datos a las partes afectadas
Inclusive los sistemas más robustos tienen filtraciones de datos. En ese contexto, el sistema debería informar a las partes afectadas cualquier filtración de datos y los potenciales impactos de la información para los derechos de las personas.
Experiencia internacional
El sistema debe considerar riesgos asociados a la centralización de los datos
Algunos gobiernos están poniendo los sistemas de identidad en bases de datos nacionales únicas y centralizadas. Con esto, tenemos un desbalance estructural en términos de seguridad digital.
Las debilidades de este tipo de sistemas han sido evidentes en algunos sistemas de identidad. En Perú, de acuerdo a la organización Hiperderecho, el sistema biométrico de identidad nacional (RENIEC) presentó una falla de seguridad que permitió el acceso ilimitado a las fotografías del documento de identidad de todos los ciudadanos.1
En 2009, el gobierno de India creó Aadhaar, el sistema de identificación más grande del mundo con 1,2 billones de personas registradas como propuesta para direccionar de forma más eficiente los subsidios. El sistema tiene un número único de 12 dígitos independientemente de la nacionalidad de la persona que funciona para identificar a cada individuo. Aadhaar recoge datos biométricos como las 10 huellas, el iris y una fotografía.2
Debido a su tamaño y diseño centralizado, el sistema ha tenido grandes fugas de información. En 2017, hubo una fuga que permitió comprar el acceso a la base de datos de Aadhaar por 8 dólares. Igualmente, los números de los beneficiarios de programas estaban disponibles en 210 sitios del gobierno.3 A pesar de negar las denuncias, las personas encargadas del sistema revocaron 500 cuentas de intermediarios para evitar futuras fallas. Ante estos reportes, el Estado ha negado las denuncias de expertos y convertido en blancos de estigmatización a aquellos que exponen estas vulnerabilidades.4 Estas fugas han conllevado a suplantaciones de identidad y a filtraciones por parte de páginas no oficiales que han logrado entrar al sistema.5
En 2019, en Reino Unido se descubrió una falla de seguridad en una base de datos biométricos conectada a internet de una empresa que prestaba el servicio de autenticación para el acceso a edificios o sistemas y que es usada por bancos, la policía y contratistas del sector defensa.6 La investigación encontró que podían acceder a nombres de usuarios, contraseñas, huellas, fotografías, entre otros datos. Además, podían cambiar estos datos, por ejemplo la huella digital, lo que daría acceso al atacante con las credenciales de la persona sobre la cual se cambiaron los datos.6
En 2020, se encontró una falla de seguridad en los servidores en la nube de un proveedor de autenticación biométrica de Brasil que comprometió más de 70 mil registros. El equipo de investigación considera que con la información extraída se puede recrear ese número de huellas digitales pues no almacenaban un hash de esta información, sino los datos mismos de la huella. Uno de los daños generados por la falla de seguridad es la imposibilidad de modificar la información de seguridad basada en la huella, como sí podría hacerse a través de un cambio de contraseña.7
Una buena aproximación para mitigar los riesgos de la retención de los datos biométricos, es el almacenamiento local. Canadá y Alemania no tienen bases de datos biométricos centralizadas ya que la información es almacenada en los chips o documentos de las personas usuarias, lo que les da más poder sobre su uso y control.8
El sistema debe considerar los riesgos de la tercerización de servicios tecnológicos sin control público
En 2018, en India se vendieron parches que desactivaban la seguridad del aplicativo de registro de Aadhaar y generación de credenciales. El parche costaba 37 dólares y desactivaba la identificación biométrica, la ubicación por GPS y reducía la sensibilidad de los lectores de iris permitiendo la autenticación con una fotografía. El origen de este parche está relacionado con un software de inscripción que tenían los contratistas.9
Referencias bibliográficas
-
Diego Escalante, «Fallo de seguridad permitía descargar la foto del DNI de todos los peruanos», Hiperderecho, 7 de junio de 2018. ↩
-
The Tribune India, «Rs 500, 10 minutes, and you have access to billion Aadhaar details», The Tribune India, 4 de enero de 2018. ↩
-
The Economic Times, «Aadhaar verdict: Legal, but limit use to government benefits, says Supreme Court», The Economic Times, 27 de agosto de 2018. ↩
-
Human Rights Watch, «India: Identification Project Threatens Rights Ensure Access to Essential Services, Investigate Data Breach Claims», 13 de enero de 2018. ↩
-
Mardav Jain, «The Aadhaar Card: Cybersecurity Issues with India’s Biometric Experiment», The Henry M. Jackson School of International Studies, 9 de mayo de 2019, University of Washington edición. ↩
-
Josh Taylor, «Major Breach Found in Biometrics System Used by Banks, UK Police and Defence Firms», The Guardian, 14 de agosto de 2019, sec. Technology. ↩ ↩2
-
Jim Wilson, «Brazil: Millions of Records Leaked, Including Biometric Data», SafetyDetectives, 11 de marzo de 2020. ↩
-
Privacy International, «Biometrics: Friend or foe of privacy?», enero de 2013. ↩
-
J. Drèze et al., «Aadhaar and food security in Jharkhand: Pain without gain?», Economic and Political Weekly 52, n.o 50 (2017): 50-60. ↩
