Los sistemas de cómputo están en todos lados. Son parte de nuestra vida cotidiana y no se concibe el mundo moderno sin computadoras, cajeros automáticos, teléfonos celulares, la red internet, etc. Para que dichos sistemas sean efectivos, deben ser seguros, de tal manera que la información que posean solamente esté disponible para los usuarios autorizados.
La seguridad de los sistemas de cómputo modernos se basa usualmente en mecanismos de autentificación a través de nombres (login) y contraseñas (passwords). Algunas instituciones con información muy sensible o importante requieren del uso de tarjetas de identificación personalizadas o bien, de terminales especiales.
El mecanismo tradicional de nombres de usuario/contraseña ya no es –quizás– suficientemente seguro debido a los ataques constantes de terceros por hacerse de esta información para ingresar a sistemas de cómputo de manera ilegal. Debido a esto, en este artículo se explora la posibilidad de incorporar la dinámica del teclado, como una expresión medible de un usuario de forma tal que ahora no solamente se puede acceder a un sistema con el nombre y la contraseña correcta, sino además, midiendo si el usuario escribe su contraseña como acostumbra hacerlo.
Se sabe, desde hace mucho, que el ritmo al escribir en un teclado es específico para cada usuario . Este ritmo depende, desde luego, de las costumbres y prácticas que tenga el usuario con el teclado. Quienes usan frecuentemente máquinas de escribir o teclados de computadora incluso, escriben correctamente sin necesidad de mirar las teclas. Quienes tienen menos experiencia son más lentos en su escritura. De esta forma, es factible pensar que la manera de escribir es una medida biométrica y que es susceptible de ser analizada e incorporarla en esquemas de nombre/contraseña, para así autentificar de manera más sólida al usuario que pretende ingresar en un sistema de cómputo.
El método aquí estudiado tiene que ver con los tiempos que el usuario tarda en oprimir cada tecla de su contraseña, lo cual forma un perfil biométrico digital, el cual puede ser analizado y comparado para saber si se trata del usuario con permisos para ingresar al sistema.
Está en tus manos, en tu cara, en tus ojos
La biométrica es la medida de las características físicas y de comportamiento que nos hace a cada ser humano único. A diferencia de los nombres/contraseñas de los sistemas de cómputo, ciertas medidas biométricas no se pierden, no pueden ser duplicadas o robadas. Pertenecen a cada ser humano en particular. Esto da la posibilidad de sistemas que sean imposibles de ser violados por terceros de manera ilegal, puesto que la información biométrica de los usuarios es única e irrepetible.
Las características fisiológicas como pueden ser las huellas digitales, son buenas candidatas para la identificación de personas, ya que son únicas para cada ser humano, incluso si se trata de gemelos idénticos. Más aún, son difíciles de copiar sin causar daño severo a la persona. De esta forma, la biométrica está ganando popularidad, porque cuando es usada en conjunto con métodos como contraseñas o incluso tarjetas de identificación electrónicas, proveen un nivel extra de seguridad. Algunos de los sistemas biométricos usados para identificación humana se basan en la geometría de las manos, patrones térmicos en el rostro, las venas en la retina, voz y firmas manuscritas.
Hoy en día hay algunos dispositivos de reconocimiento biométrico en el mercado. Sin embargo, algunas técnicas usadas por estos mecanismos son fáciles de burlar o bien, son generalmente costosas e invasivas.
No es lo que escribes, sino cómo lo escribes
La forma en que un usuario escribe en el teclado de la computadora tiene más de medición del comportamiento humano que de características fisiológicas. Esto sin embargo, no lo hace más pobre que una medida biométrica tradicional y tiene una gran ventaja: es prácticamente gratuita, pues no se requieren de dispositivos extras. El único hardware requerido es el teclado.
La idea es pues, medir los tiempos de retardo que cada usuario en particular tiene al escribir su contraseña. Una vez realizado esto, se define un “perfil” digital de cada usuario. Así, cuando el usuario alimenta su contraseña, ésta pasa por dos filtros: (a) ver si se trata de la contraseña correcta y (b) si se cumple con el perfil digital, el cual funciona similarmente a la firma manuscrita que la gente tiene. La medida de su parecido es la que decide si se da acceso al sistema al usuario en cuestión. Debido a factores que se explican más adelante, debe existir un facot de tolerancia para intentar discernir si la contraseña alimentada al sistema y su perfil, se parecen lo suficiente como para dar acceso a ese usuario particular al sistema.
El sistema es experimental y la intención del mismo es probra la bondad de la idea. Evidentemente hay una serie de detalles a resolver: ¿qué pasa si uso un teclado distinto al que habitualmente uso? ¿qué tal si estoy en un teclado tiplo “chiclet” de una laptop o netbook? ¿Cómo lidiar con todas esta variables? Difícil saberlo, pero en esencia la idea parece ser buena.
El software puede ser descargado de este enlace. En caso de que caduque, escríbanme para renovarlo, a twitter (@morsa).
Referencias:
Fabian Monrose, Michael K. Reiter, Susanne Wetzel. Password Hardening Based on Keystroke Dynamics. Proceedings of the 6th ACM Conference on Computers and Comunications Security, November 1999, pp. 73-82.
Benjamin Miller. Vital Signs of Identity. IEEE Spectrum, pp 22-30, 1994