Una cabeza impresa en 3D engaña al reconocimiento facial de Android

Una cabeza impresa en 3D engañó al reconocimiento facial de Android, según las pruebas realizadas por un especialista en seguridad de Forbes. Solo el Face ID de Apple incluido en los iPhones fue capaz de superar las pruebas.

El reconocimiento facial está surgiendo en todas partes. En la calle, en los centros comerciales o en el lugar de trabajo, es probable que nos estén escaneando la cara todos los días. En smartphones, en lugar de invadir nuestra privacidad, se supone que el reconocimiento facial protege nuestra vida digital de los fisgones. Sin embargo, si eres un cliente de Android, mira hacia otro lado porque la tecnología no es lo suficientemente segura. Al menos en los terminales analizados.

El investigador se creó su propia cabeza en 3D en la firma británica Backface. 50 cámaras se combinan para formar una sola imagen en 3D y un software de edición hace el resto para solucionar errores y ajustar al máximo la imagen. Después se construye el modelo en yeso en una impresora 3D y se añaden algunos retoques y coloraciones finales. En unos días y por un coste de unas 300 libras tienes disponible una cabeza a tamaño natural. Una versión extraña, casi espectral de tu propio rostro, que no pasaría el reto de engañar a un humano.

Para las pruebas, el investigador registró su propio rostro en cinco terminales, un iPhone X y cuatro Android: LG G7 ThinQ, Samsung S9, Samsung Note 8 y un OnePlus 6. Después utilizó la cabeza en 3D para comprobar si los smartphones eran capaces de desbloquear el dispositivo. Los cuatro terminales Android fueron superados con facilidad.

iPhone X fue el único que no se dejó engañar por la copia en yeso. Apple ha invertido más tiempo y dinero que el resto de fabricantes en reconocimiento facial y -de momento- va muy por delante del resto en la implementación de estas tecnologías. Eso sí, ningún sistema es perfecto y el Face ID de Apple ha sido superado en otras pruebas similares. Por cierto, la copia tampoco superó la autenticación de Windows Hello en Windows 10 a través de las cámaras IR que en buen número se están incorporando a los portátiles.

Conviene matizar que los fabricantes Android son conscientes de las limitaciones de esta función. Todos los terminales probados informan al usuario que el reconocimiento facial es una función de seguridad «secundaria» que debe combinarse con otras como un simple PIN u otros métodos de autenticación biométrica como la huella digital o el iris, de momento más seguros que el reconocimiento facial de Android.

Usa tu cabeza, no tu cara

Esa es la conclusión general de la prueba. «Concéntrese en el aspecto secreto, que proporciona el PIN o mejor una contraseña con un código de acceso alfanumérico sólido. La realidad actual es que cualquier tipo de autenticación biométrica puede copiarse. Cualquier persona con tiempo, recursos y objetivos suficientes invertirá para probar y falsificar estos datos biométricos», asegura Matt Lewis, director de investigación del contratista de ciberseguridad NCC Group.