El panorama actual de la autenticación biométrica facial

Hoy en día, la biometría facial utilizada para autenticación suele seguir dos enfoques bien conocidos:

1. Biometría local (passkeys, Face ID, Touch ID)

Este es el modelo utilizado por las passkeys y los sistemas operativos modernos. El rostro o la huella del usuario desbloquean una clave criptográfica almacenada localmente en el dispositivo. Algunos ejemplos son Face ID en iOS, Windows Hello o las passkeys utilizadas por Google y Apple.

Este enfoque es respetuoso con la privacidad, ya que los datos biométricos nunca salen del dispositivo. Sin embargo, tiene una limitación importante: la autenticación queda ligada a ese dispositivo concreto. Si el usuario cambia de dispositivo, debe volver a registrarse. No existe una portabilidad real por diseño, salvo que se permanezca dentro de un ecosistema cerrado.

2. Biometría centralizada

En los sistemas centralizados, los datos biométricos, como una plantilla facial, se envían a un servidor donde se realiza la verificación de identidad.

Este modelo permite el acceso desde distintos dispositivos, pero introduce riesgos significativos:

• Los datos biométricos se almacenan de forma centralizada
• Alta exposición regulatoria bajo el RGPD
• Requisitos de seguridad muy elevados para proteger datos extremadamente sensibles

Ya existen múltiples casos de sanciones y actuaciones bajo el RGPD relacionados con una gestión incorrecta de datos biométricos, lo que refuerza el riesgo inherente de este modelo.

Introduciendo Edge Biometrics Authentication

Edge Biometrics Authentication introduce un tercer modelo, en el que el almacenamiento de datos biométricos y la exposición al RGPD dejan de ser problemas inherentes.

Este modelo, como toda la tecnología de Secrets Vault, deriva una clave criptográfica post-cuántica a partir de una imagen, pero simplifica significativamente el proceso de autenticación.

Mediante una imagen seleccionada por el usuario y su presencia en tiempo real, la derivación de la clave se realiza íntegramente en el dispositivo del usuario, en el edge, utilizando una aplicación web accesible desde el navegador y sin necesidad de instalación.

El único requisito es que la imagen contenga el rostro del usuario tal y como aparecía durante el registro inicial. La imagen en sí no necesita ser secreta ni almacenarse de forma segura. De forma crucial, ni la imagen ni la clave criptográfica derivada salen nunca del dispositivo del usuario.

Cómo funciona

1. El usuario proporciona la misma imagen utilizada durante el registro
2. El dispositivo activa la cámara y la aplicación web válida:
   • la prueba de vida del usuario
   • que la persona frente a la cámara coincide con la persona presente en la imagen
3. Si la validación es correcta, se deriva una clave post-cuántica a partir de la imagen y se utiliza para realizar una autenticación criptográfica robusta frente al servidor

La biometría facial se utiliza únicamente como factor secundario:

• Para confirmar la prueba de vida
• Para confirmar que la persona presente coincide con la imagen registrada

Los datos biométricos:

• Nunca se almacenan
• Nunca se transmiten
• Se utilizan únicamente de forma transitoria en memoria

Una vez completada la autenticación, todo el procesamiento biométrico finaliza.

Por qué es relevante: ventajas clave

Post-cuántico por diseño

A diferencia de las passkeys y los sistemas biométricos tradicionales que se basan en criptografía clásica, las claves se derivan utilizando construcciones criptográficas diseñadas para resistir ataques cuánticos futuros. El sistema está concebido para el largo plazo, no como una adaptación posterior.

Reducción del riesgo de deepfakes

Todos los sistemas de biometría facial comparten una limitación fundamental: el reconocimiento facial es, en última instancia, un proceso de comparación de patrones. Con la rápida evolución de la IA y los deepfakes, depender exclusivamente de la biometría facial es cada vez más frágil.

Con este enfoque, un deepfake por sí solo no es suficiente. Un atacante necesitaría:

• La imagen exacta utilizada para derivar la clave criptográfica
• Superar con éxito una verificación biométrica en vivo

Al separar el material criptográfico de la verificación biométrica, la superficie de ataque se reduce de forma significativa.

Sin responsabilidad asociada a datos biométricos (compatible con RGPD)

Bajo el RGPD y normativas similares, los datos biométricos almacenados se consideran datos personales altamente sensibles. Los sistemas biométricos centralizados deben gestionar consentimiento, almacenamiento, protección y riesgos de brecha de seguridad.

Edge Biometrics Authentication evita completamente estas implicaciones:

• No se almacenan datos biométricos
• No se procesan ni retienen datos biométricos en el servidor

Verdadera independencia del dispositivo

Las passkeys son seguras, pero vinculan al usuario a un dispositivo o ecosistema concreto. Con Edge Biometrics Authentication no existe ninguna clave local que migrar.

Los usuarios pueden autenticarse desde cualquier dispositivo, en cualquier lugar, rederivando la clave a partir de la imagen y completando la verificación biométrica en el edge. La verificación biométrica puede además combinarse con otros factores, o omitirse cuando sea necesario.

Comparativa sencilla

Característica	Biometría centralizada	Passkeys (local)	Edge Biometrics Authentication
Datos biométricos almacenados	Servidores centrales	Dispositivo local	En ningún lugar
Biometría en el servidor	Sí	No	No
Exposición al RGPD	Alta	Muy baja	Baja
Independencia del dispositivo	Sí	No	Sí
Preparado para la era post-cuántica	No	No (requiere migración)	Sí
Biometría como único factor	A menudo	A menudo	No

Reflexión final

Edge Biometrics Authentication no busca sustituir a las passkeys ni a la biometría existente. Su objetivo es evolucionar la autenticación.

Al combinar:

• Claves criptográficas post-cuánticas derivadas de imágenes
• Verificación biométrica exclusivamente en el edge
• Ausencia total de almacenamiento de datos biométricos

Habilitamos un modelo de autenticación portátil, respetuoso con la privacidad y preparado para el futuro.

Si quieres verlo en acción, puedes ver un breve vídeo de demostración aquí. Si deseas profundizar en los detalles técnicos, estaremos encantados de continuar la conversación. Contáctanos aquí.