Pasaportes por primera vez en línea: lo que la verificación de identidad digital debe hacer bien

El 29 de septiembre, el Departamento de Estado anunció que a partir del próximo año, las personas que soliciten su primer pasaporte estadounidense podrán hacer todo el trámite en línea. Antes de esto, los solicitantes primerizos debían presentarse en persona. Alguien te miraba la cara, revisaba tus documentos y se aseguraba de que coincidieran.

Esa verificación en persona va a desaparecer, lo que añade un gran peso a la verificación de identidad digital. 

El gobierno aún no ha explicado cómo verificará a los solicitantes, así que seré sincero: no sé cómo están diseñando esto, y nadie fuera de ese equipo lo sabe tampoco. Lo que sí puedo hacer es analizar qué necesitaría una versión segura, dónde podría fallar y qué significa para los equipos que gestionan el registro de clientes (KYC) día tras día.

En resumen: ¿Qué significan los pasaportes en línea para la verificación de identidad digital?

Un proceso en línea seguro necesita más que una selfi y una licencia de conducir. Requiere cinco controles que deben aprobarse juntos: verificación en la SSA del nombre, fecha de nacimiento y número de Seguro Social (SSN); validación de la licencia de conducir con los registros del estado emisor; verificación electrónica de un acta de nacimiento como prueba de ciudadanía; una selfi con detección robusta de prueba de vida, y una búsqueda facial de uno a muchos en los registros fotográficos existentes del Departamento de Estado. Diseñado de esa manera, debería ser bastante seguro, pero los equipos de registro de clientes deben vigilarlo de cerca.

• El riesgo principal es que un impostor use su propio rostro, no un deepfake tuyo. Un estafador que falsifique una licencia con tus datos y su foto superará la prueba de vida y la coincidencia facial. El pasaporte llevará su rostro, por lo que también funcionará en la frontera.

• La prueba de vida sigue siendo importante, pero no es la única defensa. Debe detectar ataques de presentación y de inyección de cámara. No puede detectar a una persona real con una licencia falsificada.

• La ciudadanía debe demostrarse, no asumirse. Las verificaciones de SSN y de licencias de conducir no acreditan la ciudadanía.

• Las señales de la dirección importan más que los datos del dispositivo. Presta atención a historiales de dirección nuevos o escasos, direcciones repetidas y apartados de correos.

• Un pasaporte fraudulento es útil en cualquier lugar. Permite abrir cuentas y solicitar préstamos y, si se emite con la foto del estafador, cruzar fronteras.

¿Quién puede usar realmente un pasaporte fraudulento?

Sinceramente, mi primer pensamiento fue que esto podría ser una mina de oro para el fraude de pasaportes. Un pasaporte estadounidense es un gran botín y mucha gente querría uno.

Es tentador pensar que el riesgo es limitado porque el rostro del estafador no coincidirá con el de la víctima en la frontera. Eso solo es cierto si el estafador tuviera que parecerse a la víctima. En la práctica, no es así. El ataque clásico es un pasaporte "auténtico obtenido de forma fraudulenta": un pasaporte real, emitido con documentos de respaldo falsos, que lleva la foto del estafador y la identidad de otra persona.

Esto no es hipotético. En 2009, investigadores de la Oficina de Rendición de Cuentas del Gobierno (GAO) obtuvieron cuatro pasaportes auténticos utilizando documentos falsificados y SSN de personas ficticias o fallecidas. Un investigador usó luego un pasaporte para comprar un boleto de avión, pasar la seguridad del aeropuerto y abordar un avión (Nextgov, GAO-09-447). En un seguimiento en 2010, el Departamento de Estado emitió cinco de los siete pasaportes que la GAO intentó obtener (GAO-10-922T).

Por lo tanto, un pasaporte fraudulento es útil en dos ámbitos: abrir cuentas y solicitar préstamos (que es lo que interesa a los equipos de KYC) y cruzar fronteras (que es lo que le importa al Departamento de Estado).

¿Qué necesitaría un proceso seguro de pasaporte en línea?

Si yo diseñara esto, exigiría cinco controles, y pediría que el solicitante apruebe todos antes de emitir cualquier documento. Cada uno cubre los huecos que los otros dejan abiertos.

Ninguna parte de este proceso debería ser de baja fricción. Si algo falla, se debe enviar al solicitante a realizar el trámite en persona.

Un documento de identidad auténtico te dice que el documento es real, pero se necesitan más señales que esa para saber si la persona lo es.

¿Dónde podría fallar la verificación de identidad digital?

Desde la perspectiva del estafador, la verificación de la SSA no es un gran obstáculo. El nombre, la fecha de nacimiento y el SSN son datos básicos; hay demasiada información de este tipo expuesta hoy en día.

La licencia falsificada es el eslabón más débil. Un estafador necesita una licencia con los datos de la víctima y, en el caso de la suplantación, su propia foto. Actualmente, no hay forma de verificar que la foto de una licencia de conducir o ID estatal coincida con la que el DMV tiene en sus archivos. Sin embargo, en los estados que ofrecen licencias de conducir móviles firmadas, verificar su firma criptográfica es mucho más seguro que revisar la imagen de una tarjeta de plástico.

La verificación de documentos busca alteraciones, y el código de barras en el reverso de una licencia contiene el mismo nombre, fecha de nacimiento y dirección que el frente. Pero los códigos de barras se pueden imitar, y una falsificación que copie datos reales de la licencia también pasará el control del DMV. Una vez que se acepta la licencia, la prueba de vida y la coincidencia facial no ayudan: confirman que una persona real coincide con la tarjeta, no que la tarjeta sea auténtica. Aquí es donde la búsqueda facial de uno a muchos y los controles de dirección cobran importancia.

Las selfis de prueba de vida falsas se presentan principalmente de dos formas:

• Ataques de presentación. El estafador sostiene una foto o una pantalla frente a la cámara. Una buena detección de ataques de presentación analiza la profundidad, la iluminación y otros factores, y puede notar que no es una persona real.

• Ataques de inyección de cámara. Se introduce un video falso entre la cámara y la aplicación, similar a un ataque de intermediario (man-in-the-middle) en tu cámara web. Lo que recibe la aplicación no es lo que ve la cámara.

En resumen, considero que engañar a los cinco controles a la vez es mucho más difícil de lo que parece. No es imposible, y la licencia falsificada es donde esperaría que los atacantes se concentren.

¿Por qué no es un problema de fraude a gran escala?

Burlar una prueba de selfi ya no es un esfuerzo de una sola vez, porque las herramientas de inyección ahora se venden comercialmente y pueden reutilizarse en múltiples intentos. Lo que es difícil de reutilizar es todo lo que rodea a la selfi: una licencia falsificada convincente para cada identidad, un registro de nacimiento verificable para cada identidad y una dirección de entrega que el estafador controle. Y si el Departamento de Estado realiza búsquedas faciales de uno a muchos, el rostro de cada atacante solo se puede usar una vez. Mientras existan esos controles, el fraude seguirá siendo específico y lento.

Esto también cambia las señales que realmente importan. Cuando el fraude ocurre a gran escala, los datos del dispositivo y la IP son muy útiles porque el mismo dispositivo o IP sigue apareciendo. Pero las personas capaces de superar estos controles son sofisticadas y cambian de dispositivo e IP constantemente. La inteligencia de comportamiento y de dispositivos sigue siendo un buen control contra estafadores menos experimentados, pero aquí debe funcionar junto con otras señales en lugar de definir la decisión por sí sola.

¿Se están digitalizando otros documentos de identidad de alta seguridad?

Los documentos de identidad de alta seguridad ya se están digitalizando. En California, ya no necesito llevar mi licencia de conducir física. Puedo agregarla a la billetera digital de mi teléfono y usarla en su lugar.

Pero mira cómo maneja el DMV los momentos de riesgo. Puedo renovar mi licencia en línea y la nueva tarjeta se envía por correo a la dirección registrada. Si cambio mi dirección, tengo que ir en persona. Si cambio mi nombre, lo mismo. Y, que yo sepa, no es posible obtener la primera licencia en línea bajo ningún concepto.

Eso te dice dónde reside realmente la seguridad de la identidad. Si alguien quiere apoderarse de mi licencia, también necesita acceder a mi dirección postal para recibirla. La dirección física hace gran parte del trabajo.

¿Qué deberían vigilar los equipos de registro de clientes (KYC)?

Cuando se pide a las personas que escaneen un documento de identidad para registrarse, la mayoría recurre a una licencia de conducir o ID estatal en lugar de un pasaporte. Muchos más estadounidenses tienen licencia de conducir que un pasaporte válido. Por lo tanto, no veremos una oleada de pasaportes de riesgo a partir de mañana.

Aun así, hay algunas señales a las que daría más peso en los flujos de trabajo de registro:

• Historial de direcciones. Si la dirección de una solicitud es nueva para esa identidad y tiene muy poco historial detrás, es una señal de alerta fuerte. Un pasaporte debe enviarse a algún lugar físico, y un estafador necesita que ese lugar sea un sitio bajo su control.

• Frecuencia de direcciones. Si han llegado varias solicitudes con la misma dirección, presta atención.

• Apartados de correos (PO boxes). No querrás pasaportes ni cuentas nuevas vinculados a un apartado de correos.

• Cómo se emitió el pasaporte. Si alguna vez hay una forma de saber que un pasaporte se emitió completamente en línea, sin ningún paso presencial, eso en sí mismo es una señal útil. No rechazaría la solicitud solo por eso, pero es un buen motivo para asignarle un nivel de riesgo más alto y revisarla más de cerca.

Un momento para vigilar de cerca

En general, si el gobierno diseña esto con controles como los anteriores, creo que será bastante seguro por ahora. Pero definitivamente es un momento para vigilar de cerca. La gente intentará vulnerarlo, y durante el próximo año, las noticias nos dirán si alguien está consiguiendo documentos de identidad a nombre de otra persona.

Mientras tanto, la mejor estrategia para los equipos de registro es la misma de siempre: no dejes que un solo documento determine toda la decisión. Un documento auténtico te dice que el documento es real, pero se necesitan más señales que esa para saber si la persona lo es.

Los estafadores que pueden superar una prueba de vida generalmente también pueden burlar el reconocimiento tradicional de dispositivos. Nuestro seminario web bajo demanda, Más allá de la inteligencia de dispositivos tradicional: El futuro de la identidad digital y la prevención del fraude, analiza lo que se necesita para detectarlos.

Preguntas frecuentes

¿Se puede solicitar el pasaporte estadounidense por primera vez en línea?
Todavía no. El Departamento de Estado anunció el 29 de septiembre que los solicitantes primerizos podrán realizar el trámite completamente en línea a partir del próximo año. Hasta entonces, aún deben solicitarlo en persona.

¿Qué es la verificación de identidad digital?
La verificación de identidad digital confirma que una persona es quien dice ser sin necesidad de conocerla en persona. Por lo general, combina una verificación de datos (como nombre, fecha de nacimiento y SSN), la revisión de un documento de identidad oficial y una selfi con detección de prueba de vida para confirmar que hay una persona real presente.

¿Cuál es la diferencia entre un ataque de presentación y un ataque de inyección?
En un ataque de presentación, el estafador muestra algo falso a la cámara, como una foto impresa o una pantalla. En un ataque de inyección de cámara, se salta la cámara por completo y se transmite un video falso directamente a la aplicación. Los ataques de inyección son más difíciles de detectar porque la aplicación nunca ve lo que realmente está frente a la cámara.

¿Podría un estafador obtener un pasaporte real a nombre de otra persona?
Sí, y ya ha sucedido. En 2009 y 2010, investigadores de la GAO obtuvieron pasaportes auténticos utilizando documentos falsificados. En el entorno en línea, el ataque más probable es una licencia de conducir falsificada con los datos de la víctima y la foto del estafador, lo que puede superar la prueba de vida y la coincidencia facial. Por eso, un proceso seguro también necesita verificación del acta de nacimiento, búsqueda facial de uno a muchos y controles de dirección.

¿Qué es eCBSV?
eCBSV es el servicio electrónico de verificación de SSN basado en el consentimiento de la Administración del Seguro Social. Con el consentimiento de la persona, confirma si el nombre, la fecha de nacimiento y el número de Seguro Social coinciden con los registros de la SSA. Es el método que usan las instituciones financieras para realizar el mismo control de SSN durante el registro de clientes (KYC).

¿Deberían los equipos de KYC tratar los pasaportes de forma diferente ahora?
No de inmediato. Los pasaportes representan una pequeña porción de las identificaciones utilizadas en el registro, y la emisión en línea aún no ha comenzado. Pero vale la pena dar más peso al historial y frecuencia de direcciones, así como a los apartados de correos, y estar atentos a cualquier forma de saber cómo se emitió el documento.