Liveness: qué es, cómo funciona y cómo usarlo en tu firma digital

Vivacidad Es una tecnología de detección de vitalidad que verifica si una muestra biométrica facial se está capturando de una persona que está viva y presente en ese momento. En los procesos de firma digitalAdemás, añade una capa de protección contra los intentos de fraude que implican fotos, vídeos, máscaras u otras presentaciones falsas. Sin embargo, la prueba de vida por sí sola no confirma necesariamente la identidad de una persona: esto depende de las demás verificaciones que se combinan con el proceso.

En la práctica, el usuario graba o captura su rostro con la cámara, y el sistema analiza las señales que ayudan a distinguir una presentación legítima de un intento de falsificación. Según la tecnología, esta detección puede producirse mediante acciones solicitadas al usuario o de forma pasiva, en segundo plano.

Además de explicar cómo funciona la detección de vitalidad, este artículo muestra su relación con el reconocimiento facial, la LGPD (Ley General de Protección de Datos de Brasil), la prevención del fraude y el flujo de trabajo actual de la biometría facial (prueba de vida) en ZapSign.

Resumen

• Liveness busca demostrar que la captura biométrica se produce con una persona viva y presente.
• Esta tecnología es una forma de detección de ataques de presentación (PAD, por sus siglas en inglés), que se utiliza contra intentos que involucran fotos, videos y otros elementos.
• La presencia de una imagen en tiempo real no es sinónimo de reconocimiento facial, ni tampoco confirma, por sí sola, la identidad completa del usuario.
• Los datos biométricos son datos personales sensibles, y su tratamiento debe cumplir con la LGPD (Ley General de Protección de Datos de Brasil) e implementar medidas proporcionales al riesgo.
• En ZapSign, la función de biometría facial (prueba de vida) utiliza vídeo, actualmente cuesta 15 créditos por uso y registra una fotografía en el informe de firma.

Datos breves

• Definición técnica: o NIST La detección de vitalidad se considera parte de los métodos de detección de ataques de presentación, analizando características o reacciones para determinar si una muestra biométrica proviene de un individuo vivo y presente.
• Informacion delicada: a ANPD Se subraya que los datos biométricos son datos personales sensibles y que su uso debe tener en cuenta la necesidad, la seguridad, la prevención y los riesgos para los titulares de los datos.
• Costo en ZapSign: a página de planes oficiales Actualmente cobra R$ 1,50 por cada validación de la función de Detección de Vitalidad (Biometría Facial).

¿Qué es la vitalidad y qué papel juega en las firmas digitales?

VivacidadLa prueba digital de vida, o prueba digital de vida, es un mecanismo diseñado para evaluar si la muestra biométrica presentada al sistema se ha capturado de una persona real y presente, y no simplemente de una fotografía, una grabación de vídeo u otro artefacto utilizado en un intento de fraude.

Esta distinción es importante porque la detección de vida y el reconocimiento facial no son exactamente lo mismo. La prueba de vida busca responder a la pregunta "¿hay una persona viva frente a la cámara?". La verificación facial, por otro lado, compara el rostro capturado con una imagen de referencia para determinar si ambos pertenecen a la misma persona.

Por lo tanto, la detección de actividad en tiempo real representa una capa relevante en la autenticación. identidades digitales, especialmente cuando se combina con otros mecanismos de identificación. A verificación de selfiesPor ejemplo, puede ganar en robustez cuando la transmisión también intenta confirmar que la captura se realizó en directo.

Esto podría reforzar la evidencia relacionada con validez de las firmasSin embargo, esto no elimina automáticamente la posibilidad de fraude o disputa. La efectividad depende de la tecnología utilizada, las demás capas de autenticación, la calidad de la captura y el diseño del proceso.

Cuando Truora adquirió ZapSign en 2022, iniciamos una fase en la que nuestra experiencia con firmas electrónicas se entrelazó aún más con las tecnologías de reconocimiento facial. Para mí, esta intersección entre seguridad y experiencia de usuario es una de las aplicaciones más interesantes de la biometría en los procesos digitales.

Otro beneficio potencial reside en experienciaDependiendo de la implementación, la prueba de vida puede aportar evidencia sin necesidad de que el usuario memorice otra contraseña o realice un procedimiento presencial.

¿Qué es la detección de vitalidad o la prueba digital de vida?

El término detección de vida A menudo se asocia con la detección automatizada de ataques de presentación en sistemas biométricos. El NIST utiliza el término Detección de ataques de presentación (PAD) para la determinación automatizada de un intento de presentar un artefacto o característica al sensor con el fin de engañar al sistema.

La prueba de vida es una parte de este universo: se pueden analizar las características anatómicas, de comportamiento u otras características de la imagen capturada para estimar si el rostro pertenece a una persona que realmente está frente al dispositivo.

Esto resulta especialmente útil porque los ataques biométricos pueden utilizar fotografías impresas, imágenes mostradas en pantallas, vídeos, máscaras, manipulación digital y contenido sintético. El objetivo de la detección de actividad biométrica es reducir la probabilidad de que estas representaciones se acepten como capturas legítimas.

Tipos de detección de vitalidad: activa y pasiva.

Existen dos enfoques bien conocidos para la prueba de vida: la vitalidad activa y la vitalidad pasiva.

No vitalidad activaEl sistema le pide al usuario que realice una acción, como mover la cabeza, parpadear, sonreír o seguir una instrucción en pantalla. La respuesta pasa a formar parte del análisis.

No vitalidad pasivaEn este caso, la evaluación se realiza sin un desafío explícito. Los algoritmos pueden analizar las características de la imagen o el vídeo, los patrones de textura, la profundidad, la iluminación u otras señales para buscar indicios de una captura genuina o una presentación fraudulenta.

No existe una regla universal que establezca que un método sea siempre más seguro que otro. El rendimiento varía según el algoritmo, el sensor, el entorno, los tipos de ataques evaluados y la configuración. Los métodos pasivos tienden a generar menos fricción; los métodos activos añaden interacción, pero también pueden aumentar el abandono o crear barreras de acceso.

¿Cómo funciona técnicamente la transmisión en directo?

El proceso comienza con la captura de imágenes o vídeo del rostro mediante una cámara. A partir de ahí, la solución PAD puede analizar diferentes señales, según la tecnología utilizada.

• movimiento y comportamiento: acciones, microexpresiones o cambios en la posición facial;
• Textura e iluminación: características que ayudan a diferenciar un rostro de una representación en pantalla, en una impresión o en material artificial;
• profundidad: Cuando está disponible, la información espacial puede ayudar a distinguir un rostro tridimensional de ciertos objetos planos;
• análisis algorítmico: Los modelos pueden identificar patrones asociados con ataques de presentación conocidos.

Algunas soluciones utilizan sensores adicionales; otras funcionan únicamente con cámaras convencionales. De hecho, el NIST mantiene evaluaciones específicas de algoritmos PAD pasivos basados ​​en imágenes 2D, que demuestran que el rendimiento y la vulnerabilidad varían según la solución y el tipo de ataque.

¿Cuál es la diferencia entre detección de vida, reconocimiento facial y validación de identidad?

Estas características se pueden combinar, pero resuelven problemas diferentes. Dentro de ZapSign, aparecen como funcionalidades distintas.

Recurso	¿Qué es lo que desea verificar?	Tal como aparece actualmente en ZapSign	Costo informado
Vivacidad	Si hay alguna persona viva y presente durante la captura.	Biometría facial: prueba de vida.	R$ 1,50 por validación
Reconocimiento facial	Si el rostro capturado coincide con la fotografía del documento utilizado como referencia.	Reconocimiento facial	R$ 1,50 por validación
Validación de identidad	Combina diferentes verificaciones de identidad.	Examen de documentos + prueba de vida + validación del CPF en el Servicio Federal de Impuestos	R$ 5,00 por validación

Por lo tanto, afirmar que la mera presencia de una persona «prueba que es quien dice ser» simplifica demasiado el proceso. La prueba de vida se basa principalmente en la presencia humana en el momento de la captura. Para llegar a una conclusión más completa sobre la identidad, puede ser necesaria otra evidencia.

Detección de vitalidad, datos biométricos y LGPD (Ley General de Protección de Datos de Brasil)

Cuando se utiliza una imagen facial para extraer o procesar atributos biométricos vinculados a una persona física, entra en juego una categoría de datos personales sensibles protegidos por la LGPD (Ley General de Protección de Datos de Brasil).

Esto requiere evaluar el propósito, la necesidad, la transparencia, la seguridad, la retención y la base legal apropiada para el procesamiento. Un punto importante es que El consentimiento no es la única base legal posible. para datos biométricos.

artículo 11 de la Ley General de Protección de Datos Entre otras posibilidades, prevé el tratamiento de datos sin consentimiento cuando sea indispensable para prevenir el fraude y garantizar la seguridad del titular de los datos en los procesos de identificación y autenticación para el registro en sistemas electrónicos, respetando las condiciones estipuladas por la propia ley.

Esto no significa que la recopilación de datos biométricos se justifique automáticamente por motivos de seguridad. La ANPD (Autoridad Nacional de Protección de Datos de Brasil) ha hecho hincapié en la proporcionalidad, la necesidad, los riesgos, las alternativas menos intrusivas y las medidas de protección adecuadas, especialmente porque los datos biométricos no pueden simplemente reemplazarse como una contraseña tras una filtración de datos.

Cuando escribí sobre biometría y reconocimiento facial, destaqué precisamente que el avance de estas tecnologías conlleva una responsabilidad equivalente para las empresas: proteger los datos biométricos y respetar la privacidad de los usuarios. Asimismo, considero esencial el diálogo entre la industria, el gobierno y la sociedad para equilibrar los beneficios con los derechos individuales.

¿Cuáles son los principales desafíos de la detección de vitalidad?

La detección de vídeo en tiempo real no debe considerarse una tecnología infalible. Los sistemas PAD pueden cometer errores y presentar un rendimiento diferente según las condiciones de captura y los ataques utilizados en las pruebas.

• falsa aceptación: Una presentación fraudulenta puede llegar a clasificarse como legítima;
• rechazo falso: Una persona legítima podría no superar la verificación;
• Calidad de captura: La cámara, la iluminación, el encuadre y la conexión pueden afectar la experiencia;
• Accesibilidad: Los retos que requieren movimientos específicos pueden no ser adecuados para algunos usuarios;
• nuevos ataques: Las técnicas de deepfake, morphing y otras técnicas sintéticas requieren una evolución continua de las defensas;
• privacidad: La recopilación de datos biométricos aumenta la responsabilidad en materia de protección y gobernanza de datos.

¿Cuál es la diferencia entre la autenticación por disponibilidad y los métodos de autenticación tradicionales?

Las contraseñas, los PIN y los tokens demuestran que el usuario sabe o posee algo. La verificación biométrica, en cambio, funciona con características físicas o de comportamiento relacionadas con el individuo.

Estos métodos no tienen por qué competir entre sí. En operaciones de alto riesgo, combinar diferentes factores puede ser más apropiado que reemplazar por completo un método de autenticación por otro.

Las contraseñas pueden ser objeto de suplantación de identidad (phishing), reutilización o filtración; la biometría también presenta sus propios riesgos, incluidos errores algorítmicos, ataques de presentación y consecuencias más graves cuando se exponen datos confidenciales.

Por lo tanto, la elección debe tener en cuenta el riesgo de la operación, la experiencia, el coste, la privacidad y la capacidad de recuperación en caso de fallo.

¿Cómo funciona liveness para prevenir el fraude?

La principal función antifraude de la detección de actividad en vivo es dificultar los ataques de suplantación de identidad contra la captura biométrica. Entre los métodos empleados por las diferentes soluciones se encuentran los siguientes:

Análisis de movimiento

El sistema puede evaluar movimientos espontáneos o solicitar acciones, como girar la cabeza o parpadear. Estas respuestas aportan información que una fotografía estática no proporciona.

Detección de profundidad 3D

En dispositivos y soluciones compatibles, la información de profundidad puede ayudar a detectar ciertos artefactos y representaciones bidimensionales. Su disponibilidad depende del hardware y la implementación utilizados. celular y otros dispositivos.

Análisis de textura

Los algoritmos pueden buscar diferencias entre las características de un rostro capturado en directo y los patrones producidos por ciertos tipos de huellas dactilares, pantallas, máscaras u otros dispositivos de ataque.

Pruebas y desafíos

En un enfoque activo, el usuario puede recibir instrucciones aleatorias. El análisis verifica si la respuesta coincide con el desafío presentado, lo que dificulta algunos ataques prefabricados.

IA y aprendizaje automático

Las soluciones modernas pueden emplear inteligencia artificial y el aprendizaje automático para identificar patrones asociados con intentos de presentación fraudulentos. Es necesario seguir evaluando estos modelos, ya que las técnicas ofensivas también evolucionan.

Más recientemente, en ZapSign, me he involucrado en otro frente en la lucha contra el fraude: el uso de Open Gateway para aprovechar la información de la propia infraestructura de la red telefónica en la validación de firmas. Lo que me resulta particularmente interesante es poder añadir una nueva capa de seguridad y gobernanza sin generar una fricción adicional para el firmante.

En otras palabras, la presencia en tiempo real puede ser un factor importante, pero la defensa contra el fraude tiende a funcionar mejor cuando se combinan diferentes señales según el riesgo.

⚠️ Consulta también estos artículos relacionados 👇

➡️ Aprende a firmar con un certificado digital
➡️ Comprender para qué sirve un verificador de firma digital
➡️ Qué es un contrato digital y cómo adoptar uno para tu empresa

¿Cuáles son los pasos para usar la función de visualización en tiempo real en ZapSign?

En la plataforma, la función aparece actualmente como Biometría facial: prueba de vida.El proceso oficial se puede resumir en los pasos que se indican a continuación.

1. Crea el documento

Abra su cuenta de ZapSign y cree o envíe el documento que deberían recibir las firmas.

2. Añadir el firmante

En la sección de firmantes, registre a la persona que debe firmar y revisar los datos asociados al flujo de trabajo.

3. Habilitar la autenticación avanzada.

Habilite las opciones de autenticación avanzadas para elegir una capa adicional de verificación.

4. Seleccionar datos biométricos faciales: prueba de vida.

Seleccione la opción que corresponda a la prueba de vida. Cuando el firmante llegue a la etapa de autenticación, ZapSign solicitará una grabación de vídeo de su rostro.

5. Configurar firmas e iniciales.

Si es necesario, defina las ubicaciones donde la representación visual de la firma o la rúbricas Deben aparecer en el archivo.

6. Envíe el enlace al firmante.

Finaliza la configuración y comparte el documento. El firmante accederá al flujo de trabajo, realizará la grabación solicitada y pasará por la verificación automática.

Tras la captura, se puede incorporar al informe de firmas una fotografía extraída del vídeo, añadiendo así un registro visual relacionado con la autenticación.

¿Cuáles son las normas y los costes para usar la función de visualización en tiempo real en ZapSign?

Costo por uso

Biometría facial: la prueba de vida actualmente cuesta 15 créditos por uso, equivalentes a R$ 1,50 por validación.Esta función es un recurso adicional, y se recomienda consultar los términos y condiciones aplicables en la página de Planes y precios o en el centro de ayuda antes de su implementación a gran escala.

La versión anterior de este artículo ya mencionaba los 15 créditos y vinculaba el descuento a la finalización del curso. firma del documentoDado que la documentación actual indica el coste por uso, pero no repite esta condición de facturación de la misma manera, es más seguro considerar la norma comercial vigente que se muestra en la plataforma en el momento de su uso.

Proceso de autenticación

Actualmente, la documentación de ZapSign indica que el firmante graba un vídeo de su rostro. El sistema realiza automáticamente el análisis y, una vez finalizado el proceso, extrae una fotografía de la captura para incluirla en el informe de firma.

Informe y evidencia

Las fotografías y los registros de verificación aportan pruebas al proceso. Sin embargo, ningún elemento por sí solo debe considerarse como prueba infalible de identidad: la solidez de la evidencia reside en la combinación de documentos, declaraciones de voluntad, autenticaciones, registros, integridad y contexto.

Por lo tanto, la verificación en tiempo real es una capa importante para reducir los ataques contra las verificaciones biométricas, pero funciona mejor dentro de una estrategia que combine riesgo, experiencia, privacidad y otras pruebas de identidad. Haga clic aquí para conocer esta solución que ofrecemos en ZapSign!

Perguntas frecuentes (FAQ)