Palm Vein Reconstruction From Electromagnetic Side-Channel Emissions: Public Perceptions of Privacy Risks

Imagina que tu cuerpo contiene un juego de llaves que nunca se desgastan, nunca se pierden y no pueden olvidarse. Esta es la promesa de la tecnología biométrica, donde los sistemas utilizan rasgos físicos únicos, como las huellas dactilares o los patrones de las venas dentro de tu mano, para verificar quién eres. A diferencia de una contraseña, que puedes cambiar si un hacker la roba, las características de tu cuerpo son permanentes. Si se descifra un cerrojo digital, simplemente puedes cambiar el código; si un sistema biométrico se ve comprometido, no puedes intercambiar tu mano o tu rostro. Esta diferencia fundamental hace que la seguridad de estos sistemas sea una cuestión de profunda consecuencia personal. Mientras que los ingenieros se han centrado durante mucho tiempo en hacer que estos sensores sean más difíciles de engañar, una nueva línea de investigación ha descubierto que los dispositivos mismos podrían filtrar información de formas inesperadas. Así como una estación de radio emite señales que pueden ser captadas por un receptor, algunos escáneres biométricos emiten tenues ondas electromagnéticas que, en un entorno de laboratorio, podrían utilizarse teóricamente para reconstruir los mismos patrones de venas que pretenden leer.

Un equipo de investigadores se propuso comprender no la mecánica de esta posible filtración, sino cómo reaccionaría el público si tal riesgo se revelara. No construyeron un dispositivo para robar datos, ni probaron ningún escáner específico. En su lugar, plantearon una pregunta diferente: ¿cuál es el estado de ánimo actual del público respecto a la privacidad, la confianza y el control? Para averiguarlo, analizaron una enorme colección de datos de encuestas de veintisiete países europeos, recopilados en 2010. Este conjunto de datos, aunque antiguo, ofrece una imagen clara de cómo se sentía la gente respecto a sus vidas digitales antes de la era actual de la inteligencia artificial y el dominio de las redes sociales. Los investigadores trataron la idea de una filtración de las venas de la palma como un escenario para probarlo frente a estas actitudes existentes, preguntándose si la gente se sentiría segura, en control o traicionada si supiera que los datos de su cuerpo podrían ser robados a través de señales invisibles.

El estudio comenzó analizando qué tan preocupada estaba la gente por ser observada en línea. Los resultados mostraron un público dividido. El cuarenta por ciento de las personas encuestadas expresó preocupación de que su comportamiento en internet estuviese siendo registrado, mientras que el resto se sentía menos preocupado o no le importaba. Esta preocupación no estaba distribuida uniformemente; los adultos más jóvenes y aquellos en sus treinta y cuarentos años tenían más probabilidades de estar preocupados que los mayores de cincuenta y cinco años. Sin embargo, la preocupación por sí sola no cuenta toda la historia. Los investigadores también examinaron si la gente sentía que tenía el poder de detener este registro o de gestionar la información una vez que estuviera fuera. Entre aquellos que habían compartido detalles personales en sitios web sociales o de intercambio, solo el veintiséis por ciento sentía que tenía el control total sobre esa información. Una parte significativa, el veinte por ciento, sentía que no tenía control alguno. Esta brecha entre sentirse preocupado y sentirse impotente sugiere que, si surgiera una nueva amenaza, la gente probablemente se sentiría ansiosa pero indefensa, incapaz de solucionar el problema con un simple cambio de configuración.

La confianza desempeñó un papel igualmente crítico en el panorama. Al preguntarles a quién confiaban para mantener segura su información personal, las personas trazaron una línea divisoria clara entre diferentes tipos de organizaciones. Las instituciones de salud y médicas fueron las más confiadas, con un setenta y ocho por ciento de los encuestados sintiéndose seguros en su capacidad para proteger los datos. Los bancos y las autoridades públicas también disfrutaron de altos niveles de confianza. En marcado contraste, las empresas de internet contaban con la confianza de solo el veintidós por ciento de las personas encuestadas. Este hallazgo es crucial para entender cómo se recibiría un riesgo biométrico. Si se descubriera un fallo en el escáner de un hospital, el público podría verlo con cierto grado de comprensión o paciencia, dado el alto nivel de confianza en la atención médica. Pero si una empresa tecnológica o una plataforma en línea enfrentara el mismo problema, la reacción sería probablemente de profundo escepticismo e ira, ya que el público ya duda de la capacidad de estas entidades para guardar sus secretos personales.

Los investigadores también observaron cómo se comporta la gente cuando intenta protegerse. Cerca de la mitad de las personas que utilizaban sitios sociales habían intentado cambiar sus configuraciones de privacidad predeterminadas, mostrando una disposición a tomar medidas. Sin embargo, las acciones específicas que la gente tomaba se centraban principalmente en cosas que podían ver y tocar, como eliminar cookies o buscar etiquetas de seguridad en los sitios web. Estos son hábitos útiles para gestionar un navegador web, pero son inútiles contra una señal oculta que se filtra desde un hardware. El estudio encontró que la gente sentía que tenía cierto control sobre sus perfiles en línea, pero no tenían las herramientas para inspeccionar las máquinas que leían sus cuerpos. Esto crea un desajuste peligroso: se pide al público que gestione riesgos que existen mucho más allá de su capacidad de influencia.

Quizás el hallazgo más revelador fue cómo la gente veía la protección de los datos relacionados con el cuerpo. Cuando se les preguntó si la información genética, como el ADN, debería recibir una protección especial, un abrumador ochenta y ocho por ciento dijo que sí. Esto sugiere que la gente comprende intuitivamente que la información vinculada al cuerpo es diferente de un nombre de usuario o un número de tarjeta de crédito. Se ve como algo que merece un cuidado adicional. Los investigadores señalaron que, aunque las venas de la palma no son código genético, el instinto del público de tratar los datos vinculados al cuerpo como altamente sensibles se extendería probablemente a ellas. Si una empresa intentara descartar una filtración de las venas de la palma como un fallo técnico menor, el público probablemente rechazaría esa explicación, viendo la brecha como una violación de algo profundamente personal.

El estudio concluyó que una divulgación técnica sobre la filtración biométrica no aterrizaría en un entorno neutral. Llegaría a un mundo donde una gran parte del público ya está preocupada por ser observada, donde la confianza en las empresas de internet es baja y donde la gente siente que carece del poder para detener la recopilación de datos. Los investigadores argumentaron que decir a la gente que "tenga más cuidado" o que "cambie su configuración" no funcionaría, porque el problema reside en el diseño de las máquinas y en las políticas de las organizaciones, no en los hábitos de los usuarios. La solución, sugirieron, debe venir de las propias instituciones. Las empresas y los gobiernos deben asumir la plena responsabilidad de asegurar el hardware, ser transparentes sobre los riesgos y ofrecer alternativas reales para aquellos que no quieran utilizar sistemas biométricos. El público no necesita un manual sobre cómo detener una señal; necesita la garantía de que la señal no se enviará en primer lugar.

Al final, esta investigación destaca que la seguridad no es solo un rompecabezas que los ingenieros deban resolver con un mejor código. Es un contrato social que depende de la confianza y del sentimiento de control. Cuando un sistema utiliza una parte de tu cuerpo para identificarte, hay más en juego que con cualquier otro tipo de contraseña. Si ese sistema falla, no puedes reiniciar tu mano. El estudio sugiere que, para que estas tecnologías sean aceptadas, las personas que las construyen y las gestionan deben ganarse la confianza del público mediante acciones que coincidan con el alto valor que la gente otorga a su propia identidad física. Sin esa confianza, incluso la tecnología más segura se sentirá como un riesgo para las personas a las que pretende servir.