{"id":74887,"date":"2026-09-11T16:14:04","date_gmt":"2026-09-11T19:14:04","guid":{"rendered":"https:\/\/a3aengenharia.com\/?post_type=articles&p=74887"},"modified":"2026-09-11T17:38:52","modified_gmt":"2026-09-11T20:38:52","slug":"liveness-anti-spoofing-biometria-pad-ataques-presentacion-control-acceso","status":"publish","type":"articles","link":"https:\/\/a3aengenharia.com\/es-es\/contenido\/articulos-tecnicos\/liveness-anti-spoofing-biometria-pad-ataques-presentacion-control-acceso\/","title":{"rendered":"Liveness y anti-spoofing en biometr\u00eda: PAD, ataques de presentaci\u00f3n y criterios de dise\u00f1o"},"content":{"rendered":"\n

Liveness y anti-spoofing son mecanismos utilizados para reducir el riesgo de que un sistema biom\u00e9trico acepte una presentaci\u00f3n artificial, reproducida o manipulada como si fuera una caracter\u00edstica genuina de una persona presente. En terminolog\u00eda normativa, el concepto m\u00e1s preciso es Presentation Attack Detection (PAD)<\/strong>: detecci\u00f3n de ataques realizados en el dispositivo de captura durante la presentaci\u00f3n y adquisici\u00f3n de la caracter\u00edstica biom\u00e9trica.<\/p>\n\n\n\n

En control de acceso, PAD no sustituye FAR\/FMR, FRR\/FNMR, verificaci\u00f3n 1:1, identificaci\u00f3n 1:N, autenticaci\u00f3n multifactor, autorizaci\u00f3n ni la propia barrera f\u00edsica. Act\u00faa sobre una amenaza diferente. Un matcher puede distinguir muy bien a usuarios genuinos de impostores de intento cero y, aun as\u00ed, ser vulnerable a una fotograf\u00eda, reproducci\u00f3n en pantalla, m\u00e1scara, r\u00e9plica de huella dactilar u otro artefacto presentado al sensor.<\/p>\n\n\n\n

Por ello, especificar \u00fanicamente \u201cbiometr\u00eda con liveness\u201d es insuficiente. Un dise\u00f1o t\u00e9cnicamente verificable debe definir el modelo de amenazas, la modalidad biom\u00e9trica, las condiciones de captura, los criterios de desempe\u00f1o, las evidencias de ensayo, el comportamiento ante fallas y la forma de comprobaci\u00f3n en FAT, SAT y puesta en servicio. El objetivo no es prometer invulnerabilidad, sino controlar un riesgo medible sin degradar indebidamente la experiencia de los usuarios leg\u00edtimos.<\/p>\n\n\n\n

Liveness, anti-spoofing y PAD no son lo mismo<\/h2>\n\n\n\n

\u201cLiveness\u201d es el t\u00e9rmino comercial y operativo m\u00e1s difundido para indicar que la muestra parece proceder de una persona viva y presente. \u201cAnti-spoofing\u201d es una expresi\u00f3n m\u00e1s amplia, usada para mecanismos destinados a dificultar o detectar falsificaciones. La familia ISO\/IEC 30107 utiliza Presentation Attack Detection<\/strong> porque el problema normativo no se limita a \u201cprobar vida\u201d: el foco est\u00e1 en detectar presentaciones realizadas al dispositivo de captura con intenci\u00f3n de interferir en el funcionamiento del subsistema biom\u00e9trico.<\/p>\n\n\n\n

Esta distinci\u00f3n evita una especificaci\u00f3n imprecisa. Un algoritmo puede buscar movimiento ocular, textura, profundidad, respuesta espectral, propiedades del tejido u otros indicios, pero el dise\u00f1o no debe contratar el \u201ctruco\u201d tecnol\u00f3gico. Debe contratar un desempe\u00f1o verificable frente a las clases de presentaci\u00f3n relevantes para el riesgo<\/strong>.<\/p>\n\n\n\n

T\u00e9rmino<\/td>Uso t\u00edpico<\/td>Limitaci\u00f3n de interpretaci\u00f3n<\/td><\/tr>
Liveness<\/td>Evaluar se\u00f1ales asociadas a una presencia viva<\/td>Puede sugerir un alcance m\u00e1s estrecho que el riesgo real<\/td><\/tr>
Anti-spoofing<\/td>Impedir o detectar falsificaci\u00f3n<\/td>T\u00e9rmino amplio que no define por s\u00ed solo el m\u00e9todo de prueba y aceptaci\u00f3n<\/td><\/tr>
PAD<\/td>Detectar presentation attacks en el punto de captura<\/td>No cubre todas las amenazas al sistema biom\u00e9trico<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

ISO\/IEC 30107-1:2023 delimita PAD a los ataques que ocurren en el dispositivo de captura durante la presentaci\u00f3n y adquisici\u00f3n de la caracter\u00edstica biom\u00e9trica. La inyecci\u00f3n de datos despu\u00e9s del sensor, el compromiso de API, el robo de templates, la alteraci\u00f3n de bases de datos, la vulneraci\u00f3n de credenciales administrativas o el bypass de la controladora pertenecen a otras superficies de ataque. Esto significa que un producto con PAD robusto sigue dependiendo de una arquitectura, ciberseguridad y pol\u00edtica de acceso adecuadas.<\/p>\n\n\n\n

La gu\u00eda completa sobre sistemas de control de acceso<\/a> sit\u00faa la biometr\u00eda dentro de la cadena m\u00e1s amplia de identificaci\u00f3n, autenticaci\u00f3n, autorizaci\u00f3n, decisi\u00f3n y actuaci\u00f3n. PAD es una capa adicional en esa cadena, no un sustituto de las dem\u00e1s.<\/p>\n\n\n\n

Presentation attack ocurre en el punto de captura<\/h3>\n\n\n\n

Una presentation attack ocurre cuando se presenta al sensor una caracter\u00edstica o un artefacto con el objetivo de provocar una respuesta indebida. En reconocimiento facial, la clase de amenaza puede incluir presentaciones bidimensionales o tridimensionales. En huella dactilar, puede incluir materiales capaces de reproducir caracter\u00edsticas relevantes para el sensor. Otras modalidades poseen sus propias superficies.<\/p>\n\n\n\n

El requisito de dise\u00f1o no debe convertirse en un cat\u00e1logo de recetas de ataque. Lo que importa es establecer, con un nivel de detalle adecuado, qu\u00e9 familias de presentaci\u00f3n son plausibles para ese activo, cu\u00e1l es la criticidad del acceso y qu\u00e9 evidencias demostrar\u00e1n una resistencia compatible<\/strong>.<\/p>\n\n\n\n

Posici\u00f3n del PAD en la cadena de decisi\u00f3n biom\u00e9trica del control de acceso<\/title>