{"id":74894,"date":"2026-09-12T16:08:01","date_gmt":"2026-09-12T19:08:01","guid":{"rendered":"https:\/\/a3aengenharia.com\/?post_type=articles&p=74894"},"modified":"2026-09-14T19:42:29","modified_gmt":"2026-09-14T22:42:29","slug":"liveness-anti-spoofing-biometria-pad-ataques-presentacion-control-acceso-2","status":"publish","type":"articles","link":"https:\/\/a3aengenharia.com\/es-es\/contenido\/articulos-tecnicos\/liveness-anti-spoofing-biometria-pad-ataques-presentacion-control-acceso-2\/","title":{"rendered":"Liveness y anti-spoofing en biometr\u00eda: PAD, ataques de presentaci\u00f3n y criterios de dise\u00f1o"},"content":{"rendered":"\n

Liveness y anti-spoofing son mecanismos utilizados para reducir el riesgo de que un sistema biom\u00e9trico acepte una presentaci\u00f3n artificial, reproducida o manipulada como si fuera una caracter\u00edstica genuina de una persona presente. En terminolog\u00eda normativa, el concepto m\u00e1s preciso es Presentation Attack Detection (PAD)<\/strong>: detecci\u00f3n de ataques realizados en el dispositivo de captura durante la presentaci\u00f3n y la adquisici\u00f3n de la caracter\u00edstica biom\u00e9trica.<\/p>\n\n\n\n

En control de acceso, PAD no sustituye FAR\/FMR, FRR\/FNMR, verificaci\u00f3n 1:1, identificaci\u00f3n 1:N, autenticaci\u00f3n multifactor, autorizaci\u00f3n ni la propia barrera f\u00edsica. Act\u00faa sobre una amenaza diferente. Un matcher puede distinguir muy bien usuarios genuinos de impostores de intento cero y, aun as\u00ed, ser vulnerable a una fotograf\u00eda, reproducci\u00f3n en pantalla, m\u00e1scara, r\u00e9plica de huella dactilar u otro artefacto presentado al sensor.<\/p>\n\n\n\n

Por ello, especificar \u00fanicamente \u201cbiometr\u00eda con liveness\u201d es insuficiente. Un dise\u00f1o t\u00e9cnicamente verificable necesita definir el modelo de amenaza, la modalidad biom\u00e9trica, las condiciones de captura, los criterios de desempe\u00f1o, las evidencias de ensayo, el comportamiento ante fallos y la forma de comprobaci\u00f3n en FAT, SAT y comisionamiento. El objetivo no es prometer invulnerabilidad, sino controlar un riesgo medible sin degradar indebidamente la experiencia de los usuarios leg\u00edtimos.<\/p>\n\n\n\n

Liveness, anti-spoofing y PAD no son lo mismo<\/h2>\n\n\n\n

\u201cLiveness\u201d es el t\u00e9rmino comercial y operativo m\u00e1s difundido para indicar que la muestra parece provenir de una persona viva y presente. \u201cAnti-spoofing\u201d es una expresi\u00f3n m\u00e1s amplia, utilizada para mecanismos destinados a dificultar o detectar falsificaciones. La familia ISO\/IEC 30107 utiliza Presentation Attack Detection<\/strong> porque el problema normativo no se limita a \u201cdemostrar vida\u201d: el enfoque est\u00e1 en detectar presentaciones realizadas al dispositivo de captura con intenci\u00f3n de interferir en el funcionamiento del subsistema biom\u00e9trico.<\/p>\n\n\n\n

Esta distinci\u00f3n evita una especificaci\u00f3n imprecisa. Un algoritmo puede buscar movimiento ocular, textura, profundidad, respuesta espectral, propiedades del tejido u otros indicios, pero el dise\u00f1o no debe contratar el \u201ctruco\u201d tecnol\u00f3gico. Debe contratar un desempe\u00f1o verificable frente a las clases de presentaci\u00f3n relevantes para el riesgo<\/strong>.<\/p>\n\n\n\n

T\u00e9rmino<\/td>Uso t\u00edpico<\/td>Limitaci\u00f3n de interpretaci\u00f3n<\/td><\/tr>
Liveness<\/td>Verificar se\u00f1ales asociadas a la presencia viva<\/td>Puede sugerir un alcance m\u00e1s estrecho que el riesgo real<\/td><\/tr>
Anti-spoofing<\/td>Impedir o detectar falsificaci\u00f3n<\/td>T\u00e9rmino amplio que no define por s\u00ed solo un m\u00e9todo de prueba y aceptaci\u00f3n<\/td><\/tr>
PAD<\/td>Detectar presentation attacks en el punto de captura<\/td>No cubre todas las amenazas al sistema biom\u00e9trico<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

ISO\/IEC 30107-1:2023 delimita PAD a los ataques que ocurren en el dispositivo de captura durante la presentaci\u00f3n y adquisici\u00f3n de la caracter\u00edstica biom\u00e9trica. La inyecci\u00f3n de datos despu\u00e9s del sensor, el compromiso de API, el robo de templates, la alteraci\u00f3n de bases de datos, la vulneraci\u00f3n de credenciales administrativas o el bypass de la controladora pertenecen a otras superficies de ataque. Esto significa que un producto con PAD robusto contin\u00faa dependiendo de una arquitectura, ciberseguridad y pol\u00edtica de acceso adecuadas.<\/p>\n\n\n\n

La gu\u00eda completa sobre sistemas de control de acceso<\/a> sit\u00faa la biometr\u00eda dentro de la cadena mayor de identificaci\u00f3n, autenticaci\u00f3n, autorizaci\u00f3n, decisi\u00f3n y actuaci\u00f3n. PAD es una capa adicional en esa cadena, no un sustituto de las dem\u00e1s.<\/p>\n\n\n\n

Un presentation attack ocurre en el punto de captura<\/h3>\n\n\n\n

Un presentation attack ocurre cuando un atacante presenta al sensor una caracter\u00edstica o un artefacto con el objetivo de producir una respuesta indebida. En reconocimiento facial, la clase de amenaza puede incluir presentaciones bidimensionales o tridimensionales. En huella dactilar, puede incluir materiales capaces de reproducir patrones relevantes para el sensor. Otras modalidades tienen sus propias superficies.<\/p>\n\n\n\n

El requisito de dise\u00f1o no debe convertirse en un cat\u00e1logo de recetas de ataque. Lo importante es establecer, con un nivel de detalle adecuado, qu\u00e9 familias de presentaci\u00f3n son plausibles para ese activo, cu\u00e1l es la criticidad del acceso y qu\u00e9 evidencias demostrar\u00e1n una resistencia compatible<\/strong>.<\/p>\n\n\n\n

Posici\u00f3n de PAD en la cadena de decisi\u00f3n biom\u00e9trica de control de acceso<\/title>