La biometría desbloquea el móvil, no autentica ante el servidor

Cuando la app pide la huella, el sistema operativo compara con lo que tiene registrado y responde «sí» o «no» a la app, o libera una clave guardada en el almacén seguro del dispositivo. Eso prueba una cosa: quien sostiene el aparato pasó el desbloqueo local en ese momento. No prueba nada ante el servidor, porque el servidor no participa: no recibe la huella ni, normalmente, el resultado. Cualquier campo que el cliente mandara diciendo «biometría correcta» sería una afirmación del cliente, y el cliente es lo que se desconfía.

Por eso se habla de biometría como conveniencia: abre la sesión local, y la fortaleza ante el servidor depende de cómo se emitió y se protege el token y de qué operaciones exigen reautenticar.

Los almacenes de claves de los sistemas móviles permiten crear una clave que solo se puede usar tras autenticar al usuario, con biometría o con el código del dispositivo. Si la clave que descifra el token de renovación no lleva esa exigencia, la protección biométrica de la pantalla es solo decorado: mientras el dispositivo esté desbloqueado, cualquier código de la app, o de quien la manipule en ese aparato, puede usar la clave sin que nadie toque el sensor.

Abre ajustes-de-la-clave-local.txt. Se reporta el ajuste concreto y el valor que debería tener, no «la biometría es débil».

La política del cliente reparte la exigencia: las operaciones que mueven mucho dinero y todo cambio de datos de contacto piden reautenticar a la persona en el servidor. Cambiar el número de celular es una operación sensible aunque no mueva un peso, porque ese número recibe los códigos de verificación y las alertas: quien lo controla, controla el segundo factor.

El registro del servidor tiene una columna de reautenticación. Compara cada fila con la política y fíjate en el tipo de operación, no solo en el monto.

El hallazgo de fondo es de diseño: el servidor trata el token de acceso como si bastara para todo. Lo que se recomienda tiene dos partes que se complementan. En el cliente, ligar la clave local a la autenticación de la persona. En el servidor, exigir reautenticación, con una prueba que el servidor entienda (un código o una confirmación propia), para las operaciones que la política declara sensibles. Subir la longitud del PIN local o añadir un campo que diga «biometría correcta» no cambia lo que el servidor puede comprobar.

El informe de la revisión de Nogalera separa lo que corrige el equipo de la app de lo que corrige el equipo del servidor.