CURP y seguridad digital

Contexto

La CURP se ha consolidado como el identificador base de la ciudadanía en México. En años recientes se ha propuesto vincularla a registros biométricos obligatorios como mecanismo de seguridad nacional.

Este documento analiza por qué ese enfoque introduce riesgos estructurales y qué modelos alternativos existen que equilibran seguridad, operación y derechos.

Problema operativo del registro biométrico central

• Los datos biométricos son irreversibles.
• Una base centralizada concentra riesgo sistémico.
• Una filtración no puede remediarse.
• La confianza ciudadana se erosiona rápidamente.
• No existe correlación directa con reducción del crimen.

Un identificador que no puede rotarse convierte cualquier falla en permanente.

Referencias internacionales relevantes

Otros países han priorizado modelos menos invasivos sin sacrificar seguridad:

• Estados Unidos: SSN combinado con autenticación multifactor. No existe una base biométrica nacional centralizada.
• Unión Europea: eIDAS establece identidad electrónica con privacidad por diseño y control del usuario.
• Estonia: Identidad digital distribuida mediante infraestructura criptográfica, sin almacenamiento central de biométricos.

Modelos de seguridad alternativos

1. Autenticación multifactor contextual

Combinación de PIN o contraseña, token físico o aplicación, y señales contextuales como dispositivo y ubicación. Modelo ampliamente probado en banca y servicios críticos.

2. Identidad digital descentralizada (SSI)

El ciudadano mantiene sus credenciales en una billetera digital y solo comparte pruebas criptográficas de atributos necesarios. Elimina bases de datos centralizadas.

3. Verificación de comportamiento

Análisis de patrones de uso (tecleo, interacción, horarios) para detectar anomalías sin capturar biometría física.

4. Tokens físicos (FIDO2)

Dispositivos basados en criptografía de clave pública, resistentes a phishing y ataques de intermediario.

5. Pruebas de conocimiento cero (ZKP)

Permiten demostrar atributos sin revelar información subyacente. Máxima privacidad con garantías matemáticas.

6. Modelo híbrido con auditoría ciudadana

Combinación de los modelos anteriores con registros auditables y supervisión independiente sin exposición de datos personales.

Comparativo operativo (síntesis)

• El registro biométrico central maximiza daño en caso de falla.
• MFA y tokens físicos ofrecen buen equilibrio costo-seguridad.
• SSI y ZKP elevan privacidad con mayor complejidad inicial.
• Ningún modelo funciona sin gobernanza clara y auditoría.

Hoja de ruta sugerida

1. Marco legal y pilotos controlados.
2. Infraestructura criptográfica interoperable.
3. Credenciales verificables y control ciudadano.
4. Auditoría continua y corrección operativa.

Esto no cubre

• Vigilancia masiva o uso policial indiscriminado.
• Implementaciones sin marco legal claro.
• Soluciones cerradas sin auditoría independiente.