A Privacy-Preserving Behavioral Authentication Framework for Public Transport Applications

Abstract

Public transportation systems increasingly rely on mobile services for ticketing, trip planning, and account management. These systems require secure and user-friendly authentication because traditional login mechanisms often disrupt the travel experience and only protect the initial login. In this context, behavioral authentication based on interaction patterns and sensor data offers a promising solution for continuous user verification. However, its practical deployment raises challenges related to privacy, robustness, distributed model training, and integration with existing authentication infrastructures. This paper presents the design and deployment of a privacy-preserving behavioral authentication framework for public transportation applications. The framework focuses on system-level integration of established privacy-preserving machine learning and authentication techniques. It combines client-side preprocessing and homomorphic encryption of behavioral data with server-side machine learning-based analysis. It further incorporates model optimization techniques to improve robustness against impersonation and supports collaborative model training across providers through federated learning with coordinated preprocessing and data governance. To enable practical deployment, the framework integrates behavioral authentication into existing OAuth 2.0 and OpenID Connect-based infrastructures, including authentication flows, token management, and cross-provider interoperability.We evaluated the proposed framework through preliminary experiments on a public dataset, a field test with a real-world public transport application, and a second field test exploring federated learning in a collaborative training scenario. The results demonstrate the practical feasibility of the proposed architecture and provide insights into the challenges of deploying behavioral authentication in real-world mobility ecosystems.

Los sistemas de transporte público dependen cada vez más de servicios móviles para la emisión de billetes, la planificación de viajes y la gestión de cuentas. Estos sistemas requieren una autenticación segura y fácil de usar, ya que los mecanismos tradicionales de inicio de sesión suelen interrumpir la experiencia de viaje y solo protegen el acceso inicial. En este contexto, la autenticación conductual basada en patrones de interacción y datos de sensores ofrece una solución prometedora para la verificación continua de usuarios. Sin embargo, su despliegue práctico plantea desafíos relacionados con la privacidad, la robustez, el entrenamiento distribuido de modelos y la integración con las infraestructuras de autenticación existentes. Este artículo presenta el diseño y despliegue de un marco de autenticación conductual que preserva la privacidad para aplicaciones de transporte público. El marco se centra en la integración a nivel de sistema de técnicas consolidadas de aprendizaje automático y autenticación que preservan la privacidad. Combina el preprocesamiento en el lado del cliente y el cifrado homomórfico de los datos conductuales con análisis basados en aprendizaje automático en el lado del servidor. Además, incorpora técnicas de optimización de modelos para mejorar la robustez frente a intentos de suplantación y admite el entrenamiento colaborativo de modelos entre proveedores mediante aprendizaje federado con preprocesamiento coordinado y gobernanza de datos. Para posibilitar un despliegue práctico, el marco integra la autenticación conductual en infraestructuras existentes basadas en OAuth 2.0 y OpenID Connect, incluyendo flujos de autenticación, gestión de tokens e interoperabilidad entre proveedores. Evaluamos el marco propuesto mediante experimentos preliminares sobre un conjunto de datos público, una prueba de campo con una aplicación real de transporte público y una segunda prueba de campo orientada a explorar el aprendizaje federado en un escenario de entrenamiento colaborativo. Los resultados demuestran la viabilidad práctica de la arquitectura propuesta y aportan información sobre los desafíos de desplegar autenticación conductual en ecosistemas de movilidad del mundo real.