Nuestros documentos de identificación protegen nuestras identidades, por lo tanto, debemos proteger nuestras identificaciones. Hoy en día, la mayoría de nuestras identificaciones son electrónicas (por lo que también se utiliza el término e-ID): los circuitos integrados de los chips RFID tienen menos de un milímetro de espesor y se incorporan en nuestros documentos personales como una simple inserción. Como se describe en un artículo anterior, los chips contribuyen a la seguridad general de nuestros documentos y desempeñan un papel importante también en nuestro ecosistema digital, desde los viajes hasta la administración gubernamental.
Sin embargo, la seguridad adicional también puede representar amenazas adicionales debido a falsificadores y estafadores de datos. Los chips RFID deben protegerse contra alteraciones, copias o accesos no autorizados.
Este artículo explicará qué medidas de seguridad aplica un chip RFID y cómo funcionan en la práctica. ¡Atención! Muchas abreviaturas por delante, pero no sin explicaciones.
Doble seguridad: acceso y autenticación
La protección de los chips RFID es doble:
- en primer lugar, un chip debe protegerse contra el acceso no autorizado (estas medidas se llaman control de acceso al chip), y
- en segundo lugar, el chip debe evitar la copia o alteración (estas son medidas de autenticación del chip).
Ambos tipos de protección han sido desarrollados por la ICAO, involucrando a importantes fabricantes de documentos de identidad y chips y el BSI (Bundesamt für Sicherheit in der Informationstechnik - la Oficina Federal de Seguridad de la Información de Alemania). Estas formas de protección han evolucionado en las últimas décadas, adaptándose continuamente a las necesidades actuales y haciendo que las identificaciones sean más seguras.
Protocolos de autenticación para el control de acceso
¿Qué pasa si un delincuente quiere acceder a los datos RFID de un pasaporte sin tenerlo en sus manos? Una antena potente lo hace posible a menos que el pasaporte tenga un sistema de control de acceso llamado así.
Control de acceso básico
El primero de su tipo se denominó Control de Acceso Básico (BAC), introducido en 2005 para los pasaportes alemanes. Este mecanismo permite al terminal abrir el chip solo si comprueba la presencia física del documento. Si se proporcionan datos del pasaporte al terminal, este asumirá que el acceso está autorizado: funciona según la ZLM (Zona de Lectura Mecánica). Primero, el terminal lector reconoce la ZLM y la compara con la ZLM (datos del chip) almacenada digitalmente y públicamente disponible. Si coincide, el terminal permite la apertura de más contenido del chip.
Control de acceso suplementario
El BAC necesitaba ser más seguro, ya que la mayoría de las partes de la MRZ no son tan únicas como para no poder ser adivinadas. Los documentos protegidos por BAC aún podían ser accedidos utilizando algoritmos de hackers y las piezas de información correctas. Por eso la OACI definió un nuevo conjunto de protocolos para evitar el robo de información y la escucha. Siguiendo la lógica del BAC, la OACI introdujo el PACE (Control de Acceso Autenticado por Contraseña) para un nivel de seguridad superior.
PACE
Si un chip tiene protección PACE, requiere un código adicional además del MRZ. Este código es parte del ID y no puede ser adivinado tan fácilmente como el MRZ. Puede implementarse de diversas formas. Más comúnmente, los fabricantes de identificaciones colocan un código especial en el documento durante el proceso de personalización. Este es el Número de Acceso a la Tarjeta, conocido como CAN. Utilizando el MRZ y el CAN, se establece un canal de comunicación de datos seguro de manera similar al caso de BAC. En los últimos años, los fabricantes de ID han estado definitivamente avanzando hacia PACE.
CAE
El Control de Acceso Extendido (CAE) fue recomendado por la OACI como una característica de seguridad opcional (además del Control de Acceso Básico) para restringir el acceso a los datos biométricos sensibles en los documentos de viaje electrónicos (huella dactilar en el grupo de datos 3 y el iris en el grupo de datos 4). En lugar de una regulación detallada, la OACI solo estableció los requisitos: el chip debe contener claves individuales y capacidades de procesamiento, y se requiere una gestión adicional de claves. Sin embargo, la OACI deja la solución real abierta a los países que la implementan: en la UE, por ejemplo, el CAE se resuelve mediante la combinación de dos autenticaciones especiales llamadas Autenticación del Chip y Autenticación del Terminal. Sigue leyendo para familiarizarte con estos tipos de autenticación.
Protección y autenticación del chip
Al analizar la seguridad de la tecnología RFID, también debemos hablar sobre la encriptación de los chips, considerando varias preguntas como:
- ¿Cómo sabemos que los datos almacenados son genuinos?
- ¿La terminal de lectura está autorizada para leer los datos? ¿Qué se necesita para eso?
- ¿Cómo se protegen los datos almacenados contra la copia o la alteración?
Estas preguntas nos llevan al tema de la autenticación del chip.
Autenticación Pasiva
La Autenticación Pasiva se desarrolló para garantizar la integridad de los datos del chip. Se realiza mediante la verificación de las firmas digitales. Hay un fragmento de datos separado en el chip (además de los grupos de datos) llamado EF.SOD. Contiene una representación cifrada de todo el contenido del chip. Para verificar el contenido del chip, cada país creó una llamada CSCA (Autoridad de Certificación de Firma del País) que certifica los organismos responsables de emitir los pasaportes (por ejemplo, las imprentas estatales, las embajadas, etc.). Estos organismos se llaman Firmantes de Documentos. Los datos en el pasaporte son entonces firmados por uno de estos Firmantes de Documentos. Para verificar las firmas, deben estar disponibles las certificaciones CSCA del país emisor, y se debe garantizar su integridad. Los países utilizan el intercambio diplomático de las certificaciones CSCA.
La Autenticación Pasiva es adecuada para evitar la alteración del contenido del chip. Sin embargo, no se puede utilizar contra la creación de una copia idéntica (clonación), por lo que debemos profundizar más en este tema.
Autenticación Activa
Para evitar la clonación, las e-ID introdujeron la Autenticación Activa: una combinación de técnicas criptográficas seguras. Su elemento principal es un par de claves asimétricas almacenadas en el chip. Mientras que la clave pública es de lectura libre (almacenada en DG15, y su hash está firmado digitalmente), la clave privada no es legible desde el chip. Su presencia solo puede ser verificada utilizando un algoritmo de desafío-respuesta (basado en ISO 9796-2). No puedes encontrar la Autenticación Activa en todos los pasaportes electrónicos, ya que es opcional, no obligatoria.
Autenticación del Chip
La Autenticación del Chip (CA) se creó para tener un cifrado más fuerte que en el caso de BAC (para eliminar la baja entropía de la clave BAC). CA se realiza mediante la comunicación de claves privadas y públicas, utilizando la lógica de pares de claves Diffie-Hellman seguras.
¡Tantas Opciones: ¿Cuál es la Mejor?
Es fácil perderse entre tantos tipos de autenticación, y podrías preguntarte: ¿se utilizan todos los métodos en el mismo documento de identidad, o tal vez solo algunos de ellos? Depende del tipo de documento de identidad y de las regulaciones del país emisor. Por ejemplo, en la Unión Europea, los documentos de viaje legibles por máquina deben incluir PACE (BAC), Autenticación Pasiva y Autenticación Terminal, según las directrices del BSI.
Cómo Seleccionar el Terminal Lector RFID Adecuado
Si bien las características de seguridad óptica pueden autenticarse tanto mediante inspección manual como mediante imágenes digitales, para verificar (y leer) los chips RFID se necesita un dispositivo digital, como un escáner de tarjetas de embarque o un lector de pasaportes especializado, como Osmond. Sin embargo, en el caso de documentos de viaje internacionales, este dispositivo también debe ser compatible con OCR (Reconocimiento Óptico de Caracteres) para realizar las funciones de control de acceso descritas anteriormente.
These devices, called passport readers or ID scanners, should comply with the latest RFID technology.
- En cuanto al hardware, la antena incluida y el controlador RFID deben cumplir con los requisitos de frecuencia de lectura y proporcionar una transmisión de datos estable.
- En cuanto al software, las verificaciones RFID realizadas automáticamente deben cumplir con las últimas normativas y ser capaces de almacenar y utilizar los certificados requeridos.
Al desarrollar Osmond, nuestro último lector de pasaportes, nos centramos en la conformidad con la normativa RFID: sabiendo que nuestros productos se utilizan incluso en las aplicaciones más exigentes, como el control fronterizo, buscamos un rendimiento de lectura RFID impecable. Por ello, el dispositivo incluye varios certificados RFID preinstalados para facilitar la comunicación RFID y ofrece una interfaz intuitiva para cargar fácilmente los archivos de certificado más recientes al terminal. Además, Osmond, al igual que sus predecesores, también cumple con el estándar RFID más estricto: BSI TR-03105.
¿Tiene alguna pregunta o consulta? Estamos aquí para ayudarle en cada paso del proceso.
