Búsqueda

miércoles, diciembre 12, 2007

CSI y RFID

En el episodio de CSI: NY de esta semana, los protas detienen una dependiente de una joyería y a su cómplice, que cometían fraude con tarjetas de crédito. Para ello, escondido en un bolso que la dependiente enseñaba al cliente, había un lector RFID que leía a distancia la tarjeta de crédito de aquél. Sin embargo, esto no siempre es posible.

¿Qué es eso del RFID? Bueno, RFID son las siglas en inglés de Identificación por Radiofrecuencia (Radio Frequency IDentification). Es un sistema en el cual se utilizan unas etiquetas y un lector de las mismas. Las etiquetas son pequeños traspondedores, que cuando reciben una determinada señal de radio, emiten otra como respuesta, en la que viaja información de la etiqueta (normalmente, un código de identificación). Tal vez alguna vez os hayáis fijado en una extraña pegatina que llevan, por ejemplo, los libros que se compran en algunos centros comerciales. Pues bien, eso es una etiqueta RFID.

Primer plano de una etiqueta RFID con forma cuadrada

Supongo que si alguna vez la habéis observado bien, os preguntaréis cómo es posible que algo tan pequeño pueda emitir señal alguna. ¿Dónde está la pila o la batería? Pues no tiene. Veréis, se trata de etiquetas pasivas, y no tienen ningún tipo de fuente de alimentación. Utilizan la propia señal que reciben del aparato que «pregunta», para alimentarse. ¿Cómo? Bueno, resulta que en todo conductor inmerso en un campo electromagnético variable, se inducen corrientes eléctricas. Así es como funcionan las antenas, y las etiquetas RFID no son ninguna excepción. La corriente inducida es muy pequeña, pero suficiente para alimentar el circuito de la etiqueta, especialmente diseñado para ello. Hay otros dos tipos de etiquetas, las activas, que sí que tienen su propia fuente de alimentación (como los aparatos utilizados en el pago automático de peajes de autopistas), y las semipasivas, que también tienen una fuente propia, pero muy pequeña y que únicamente se utiliza para alimentar el chip (para emitir la señal, se utilizan las corrientes inducidas por la señal recibida).

¿Y esto qué tiene que ver con las tarjetas de crédito? Pues poco o mucho, depende de la tarjeta. La mayoría de tarjetas de crédito que habréis visto, son de banda magnética. Esa banda negra que se encuentra en el dorso, tiene almacenada la información necesaria, en forma de distintas orientaciones de las partículas magnéticas de la banda, como ocurría en las viejas casetes de audio o VHS (demonios, de pronto siento el paso del tiempo). Una banda magnética es imposible de leer con un lector RFID, por motivos obvios. La banda magnética no tiene antena ni circuitería para hacer nada. Para leerla hay que deslizarla por un lector magnético adecuado, como la famosa ranura que tienen los TPV de las tiendas.

Detalle de una tarjeta de crédito que muestra el característico cuadrado de contactos dorados

Otro tipo de tarjetas de crédito, son las tarjetas inteligentes de contacto. Éstas llevan un pequeño chip, accesible desde el exterior mediante una serie de contactos, cuyo conjunto tiene forma de pequeño cuadrado redondeado, con líneas en su interior. Las viejas tarjetas de prepago de las cabinas telefónicas públicas, eran de este tipo (como alguien diga que no sabe de qué estoy hablando, me deprimo del todo). El chip puede simplemente proporcionar una información fija, o realizar operaciones con los datos de entrada. Nuevamente es imposible hacer nada con un lector RFID sobre estas tarjetas, ya que el chip no está diseñado para eso. Para operar con él, el lector debe tener también unos contactos, que tocan físicamente los contactos de la tarjeta, cuando ésta es introducida en el lector. La verdad es que aquí en España, no parecen estar muy extendidas en el ámbito específico de tarjetas de crédito (sí las he visto como monederos electrónicos, o tarjetas de identificación).

Y finalmente tenemos las tarjetas de crédito RFID. Estas sí pueden (y deben) ser leídas por un lector RFID. Desconozco si en EEUU están tan extendidas como las de banda magnética (aquí no), pero en cualquier caso, es evidente ver que únicamente este tipo de tarjetas son vulnerables al fraude que nos enseñan en la serie. En el episodio, sin embargo, se nos da a entender que vale para cualquier tarjeta de crédito.

Lo cierto es que hay mucha polémica sobre la aplicación de RFID en determinado ámbitos, como puede ser el DNI electrónico o tarjetas de pago (sean de débito o de crédito), precisamente por eso, por la posibilidad de que el chip sea leído sin que nos demos cuenta. Basta con que un moderno carterista con un lector RFID «tropiece» con nosotros, de forma que el lector se acerque lo suficiente al chip. Aunque obviamente, dependiendo del ámbito de aplicación, se toman distintas medidas de seguridad, como pueden ser la criptografía o la protección mediante un PIN.

19 comentarios:

  1. Hola compañeros de Mala Ciencia! Desde hace tiempo sigo vuestro blog, pero todavía no había escrito ningún comentario.
    Me ha gustado bastante vuestro artículo sobre RFID. Hace poco probé un lector de RFID en la universidad y por aquí dejo un par de links a mi blog con la experiencia que tuve.

    Un saludo!!
    http://jaesparza.blogspot.com/2007/11/erasmus-jugando-con-rfid-i.html
    http://jaesparza.blogspot.com/2007/11/jugando-con-rfid-ii.html

    ResponderEliminar
  2. Veo que la serie C.S.I, te da inumerables post para publicar. Un gran post como siempre, saludos.

    ResponderEliminar
  3. Un par de comentarios:

    - "¿Dónde está la pila o la batería? Pues no tiene", esta frase no es 100% correcta, ya que hay varios tipos de dispositivos RFID y los hay con y sin bateria, dependiendo del tipo. Un claro ejemplo de RFID con pila, son los VIA-T para las autopistas.

    - El DNI-e no tiene nada que ver con RFID, solo el pasaporte. La guerra del DNI electrónico viene de las smartcards, pero eso es otro cuento.

    Un saludo.

    A. Ramos

    ResponderEliminar
  4. También es interesante el uso de tarjetas RFID en automóviles. Vehículos de gama alta incorporan dicha tecnología en sus tarjetas de arranque y apertura con el consiguiente peligro de robo. El ladrón, simplemente con escanear la radiofrecuencia de la tarjeta tiene la puerta abierta, literalmente.

    http://www.belt.es/noticiasmdb/home2_noticias.asp?id=929

    ResponderEliminar
  5. Hola,

    American Express emite tarjetas tipo "contactless" (algo parecido a RFID), sin embargo toda la información va encriptada de tal forma que aunque pueda ser leída no puede ser traducida sin las correspondientes claves.

    Cuke Zapater No es tan sencillo como escanear la frecuencia, también tienes que saber el código (es decir tienes que tener un generador de códigos específico para ese tipo de coche).

    S2

    Ranganok Schahzaman

    ResponderEliminar
  6. aramosf, parece que no terminaste de leer el blog o te pasaste por alto algunos parrafos, ya que lo que dices si ha sido mencionado.

    "¿Dónde está la pila o la batería? Pues no tiene. Veréis, se trata de etiquetas pasivas"

    Mas adelante se comentan los otros tipos, que gili:

    "Hay otros dos tipos de etiquetas, las activas, que sí que tienen su propia fuente de alimentación [...]", "[...] y las semipasivas, que también tienen una fuente propia, pero muy pequeña"

    ResponderEliminar
  7. Disquete Enmascarado13 diciembre, 2007 10:25

    Alf, al hablar de las tarjetas inteligentes de contacto te has olvidado de un uso que seguro a nadie le parece viejo y que está extendidísimo: la famosa SIM de los móviles es una tarjeta de ese tipo, aunque bien recortadita para que no sobresalga.

    ResponderEliminar
  8. Las tarjetas inteligentes que mencionas se usan y mucho en el resto de europa. En francia eso de pasar la tarjeta y luego firmar es cosa del pasado. Incluso los vendedores ambulantes llevan una maquinita que lee el chip y un teclado en el que pones una clave. El problema que he encontrado es que los chips no son compatibles en todos los paises. Por ejemplo, el chip de una visa francesan o sirve para pagar en holanda, y te toca tirar de la banda magnética.

    ResponderEliminar
  9. Al final la seguridad se basa en 3 tipos de sistemas:

    a) Cosas que sabes (una clave, una pregunta).
    b) Cosas que tienes (una llave, una tarjeta).
    c) Algo que eres (lectura de huellas, iris).

    Si hablas con cualquier consultor de seguridad, te dirá que un sistema seguro es aquel que tiene al menos 2 de los tipos (por ejemplo, tarjeta de credito + pin (algo que tienes + algo que sabes) o tarjeta de credito + dni (algo que tienes + algo que eres). Una forma de vender RFID inicialmente era que aumentaba la seguridad, algo que claramente es mentira, ya que tiene el problema de que si se puede leer, se puede copiar. En el caso de los sistemas de claves el problema es como compartir esas claves, lo cual se convierte en un problema nuevo. Yo al RFID solo lo veo útil para los bonobus o para las autopistas, a menos que vaya acompañado por otro sistema, como tener que firmar o presentar el dni. El problema es que entonces el RFID no da ninguna ventaja respecto a la banda magnética.

    ResponderEliminar
  10. Soy un habitual lector de blog, decidí comentar el post ya que me dedico hace varios años a desarrollar aplicaciones RFID.
    Lo que se muestra en la foto no es considerado RFID, este elemento (EAS Electronic Articles Surveillance) no almacena información, solo se utiliza como elemento anti-robo (solo una bobina que resuena con el lector).
    Volviendo al RFID, esta tecnología no intenta ser mas segura, solo mejora la comodidad y el automatismo de ciertos procesos.
    El uso de RFID en tarjetas de credito esta restringido a normas como la ISO 14443, la cual restringen el campo de lectura a solo 10 cms. Lo cual dificulta mucho que alguien ‘lea’ nuestra información sin nuestro consentimiento.
    Para aquellas personas con miedo, bastará con envolver la tarjeta o el pasaporte en papel aluminio para terminar con las malas intenciones de los ‘roba datos’
    Saludos

    ResponderEliminar
  11. En el trabajo tenemos unas tarjetas identicas a las de credito con su banda magnetica etc pero se leen acercandolas a unos aparatitos, así que supongo que son RFID, lo que me temo es que haya otras tarjetas por ejemplo de credito con RFID's escondidos sin que lo sepamos, igual es ser un poco paranoico... quien sabe

    ResponderEliminar
  12. RFID, contactless, EAS, CSI... poco importa el color del collar si el perro queda bien sujeto; y me temo que, al final, es de eso de lo que se trata. Pronto nos implantarán a cada uno -"por nuestra seguridad"- una banda magnética en el culo y no podremos ni meneárnosla sin que se enteren en el ministerio de interior. Y decían que Orwell exageraba...

    ResponderEliminar
  13. Matices:

    - Sólo las tarjetas con RFID son vulnerables a ese tipo de lectura. Sí, es cierto. Pero oiga, es que son precisamente esas las que aparecen en ese capítulo. Quitarle hierro es tontería cuando en los EEUU las están extendiendo a marchas forzadas (tanto VISA como Mastercard implantan el chip de fábrica hace ya más de un año). Mis ahorros, duramente conseguidos, no son algo con lo que esté dispuesto a tontear por culpa de la tecnología equivocada.

    - El DNI-e tiene muchos problemas, pero no es precisamente la RFID el problema del DNI-e. No lleva este tipo de chip, tiene problemas porque acumula información biométrica y porque usa un «llamativo» sistema de cifrado con clave pública en el que las dos claves son generadas por la administración (¿para qué quieres cifrado asimétrico si alguien más aparte de tí tiene acceso a las dos claves? :) ).

    - El cifrado y la criptografía en RFID no sirven para nada: un chip RFID emite SIEMPE la misma señal. ¿La señal está cifrada? ¿Y qué? Entonces alguien tan sólo tiene que registrar/reemitir esta señal cifrada... no le importa lo que contenga, mientras un tercer dispositivo más allá reciba la señal idéntica... pues esa señal será debidamente descifrada en su destino final y me permitirá (1) acceder a tu cuenta, (2) engañar al sistema y que crea que eras tú el que estaba allí cuando se produjo el robo, (3) ...

    Saludos,

    Versvs
    Versvs.net

    Protesta contra el nuevo sistema de firma de blogger

    ResponderEliminar
  14. Aquí se están mezclando demasiadas cosas, unas que tienen que ver y otras que no.

    Por una parte, la paranoia sobre la posibilidad de que te lean un RFID a distancia ahora mismo sólo se debe tomar a nivel teórico. ¿El motivo? Las etiquetas RFID pasivas son muy imperfectas. Tanto como para que, si la antena-lectora y la etiqueta-chip RFID no están bien alineadas y suficientemente cerca, sea complicado conseguir una lectura real del dato del RFID. Es cierto que hay etiquetas pasivas que se pueden leer a algunos pocos metros, pero para eso hacen falta antenones de un metro difíciles de ocultar en el bolso, y/o etiquetas bastante más grandes que una tarjeta de crédito para que la potencia permita que funcione el cacharrito; y todo eso sin obstáculos metálicos ni acuosos (o sea, humanos) en medio.

    Aún así, la paranoia tiene su sentido, lo reconozco... y lo reconoce la industria. Por eso que los estándares definen protocolos mucho más complicados que un simple "la etiqueta envía el mismo identificador siempre que le pregunten", con mecanismos para anular las etiquetas (por ejemplo, en un supermercado la pueden desactivar al pasar por caja), permitir que sólo accedan a la informacíón lectores autorizados (con cifrado o con certificados, aunque eso aún no es operativo), etc.

    @Versus (también en parte @aritz y @charlie): Sólo tienes razón en parte de lo que dices. Es cierto que en RFID te encuentras ante un canal inseguro (el aire), donde el cifrado te garantiza la confidencialidad o privacidad, pero no la autenticidad.

    Sin embargo, el problema de "no importa que lo cifres, basta con que copies la respuesta cifrada" es muuuy antiguo en los sistemas de seguridad y las soluciones están ya muy trilladas (de hecho, por algo se distingue entre privacidad y autenticidad).

    Un ejemplo cercano de un ámbito donde se usa(ba)n este tipo de soluciones: al conectarte a Internet con un módem a través de una línea telefónica (que también es un canal inseguro, poco menos que el aire), no se enviaba la contraseña en abierto, ni simplemente cifrada de algún modo; sino que el módem tenía que responder cada vez a un desafío diferente, (des)cifrándolo con su clave.

    En ese sentido, los estándares para los chips RFID cada vez avanzan más, y ni mucho menos se limitan a emitir "siempre" la misma información. Es cierto que el identificador es el mismo, pero es trivial obligar en el protocolo a que la etiqueta incluya la respuesta a un desafío adicional que evite la falsificación. Los protocolos para RFID incluyen ya capacidades para trabajar "en contienda" (¿qué etiqueta tiene que decir quién es -identificarse- en cada momento cuando hay muchas juntas?). Y todo eso sin batería, sí, llamativo cuanto menos :-)

    Y para terminar, no hay que confundir el "simple" RFID, con cualquier tecnologías contactless (sin contacto). Podemos tener sistemas que se comunican (e incluso alimentan) por radiofrecuencia tanto o más complejos que las tarjetas que se comunican (y alimentan) mediante un chip con contacto. Y podemos usar sistemas adecuadamente seguros para que aunque puedan capturar la señal (cosa harto difícil, que "a distancia" significa "a unos cm"); no puedan hacer nada con ella.

    En muchas ciudades se utilizan tarjetas contactless pasivas para usas los medios de transporte... ¿alguien conoce un mercado de estarperlo de tarjetas?¿no?

    ResponderEliminar
  15. Por añadir algo más y iempre con espíritu contructivo: "viejas tarjetas de prepago de las cabinas telefónicas públicas, eran de este tipo (tarjetas inteligentes)" Estas tarjetas no eran inteligentes, sino de memoria, no tenían micro y por tanto inteligencia.

    ResponderEliminar
  16. El uso de esta tecnología se está estudiando para que desaparezcan las cajeras de los supermercados, al pasar con un carro lleno de productos y sus respectivas etiquetas rfid, se detectarán automáticamente los productos instantaneamente, el escaner también detectará el rfid de la tarjeta y por lo tanto autentificará a la persona y así se conseguirá una compra más instantanea que el nescuik.

    ResponderEliminar
  17. El tema de la distancia es algo que a día de hoy depende de la frecuencia. En los HF (13,56 MHz) el alcance no supera los pocos cm. (practicamente las podemos considerar tarjetas de contacto).
    Sin embargo en la banda de UHF (868 MHz), en etiquetas pasivas podemos faclmente alcanzar 1 metro en omnidireccional y casi 10 metros con antenas direccionales por lo que su lectura es más sencilla. Esto sería lo que se usaría en supermercados.

    No podemos permitir que el supermercado nos cobre directamente, ya que como puse en otro comentario, no podemos confiar nuestra seguridad a algo que se puede copiar o robar, otra cosa es que no haya que ir pasando los códigos de barras.

    Aún así, el despliegue de RFID en supermercados será lento, porque los códigos de barras son gratuitos, mientras que una etiqueta de RFID vale entre 1 y 10 cent., que actualmente supone un gasto que ni los fabricantes ni los supermercados quieren invertir.

    ResponderEliminar