Archivo de la categoría: RFID

Fundas protectoras de RFID: ¡vaya si funcionan!


La gente de Digital Identity Forum ha cogido una funda protectora de pasaporte RFID de DIFRWear (comercializadas aquí por la vigi a través de ProtecciónRFID) y ha probado qué tan bien le funciona la jaula de Faraday cuando se intenta leer una etiqueta RFID que cumpla con el estándar ISO 14443, el usado en el pasaporte electrónico.

La respuesta está clara, los principios físicos no dejan de funcionar porque sí y el señor Michael Faraday ya nos lo había demostado en el siglo XVIII: funciona.

Para ver el video/demo, clicad en la imagen. Es un fichero mp4 que se descargará a vuestro disco duro.

Hasta los fabricantes de RFID lo tienen claro: ¡no al RFID en documentos de identificación!


Leemos en ComputerWorld que la Smart Card Alliance, organización que aglutina a los principales fabricantes y vendedores de RFID, recomienda que no se utilicen etiquetas RFID de lectura de «vecindad» en documentos de identidad.

El contexto de esta noticia es el siguiente: en octubre el gobierno estadounidense anunció la iniciativa WHTI (Western Hemisphere Travel Initiative, iniciativa de viaje para el hemisferio occidental), que consiste en la emisión de un carnet de identidad para que no sea necesario llevar pasaporte para viajar por estos países: Estados Unidos, México, Canadá, los países caribeños, y Bermuda.

En dicha notificación, los impulsores de la iniciativa dijeron que el carnet iba a ir equipado con una etiqueta RFID de lectura «de vecindad» (no de proximidad, sino de lectura a unas decenas de centímetros).

Si los nuevos pasaportes electrónicos, con RFID de proximidad, ya han sido leidos a distancia (y crackeados, y clonados), ¿qué pasará con identificaciones que ya de plano se pueden leer a tanta distancia?

No es de extrañar el enfado de los fabricantes de dispositivos RFID. Con tanta iniciativa neoconservadora tomada sin tener en cuenta los aspectos técnicos y que acarrean tantos problemas de seguridad y privacidad de datos, se temen que la mala prensa que esto está proporcionando a su producto acabe por matarlo.

Más: Postura oficial de Smart Card Alliance ante el WHTI (en inglés)

La Caixa introducirá las tarjetas de crédito con RFID a principios del 2007


Leemos en el periódico de actualidad económica Expansión que La Caixa va a ser la primera entidad financiera en introducir en España las tarjetas de crédito con RFID.

Dicen en Expansión que La Caixa intenta que la gente deje de usar el efectivo y se pase al «plástico». Tras el fracaso en la introducción de la «tarjeta monedero», ahora creen que con estas tarjetas RFID, o de «pago sin contacto», lo van a conseguir.

Esto es un despropósito. La tecnología RFID permite que la información en su chip se lea a distancia, y esto es lo que hace que dichas tarjetas sean mucho más inseguras que las normales con banda magnética. Con aquellas, para que alguien te la «clonara» (hiciera una copia de la información de la tarjeta y la pudiera usar gastándote el crédito) se la tenías que dar, y esto te permitía saber más o menos quién te había hecho la mala jugada: en el peaje, en el restaurante, en el hotel… ahora, con la lectura a distancia, cualquier malhechor con el lector adecuado «pululando» por un restaurante, una tienda,… puede hacerte la copia de los datos de la tarjeta sin que te enteres.

Es grave el asunto, y ejemplos de inseguridad hay a montones. El más claro y escandaloso es el de los nuevos pasaportes electrónicos o pasaportes RFID, dotados de esta tecnología, que se pueden leer a distancia, se puede crackear la encriptación, y se pueden clonar. Se puede leer sobre este asunto en el periódico británico The Guardian, que sería equivalente a nuestro El País.

Lo dicho, estas tarjetas con RFID no hay que aceptarlas, no debemos aceptar ser conejillo de indias de nadie, porque es nuestro dinero, es nuestra identidad, es nuestra seguridad lo que está en juego. Y si tu banco te «enchufa» la tarjeta obligatoriamente, pues a protegerse con las fundas para documentos RFID.

Las diez aplicaciones ¿prácticas? de RFID más locas


Vía Slashdot nos topamos con esta lista que contempla los 10 usos más raros de RFID.

1. Poner RFID a los niños para que no se pierdan (Japón, Dinamarca)
2. Poner RFID a las mesas del bar para ¿pedir cerveza? (Inglaterra)
3. Poner RFID al carnet de socio del club de fútbol para pasar por los torniquetes más rápidamente (Inglaterra)
4. (idea) Poner RFID a las personas que pongan un pie en el aeropuerto (Inglaterra, ¿de dónde si no podría venir semejante idea?)
5. Poner RFID a los tanques de guerra para disminuir «el fuego amigo» (Estados Unidos, un país cuyo ejército fue famoso en 2003 por pegar más tiros a soldados ingleses que a rebeldes iraquíes)
6. Poner RFID a los pacientes del hospital para no «confundirse con sus historias clínicas» (algo que no pasa casi nunca, pero que resulta ser uno de los mitos más usados por los promotores del RFID à go-go) (Alemania, Estados Unidos)
7. Poner RFID a las bolsas de sangre resultantes del proceso de donación (Alemania, Inglaterra)
8. Trajes-sastre (ehem!) de la muy británica Marks & Spencer (Inglaterra)
9. Los pasaportes, mi aplicación ridícula y peligrosa favorita, ya que estos pasaportes-RFID que se emiten hoy en día en EEUU, Canadá, toda la Unión Europea, y otros países, se pueden leer a distancia, clonar… un coladero de seguridad (por eso necesitas una funda protectora para tu pasaporte si fue emitido a partir del 1 de agosto del 2006, más información en ProteccionRFID.
10. Libros (Holanda)

Implantes RFID en serie televisiva estadounidense (Law & Order SVU)


Leemos en RFID Gazette que en un capítulo reciente de la serie Law & Order Special Victims Unit se trató el tema de los implantes RFID.

Culebrón total pero se saca moraleja (ojo, que esto es un spoiler): un marido celoso le mete un VeriChip a su esposa para controlar que no le ponga los cuernos. Pero se lo pone sin esterilizar y se infecta, y la señora se pone malísima. Se intenta tratar el dilema moral del abuso psicológico de ese marido y cómo se magnifica el daño que se puede hacer «gracias» a la tecnología RFID.

Bien por tratar temas de rabiosa actualidad, aunque sea tangencialmente. Bien por tratarlos de manera informada y con criterio.

¿Alguien está usando RFID en el ámbito industrial?


En la revista The Manufacturer han publicado un artículo en el que intentan romper el mito que dice que en realidad son solo un puñado de empresas las que están colocando etiquetas RFID en sus productos para mejorar sus cadenas de suministro.

La conclusión del artículo es que no solamente los proveedores de Wal-Mart y el ejército estadounidense (los primeros en exigir el uso de la tecnología) lo usan, sino que hay montones de aplicaciones distintas y conocen miles de casos de implementación RFID.

Nosotros desde la Vigi desde luego le damos a esto una interpretación diferente.

El mencionado mito ha sido en realidad creado por la industria del RFID al constatar que a la población en realidad sí le importa su privacidad y siente reticencia a llevarse a su casa productos con RFID (lo cual haría que la casa del cliente y el uso que le da al producto fuera un paso más de la cadena de suministro escudriñada por el fabricante y comercializador, es decir, el comprador pasaría a ser solo un paso más de dicha cadena, tan monitorizado como el resto). Es por eso que se crea esta cortina de humo en torno al RFID y no se dice abiertamente qué productos lo llevan incorporado.

En España solamente el Grupo Pascual se ha atrevido a anunciar a bombo y platillo que sus productos llevarán RFID a principios del 2007.

Crackeado!! Artículo de The Guardian sobre la mala seguridad del pasasporte RFID británico


El viernes pasado, el periódico británico The Guardian publicó un artículo impagable sobre la mala seguridad de los pasaportes RFID emitidos por el Home Office (ministerio del interior) británico.

El articulista, junto con un miembro de la campaña No2ID, y un experto en seguridad informática, lograron copiar la información contenida en el chip RFID de no solamente uno, sino tres pasaportes. En solo un fin de semana.

Lindezas que aprendemos en el artículo:

  • A pesar de haber metido encriptación 3DES en el chip, está mal hecho, porque la clave de encriptación es una combinación del número de pasaporte, fecha de nacimiento y fecha de caducidad del pasaporte (un número aleatorio de clave y un algoritmo 3DES significaría millones de años de tiempo de ordenador para hallar la clave. Pero al ser números de este estilo el número de combinaciones es mucho menor y hace mucho más probable poder romper la seguridad).
  • Podían haber hecho que el chip se «bloquease» tras tres intentos de lectura (igual que hace el cajero automático con tu tarjeta si te equivocas tres veces al meter el PIN), pero lo consideraron «no necesario».
  • Sin intentarlo mucho, lograron leer el chip contenido en el pasaporte desde una distancia de 7,5 cm. Si nos imaginamos la distancia que separa a las personas en un vagón de metro, nos hacemos una idea que es suficiente como para leer la información «a distancia».
  • No intentaron clonar el chip por considerar esta actitud ilegal, pero aseguran que es posible hacerlo – solo hay que comprar un chip RFID del mismo modelo y grabarle la información copiada.

Tras este experimento, No2ID está reclamando al gobierno británico para que retire los 3 millones de pasaportes RFID que ya ha emitido.

Por cierto, que dicen que el lunes 20 en Channel 4 a las 9 de la noche van a emitir un documental enseñando todo este fin de semana de trajinar con el pasaporte RFID. De hecho el documental se titula Suspect Nation (nación de sospechosos) y explica con pelos y señales todas las acciones del gobierno de Blair desde 1997 que están imponiendo un estado de vigilancia sobre los británicos.

Si alguien lo graba y lo sube a YouTube, agradeceré el link…

Funda protectora para pasaporte RFID


No tenemos que explicar aquí más veces lo que es el RFID y los problemas de seguridad y privacidad que genera el uso que le intentan dar las autoridades y las empresas. Quizás sí valga la pena recordar los garrafales fallos de seguridad en pasaportes RFID europeos y estadounidenses (está reportado que investigadores han logrado “clonar” el pasaporte RFID alemán y romper las medidas de seguridad del holandés. También se han encontrado vulnerabilidades en los pasaportes RFID estadounidense y británico). La cosa está tan mal, que los expertos de gestión de identidad en su reciente conferencia en Budapest (FIDIS 2006), emitieron un comunicado UNÁNIME denunciando lo contraproducente que resulta la emisión de pasaportes con RFID.

Así pues, llevar un pasaporte RFID es como llevar un cartel en la espalda con sus detalles escritos: número de pasaporte, nombre del titular, fecha y lugar de nacimiento… no solo supone un problema de privacidad obvio, sino que es sencillo copiar la información contenida y escribirla en el chip de un pasaporte falsificado.

Si eres español, sabes que tienes un pasaporte RFID si su fecha de expedición es posterior al 28 de agosto del 2006.

La gente de Protección RFID acaban de traer a España las fundas-cartera protectoras para pasaportes RFID. Está bastante bien, es de piel de primera calidad, incorpora en su interior una jaula de Faraday (finos hilos metálicos entrecruzados) que es la que bloquea la lectura de información del chip RFID del pasaporte.


En ella tienes espacio para guardar, además de tu pasaporte, varias tarjetas de crédito y el carnet de conducir. Y es que pronto llegarán a España las tarjetas VISA y Mastercard con RFID (ya se están poniendo en marcha en Estados Unidos, donde ya se han reportado clonaciones de tarjetas), así que pronto esta funda te resultará útil incluso si no llevas tu pasaporte encima.

El precio está muy bien, 15,90 euros, transporte incluido a cualquier parte de España (peninsular, islas, Ceuta y Melilla).

Y detrás de Protección RFID encontraréis una cara conocida… la de esta Vigilanta que os escribe estas líneas (sirva esto de disclaimer, tan famoso entre los bloggers).

Los expertos europeos en identidad y gestión de la identidad afirman que los pasaportes RFID son una chapuza y un peligro


En su reciente conferencia llevada a cabo en Budapest (FIDIS 2006), los expertos en gestión de identidad han emitido una declaración conjunta y unánime que dice lo siguiente:

Tras fracasar en el intento de implementar una arquitectura de seguridad apropiada, los gobiernos europeos están obligando a los ciudadanos a adoptar nuevos documentos de viaje de lectura automática que decrementan severamente su seguridad y privacidad e incrementa el riesgo de robo de identidad. Dicho claramente, la implementación en curso de los pasaportes europeos utiliza tecnologías y estándares que no están diseñados para este uso en particular.

Por supuesto, están hablando de los nefastos pasaportes equipados con etiquetas RFID.

Aquí está el texto íntegro de la Declaración de Budapest (en inglés).

Hay comentarios sobr el tema en Slashdot y también en Schneier.

Tags Technorati: , , ,