­Hola All!


Yago Jesús lo trata de explicar en SecurityByDefault[1]:


*No, no te van a identificar remotamente con el DNIe 3.0*

Autor: Yago Jesus 15 enero 2015 [ 6:38 ]

Nada me gusta menos que estropear una buena historia, y menos si esa historia tiene componentes de conspiraciones, con buenos y malos, donde los malos oprimen a los buenos y se repite mucho el número '1984'

Vaya por delante mis sentidas disculpas a toda la gente que ha estado estos días desinformando sobre el DNI-E 3.0 y su tecnología RFID.

La parte que más me ha gustado de la historia es la de 'y te van a poder identificar remotamente', y si va acompañada de enlaces a carteras especiales 'anula-RFIDs', es aun mucho más entretenida.

No obstante, la realidad se impone y lamentablemente ese escenario, no es real.
Y no es real porque simple y llanamente no se va a poder acceder a los datos del nuevo DNI de forma remota ... sin una clave de acceso ÚNICA por CADA DNI

¿Y donde está esa clave de acceso? Buena pregunta, esa clave está impresa en el
DNI ¿Simple eh?. En realidad no es nada nuevo, como ya contamos hace algunos años[2], es una tecnología parecida al nuevo Pasaporte que también tiene tecnología RFID. Mucho se difamó el concepto, muchas cábalas se hicieron. Han pasado años y nada, sin noticias de que alguien haya conseguido vulnerar el sistema.

En el caso del nuevo DNI, las tecnologías que salvaguardan el acceso a los datos son 'MRZ' (Machine Readable Zone) y 'CAN' (Card Access Number). El caso del MRZ es lo mismo que en el Pasaporte. Un código que se 'lee' mediante OCR del pasaporte. Y en el caso del nuevo DNI, se añade CAN que es un número que aparece en la parte inferior derecha del anverso.

Si nos fijamos en la foto que ilustra este artículo, parece que a la pobre Mireia no se lo han explicado bien, ya que el número que sale en la foto (276224) es el código necesario para acceder a sus datos, su foto y su firma mediante RFID.

A partir de ese número (o el código MRZ) el lector y el DNI derivan y negocian una clave de sesión para el intercambio cifrado de datos. En principio tampoco se van a poder hacer ataques de tipo 'replay' en el caso de que alguien esté a la escucha de la conversación entre lector y DNI.

Entonces ¿Cómo queda la historia? Bueno, la historia termina con un dispositivo
RFID en tu bolsillo al que nadie que no tenga el DNI en su mano (para leer los códigos de acceso) va a poder acceder. Y si lo tiene en la mano, los datos que va a poder sacar son los mismos que puede leer mediante RFID.

En mi opinión, el paso a RFID, lejos de ser un movimiento ladino del gobierno para identificar manifestantes, va en el sentido de que se pueda usar desde dispositivos móviles y por consiguiente se le pueda sacar más utilidad. Actualmente, el hecho de necesitar lectores de tarjeta, ha sido un mazazo a la usabilidad ya que casi nadie los tiene o los quiere usar, pero ¿quién no va a tener un móvil con RFID de aquí a 3 años? Los habrá, seguro, igual de seguro que el número de personas que los tengan será notablemente superior al que hoy día tiene lector de tarjetas smartcard

PD: Algo muy parecido[3] se ha hecho ya en Alemania



[1]http://www.securitybydefault.com/2015/01/no-no-te-van-identificar-remotament
e.html [2]http://www.securitybydefault.com/2009/09/e-pasaporte-mitos-y-leyendas.html [3]https://www.bsi.bund.de/EN/Topics/ElectrIDDocuments/SecurityMechanisms/secur
PACE/pace_node.html


-
A reveure!!
Enric
__________________________________________________________________
FidoNet: 2:343/107.1 | beholderbbs.org | fidonet.cat | .es | .ws
InterNet: kishpa(at)kishpa(dot)com | kishpa.com | GPG#0xDCCB8CFC

... El tiempo libre es más volátil que el éter...
--- crashmail + golded + binkd
* Origin: Black flag & crossed bones : Eye Of The Beholder BBS! (2:343/107.1)