En época estival, es tiempo de playa, de piscina, de helados, de cervecitas con los amigos en las terrazas de verano, y sobre todo de una buena paella, sea donde sea y a la hora que sea. Y bueno, tras el atracón arrocero llegan las largas y distendidas sobremesas, hablando principalmente de temas totalmente trascendentales, metafísicos y de interés mundial. Qué va, la realidad es que siempre terminamos hablando de fútbol, de política y de cómo arreglar España en tres sencillos pasos… y en la mayoría de los casos lo hacemos como si nos fuera la vida en ello. Y es que cuando dicen que todos nosotros llevamos un entrenador dentro, creo que se equivocan; lo que realmente lleva cada español dentro es una mezcla de entrenador-político-filósofo que siempre sabe de todo y nunca se equivoca.
¿Y esto qué tiene que ver con seguridad? Os estaréis preguntando. Pues que en una de esas sobremesas tan agradables, salió a relucir un tema interesante y del que ha habido mucha polémica: El nuevo DNI 3.0 y la posibilidad de que con él te puedan identificar a distancia.
Esta polémica se desató a raíz de unas declaraciones que realizó el ministro del Interior, Jorge Fernández, en el programa “Los desayunos de TVE”, en las que afirmaba que con el DNI electrónico 3.0 la Policía podría empezar a localizar e identificar individuos a distancia. Esta información empezó a correr rápidamente por las redes sociales creando un revuelo considerable debido principalmente, a las implicaciones en materia de privacidad que esto supondría.
Debemos tener en cuenta que el nuevo DNI 3.0 incorpora el chip RFID (Radio Frequency IDentification) de radiofrecuencia y la tecnología NFC (Near Field Communication) por lo que a priori, podría ser factible que se pudieran identificar personas a distancia; sin embargo, nada más lejos de la realidad. ¿O no?
Y es que la única forma de acceder a los datos del nuevo DNI de forma remota es a través de una clave de acceso que es única para cada DNI. En otras palabras, si no conoces la clave, el DNI no te va a dar la información. A esta clave se la conoce como CAN (Card Access Number).
El Card Access Number es una clave numérica de seis dígitos que permite al lector de DNI 3.0 crear una clave de sesión para llevar a cabo el intercambio de datos de una manera cifrada.
¿Y dónde se encuentra la clave CAN? ¿Nos la dan en un sobre ciego cuando nos renovemos el DNI? Pues no, la clave CAN se encuentra impresa en el propio DNI. Si nos fijamos en la foto de Mireia Belmonte cuando se presentó el DNI 3.0, y ampliamos la imagen, vemos en la parte inferior derecha los 6 dígitos que conforman la clave.
Efectivamente el 276224 es el código necesario para acceder a la información de su DNI, pero bueno, tampoco nos llevemos las manos a la cabeza porque realmente se accedería a la misma información que si tuviéramos el DNI en la mano.
Resumiendo, para poder identificar a alguien remotamente con el nuevo DNI necesitas el CAN que está en el propio plástico. En el caso de que alguien quisiera hacerlo, ha de saber o tener contacto visual directo con el código y además estar a una distancia mínima, casi inexistente. Recordemos que para que la tecnología NFC funcione, el DNI debe estar como máximo a 3 cm del terminal y se ha mantener durante un segundo frente a él.
Sin embargo y sin entrar en mucho detalle, una clave de 6 dígitos no es que sea una clave robusta y por lo que parece el nuevo DNI no se bloquea tras X intentos fallidos de acceso, por lo que con herramientas adecuadas sería fácil averiguar esta clave a través de ataques de este tipo y acceder así a la información.
Sí, ya sé que se necesita estar cerca, pero haciendo uso de distintos dispositivos, la distancia de lectura del NFC se podría ampliar, por lo que en un sitio donde la gente permaneciera sentada durante un largo periodo de tiempo, como en un cine o un avión, SI que sería posible realizar este tipo de ataques.
Fuente de las imágenes: http://www.interior.gob.es/noticias/detalle/-/journal_content/56_INSTANCE_1YSSI3xiWuPH/10180/3140000/
La entrada Identificación a distancia… DNI 3.0 aparece primero en Security Art Work.
oy tenía que sacar uno de esos informes que requieren una gran dosis de concentración y me disponía a hacerlo trabajando desde casa. Además, antes debía responder a un importante e-mail enviado por mi jefe la tarde anterior.
En el mes de mayo se llevó a cabo el Tercer Congreso Internacional de Protección de Datos, donde la Súper Intendencia de Industria y Comercio (SIC) realizó el lanzamiento de la Guía para la implementación del Principio de Responsabilidad Demostrada (Accountability).
Ésta es la recta final de todo nuestro trabajo realizado donde demostraremos a la SIC el cumplimiento del programa integral de gestión de datos personales.
Lo que me ha llamado la atención es que por primera vez el experto en tecnología no es un gordo obsesionado por la pornografía, sino un yonki adicto a la morfina esnifada, lo cual le hace hablar como si acabara de despertarse de la siesta y hace muy difícil su comprensión para los que no somos nativos angloparlantes.
Después de un tiempo sin escribir nada por aquí (por tema de tiempo básicamente), me gustaría hablar sobre la certificación 
Después de medio año trabajando en un centro de servicios, he de decir que el número de incidencias que se tratan al cabo del día, semana o mes, es increíblemente mayor del que yo pensaba cuando entré, sin contar la atención a usuarios o proyectos determinados. Bueno, en realidad es mucho más mayor del que yo pensaba cuando me explicaron en la universidad el concepto de centro de servicios TI.
Recientemente la marca alemana de automoción Volkswagen (en adelante VW) ha visto cómo su imagen corporativa quedaba seriamente dañada a raíz de las investigaciones llevadas a cabo por la EPA (la Agencia de Protección Medioambiental Estadounidense) en colaboración con otros organismos del país.