¿Dónde puedo obtener información legítima de protección al consumidor sobre los riesgos de seguridad de las tarjetas RFID, los pasaportes y ahora los nuevos pagos móviles, ya que a Mythbusters se le prohibió hacer su programa sobre RDIF en 2008, ya las instituciones emisoras no parece importarles? ¿Sobre la transparencia y la educación del consumidor?

Creo que la razón principal por la que no puede encontrar información es porque no puede haber: el sistema no tiene problemas relacionados con la operación RFID. Es solo un medio para comunicarse. Es como enfocarse en el cable USB cuando le preocupa que los piratas informáticos obtengan información de su disco duro externo.

Las etiquetas RFID vienen en diferentes sabores (frecuencias, arquitecturas IC, etc.). Las etiquetas Mifare DESFire pueden autenticarse usando AES, pero las etiquetas Mifare Classic podrían ser pirateadas por fuerza bruta en días (a veces, horas o minutos). Escuché que había clones chinos de Mifare Classic en los que se podía volver a escribir el segmento CardSerialNumber de la memoria … Recuerdo un artículo hace muchos años que afirmaba que algunas personas en una universidad podían plantar un virus informático dentro de una etiqueta UHF RFID de 96 bits: fue capaz de leer el documento y el error estaba en el software de la PC: si los 96 bits no cumplían con lo que el software esperaba, se bloqueaba (como cuando estás aprendiendo a programar y no consideras que un usuario pueda insertar texto donde esperas) números). Fue realmente tonto.

En el caso de los pasaportes, que yo sepa, se autentican utilizando AES128 y contienen datos personales y biométricos. Los datos personales también se imprimen en el pasaporte y los datos biométricos (como cada biométrico) probablemente funcionarán solo con los sistemas gubernamentales. Probablemente podría clonarlo (si es un genio) pero no podría incluirlo en un pasaporte real (tendría que ser semiconductores NXP o ser dueño de un fabricante chino). Es casi el mismo caso que con las tarjetas inteligentes de contacto que usan los bancos en Europa y México.

Hice una comprobación rápida de los enlaces que brindan y, francamente, creo que las personas involucradas no hicieron un buen trabajo explicando lo que realmente está sucediendo. Por supuesto, puedo leer una etiqueta y copiarla en otra: pero hay una razón por la que puedo hacerlo (modelo de etiqueta, su costo, su propósito original) y lo que realmente está haciendo la industria. Los enlaces son antiguos y puedo asegurarles que las etiquetas RFID HF utilizadas en 2006 no son las que se utilizan hoy en día.

También leí algunos comentarios: creo que la mayoría de las personas que comentan no tienen experiencia en el uso de un buen segmento de la variedad de sistemas RFID.

Finalmente, creo que conozco el “por qué” del caso de Mythbusters que mencionas: a la gente (y francamente, más en los EE. UU.) Les gusta usar sombreros de aluminio. La tecnología es un poco complejo para un programa como Mythbusters, por lo que tendrían que enfocarse en la industria de las tarjetas de crédito, ¡que aún usaban bandas magnéticas! Deberían decir: “Bueno, lo que viene viene con RFID, pero estamos probando porque esto es 2007 y no sabemos si la NFC va a funcionar … ahora mismo tenemos esta cosa de banda magnética que es un poco mejor que una código de barras que en realidad podría copiar con xerox “… Además, los directores de Mastercard y Visa … bueno … jeje

Querían un episodio de “mitos de RFID” … ¡deberían haberme llamado! He dado una buena charla sobre esto en un par de universidades y empresas desde 2007 … en México