El DNI 3.0 tiene una debilidad; sus descubridores nos lo explican


Desde Enero del 2015, todos los DNIs que se expiden en España son 3.0. Pero tienen una debilidad que todos debemos conocer, porque los ciberatacantes ya lo saben. Los investigadores que la han descubierto proponen una solución a las autoridades de Interior.


Juan Carlos García Escartín, investigador de la Universidad de Valladolid.

Ricardo J. Rodríguez, investigador del Centro Universitario de la Defensa.


Adelantos. –¿Qué es exactamente el DNI 3.0?

Juan Carlos García-Escartín y Ricarlo J. Rodríguez. –Es un documento de identificación electrónico que permite realizar trámites por Internet. La tarjeta contiene un chip con un certificado que permite al usuario demostrar su identidad y datos que le identifican.

–¿Cuál es la diferencia esencial con el anterior DNI electrónico?

–La anterior versión del DNI electrónico ya ofrecía la posibilidad de identificarse en el mundo digital. El DNI 3.0 introduce la opción de conexión sin contacto, al igual que las nuevas tarjetas de crédito/débito. Gracias a una interfaz NFC se puede operar con el DNI usando muchos móviles y tablets modernos sin necesidad de tener un lector de tarjetas específico en el que introducir el DNI.

–¿Se han introducido cambios en el 3.0 desde el 2015, en que empezó a ser expedido?

–Como en cualquier sistema de seguridad, hay actualizaciones periódicas para prevenir posibles vulnerabilidades. La modificación más importante ha ocurrido recientemente al sustituir los certificados emitidos desde 2015 por un problema de software que generaba claves privadas menos aleatorias de lo que se suponía que eran. Aunque las claves generadas eran relativamente seguras, el nivel de protección era menor que el máximo teórico. El problema se debía al software del chip y ha afectado a tarjetas de identificación de otros países, como Estonia.

Noticia al respecto: http://www.eleconomista.es/tecnologia/noticias/8785052/12/17/El-certificados-electronico-del-DNI-vuelve-a-activarse-tras-aplicar-Interior-soluciones-tecnicas.html

Artículo original que describe la vulnerabilidad:

https://crocs.fi.muni.cz/_media/public/papers/nemec_roca_ccs17_preprint.pdf

–¿Qué gestiones permite hacer el DNI 3.0?

–El DNI 3.0 permite hacer trámites con la Administración a distancia. Por ejemplo, permite al ciudadano identificarse para realizar la Declaración de la Renta, consultar los puntos del carné de conducir, o inscribirse a oposiciones. También permite firmar documentos digitalmente. Esta firma tiene validez legal y permite su uso en el ámbito privado.

Página oficial:

https://www.dnielectronico.es

–Ustedes han detectado un problema que favorece al ciberatacante. ¿Cuál es el problema y cuál la solución que ustedes proponen?

–Al incorporar una interfaz a distancia, un atacante podría comunicarse con una tarjeta que no ve y a la que no tiene acceso directo. Aunque el acceso NFC está limitado a distancias menores a unos 20 cm, en teoría es posible infectar un móvil para que intente leer los datos de una tarjeta que detecte en su proximidad. Para evitar esto, el DNI 3.0 incluye un protocolo de autenticación que usa como clave inicial los datos personales impresos en el DNI. Se trata de una medida efectiva, pero el software actual no detecta múltiples intentos de conexión. Así, un atacante podría probar uno por uno todos los valores posibles de la clave inicial (conocido como ataque de fuerza bruta). Es un ataque costoso y difícil pero que se podría realizar sin que el usuario lo perciba. Hemos propuesto una modificación muy sencilla que hace que este ataque por fuerza bruta se vuelva impracticable: sólo es necesario un contador que registre intentos de conexión fallidos sucesivos. El software introduciría un temporizador que se activa tras dos o tres intentos de conexión fallidos forzando una espera de décimas de segundo entre intentos sucesivos de conexión. Para un uso habitual, este retardo no se nota, pero impide que un atacante pueda adivinar la clave inicial por fuerza bruta (necesita millones de intentos y el pequeño retardo se acumula en un gran tiempo de espera). La medida se ha propuesto a los responsables de la implementación del DNI 3.0 y será considerada en futuras revisiones.

–¿Qué otros aspectos serían mejorables, a juicio de ustedes?

–Otros aspectos posibles a mejorar serían más de usabilidad que de seguridad. A pesar de que ha mejorado en los últimos años, el uso del DNIe todavía es complicado para el usuario final. La configuración del sistema para poder utilizarlo puede resultar complicada para un usuario no técnico (o incluso para usuarios técnicos en determinados escenarios). Además, el DNIe tiene multitud de usos posibles, y sin embargo, poca gente a día de hoy lo utiliza realmente.


Referencia bibliográfica:

Rodríguez, R. J., y Garcia-Escartin, J. C. (2017). “Security assessment of the Spanish contactless identity card”. IET Information Security, 11(6), 386-393.


Imagen portada: modelo de DNI 3.0


Este sitio web utiliza cookies para que usted tenga la mejor experiencia de usuario. Si continúa navegando está dando su consentimiento para la aceptación de las mencionadas cookies y la aceptación de nuestra política de cookies, pinche el enlace para mayor información.plugin cookies

ACEPTAR
Aviso de cookies