Autenticación mediante chip
La autenticación por chip es un protocolo mediante el cual el chip de un pasaporte electrónico demuestra que contiene una clave privada que nunca ha salido del dispositivo y, al mismo tiempo, establece una sesión fuertemente cifrada con el lector. Es el mecanismo que impide la clonación: un atacante puede copiar todos los bytes de un chip y, aun así, fracasar, ya que la copia no puede demostrar que posee la clave.
| Lo que demuestra | Este chip físico contiene la clave privada que, según afirma, |
| Derrotas | Chips clonados que contienen datos copiados |
| Efecto secundario | Establece un cifrado sólido de la sesión para todo lo que venga a continuación |
| Ubicación clave | Generado en el chip; nunca se puede leer, solo se puede utilizar |
| Parte de | Control de acceso ampliado, junto con la autenticación de terminales |
| Especificado en | BSI TR-03110, al que hace referencia el Doc. 9303 de la OACI |
| Predecesor | Autenticación activa: un sistema de desafío-respuesta más sencillo |
Tres preguntas diferentes, tres protocolos diferentes
Los mecanismos de seguridad de un Chip del pasaporte electrónico A menudo se habla de ellos como si fueran lo mismo. Pero no lo son. Cada uno responde a una pregunta distinta, y confundirlos da lugar a afirmaciones exageradas.
| Protocolo | Pregunta a la que responde | Lo que no te puede decir |
|---|---|---|
| Autenticación pasiva | ¿Estos datos los ha publicado un gobierno y no se han modificado? | Si el chip en sí es auténtico |
| Autenticación activa | ¿Puede este chip responder a un desafío con su clave privada? | No se menciona nada sobre la seguridad de la sesión |
| Autenticación mediante chip | ¿Es este chip la clave? ¿Podemos hablar ahora con total seguridad? | Si el lector está autorizado |
| Autenticación de terminales | ¿Está autorizado este lector a solicitar datos confidenciales? | Cualquier cosa sobre el chip |
La autenticación pasiva es la base y resulta realmente eficaz: una firma del Estado emisor en cada grupo de datos. Pero tiene un punto débil. Verifica los datos, no el silicio. Si se copia el contenido de un chip auténtico en uno en blanco, la autenticación pasiva sigue siendo válida, ya que la firma permanece intacta.
La autenticación mediante chip cubre esa laguna.
Por qué la autenticación mediante chip es importante para la verificación de la identidad
La distinción entre «estos datos se han generado de forma auténtica» y «este chip es auténtico» es la diferencia entre detectar una falsificación de datos y detectar una réplica de hardware. Ambos tipos de ataques existen.
La autenticación pasiva por sí sola permitiría a un atacante que hubiera obtenido una copia legítima del chip —ya sea de un pasaporte robado, una base de datos filtrada o un proceso de expedición comprometido— crear un documento cuyo chip pasara la verificación. La autenticación por chip hace que esa copia sea inútil sin el hardware original, ya que la clave necesaria nunca formó parte de la copia en primer lugar.
El cifrado de la sesión es una segunda ventaja a la que se presta menos atención. Una vez completada la autenticación del chip, el canal entre el chip y el lector queda protegido con claves derivadas de dicho intercambio, lo que impide el espionaje de los datos confidenciales que se transmiten a continuación. Para verificación de documentos de identidad, esto es lo que hace que la lectura de datos biométricos a través de un enlace de radio sea justificable.
Lo que la autenticación por chip no puede hacer
No dice nada sobre los datos. Un chip auténtico puede contener datos que nunca se emitieron de forma válida si el propio proceso de emisión se vio comprometido. La autenticación pasiva sigue siendo necesaria: ambas son complementarias, no alternativas.
No dice nada sobre el titular. El chip es auténtico, los datos están firmados y, aun así, la persona que lo presenta podría ser un impostor. Esa brecha solo se cierra con detección de actividad y la comparación biométrica.
El apoyo no es universal. Los chips más antiguos, en cambio, utilizan la autenticación activa o, en su defecto, solo la autenticación pasiva. Un proceso de verificación debe poder gestionar los documentos que no puedan llevarla a cabo.
No puede detectar un documento robado. Un chip auténtico en un pasaporte cuya pérdida se denunció la semana pasada supera todas las comprobaciones criptográficas. Para ello se necesitan fuentes de datos externas, no una criptografía más avanzada.
Preguntas frecuentes
¿Cuál es la diferencia entre la autenticación por chip y la autenticación pasiva?
La autenticación pasiva verifica la firma del estado emisor sobre los datos almacenados, lo que demuestra que los datos fueron emitidos y no han sido alterados. La autenticación por chip demuestra que el chip físico contiene una clave privada que nunca ha salido del hardware. La autenticación pasiva por sí sola aceptaría un chip clonado que contuviera datos auténticos copiados; la autenticación por chip, en cambio, no lo haría.
¿La autenticación mediante chip impide la clonación de pasaportes?
Impide específicamente la clonación de chips. Un atacante que copie todo el contenido de un chip auténtico a otro hardware obtendrá un resultado que superará la autenticación pasiva, pero fallará en la autenticación del chip, ya que la clave privada nunca formó parte de los datos legibles.
¿En qué se diferencia de la autenticación activa?
Ambas demuestran que el chip contiene una clave privada. La autenticación activa es un sistema de desafío-respuesta más sencillo que solo demuestra la posesión del chip, nada más. La autenticación mediante chip, además, establece claves de sesión, por lo que todo lo que se transmita a partir de ese momento queda cifrado de forma segura.
¿Todos los pasaportes electrónicos admiten la autenticación mediante chip?
No. Es posible que los documentos más antiguos solo incorporen la autenticación pasiva o la autenticación activa como medida contra la clonación. La compatibilidad se ha ampliado con el tiempo, pero un proceso de verificación no puede dar por sentado que esté presente.
