LA VERDAD SOBRE LA CLONACIÓN DE TARJETAS
En el futuro, los fabricantes de chips RFID y sistemas de
control de acceso deben estar atentos y responder rápidamente a un panorama
criminal que cambia rápidamente.
¿Qué es la clonación de tarjetas?
La clonación de tarjetas es el acto de duplicar la
información almacenada en una tarjeta RFID de control de acceso con el fin de
copiarla en otra tarjeta. Miles de millones de tarjetas RFID (identificación
por radiofrecuencia) se utilizan en todo el mundo en todas las industrias. Ya
sea que esté ingresando a una oficina, un centro recreativo, un bloque
residencial o un sitio de construcción, lo más probable es que ya haya usado
uno en algún momento.
¿Cuáles son los riesgos de la clonación de tarjetas?
Las tarjetas magnéticas son un tipo de credencial. Las
credenciales se utilizan para validar la identidad y los derechos de acceso de
las personas que intentan ingresar a un edificio o área. Si la credencial de
una persona ha sido copiada y utilizada por otra persona, su seguridad se ve
comprometida. En el caso menos grave, perderá la confiabilidad de sus informes,
ya que no sabrá quién está usando qué credencial. En el peor de los casos, un
intruso podría acceder a sus zonas seguras para todo tipo de fines maliciosos.
¿Cómo se clonan las tarjetas?
Hay una gran variedad de diferentes tarjetas y credenciales
disponibles en la actualidad. Ninguno puede ofrecer una seguridad 100%
garantizada, pero hay opciones más y menos arriesgadas. Las credenciales más
susceptibles al riesgo de clonación son aquellas que utilizan tecnología
heredada sin cifrado.
En 1975, se inventó la identificación por radiofrecuencia y se
introdujeron las tarjetas de proximidad de 125 kHz. Estos siguen siendo una
opción muy popular en todo el mundo, gracias a su conveniencia y bajo costo. En
un informe de 2020, HID Global descubrió que el 51 % de las empresas
encuestadas utilizan credenciales de proximidad de 125 kHz en su organización.
Sin embargo, las tarjetas de proximidad son las más vulnerables a los ataques.
Las tarjetas de proximidad llevan una cadena de código
binario en un pequeño chip incrustado dentro de la tarjeta. Cuando se presenta
al lector, la tarjeta transmite el código a través de ondas de radio a una
frecuencia de 125 kHz. Si el lector reconoce el código, la puerta se
desbloqueará y el usuario podrá entrar.
Sin embargo, como los datos se transmiten sin ningún tipo de
cifrado para ocultar el mensaje, existe el riesgo de clonación. La transmisión
se puede interceptar fácilmente y el código se puede guardar y copiar en una
nueva tarjeta. ¡Las copiadoras RFID se pueden comprar en línea por tan solo $
15.00! Por lo tanto, es importante que los administradores de las instalaciones
sopesen el bajo costo de las credenciales de proximidad con el costo potencial
de una brecha de seguridad debido a la clonación de tarjetas.
¿Las tarjetas de alta frecuencia son más seguras que las de
proximidad?
El siguiente paso más común desde las credenciales de
proximidad de 125 kHz es MIFARE® Classic de 13,56 MHz. Este es un tipo de
tarjeta inteligente. Desarrolladas para combatir las vulnerabilidades de las
tarjetas de proximidad, las tarjetas inteligentes pueden llevar una variedad de
información diferente a la vez. También transmiten sus datos a una frecuencia
mucho más alta que las tarjetas de proximidad, más de¡diez veces más alta!
La diferencia crucial en las tarjetas inteligentes fue el advenimiento
de la autenticación. Esto significa que no toda la información guardada en la
tarjeta está disponible públicamente. Cuando se presenta la tarjeta al lector,
los datos confidenciales que contiene no se transmiten hasta que se autentica
la tarjeta. El proceso de autenticación verifica que la tarjeta presentada sea
parte del sistema y no de un atacante externo. Una vez autenticado, el código
de identificación se transmite como de costumbre y se permite la entrada al
usuario.
La adición de autenticación hace que las credenciales de
MIFARE Classic sean más difíciles de clonar, pero no imposible. Un pirata
informático potencial solo necesita identificar la clave de acceso correcta que
se utiliza para la autenticación. Muchas empresas nunca cambian la clave que
fue proporcionada por el fabricante. Incluso hay aplicaciones simples para
teléfonos inteligentes que utilizan la tecnología NFC integrada del teléfono
para clonar tarjetas de 13,56 MHz.
Como resultado de los avances tecnológicos que pueden crackear
los sistemas MIFARE Classic, el fabricante de estas credenciales recomienda
migrar a productos de mayor seguridad.
¿Cómo proteger su organización de la clonación de tarjetas?
Hay una serie de medidas que puede tomar para reducir el
riesgo de una violación de seguridad debido a la clonación de tarjetas. Estos
incluyen optar por un tipo de tarjeta o credencial con un mayor nivel de
seguridad incorporado e implementar un proceso de autenticación de múltiples
factores.
Credenciales MIFARE® DESFire® EV2
En respuesta a las debilidades de seguridad descubiertas en
su tecnología MIFARE Classic, se introdujo una nueva generación de chips RFID.
Los chips MIFARE DESFire EV2 utilizan la misma frecuencia de transmisión de
13,56 MHz, pero la combinan con el cifrado y descifrado seguro de los datos a
medida que pasan de la tarjeta al lector.
El DES significa Estándar de Cifrado de datos (por sus
siglas en inglésData Encryption Standard). FIRE significa Rápido, Innovador,
Confiable, Mejorado (por sus siglas en inglés: Fast, Innovative, Reliable,
Enhanced). La capa adicional de encriptación agregada a la comunicación entre
la tarjeta y el lector se adhiere al estándar AES de 128 bits. Este método de
cifrado fue seleccionado por el gobierno de los EE. UU. como un cifrado de bloque
simétrico estándar para proteger información clasificada.
Las credenciales MIFARE DESFire EV2 no se pueden clonar.
Incluso usando una supercomputadora, se necesitarían mil millones de años para
descifrar una clave AES de 128 bits usando métodos de fuerza bruta (3).
Naturalmente, las tarjetas integradas con este nivel de seguridad son más caras
que las alternativas de baja frecuencia. Sin embargo, la inversión adicional en
tarjetas que no se pueden clonar viene con la confianza y la tranquilidad de saber
que sus edificios y bienes están seguros.
El control de acceso ATRIUM KRYPTO de CDVI está equipado con
encriptación de extremo a extremo. Desde el servidor seguro hasta el
controlador, el lector y las credenciales, los datos transmitidos están
fuertemente protegidos.
Credenciales virtuales Krypto Mobile-PASS
Las credenciales MIFARE DESFire EV2 ofrecen un nivel
indescifrable de seguridad integrada, lo que significa que no se pueden clonar.
Sin embargo, si la tarjeta de acceso genuina de alguien se pierde o es robada,
un intruso aún podría usarla para obtener acceso falso a áreas seguras. Este es
un riesgo pequeño pero real para todos los tipos de credenciales físicas.
Para combatir esto, CDVI desarrolló las credenciales
virtualesKrypto Mobile-PASS. Esta solución innovadora utiliza las tecnologías
Bluetooth y NFC integradas en los teléfonos inteligentes modernos. Su
credencial está contenida en una aplicación de descarga gratuita y se emite
solo para usted. Cuando se acerque a la puerta, puede usar su teléfono
inteligente para validar su identidad y obtener acceso. Es significativamente
menos probable que pierda u olvide su teléfono inteligente en comparación con
una tarjeta magnética. Además, incluso si un atacante roba su teléfono, no
podría ingresar sin desbloquear primero el teléfono.
Las credenciales Mobile-PASS utilizan tecnología MIFARE
DESFire EV2 encriptada. Eso significa que se benefician del cifrado AES de 128
bits y tampoco se pueden clonar.
Autenticación multi-factor
Los sistemas de control de acceso que utilizan autenticación
multi-factor requieren que el usuario proporcione más de un método para validar
su identidad antes de permitir el acceso. Probablemente te hayas encontrado con
esto al iniciar sesión en una cuenta en línea; a menudo se te pide que ingreses
tu contraseña y luego ingreses un código enviado a tu teléfono móvil. La
autenticación multi-factor (MFA) también se puede implementar en los sistemas
de control de acceso físico para mejorar la seguridad. Esto podría incluir:
• Un lector de huellas dactilares y una tarjeta magnética.
• Una tarjeta magnética y un código de teclado.
• Reconocimiento facial y reconocimiento de huellas
dactilares, además de un código de teclado.
Agregar pasos adicionales al proceso de autenticación
aumenta enormemente la seguridad general del sistema. Las posibilidades de que
un método sea falsificado, clonado o pirateado son bajas. Las posibilidades
cuando hay más de un método son solo una fracción de esa posibilidad ya baja.
En relación con el control de acceso lógico (acceso a archivos, sistemas y
datos informáticos), MFA reduce el riesgo de compromiso de identidad hasta en
un 99,9 % en comparación con las contraseñas solas.
La terminal de reconocimiento facial iface™ de CDVI se puede
configurar para MFA de forma rápida y sencilla. Agregando un requisito para un
código de teclado o una tarjeta/etiqueta MIFARE DESFire EV2 toma segundos.
iface™ ya ofrece la seguridad inherente del reconocimiento facial 3D que no se
puede engañar con una fotografía. Agregar un código o una tarjeta también crea
un sistema sólido y confiable que reduce al mínimo el riesgo de violación
mediante clonación o suplantación de identidad.
La clonación de tarjetas sigue siendo un riesgo pequeño pero
real para la integridad de los sistemas de seguridad en muchas empresas.
Quienes operan con credenciales RFID heredadas son vulnerables a la clonación
si un atacante obtiene una tarjeta magnética o una etiqueta legítima. La
tecnología ha avanzado para enfrentar y superar el riesgo de clonación al introducir
un mejor cifrado y métodos de validación más seguros. Sin embargo, cada vez que
la tecnología de seguridad ha dado un paso adelante, la tecnología criminal no
se ha quedado atrás. En el futuro, los fabricantes de chips RFID y sistemas de
control de acceso deben estar atentos y responder rápidamente a un panorama
criminal que cambia rápidamente.
