PKI at the door (La PKI llama a tu puerta)

Hasta ahora el control de acceso físico en las organizaciones (la apertura de puertas) se basa en el uso de una tarjeta de proximidad que utiliza la tecnología RFID (contactless card). Los lectores se encargan de leer en la mayoría de los casos el número de serie único que el fabricante graba en cada tarjeta, o bien alguna información grabada en la memoria del chip, para posteriormente verificar dichos datos contra una base de datos para obtener los permisos de acceso (día y horario, autorización, etc.) y proceder o no a la apertura de la puerta.

Este esquema de cerraduras electrónicas, que lleva años reemplazando a las cerraduras mecánicas, permite una mayor seguridad con un mayor control dejando registro de quien accede y limitando el acceso a determinados horarios o fechas (p.e. días laborables) y permitiendo la revocación de las tarjetas (o llaves electrónicas) a través de la base de datos. Es frecuente ver este funcionamiento en multitud de hoteles que utilizan tarjetas de banda magnética o chip de radiofrecuencia RFID para habilitar el acceso a las habitaciones y que se desactivan cuando finaliza el periodo contratado.

Una posible evolución de este funcionamiento es lo que se ha dado en llamar "PKI at the door" y que emplea un par de claves de cifrado asimétrico (contenidas en una tarjeta criptográfica en forma de certificado digital) y que hasta ahora se utilizaban para el control de acceso a equipos o aplicaciones, también para el control de acceso físico.

¿Pero que aporta esta nueva tecnología? ¿Por qué es necesaria esta evolución?. Pues bien, hasta ahora la emisión de llaves electrónicas estaba limitada a la propia organización mediante la edición de la base de datos de acceso (o el acceso a los equipos controladores de acceso) y la seguridad no incluía la validación de la autenticidad de la tarjeta. Es decir, que hoy es posible con un equipo sencillo, duplicar una tarjeta de acceso físico. La tecnologia PKI proporciona un nivel superior de seguridad, al permitir la emisión por terceros de confianza (Autoridades de Certificación) de elementos únicos sin posibilidad de duplicación, permitiendo la externalización de la emisión de llaves manteniendo el control de acceso a nuestras instalaciones.

Además, la tecnología PKI at the door, permite el uso del protocolo OCSP para realizar una validación del estado de revocación del certificado contenido en la tarjeta mediante una pequeña transaccion de red (< 1K) para comprobar la vigencia de dicha llave.

No obstante la adopción de esta nueva tecnología no está exenta de obstaculos, principalmente la necesidad de contar con una buena infraestrura de red, los costes de cambiar los lectores y tarjetas y la mayor complejidad de administración. Entre las ventajas, podemos destacar la unificación de las credenciales para el acceso físico y logico a los sistemas de información, obteniendo los beneficios de una seguridad unificada y convergente.

En los próximo años podremos ver si esta tecnología es aceptada y adoptada por las organizaciones, y si los beneficios que proporciona convencen para afrontar los posibles obtaculos para su adopción. De momento, parece que la especificación de seguridad FIPS 201, relacionada con tarjetas de identificación para los empleados del gobierno de Estados Unidos, incluirá PKI on the door.
Os dejo un video (en inglés) donde algunos importantes fabricantes del sector dan su visión acerca de esta tecnología.
http://www.secureidnews.com/2010/10/18/industry-discusses-pki-at-the-door?issue=secureidnews_20101019

También la revista re:ID publicó en su número de primavera un especial sobre PKI on the door
http://www.regardingid.com/images/reid_spring10_web.pdf
Un saludo
Rames

Encuesta: 63% de los consumidores prefieren la huella dactilar al PIN para la seguridad de sus tarjetas de crédito

Una reciente encuesta online realizada por Unisys Corp. en Estados Unidos, indica que dos tercios de los consumidores consideran más seguro el reconocimiento de la huella dactilar como método para verificar la identidad de su tarjeta de crédito frente a otros métodos como la identificación mediante fotografía, el uso de un código PIN o la verificación de la firma manuscrita.

La encuesta online fué realizada el pasado 20 de Septiembre a unos 305 encuestados. Los resultados indican una mayor aceptación del consumidor del uso de tecnologías biométricas para asegurar las transacciones financieras y evitar la suplatación de identidad.

En respuesta a la pregunta: "¿Cual creé usted que es el método más seguro para verificar que su tarjeta de crédito es solo utilizada por usted?", un 63% de los encuestados prefieren el uso de la verificación biométrica de su huella dactilar como el mejor método para la verificación de su identidad, un 20% prefiriño la identificación mediante la fotografía, un 13% indicó su preferencia por el uso del código PIN y un 6% consideró la firmas manuscrita como el método preferido.

El vicepresidente de soluciones de identidad de Unisys, Bryan Ichikawa, afirmó que "A medida que avanzamos hacia una era cada vez más digital, los métodos tradicionales de verificación de identidad ya no son suficientes y como muestra nuestra encuesta, la identificación biométrica es un método válido y preferido de autenticación de identidad que podrían resultar útiles en una variedad de campos, incluso más allá de la banca como en la seguridad sanitaria y el transporte."

Ahora que el mercado de las tarjetas bancarias se mueve hacia la especificación EMV, que sustituye el uso de la banda mágnética por un chip criptográfico para luchar contra el fraude, y los dispositivos biométricos de huella dactilar se han popularizado y abaratado, es el momento propicio para que la proxima generación de tarjetas de crédito proporcionen la posibilidad al usuario de incluir en la tarjeta su huella dactilar como alternativa al uso del PIN, lo que según la encuenta aumentaría la confianza de los usuarios y facilitaría el uso de las tarjetas evitando el inconveniente de recordar multiples códigos PIN de diferentes tarjetas. Por contra, supondría una inversión en hardware para actualizar los terminales de pago para incluir lectores biométricos.

Un saludo
Rames.