En el presente artículo se identifica y analiza RFID para la identificación única, elemento clave de la computación ubicua. Con RFID se puede incluir en una red objetos inanimados, personas, animales, por ejemplo a nivel de Internet se pueden establecer vínculos con redes sociales Web 2.0, así como crear conexiones entre personas, máquinas y cualquier entidad inanimada como un cuadro. Las posibilidades que va ofreciendo la computación ubicua en conexión con RFID son inimaginables sin embargo es urgente su protección tanto desde la perspectiva de la seguridad como de la privacidad de modo que todos sus riesgos deben afrontarse con rigor.

Las siglas RFID (Radio-Frequency IDentification) hacen referencia a un método de de identificación unívoca y automática que se basa en almacenar y recuperar de forma remota datos utilizando unos dispositivos denominados etiquetas o tags RFID. La tecnología RFID también denominada DSRC (Dedicated Short Range Communication) incorpora el uso de acoplamiento electromagnético o electrostático en la porción de RF (Radio Frequency) del espectro electromagnético (frecuencias típicas utilizadas son: en el intervalo de 125 a 135 kHz (etiquetas LF pasivas); a 13,56 MHz (etiquetas HF); en el intervalo de 869 a 957 MHz. y a 2,45 GHz. (etiquetas UHF)) para poder identificar de forma unívoca a una persona, animal u objeto, se trata de una alternativa más evolucionada a los clásicos códigos de barras. Recientemente la UPU (Universal Postal Union) ha señalado que espera pronto adoptar RFID para el seguimiento de los tiempos de entrega del correo postal internacional en más de cien de sus naciones miembro. Gartner ve la tecnología RFID como un negocio de tres billones de dólares para el 2010.

Haciendo un poco de historia sobre la tecnología RFID parece que tiene sus orígenes en 1948 con el investigador Harry Stokman. Una de las aplicaciones iniciales fue durante la segunda guerra mundial cuando el Reino Unido utilizó dispositivos RFID para poder distinguir el retorno de sus de aviones ingleses de posibles aviones alemanes ya que el radar sólo podía señalar la presencia de un avión pero no la clase de avión si era amigo o enemigo. El uso comercial del RFID se produce a partir de los años noventa y la lista de sus aplicaciones hoy en día no tiene fin: seguimiento de productos en grandes compañías de venta al pormenor, etiquetas RFID en pacientes de hospitales, seguimiento de equipajes en aeropuertos, pasaportes, libros de bibliotecas, sensores RFID en vehículos para detectar movimiento, temperatura, calidad en alimentos, nivel de radiación, estado de neumáticos, posición GPS, etc.
De la lista creciente de beneficios del RFID algunos de ellos son: (i) Para los fabricantes y comerciantes minoristas: se reduce el inventario manual y se hace un uso menor del stock de seguridad, las ventas se incrementan debido al reducido fuera de stock, se aumenta y mejora la visibilidad
y disponibilidad del stock, se reduce el costo de transporte y volumen de embarque, predicciones y reabastecimiento de stock más preciso, reducidas amenazas y contracciones en la cadena de suministros, se consigue la integridad del producto. (ii) Para los clientes: mejora en la selección de productos, frescura de productos para productos con caducidad, identificación más fácil en reclamaciones, mejoras de productos en stock en las estanterías para cuando uno los desea.

Componentes de RFID
Los principales componentes en un sistema RFID son:
(1) Etiqueta o tag RFID es un objeto que puede adherirse, inyectarse o incorporarse a una persona, producto o animal para propósitos de identificación unívoca a distancia utilizando ondas de radio. Se compone de un substrato de base (PVC, papel, etc.) sobre el que se coloca una antena (interfaz sin contacto y a distancia de cobre, tinta conductora, etc.) y sobre la que se coloca un circuito integrado o chip (con memoria pre-mascarada o EEPROM y procesador), puede incluir una fuente de alimentación opcional y todo ello recubierto de una capa de resina epoxy, adhesivo o papel.  

Cada etiqueta RFID contiene un código único de 96 bits que facilita el proceso de identificación denominado EPC (Electronic Product Code), cuyo formato tiene cuatro campos: (i) Cabecera. Define la versión de EPC de 8 bits. (ii) Número gestor EPC. Describe el originador del EPC es decir del fabricante del producto de 28 bits. (iii) Número de clase de objeto. Describe el tipo de producto de 24 bits. (iv) Número de serie. Identificador único para ese elemento de producto de 36 bits. Las etiquetas RFID pueden clasificarse en activas (totalmente autónomas), semi-pasivas (utilizan batería de asistencia como refuerzo a la energización que les proporciona la unidad de lectura), pasivas (necesitan obligatoriamente la energía irradiada por la unidad lectora), de sólo lectura, de lectura-escritura y de escritura sólo una vez. Las etiquetas pasivas se programan por el fabricante o en la instalación, la alimentación eléctrica la obtienen de la energía transferida usando RF de la unidad lectora, no tienen batería, sólo disponen de alimentación si se encuentran en el campo de acción de una lectora, suelen almacenar pocos bytes, por ejemplo, 128 bytes, se pueden leer cientos de etiquetas a unos treinta centímetros a cinco metros de la lectora. Las etiquetas activas disponen de batería, duran de 2 a 6 años, la disponibilidad de alimentación es continua, se pueden leer miles de etiquetas a distancia de 100 metros o más y a velocidades como 160 km/h, disponen de memoria elevada de cientos de Kbytes, pueden integrar sensores: de presión, de temperatura, de aceleración, de cam-po magnético, de  posición GPS, de radiación, de log de alarmas, de nivel de vibración, de luz, de humedad, etc. Se utilizan para entidades de más valor como personas, activos electrónicos, contenedoras de embarque, etc.
(2) Unidades de interrogación o lectoras. Se utilizan para leer etiquetas RFID y en ciertos casos, incluso para escribir sobre ellas. Un peligro creciente es el diseño de antenas inteligentes de ganancia muy elevada que podrían leer etiquetas RFID desde muchos kilómetros de distancia, incluso vía satélite.
(3) Middleware. Es el interfaz necesario entre las bases de datos de la empresa y el software de gestión de información. Proporciona diferentes funciones: filtrado de datos, monitorización del sistema y coordinación de múltiples unidades lectoras.
(4) Software de aplicación de negocios. Se utiliza para gestionar los datos recogidos. Los dos puntos últimos no están exentos de todo tipo de amenazas a la seguridad de la información.

Amenazas en torno al RFID
La tecnología RFID ofrece oportunidades sin precedente para el robo, seguimiento encubierto y generación de perfiles de comportamiento. Sin apropiados controles, los atacantes pueden realizar lectura no autorizada de etiquetas RFID y seguimiento clandestino de la localización de personas, animales u objetos (correlacionando vistas de etiquetas). El snooping (fisgonear) es posible estableciendo escuchas clandestinas en las comunicaciones etiqueta/lectora. Los atacantes también pueden manipular los sistemas basados en RFID (por ejemplo sistemas de pago de venta al por menor) bien clonando etiquetas RFID, modificando los datos de la etiqueta existente o bien impidiendo que las etiquetas RFID sean leídas. A lo largo de la historia se han propuesto diferentes contramedidas contra dichas amenazas. La solución más simple es desactivar las etiquetas RFID bien permanentemente (utilizando técnicas como killing (utilizando el comando Hill EPCglobal), clipping (romper mecánicamente parte o toda la antena), RFID-Zapper (permite desactivar-destruir permanentemente tags pasivas) o frying) o temporalmente utilizando cajas de Faraday o modos sleep/wake o generadores de jamming. En criptografía se han ideado nuevos algoritmos para etiquetas RFID incluyendo primitivas criptográficas de clave pública, cifradores de bloque, cifradores de flujo y protocolos de bajo peso computacional para autenticación. Así mismo se han de-sarrollado mecanismos de control de acceso localizados en la propia etiqueta (bloqueos basados en hash y pseudónimos) o bien fuera de ella como bloqueadores de etiquetas o proxy de mejora RFID. Algunas implicaciones de privacidad son: (i) Detectar la presencia de una etiqueta RFID. Normalmente señala la presencia de un ser humano. (ii) Determinar el origen de la persona que lleva las etiquetas. (iii) Seguimiento. Correlación de múltiples observaciones del identificador de la entidad/etiqueta RFID. (iv) Hotlisting. El atacante posee por adelantado una lista de etiquetas/entidades que desea reconocer. (v) Re-escribir etiquetas. Por ejemplo utilizando cookies o malware. Las principales preocupaciones en privacidad sobre RFID son: los identificadores son únicos para todos los objetos a nivel mundial, es posible una correlación de datos masiva, es posible un seguimiento de individuos y obtención de sus perfiles de comportamiento, los datos almacenados en una etiqueta se pueden alterar, las etiquetas se pueden leer a distancia (incluso vía satélite), se pueden ocultar lectoras y ocultar la colocación de etiquetas RFID, colocando etiquetas señuelo para que el cliente las destruya. RFtracker.com permite hacer búsquedas por número de etiqueta RFID, existen nombres de personas asociadas en una base de datos. RFtracker.com mantiene dos BDs, una con coincidencias de números de etiqueta con las personas que poseen artículos con esos números y otras BD que guarda registros de vistas de etiquetas RFID por lectoras localizadas a nivel mundial con fecha-hora, lugar y número de etiqueta RFID.
Consideraciones finales
Nuestro grupo de investigación lleva trabajado más de quince años en tecnología RFID, donde la computación ubicua representa un presente y futuro sin límites desde diversos puntos de vista ofensivo, defensivo, de diseño de tags, de síntesis de unidades lectoras no convencionales, antenas, gestión del riesgo, tests de ataques y contramedidas, etc.

Este artículo se enmarca en las actividades desarrolladas dentro del proyecto LEFIS-APTICE (financiado por Socrates).

Bibliografía

-    Areitio, J. “Seguridad de la Información: Redes, Informática y Sistemas de Información”. Cengage Learning-Paraninfo. 2009.
-    Areitio, J. “Consideraciones sobre seguridad en torno a la tecnología RFID”. Revista Conectrónica. Nº 105. Marzo 2007.
-    Areitio, J. “Análisis en torno a las tecnologías para el encubrimiento de información”. Revista Conectrónica. Nº 109. Julio-Agosto 2007.
-    Areitio, J. “Análisis en torno a la seguridad forense, técnicas antiforenses, respuesta a incidentes y gestión de evidencias digitales”. Revista Conectrónica. Nº 125. Marzo 2009.
-    Lee, W., Wang, C. and Dagon, D. “Botnet Detection: Countering the Largest Security Threat”. Springer. 2007.
-    Howard, R. “Cyber Fraud”. Auerbach Publishers, Inc. 2009.
-    Flegel, U. “Privacy Respecting Intrusion Detection”. Springer. 2007.

Autor:

Prof. Dr. Javier Areitio Bertolín – E.Mail: Esta dirección de correo electrónico está siendo protegida contra los robots de spam. Necesita tener JavaScript habilitado para poder verlo.
Catedrático de la Facultad de Ingeniería. ESIDE.
Director del Grupo de Investigación Redes y Sistemas.
Universidad de Deusto.

Más información o presupuesto