Riesgo de fraude con tecnología RFID

RFID (radio frecuence ID) es un método de control de mercancía basado en etiquetas electrónicas incorporadas en los artículos, capaces de emitir a distancia por radiofrecuencia, información que identifica la mercancía que la transporta, sin necesidad de establecer una lectura física de la etiqueta como ocurre con el sistema de código de barras. Lo que simplifica tremendamente el control de stocks y seguimiento de productos a lo largo de toda la cadena de distribución, desde su incorporación a los productos en fábrica, hasta la venta en el comercio detallista, generando finalmente automáticamente el ticket de compra del consumidor final. (Para mayor información sobre RFID, les remito al editorial “El gran hermano del futuro” y dos artículos sobre el tema, “RFID, el código de barras del futuro” 1 Parte y 2 Parte escritos en “la Flecha”),

Últimamente expertos en seguridad han avisado de posibilidad de defraudar a los comerciantes mediante diferentes manipulaciones de las etiquetas RFID que básicamente se agrupan en dos apartados, los riesgos derivados de manipular físicamente la etiqueta adherida a los productos y los derivados de cambiar la información digital emitida por la etiqueta.

Manipular las etiquetas

Supongamos que alguien cambia la etiqueta de un magnífico jamón de Jabugo por la de otro jamón curado en cámara, al llegar a la caja y pasar el carrito por el detector, la máquina facturará el producto como de calidad inferior, Aun hay un riesgo mayor, puesto que se supone que no hay verificación manual de los productos contenidos en el carro durante el proceso de confección del ticket de caja, si simplemente si se elimina la etiqueta adherida al jamón, la máquina no detectara que el artículo está en el carrito de la compra y no lo facturará.

Para combatir este riesgo, siempre que sea posible, los fabricantes colocarán las etiquetas RFID en lugares difícilmente accesible al público, al ser absolutamente inocua e inerte, la etiqueta se puede colocar debajo de la corteza del jamón. En otros productos se colocará en el interior de los envases o en los tapones, o embutida en el material de que este fabricado el objeto, recordemos que una de las características del RFID es que no se necesita ver la etiqueta.

De todas formas existe el riesgo que los ladrones traten de hurtar mercancía por el procedimiento de localizar la etiqueta e inutilizarla. Si el establecimiento opta por un sistema de caja automatizado, tendrá que asumir este riesgo al igual que asume el de otras formas de robo de artículos, posiblemente una parte de los cajeros actuales tenga que ser reciclarlo como personal adicional de vigilancia en el interior del establecimiento. Desde el principio del estudio del sistema este tipo de fraude ha sido tenido en cuenta, y en gran medida se ha asumido sin mayor problema.

Cambiar la información de la etiqueta

Últimamente, lo que más suspicacia ha levantado, son los riesgos derivados de modificar fraudulentamente la información contenida en la etiqueta RFID mediante dispositivos portátiles, como PDA o similares, fáciles de introducir fraudulentamente en los comercios. Este si es un nuevo riesgo añadido, pues cuando se inició el estudio del sistema RFID, nadie tuvo en cuenta que el avance de la electrónica haría posible la existencia de aparatos de pequeño tamaño capaces de modificar la información

En foro internacional sobre las tendencias en seguridad informática. Black Hat 2004 celebrado en de Las Vegas, el consultor de seguridad Lukas Grunwald reveló que él ha cambiado las etiquetas RFID de un supermercado mediante un PDA acoplado a un lector de RFID. Cambió las etiquetas de varios productos y en la caja del establecimiento no se detectó el fraude. Asimismo ha abierto una página web donde se puede bajar el programa usado llamado RFDump, con el fin de llamar la atención sobre el problema para que se tomen medidas contra este riesgo..

Afán de notoriedad

En mi opinión y con los debidos los respetos, lo único que ha ido buscando Lukas Grunwald es notoriedad. Lógicamente si una etiqueta RFID se diseña para ser regrabable, ha de poderse cambiar fácilmente la información contenida en ella y la miniaturización de la informática, no es nada que nos asombre hoy en día, pero de ello a hacer de ello un riesgo para el sistema RFID, es algo absolutamente fuera de lugar y anormal en condiciones reales de uso. El que decidió grabar el precio del artículo en las etiquetas RFID o es un bobo o está de acuerdo con Grunwald para que este realizara la “azaña”.

Etiquetas RFID para la logística

Según el uso que se les piense dar, hay distinto tipos de etiquetas RFID, desde las que tiene alcance de varios kilómetros, por ejemplo las usadas para el control de ganado pastando en el monte, a las que soportan altas temperaturas, usadas en cadenas de montaje de algunos procesos industriales. Hay multitud de etiquetas diferentes pensadas para usos específicos.

Centrándonos en el sistema de Código Electrónico de Producto (EPC), el sistema RFID para logística, las etiquetas utilizadas son de en tres tipos diferentes según el tipo de memoria que utilicen:

Las más comunes tienen una memoria EEPROM (electrically erasable programmable read only memory) que almacena un código capaz de ser leídos, es el equivalente a la matrícula de un coche, cada artículo porta una etiqueta con un código diferente al de los otros artículos similares, fijo e inalterable. Este código se escribe en la etiqueta durante su fabricación y se puede leer a cierta distancia con el hardware adecuado pero no hay forma alterarlo. Estas etiquetas son las de menor precio y por ello, también por ello las mas utilizadas habitualmente.

Parecidas son otras etiquetas, que pueden ser grabadas posteriormente a su fabricación mediatamente luz ultravioleta. Se utilizan cuando se necesita incorporar en la etiqueta información sobre alguna característica específica del artículo que la soporta. Podría ser por ejemplo el código del lote de fabricación. Se puede añadir en la etiqueta este dato característico del producto en concreto, pues artículos similares pueden pertenecer a lotes diferentes. Grabarlo en la etiqueta no es estrictamente necesario, puesto que al ser el código RFID diferente para cada etiqueta, basta guardar en cualquier dispositivo electrónico una tabla con la correspondencia entre el código RFID y número de lote, pero puede ser práctico guardarlo ahí. Si deseáramos retirar un lote por haber sobrepasado su fecha de caducidad, resulta más sencillo pasar un escáner por la góndola y separar los productos pertenecientes al lote, que localizarlos a partir de un listado que indique que códigos RFID debemos retirar.

Este tipo de etiquetas normalmente solo admiten una única escritura, pero aun suponiendo que se pueda escribir, se necesita someter al chip a una fuerte iluminación ultravioleta, siendo imposible su escritura mediante radiofrecuencia. En cualquier caso resultaría muy complicado de efectuar en etiquetas ya adheridas a un artículo.

Por último están las etiquetas programables, que estas sí pueden cambiarse fácilmente y a distancia mediante la radiofrecuencia, pues para eso fueron diseñadas.. Un dispositivo concreto, por ejemplo la familia MCRF450 de Microchip, tiene una capacidad de 1024 bits distribuidos en bloques de 32 bits De estos bits, los tres primeros bloques vienen programados de fábrica con el número de serie específico del chip de 48 bites y otros 48 bits se usan para personalizar la tarjeta, referencia, fabricante, etc. Los 928 bits restantes son para lectura y escritura de datos. Solo se pueden modificar estos 928 Bites y aun así, estos bloques de memoria se pueden protegerse contra la escritura, adicionalmente se puede encriptar la información introducida de forma que dificulte la lectura y escritura a quien desconozca la clave.

No son etiquetas adecuadas para marcar artículos

Estas etiquetas son mucho más caras que las anteriores y solo se utilizan en procesos que realmente lo justifiquen, procesos más complejos que la sola identificación de un producto. Normalmente en las etiquetas se escribirán características específicas y diferenciales del artículo que las transporta y que además pueden cambiar a lo largo de un proceso.

Su uso mas generalizado es en las cadenas de montaje. Supongamos una cadena de montaje de ordenadores clónicos. Al comienzo de la cadena, a cada chasis de ordenador se le une una etiqueta que tiene codificada las características técnicas que va a tener este ordenador en concreto, el modelo de placa base, la marca y velocidad del procesador, el tipo y tamaño de la memoria RAM, la tarjeta gráfica, el disco duro etc.

A medida que el chasis avance por la cadena de montaje, lectores de la etiqueta RFID indicarán en cada punto que componente hay que motar en el chasis. Cuando en un chequeo, el equipo no pase el control de calidad, la incidencia se grabará en la etiqueta, de modo que el chasis pasará por el resto de los puntos de montaje de la cadena sin que se le instalen más componentes. Al final del proceso las etiquetas se pueden recuperar para utilizarlas con otro chasis.

En un supermercado pueden utilizarse este tipo de etiquetas en zonas de venta de productos frescos vendidos al peso como la pescadería o frutería, la etiqueta guardaría la información de los productos y pesos adquiridos. No obstante, es más práctico y barato incluir en el paquete una etiqueta normal, no reescribible, y comunicar la información asociada a la etiqueta directamente desde las balanzas de la pescadería a las cajas automáticas.

No es razonable grabar precios en la etiqueta RFID

Salvo en estos últimos casos, solo al que asó la manteca, se le ocurre escribir el precio de un producto en una etiqueta RFID, no es razonable en absoluto. Si el hipermercado decidiera hacer una oferta y para ello cambiara el precio de un producto, teniendo el precio en el ordenador central, basta cambiar el precio en un solo punto para que todos los artículos cambien el precio a la vez. Si el precio se marca en la etiqueta RFID, habrá que localizar todos los artículos de esa referencia, tanto en el almacén como en la tienda, (eso sí, búsqueda simplificado gracias a la existencia de etiqueta RFID), y cambiar uno a uno el precio en cada uno de los artículos. Sinceramente, de locos, el Sr. Grunwald será un gran experto en seguridad informática, de lo que no entiende en absoluto es sobre el funcionamiento de un hipermercado, podía haber buscado otro ejemplo más creíble..

Estas vulnerabilidades no asustan a los expertos

Forbes informa que otros expertos en seguridad opinan que combatir este tipo de fraude resulta fácil. Se pueden detectar fácilmente dentro de la tienda el uso de lectores RFID introducidos fraudulentamente y las etiquetas se pueden programar para que acepten solo cambios de dispositivos autorizados. Por su parte Gartner, pese a reconocer la existencia de sistemas capaces de hackear y modificar los datos de etiquetas RFID, como el programa RFDump, de Lukas Grunwald, opina que la vulnerabilidad de RFID no supone peligro para las empresas, Pese a los inconvenientes, Yankee Group calcula que lo relacionado con el sistemas RFID, moverá cuatro mil millones de dólares en el 2008, siendo una de las áreas tecnológicas de mayor crecimiento esperado. Salvo dificultades legales de última hora surgidas por los problemas de perdida de privacidad que pueda generar, parece que los sistemas logísticos basados en RFID se irán implantando poco a poco en las redes de distribución de forma imparable como en su día lo hizo la identificación por código de barras.