Seguridad de las tarjetas NFC

Abstract

En este Trabajo de Fin de Grado se ha realizado un estudio de la seguridad de algunas tarjetas de lectura sin contacto que incorporan una interfaz NFC. Esta tecnología es utilizada frecuentemente dentro de las organizaciones como mecanismo de autenticación y control, delimitando el acceso de personal a zonas de alta sensibilidad. También tarjetas que incorporan esta tecnología son, por ejemplo, algunos de los documentos gubernamentales para la identificación de ciudadanos, como por ejemplo la última versión del Documento Nacional de Identidad electrónico o DNIe. Una brecha de seguridad en cualquiera de estas credenciales podría conllevar un gran impacto para sus usuarios, poniendo en peligro los recursos e información sensible protegidos por los mismos. En el estudio realizado se documenta el funcionamiento de los mecanismos de seguridad implementados en varias etiquetas NFC para su protección contra vectores de ataques comunes. Además, se exploran diversos escenarios prácticos reales donde esos mecanismos son puestos a prueba a través de la realización de auditorías de seguridad.

In this Final Degree Project, a study of the security status of contactless cards that incorporate an NFC interface has been carried out. This technology is frequently used within organisations as an authentication and control mechanism, limiting the access of personnel to highly sensitive areas. Also cards that incorporate this technology are, for example, some government documents for citizen identification, such as the latest version of the Spanish electronic National Identity Card. A security breach in any of these credentials could have a major impact on the final users, endangering the resources and sensitive information protected by them. This study documents the operation of the security mechanisms implemented in several NFC tags to protect them against common attack vectors. In addition, various real practical scenarios are explored where these mechanisms are put to the test through security audits.