Recuperan las claves de firma de los carnets de conducir de EE. UU.
Escuchar el artículo · 2:44
Las claves de firma de los carnets ya circulan y la verificación por código de barras pierde fiabilidad.
En este artículo (3)▼
Tu carnet de conducir servirá menos como prueba en un control de edad, un alquiler de auto o una verificación en línea. Según ryan.science, se recuperaron las claves de firma que protegen los códigos de barras de las licencias de Estados Unidos, lo que permite crear copias que pasan como legítimas ante lectores comunes.
El reporte, titulado Keys Not Included y comentado en Hacker News, describe la recuperación de esas claves. Sin ese secreto, la firma digital del código deja de funcionar como garantía. Cualquier sistema que confíe solo en leer la barra y comprobar la firma aceptará un documento fabricado con los datos que el atacante elija.
La firma ya no garantiza autenticidad
El modelo era razonable en teoría. El estado firma los datos del conductor y los imprime en un formato legible por máquina. El lector comprueba la firma y asume que la información es válida. Ese supuesto se rompe cuando la clave privada deja de ser privada.
A partir de ese momento, el atacante no necesita alterar un carnet real. Puede generar uno nuevo desde cero, con nombre, fecha de nacimiento o número inventados, y firmarlo de forma correcta. Para el escáner, el resultado es indistinguible de un documento emitido por una oficina oficial, según el reporte.
Un fallo de custodia, no de matemáticas
En el contexto de documentos de identidad, la criptografía suele fallar por gestión de secretos y no por algoritmos rotos. Las claves tienen que vivir en sistemas de emisión, distribuirse a verificadores y mantenerse fuera del alcance público durante años. Si ese circuito tiene fugas, el código de barras se convierte en un formato abierto con apariencia oficial.
Esto afecta a bares, tiendas, bancos, empresas de verificación de identidad y controles policiales que usan lectura automática. Todos asumieron que la firma equivalía a emisión oficial. Esa equivalencia ya no existe.
Qué deben cambiar los que verifican
Quienes aceptan estos carnets necesitan verificación adicional. Consultar la base del emisor, pedir un segundo documento, exigir prueba de presencia o usar identificación con chip con claves mejor protegidas reduce el riesgo. Mantener la lectura del código como único filtro prolonga la exposición.
También conviene vigilar la respuesta de las autoridades emisoras, según el reporte. Rotar claves, revocar las comprometidas y actualizar validadores lleva tiempo y deja una ventana larga donde conviven documentos viejos y falsos firmados con material filtrado.
Fuente: ryan.science
