Recuperan las claves de firma de los códigos de barras de las licencias de conducir de EE.UU.

Un investigador de seguridad ha logrado recuperar las claves de firma utilizadas para validar los códigos de barras de las licencias de conducir de Estados Unidos. El hallazgo, publicado en Hacker News, expone que el sistema de verificación de estos documentos es vulnerable y podría facilitar la falsificación masiva. ¿Debería preocuparnos? Sí, y mucho.

Contexto: un estándar con décadas de antigüedad

El formato de los códigos de barras en las licencias de conducir estadounidenses se remonta a los años 90, cuando los estados adoptaron la norma AAMVA (American Association of Motor Vehicle Administrators). Esta especificación define cómo se codifica la información del conductor en una banda magnética o código de barras, pero no establece un mecanismo de firma digital robusto. Durante años, los estados han utilizado claves criptográficas compartidas o mal gestionadas para firmar los datos, asumiendo que el secreto estaba a salvo.

Detalles: claves al descubierto

El investigador, que prefiere mantener el anonimato, utilizó técnicas de ingeniería inversa sobre lectores comerciales y aplicaciones móviles para extraer las claves de firma. Según su análisis, al menos ocho estados emplean el mismo par de claves RSA de 1024 bits, un tamaño considerado inseguro desde hace años. Además, el proceso de verificación en muchos puntos de control (bares, aeropuertos, tiendas) se basa en software que confía ciegamente en la firma, sin validar la cadena de confianza. El resultado: cualquiera con acceso a esas claves puede generar licencias falsas que pasan los controles básicos.

Análisis: ganan los falsificadores, pierden todos los demás

Este hallazgo no es solo un fallo técnico; es un fallo sistémico de gobernanza. Los estados han priorizado la interoperabilidad sobre la seguridad, y ahora las claves están en manos de quien haya tenido la paciencia de extraerlas. Los perdedores son los ciudadanos, cuya identidad puede ser suplantada con mayor facilidad, y las autoridades, que enfrentan un problema de credibilidad en sus sistemas de verificación. La industria de la seguridad lleva años advirtiendo que RSA-1024 es obsoleto; ignorarlo tiene consecuencias.

Implicaciones: ¿hacia un nuevo estándar?

Es probable que los estados afectados se vean obligados a migrar a firmas con ECDSA o RSA-2048, pero la transición será lenta y costosa. Mientras tanto, los lectores de códigos de barras deberán actualizarse para validar cadenas de confianza y no solo la firma. La presión pública podría acelerar la adopción de un estándar nacional, pero la historia reciente sugiere que sin una brecha masiva, los cambios se posponen. La pregunta clave: ¿cuántas identidades falsas se habrán creado antes de que reaccionen?

La seguridad de las licencias de conducir nunca fue tan frágil como ahora, y las claves ya no están a salvo.

Fuente: Hacker News