Defensa, Hardening, Criptografía Moderna y Marco Legal

1. Estándares Criptográficos Seguros

La solución definitiva a los ataques de clonación y criptoanálisis no consiste en ofuscar el UID ni en comprar carcasas metálicas: consiste en migrar a chips criptográficos genuinos con autenticación mutua de clave simétrica fuerte (AES-128) y arquitectura de archivos basada en aplicaciones.

1.1 MIFARE DESFire EV2 / EV3 y HID SEOS

En lugar del modelo plano de sectores de MIFARE Classic, DESFire funciona como una tarjeta inteligente con sistema de archivos estructurado (ISO 7816-4):

• AID (Application Identifier): Cada aplicación (Control de accesos, Comedor, Parking) tiene su propio AID de 3 bytes (ej. 0x010203) con hasta 14 claves criptográficas independientes.
• Three-Pass Mutual Authentication: El lector demuestra a la tarjeta que conoce la clave secreta y la tarjeta demuestra al lector que conoce la clave secreta, generando una clave de sesión efímera ($K_{enc}$) y un vector de inicialización ($IV$).
• CMAC (Cipher-based Message Authentication Code): Cada comando posterior lleva un código de integridad criptográfico; si un atacante altera un solo bit en el aire, la tarjeta descarta la orden.

# Inspeccionar una credencial DESFire EV2
[usb] pm3 --> hf mfdes info

[+] Manufacturing information:
[+]   Hardware: Vendor ID: 0x04 (NXP), Type: 0x01, Subtype: 0x01 (DESFire)
[+]   Version : 2.0 (EV2)
[+]   Storage : 0x1A (4096 bytes EEPROM)
[+] PICC Master Key Settings: 0x0F (Master key is AES-128, change requires master key)

# Listar aplicaciones AID en la tarjeta
[usb] pm3 --> hf mfdes getappids

[+] Application IDs found:
[+]   [0] 00 00 00 (PICC Level)
[+]   [1] A1 B2 C3 (Access Control Application)

2. Detección Activa de Clones y Protocolo OSDP

Muchos clientes no pueden renovar 5000 tarjetas de empleados de la noche a la mañana. La solución intermedia consiste en securizar el lector mural y la línea de datos.

2.1 OSDP v2 (Open Supervised Device Protocol) vs Wiegand

El cableado analógico tradicional Wiegand (cables Verde Data0 y Blanco Data1) transmite pulsos de 5V en texto plano que cualquier espía puede interceptar acoplando un dispositivo como ESPKey detrás del lector en la pared. OSDP v2 sustituye este cableado por un bus bidireccional RS-485 con canal seguro cifrado con AES-128 (Secure Channel SIA).

bool detectMagicGen1a() {
    uint8_t backdoor_cmd[] = { 0x40 }; // Comando Unlock de tarjetas chinas Gen1a
    uint8_t response[8];
    uint8_t responseLength = sizeof(response);

    // Enviar trama cruda de 7 bits antes de la autenticación
    bool ackReceived = nfc.sendRawFrame(backdoor_cmd, 1, response, &responseLength);

    if (ackReceived && response[0] == 0x0A) {
        // La tarjeta respondió con ACK al comando secreto de puerta trasera
        Serial.println("[ALERTA] ¡Tarjeta Mágica Clonada Gen1a Detectada!");
        triggerSabotageAlarm();
        denyAccessPermanently();
        return true; // Clon detectado
    }
    return false; // Tarjeta estándar legítima
}

3. Marco Legal, Reglas de Compromiso (RoE) y Redacción de Informes

Un pentesting de control de accesos físicos es una actividad de alto riesgo legal. Manipular cerraduras o tarjetas sin autorización expresa constituye delito penal.

3.1 Tipificación Penal y RGPD

• Código Penal Español (Art. 197 y 264): Acceder a sistemas informáticos de acceso o forzar puertas digitales sin título habilitante se castiga con penas de prisión de 6 meses a 3 años. Se exige un Contrato de Prestación de Servicios con Reglas de Compromiso (RoE) firmado por la dirección legal antes de tocar la primera tarjeta.
• Reglamento General de Protección de Datos (RGPD): El UID de la tarjeta y los registros de paso de los empleados son datos personales protegidos. Los volcados de auditoría deben almacenarse en unidades cifradas (LUKS/BitLocker) y destruirse formalmente al cierre del proyecto.

3.2 Matriz de Severidad CVSS 3.1 en Accesos Físicos

Para que la dirección entienda la gravedad de una tarjeta MIFARE Classic o Wiegand 26, el informe debe cuantificar el riesgo:

🛠️ Hardware Recomendado para los Alumnos (3 Opciones de Presupuesto)

A continuación se detallan las 3 opciones de inversión para el equipamiento del laboratorio práctico: