Fallo de seguridad en la firma del DNI: ¿Qué ha pasado?

La Policía se ha visto obligada a desactivar la firma digital del DNI electrónico de aquellos expedidos desde abril de 2015 después de que un grupo de investigación de una universidad de la República Checa haya descubierto un posible fallo de seguridad en este sistema de identificación online que se utiliza para todo tipo de trámites digitales.

Ha sido un grupo dirigido por el profesor Petr Svenda, del Centro para la Investigación de Criptografía y Seguridad vinculado a la Universidad Masaryk, que tiene su sede en la ciudad checa de Brno, en el sureste del país centroeuropeo, el que ha realizado un estudio que ha concluido que estos DNI expedidos más allá de abril de 2015 tienen un fallo en las tarjetas, concretamente en el chip que a su vez contiene dos códigos, uno de carácter privado y otro público. El problema es que el código privado no debería nunca salir del chip y la realidad es bien distinta a ésta, ya que el código público ofrece la información suficiente como para poder descifrar la parte privada, de manera que ésta deja de serlo inmediatamente después de ser descifrada. De esta forma, cualquier hacker con los medios y conocimientos necesarios, que los hay y no pocos, podría suplantar la identidad de la persona dueña de dicho carnet de identidad.

¿A quién afecta?

La alarma no es tan grande porque está en fase teórica, es decir, afortunadamente ha sido descubierta por investigadores antes de que los hackers hayan abusado de ella. Si bien no es un dato que se haya hecho público, parece evidente que no ha llegado a afectar a ninguna persona en concreto. Sin embargo, esto no exime a las autoridades, y en especial a la Policía, de este grave fallo que podría haber causado estragos a muchos ciudadanos, ya que afecta directamente a la seguridad personal de los mismos.

Es probable que el lector se pregunte el motivo por el cual esto es investigado desde la República Checa, por eso conviene contextualizar el estudio del grupo de investigación del profesor Svenda, que en realidad ha sido extenso a este tipo de carnets en más países. De hecho, otros como Eslovaquia también se han visto afectados. Esto se debe a que es la misma empresa, de origen alemán, la que provee de las tarjetas a varios países.

En cualquier caso, la Policía ha tomado medidas drásticas y ha decidido capar este servicio para todos los DNI de la partida afectada, aunque parece que el fallo no afecta en masa a todos los carnets, sino que podría ser un número residual. Pese a ello, lógicamente la Policía ha tenido que tomar esta medida hasta tenerlo resuelto por absoluta precaución y prevención de la seguridad y la confidencialidad.

En cuanto el fallo esté subsanado, los afectados recibirán la comunicación de que ya pueden de nuevo operar con su DNI electrónico. Los plazos todavía no son conocidos por lo que habrá que esperar noticias oficiales al respecto.

¿Qué solución hay?

Las soluciones pueden ser de dos tipos según los expertos: por un lado, modificar el código o fragmentarlo de manera que pueda almacenarse una parte en un dispositivo diferente como puede ser el móvil. Parece que las soluciones son evidentes por lo que no debería tardar mucho en ser arreglada el error y poder reabrir este canal de operaciones digitales a los portadores de estos DNI.

Por último, conviene aclarar que este fallo de seguridad en la firma electrónico del documento no invalida el DNI en sí mismo, por si queda alguna duda. Esto significa que sigue siendo perfectamente válido para cualquier trámite, de pequeña o gran envergadura, como puede ser un viaje por cualquier país de la UE.