Tarjeta inteligente

Las Tarjetas inteligente fueron desarrolladas y patentadas en los años setenta. Existen algunas discusiones de quién es el "inventor" original; entre los que se encuentran Juergen Dethloff y Helmut Gröttrup de Alemania, Kunitaka Arimura de Japón y Roland Moreno de Francia.

El primer uso masivo de las tarjetas fue para el pago telefónico público en Francia, en el año 1983. Desde los años 1970, la historia de las tarjetas inteligentes ha reflejado los constantes avances en capacidades técnicas y ámbitos de aplicabilidad.

El mayor auge de las tarjetas inteligentes fue en los años noventa, con la introducción de las tarjetas SIM utilizadas en la telefonía móvil GSM en Europa.

Las firmas internacionales MasterCard, Visa, y Europay, publicaron un estándar de interoperabilidad para el pago con tarjetas inteligentes en 1996, que fue revisado en el año 2000. Este estándar llamado EMV, se ha introducido mundialmente de manera gradual, con la esperanza de reemplazar las tarjetas basadas en cintas magnéticas. Actualmente, las especificaciones EMV son costosas de implementar, con el único beneficio de la reducción del fraude. Algunos críticos aseguran que los ahorros son mucho menores que los costos de implementar EMV, y muchos creen que la industria optará por esperar que termine el actual ciclo de vida del EMV, para implementar una nueva tecnología sin contacto.

Las tarjetas inteligentes con interfaces sin contacto, están transformándose en un medio popular para aplicaciones de pago como el transporte masivo. Estándares de este tipo de interoperabilidad han sido publicados y aplicados en el Reino Unido y en Europa IOPTA.

Las tarjetas inteligentes también se han utilizado para identificar al personal de las empresas. Las tarjetas de identificación y el permiso de conducir, están prevaleciendo más y más, por ejemplo, en Malasia con la tarjeta inteligente multipropósito Mykad, la que es usada a escala nacional (18 millones de tarjetas) para manejar todo en una sola tarjeta: identificación personal, licencia de conducir, tarjeta de seguro, y pago (ePurse) para transporte público e información de viajero.

Los circuitos integrados RFID, parecidos en concepto a las tarjetas inteligentes, se están implantando en los denominados pasaportes biométricos, y contienen información personal para su lectura automática.

Las tres aplicaciones fundamentales de las tarjetas inteligentes son:

• Identificación del titular de la misma.
• Pago electrónico de bienes o servicios mediante dinero «virtual».
• Almacenamiento seguro de información asociada al titular.

Las aplicaciones de las tarjetas inteligentes incluyen su uso como tarjeta de crédito, SIM para telefonía móvil, tarjetas de autorización para televisión por pago, identificación de alta seguridad, tarjetas de control de acceso, y como tarjetas de pago del transporte público.

Las tarjetas inteligentes también son muy utilizadas como un monedero electrónico. Estas aplicaciones disponen normalmente de un fichero protegido que almacena un contador de saldo y comandos para decrementar e incrementar el saldo (esto último solo con unas claves de seguridad especiales, obviamente). Con esta aplicación, el circuito integrado de la tarjeta inteligente puede ser «cargado» con dinero, que puede ser utilizado en parquímetros, máquinas expendedoras, etc. El intercambio de dinero entre la tarjeta inteligente y la máquina receptora es protegido por protocolos criptográficos.

Cuando las tarjetas son criptográficas, las posibilidades de identificación y autenticación se multiplican, ya que se pueden almacenar de forma segura certificados digitales o características biométricas en ficheros protegidos dentro de la propia tarjeta, de modo que estos elementos privados nunca salgan de la tarjeta, pues las operaciones de autentican a través del propio chip criptográfico de la tarjeta.

De un modo más particular, las aplicaciones más habituales son:

• Identificación digital: este tipo de aplicaciones se utilizan para validar la identidad del portador de la tarjeta en un sistema centralizado de gestión.

• Control de acceso: este tipo de aplicaciones se utilizan para restringir o permitir el acceso a una determinada área, en función de distintos parámetros que pueden estar grabados en la tarjeta, o pueden ser recuperados de un sistema central de gestión a partir de la identidad grabada en la tarjeta. Este tipo de aplicaciones suelen estar ligadas a puertas o tornos automatizados, que permiten/impiden el paso físico de una persona a una determinada área, si bien también tiene sentido este servicio en el ámbito de la autenticación en sistemas informáticos (webs, sistemas operativos, etcétera). En este último caso, la frontera entre las aplicaciones de identificación y de control de acceso es difusa.

• Monedero electrónico (electronic purse o electronic wallet, ePurse y eWallet): esta aplicación se utiliza como dinero electrónico. Se puede cargar una cierta cantidad de dinero (en terminales autorizados que dispongan de las claves de seguridad oportunas), y luego, sobre esta cantidad de dinero se pueden realizar operaciones de débito o consulta de modo que puede ser utilizado para el pago o cobro de servicios o bienes.

• Firma digital: este tipo de aplicaciones permiten almacenar un certificado digital de forma segura dentro de la tarjeta, y firmar con él documentos electrónicos sin que en ningún momento el certificado (y más concretamente su clave privada) salgan del almacenamiento seguro en el que están confinados. Con estas aplicaciones se abre todo un abanico de posibilidades en el campo de la Administración electrónica.

• Fidelización de clientes: Este tipo de aplicación sirve a las empresas que ofrecen servicios o descuentos especiales para clientes que hacen uso de la tarjeta, para así poder validar la identidad del cliente, y para descentralizar la información. Suponiendo que se tiene un sistema de puntos acumulables canjeables por bienes o servicios, en el cual participan varias empresas, esto simplifica mucho el tratamiento de los datos, evitando tener que compartir una gran base de datos, o tener que realizar réplicas de las distintas bases (los puntos se podrían guardar en la propia tarjeta).

• Sistemas de prepago: En estos sistemas, un cliente carga su tarjeta con una cierta cantidad de servicio, la cual va siendo debitada a medida que el cliente hace uso del servicio. El servicio puede variar desde telefonía móvil hasta TV por cable, pasando por acceso a sitios web o de transporte público.

• Tarjetas sanitarias: En algunos hospitales y sistemas nacionales de salud, ya se está implementando un sistema de identificación de pacientes y almacenamiento de los principales datos de la historia clínica de los mismos en tarjetas inteligentes, a efectos de agilizar la atención. Actualmente, la capacidad de almacenamiento es muy limitada, pero en un futuro quizás se podría almacenar toda la historia dentro de la tarjeta. Es el caso de la tarjeta ONA de Osakidetza, en el País Vasco.

Nótese, en cualquier caso, que todos estos servicios pueden ser derivados de los tres puntos planteados inicialmente (identificación, pago y almacenamiento seguro).

Internamente, el chip de una tarjeta inteligente microprocesada se compone de:

• Unidad central de procesamiento (CPU, central processing unit): el procesador de la tarjeta, suele ser de 8 bits, a 5 MHz y 5 voltios. Pueden tener opcionalmente módulos hardware para operaciones criptográficas.

• Memoria de solo lectura (ROM, read-only memory): memoria interna (normalmente entre 12 y 30 KB) en la que se incrusta el sistema operativo de la tarjeta, las rutinas del protocolo de comunicaciones, y los algoritmos de seguridad de alto nivel por software. Esta memoria, como su nombre indica, no se puede reescribir, y se inicializa durante el proceso de fabricación.

• EEPROM: memoria de almacenamiento (equivalente al disco duro en una computadora personal) en el que está grabado el sistema de ficheros, los datos usados por las aplicaciones, las claves de seguridad, y las propias aplicaciones que se ejecutan en la tarjeta. El acceso a esta memoria está protegido a distintos niveles por el sistema operativo de la tarjeta.

• Memoria de acceso aleatorio (RAM, random access memory): memoria volátil de trabajo del procesador.

La fabricación de tarjetas inteligentes abarca normalmente los siguientes pasos:

1. Fabricación de los chips en una oblea. Varios miles de circuitos integrados se fabrican a la vez en la forma de obleas de silicio con aproximadamente 3000 a 4000 unidades.
2. Empaquetado de los chips individuales para su inserción en una tarjeta. Una vez que se termina una oblea, cada chip se prueba individualmente, se divide la oblea y se realizan las conexiones eléctricas del chip.
3. Fabricación de la tarjeta: la tarjeta está compuesta de cloruro de polivinilo o de un material similar. Las características químicas y las dimensiones de la tarjeta y sus tolerancias son reguladas por estándares internacionales. El material de la tarjeta se produce en una hoja grande, plana del grosor prescrito. Para muchos tipos de tarjetas producidas en serie, estas hojas entonces se imprimen con los elementos gráficos comunes a todas las tarjetas. Las tarjetas individuales entonces se cortan de esta hoja plana y los bordes de cada tarjeta se lijan.
4. Inserción del chip en la tarjeta: una vez que el chip y la tarjeta estén preparados, los dos se unen: se hace un agujero en la tarjeta, y el chip se pega en él con pegamento.
5. Prepersonalización: una vez la tarjeta está completa, la mayoría de los usos inteligentes de la misma requieren que ciertos ficheros de los programas o de datos estén instalados en cada chip (tarjeta) antes de que la tarjeta se pueda personalizar para un titular específico. Esta preparación general del software o de los archivos en la tarjeta se hace con una operación llamada «prepersonalización», que se hace a través de los contactos del chip y por lo tanto puede proceder solamente a la velocidad proporcionada por esa interfaz.
6. Personalización: El procedimiento de la personalización implica el poner de la información tal como nombres, perfiles o números de cuenta en la tarjeta; a partir de la realización de este proceso la tarjeta está asignada a una persona en particular. Normalmente esta personalización será gráfica (estampando o troquelando datos personales del titular sobre la superficie plástica de la tarjeta) o eléctrica (grabando información personal del titular en algún archivo de la tarjeta).

La seguridad es una de las propiedades más importantes de las tarjetas inteligentes y se aplica a múltiples niveles y con distintos mecanismos. Cada fichero lleva asociadas unas condiciones de acceso y deben ser satisfechas antes de ejecutar un comando sobre ese fichero.

En el momento de personalización de la tarjeta (durante su fabricación) se puede indicar qué mecanismos de seguridad se aplican a los ficheros. Normalmente se definirán:

• Ficheros de acceso libre.
• Ficheros protegidos por claves: pueden definirse varias claves con distintos propósitos. Normalmente se definen claves para proteger la escritura de algunos ficheros y claves específicas para los comandos de consumo y carga de las aplicaciones de monedero electrónico. De ese modo la aplicación que intente ejecutar comandos sobre ficheros protegidos tendrá que negociar previamente con la tarjeta la clave oportuna.
• Ficheros protegidos por PIN: el PIN es un número secreto que va almacenado en un fichero protegido y que es solicitado al usuario para acceder a este tipo de ficheros protegidos. Cuando el usuario lo introduce y el programa se lo pasa a la operación que va a abrir el fichero en cuestión el sistema valida que el PIN sea correcto para dar acceso al fichero.

Finalmente, indicar que la negociación de claves se realiza habitualmente apoyándose en un módulo SAM, que no deja de ser otra tarjeta inteligente en formato ID-000alojada en un lector interno propio dentro de la carcasa del lector principal o del TPV y que contiene aplicaciones criptográficas que permiten negociar las claves oportunas con la tarjeta inteligente del usuario. Operando de este modo se está autenticando el lector, la tarjeta y el módulo SAM involucrados en cada operación.

Al aproximarse a la programación de tarjetas inteligentes hay que distinguir dos ámbitos claramente diferenciados:

• Programación de aplicaciones para el circuito integrado de la tarjeta, es decir, de aplicaciones que se almacenan y ejecutan dentro del chip de la tarjeta cuando ésta recibe alimentación eléctrica de un lector.
• Programación de aplicaciones para los sistemas en los que se utiliza la tarjeta, esto es, aplicaciones que se ejecutan en ordenadores (en un sentido genérico, ya que pueden ser TPV empotrados, cajeros automáticos, computadoras personales, etc.) a los que se conecta un lector de tarjetas en el que se inserta (o aproxima si es un lector sin contactos) una tarjeta inteligente. Estas aplicaciones se comunican con el lector, el cual se comunica con la tarjeta y sus aplicaciones.

• Wikimedia Commons alberga una categoría multimedia sobre Tarjeta inteligente.
• Open Card Framework (OCF) (en inglés)
• PC/SC Workgroup (en inglés)
• Tutorial de las tarjetas inteligentes (en inglés)
• Introducción a las tarjetas inteligentes (en inglés)
• Smart Card Alliance (en inglés)