Hoy fui (por segundo día consecutivo) a Banamex a tratar de ver por qué no puedo entrar a Bancanet. La bronca parece estar relacionada con que necesito mi NetKey, así que me la tramitaron “rápidamente” en una hora.
Detesto ir al banco, pero la NetKey me llamó la atención.
El NetKey es un aparatito que consiste de un botón y un display parecido al de los relojes electrónicos más chafas. Cada vez que se presiona el botón un número “aleatorio” aparece y ese número hay que ingresarlo junto con el número secreto que uno elige cuando tramita el servicio de Bancanet.
Evidentemente el aparatito es un vil generador de números aleatorios (que cualquier computólogo sabe que, dado que son generados determinísticamente, son realmente pseudo aleatorios), cuya semilla es compartida por el aparatito y el servidor central.
Si la gente a cargo de toda esta infraestructura es inteligente, entonces hay una relación secreta entre el número de serie de cada aparatito y la semilla. Si no son inteligentes entonces el número de serie es la semilla, o (un poco mejor) la semilla se obtiene de una función hash cuya entrada es el número de serie.
Como sea, la idea es buena. Las claves son válidas únicamente una vez, lo que hace que el sistema sea completamente impenetrable utilizando criptoanálisis. Y supongo que el servidor genera los números a partir del último válido y comienza a comprobar desde ahí, por si el usuario estúpidamente estuvo apretando el botoncito como idiota.
Claro que si alguien obtiene el algoritmo para generar los números aleatorios (no muy difícil teniendo el aparatito) y resulta que la semilla es fácil de obtener a partir del número de serie, entonces no sirve para un carajo. Y siempre está la agradable posibilidad de perder el aparatito, claro.
Pero la idea no es mala.
Ahora, que también puede ser, que la semilla se guarde en algun servidor de banamex, no accesible desde el Internet. Y que el número de serie del aparatito, más tu número de cliente, tan solo sean los índices para encontrar la semilla guardada en ese misterioso servidor.
Si es así y aunque tuvieramos el algoritmo, las posibilidades de encontrar la dichosa semilla son demasiado pequeñas, además, que no se nos olvide que se bloquea la cuenta después de N intentos fallidos.
Mi sugerencia es que ya ni le intenten hacerse los hackers con Banamex. Intentenle mejor con Banco Azteca, o con mueblerías Gallo.