Número de identificación personal

Un número de identificación personal ( PIN ; a veces, de forma redundante , código PIN o número PIN ) es una contraseña numérica (a veces alfanumérica) que se utiliza en el proceso de autenticación de un usuario que accede a un sistema.

El PIN ha sido clave para facilitar el intercambio de datos privados entre diferentes centros de procesamiento de datos en redes informáticas para instituciones financieras, gobiernos y empresas. ^{[ 1 ]} Los PIN se pueden utilizar para autenticar sistemas bancarios con titulares de tarjetas, gobiernos con ciudadanos, empresas con empleados y computadoras con usuarios, entre otros usos.

En el uso común, los PIN se utilizan en transacciones de cajeros automáticos o puntos de venta, ^{[ 2 ]} control de acceso seguro (por ejemplo, acceso a computadoras, acceso a puertas, acceso a automóviles), ^{[ 3 ]} transacciones por Internet, ^{[ 4 ]} o para iniciar sesión en un sitio web restringido.

El PIN se originó con la introducción del cajero automático (ATM) en 1967, como una forma eficiente para que los bancos dispensaran efectivo a sus clientes. El primer sistema de cajero automático fue el de Barclays en Londres, en 1967; aceptaba cheques con codificación legible por máquina, en lugar de tarjetas, y asociaba el PIN al cheque. ^{[ 5 ] [ 6 ] [ 7 ]} En 1972, Lloyds Bank emitió la primera tarjeta bancaria con una banda magnética que codificaba información, utilizando un PIN para la seguridad. ^{[ 8 ]} James Goodfellow , el inventor que patentó el primer número de identificación personal, fue condecorado con la Orden del Imperio Británico (OBE) en los Honores del Cumpleaños de la Reina de 2006. ^{[ 9 ] [ 10 ]}

Mohamed M. Atalla inventó el primer módulo de seguridad de hardware (HSM) basado en PIN , ^{[ 11 ]} denominado "Atalla Box", un sistema de seguridad que encriptaba los mensajes PIN y de cajeros automáticos y protegía los dispositivos fuera de línea con una clave generadora de PIN imposible de adivinar. ^{[ 12 ]} En 1972, Atalla presentó la patente estadounidense 3,938,091 para su sistema de verificación de PIN, que incluía un lector de tarjetas codificado y describía un sistema que utilizaba técnicas de encriptación para garantizar la seguridad del enlace telefónico al introducir información de identificación personal que se transmitía a una ubicación remota para su verificación. ^{[ 13 ]}

Fundó Atalla Corporation (ahora Utimaco Atalla ) en 1972, ^{[ 14 ]} y lanzó comercialmente la "Atalla Box" en 1973. ^{[ 12 ]} El producto se lanzó como Identikey. Era un lector de tarjetas y un sistema de identificación de clientes , que proporcionaba una terminal con capacidades de tarjeta de plástico y PIN. El sistema fue diseñado para permitir que los bancos e instituciones de ahorro cambiaran de un programa de libreta de ahorros a un entorno de tarjeta de plástico . El sistema Identikey constaba de una consola lectora de tarjetas, dos teclados PIN para clientes , un controlador inteligente y un paquete de interfaz electrónica integrado. ^{[ 15 ]} El dispositivo constaba de dos teclados , uno para el cliente y otro para el cajero. Permitía al cliente escribir un código secreto, que el dispositivo transformaba, mediante un microprocesador , en otro código para el cajero. ^{[ 16 ]} Durante una transacción , el lector de tarjetas leía el número de cuenta del cliente . Este proceso reemplazaba la entrada manual y evitaba posibles errores de pulsación de teclas. Permitió a los usuarios reemplazar los métodos tradicionales de verificación de clientes, como la verificación de firmas y las preguntas de prueba, con un sistema PIN seguro. ^{[ 15 ]} En reconocimiento a su trabajo en el sistema PIN de gestión de seguridad de la información , Atalla ha sido denominado el "Padre del PIN". ^{[ 17 ] [ 18 ] [ 19 ]}

El éxito de la "Atalla Box" llevó a la amplia adopción de módulos de seguridad de hardware basados ​​en PIN. ^{[ 20 ]} Su proceso de verificación de PIN era similar al posterior IBM 3624. [ ^{21 ] Para} 1998, se estimaba que el 70% de todas las transacciones de cajeros automáticos en los Estados Unidos se enrutaban a través de módulos de hardware especializados de Atalla, ^{[ 22 ]} y para 2003 la Atalla Box protegía el 80% de todos los cajeros automáticos del mundo, ^{[ 17 ]} aumentando al 85% en 2006. ^{[ 23 ]} Los productos HSM de Atalla protegen 250  millones de transacciones con tarjeta cada día a partir de 2013, ^{[ 14 ]} y aún protegen la mayoría de las transacciones de cajeros automáticos del mundo a partir de 2014. ^{[ 11 ]}

Los PIN financieros suelen ser números de cuatro dígitos en el rango 0000 – 9999, lo que da como resultado 10 000 combinaciones posibles. Suiza emite PIN de seis dígitos por defecto. ^{[ 31 ]}

Algunos sistemas establecen PIN predeterminados y la mayoría permite al cliente configurar un PIN o cambiar el predeterminado; en algunos casos, el cambio de PIN al primer acceso es obligatorio. Generalmente, se recomienda a los clientes no configurar un PIN basado en su fecha de nacimiento o la de su cónyuge, en números de licencia de conducir, números consecutivos o repetitivos, u otros esquemas. Algunas instituciones financieras no emiten ni permiten PIN con dígitos idénticos (como 1111, 2222, ...), consecutivos (1234, 2345, ...), números que comiencen con uno o más ceros, o los últimos cuatro dígitos del número de seguro social o la fecha de nacimiento del titular de la tarjeta.

Muchos sistemas de verificación de PIN permiten tres intentos, lo que otorga a un ladrón de tarjetas una probabilidad hipotética del 0,03 % de adivinar el PIN correcto antes de que la tarjeta sea bloqueada. Esto solo se cumple si todos los PIN son igualmente probables y el atacante no dispone de más información, lo cual no ha sido el caso con algunos de los numerosos algoritmos de generación y verificación de PIN que las instituciones financieras y los fabricantes de cajeros automáticos han utilizado en el pasado. ^{[ 32 ]}

Se han realizado investigaciones sobre los PIN de uso común. ^{[ 33 ]} El resultado es que, sin previsión, una parte considerable de los usuarios puede encontrar su PIN vulnerable. "Con solo cuatro posibilidades, los hackers pueden descifrar el 20% de todos los PIN. Si no se les permite más de quince números, pueden acceder a las cuentas de más de una cuarta parte de los titulares de tarjetas". ^{[ 34 ]}

Los pasadores quebradizos pueden empeorar con la longitud, a saber:

El problema de los PIN fáciles de adivinar se agrava sorprendentemente cuando los clientes se ven obligados a usar dígitos adicionales, pasando de una probabilidad de aproximadamente el 25 % con quince números a más del 30 % (sin contar los de 7 dígitos con todos esos números de teléfono). De hecho, aproximadamente la mitad de todos los PIN de 9 dígitos se pueden reducir a dos docenas de posibilidades, principalmente porque más del 35 % de las personas usan el tentador 123456789. En cuanto al 64 % restante, es muy probable que usen su número de Seguro Social , lo que los hace vulnerables. (Los números de Seguro Social contienen sus propios patrones bien conocidos). ^{[ 34 ]}

Han circulado rumores por correo electrónico e Internet que afirman que, en caso de introducir un PIN al revés en un cajero automático, las autoridades policiales serán alertadas instantáneamente y el dinero se dispensará normalmente como si el PIN se hubiera introducido correctamente. ^{[ 37 ]} La intención de este sistema sería proteger a las víctimas de robos; sin embargo, a pesar de que el sistema se propuso para su uso en algunos estados de EE. UU., ^{[ 38 ] [ 39 ]} actualmente no existen cajeros automáticos que empleen este software. ^{[ 40 ]}

Un teléfono móvil puede estar protegido con un PIN. Si está activado, el PIN (también llamado código de acceso) para teléfonos móviles GSM puede tener entre cuatro y ocho dígitos ^{[ 41 ]} y se almacena en la tarjeta SIM . Si se introduce el PIN incorrectamente tres veces, la tarjeta SIM se bloquea hasta que se introduzca un código de desbloqueo personal (PUC o PUK), proporcionado por el operador de servicio. ^{[ 42 ]} Si el PUC se introduce incorrectamente diez veces, la tarjeta SIM se bloquea permanentemente, lo que requiere una nueva tarjeta SIM del operador de telefonía móvil.

Tenga en cuenta que esto no debe confundirse con los códigos de acceso basados ​​en software que se utilizan a menudo en los teléfonos inteligentes con pantallas de bloqueo : estos no están relacionados con la tarjeta SIM celular, el PIN ni el PUC del dispositivo.

• Software de seguridad para cajeros automáticos (TWIC SafetyPIN)
• Tarjeta universitaria
• Número de autenticación de la transacción