¿El chip RFID de los pasaportes electrónicos es de sólo lectura o de lectura y escritura?

Los pasaportes que se ajustan a la OACI doc. 9303 especificación usar un tarjeta inteligente de acuerdo con ISO 7816 que es, en términos muy generales, no sólo un dispositivo de almacenamiento, sino más bien un ordenador en miniatura.

Es posible restringir el acceso de lectura o escritura a partes de su almacenamiento sólo a entidades debidamente autenticadas.

Si se observa la parte pertinente de la especificación (las partes 10 y 11 en el sitio de la OACI al que se hace referencia), parece que sólo hay comandos relacionados con la lectura de datos básicos, la autenticación criptográfica del documento de viaje o la autenticación del lector con el documento para acceder a información sensible como las huellas dactilares.

Sin ningún comando para modificar realmente los datos de una tarjeta inteligente, no sería posible hacerlo.

Por supuesto, es posible que el país emisor implemente comandos adicionales, por ejemplo, para corregir la información después de la emisión. Sin embargo, es muy probable que esos comandos, si es que existen, requieran la autenticación del lector antes de que se conceda acceso de escritura o de supresión al almacenamiento.

En cuanto a su pregunta específica sobre la adición de datos biométricos por parte de la autoridad emisora después de la emisión, esto parece estar permitido según la especificación:

Sólo el Estado o la organización emisora tendrá acceso por escrito a estos grupos de datos. Por lo tanto, no hay requisitos de intercambio y los métodos para lograr la protección de la escritura no son parte de esto especificación.

Como no hay nada en la especificación sobre el acceso de escritura a la zona general de escritura, parece que corresponde al país emisor especificar los privilegios de acceso (para leer o escribir) a estas zonas de memoria.

Teóricamente, los países podrían acordar comandos para acceder a estas áreas de almacenamiento opcionales fuera de las especificaciones de la OACI, por supuesto, pero considero que eso es bastante improbable:

Si la intención es intercambiar datos de viaje, ¿por qué no intercambiarlos fuera de la banda, por ejemplo, mediante sistemas del lado del servidor que comunican los números de pasaporte? Esto parece mucho más simple y efectivo.

Sólo para responder al aspecto del "sombrero de papel de aluminio", una norma no impide que un país haga pasaportes y lectores que implementen características además al estándar.

Así pues, un país podría expedir fácilmente pasaportes que, por ejemplo, registraran las entradas y salidas o almacenaran en su pasaporte las fotos recientes tomadas por el control fronterizo de ese país. Los pasaportes también podrían almacenar información sobre el control fronterizo de otros países, incluso si el equipo de control fronterizo extranjero no está escribiendo activamente en él (gracias @jcaron). Esta información podría ser leída en voz alta cuando regreses a tu país, y ser usada para estimar cuántos países has visitado durante tu viaje. Si esos países han accedido a información que requiere una autenticación activa, también puede ser posible saber cuáles ha visitado.

Soy un firme defensor de la creencia de que los sombreros negros siempre ganarán. Los hackers han acabado por romper todos los protocolos de encriptación y protección de datos conocidos. La esperanza es que con cualquier cosa que importe los sombreros blancos puedan actualizarse y adelantarse a los sombreros negros, pero con un sistema tan lento y caro como los tratados internacionales y el control de la inmigración, es poco probable que los sombreros blancos siempre estén adelante. Incluso la parte firmada digitalmente de sus datos es más probable que se rompa con el tiempo que no.

Los pasaportes duran 10 años en los EE.UU. Imagina cómo era la computación y la encriptación hace 10 años, ¿qué tal hace 20 años cuando el retraso de los estándares comienza a tener efecto? Dadas las otras respuestas en esta página, todo es de lectura y escritura, o lo será pronto.