Authentifiziert ein Passwortschutz irgendetwas?
Nein. Ein Passwort riegelt einen Vorgang am Chip ab, meist das Schreiben und gelegentlich das Lesen. Die Authentifizierung beantwortet eine ganz andere Frage: Ist das der Tag, den ich ausgerollt habe. Ein passwortgeschützter Tag lässt sich lesen, sein Inhalt auf einen leeren schreiben, und die Abschrift trägt überhaupt kein Passwort.
Was ein Passwort tut
Es riegelt einen Vorgang ab. Auf den meisten Chips heißt das das Schreiben: Der Tag nimmt keinen neuen Inhalt an, sofern das Passwort nicht vorgelegt wird.
Auf manchen Chips kann es auch das Lesen abriegeln, und das ist eine andere und seltenere Anordnung mit wirklichen Folgen dafür, wie der Tag sich im Feld verhält.
So oder so ist es eine Erlaubnis an diesem Tag, von diesem Tag geprüft, darüber, was mit diesem Tag geschehen darf.
Was es nicht tut
Es wandert nicht mit einer Abschrift. Eine Abschrift entsteht durch das Lesen des Inhalts, und die Abschrift ist ein frischer Tag ohne Passwort darauf.
Es beweist nicht, dass der Tag Ihnen gehört. Der Prüfer am anderen Ende hat keine Möglichkeit zu wissen, ob je ein Passwort gesetzt wurde, denn ein Tag, der normal liest, liest so oder so normal.
Es schützt den Inhalt nicht vor dem Gelesenwerden, sofern Sie nicht eigens einen Leseschutz gekauft und eingerichtet haben, und der hat eigene Folgen.
Und es übersteht ein verlorenes Passwort nicht, und das ist der Ausfall, der mehr Rollouts beendet als jeder Angriff.
Warum die Verwechslung verbreitet ist
Weil ein Passwort sich wie ein Nachweis anfühlt, und weil Anbieter Chips mit Passwortschutz als sicher beschreiben, ohne zu sagen, wogegen.
Weil beide Wörter eine Abwehr beschreiben, und weil der Unterschied zwischen dem Verhindern einer Änderung und dem Beweisen einer Identität nicht offensichtlich ist, bis jemand ihn ausspricht.
Und weil man beides oft zusammen braucht, sodass bei einem Rollout, das eines hat, leicht angenommen wird, es habe beides.
Die Probe ist eine einzige Frage: Hilft das Passwort, nachdem jemand den Tag kopiert hat. Es hilft nicht, in keiner Anordnung.
Es für das nehmen, was es ist
Setzen Sie ein Passwort, wo ein Tag für die Öffentlichkeit erreichbar ist und es zählen würde, dass er neu beschrieben wird. Das ist ein wirkliches Risiko, und das ist das Werkzeug dafür.
Nehmen Sie NFC Tools. Unter iOS setzt sie ein iPhone 7 oder neuer mit mindestens iOS 15.6 voraus, und die App muss manuell gestartet werden. Das Lesen im Hintergrund steht ab iPhone XS und XR zur Verfügung.
Halten Sie das Passwort an einem dauerhaften und geteilten Ort fest, denn ein Passwort, das nur der kennt, der die Schreibsitzung gefahren hat, ist ein Passwort, das die Organisation nicht hat.
Und wo die Frage lautet, ob ein Tag echt ist, kaufen Sie stattdessen eine Authentifizierung, denn keine Anordnung mit Passwort beantwortet sie.
Häufige Fragen
Verhindert ein Passwort das Kopieren?
Nein. Kopieren ist Lesen, und die Abschrift ist ein neuer Tag, der kein Passwort trägt.
Beweist es, dass der Tag meiner ist?
Nein. Ein Lesegerät kann nicht erkennen, ob je ein Passwort gesetzt wurde, denn der Tag liest so oder so normal.
Wann sollte ich eines setzen?
Wenn der Tag öffentlich erreichbar ist und es zählen würde, dass er neu beschrieben wird. Das ist das Risiko, gegen das es sich richtet.
Was, wenn das Passwort verloren geht?
Der Tag lässt sich meist nicht mehr neu beschreiben. Es zu verlieren beendet mehr Rollouts als jeder Angriff.