¿Una etiqueta bloqueada está de verdad a salvo de que la sobrescriban?
Los bytes están a salvo de verdad: una etiqueta bloqueada no puede reescribirla nadie. El objeto no lo está. Puede taparse con otra etiqueta, arrancarse y cambiarse, o sencillamente retirarse, y ninguno de esos ataques toca la memoria que protege el bloqueo.
Lo que el bloqueo protege de verdad
El contenido, por completo. Nadie puede reescribir una etiqueta bloqueada, y eso no es una afirmación probabilística: el chip no acepta la escritura.
Para la amenaza concreta de que alguien que pasa apunte tu cartel a otro sitio con un teléfono, el bloqueo es una respuesta completa. Esa amenaza es real y el bloqueo la elimina.
Lo que deja abierto
Todo lo físico, y lo físico es donde viven los ataques más fáciles.
Una segunda etiqueta colocada sobre la primera, que el teléfono leerá en su lugar. La retirada y la sustitución por una etiqueta con otro contenido. La simple destrucción, que no redirige a nadie y sí derrota el despliegue.
Ninguno de ellos exige destreza alguna con el NFC, y todos le salen a un atacante más baratos de lo que le habría salido reescribir la etiqueta.
El ataque del tapado
Merece examinarse porque es el que nadie anticipa y el que de verdad ocurre.
Pegar una etiqueta nueva sobre una bloqueada le deja al teléfono dos etiquetas en el campo, y el desenlace depende de la geometría. A menudo gana la de fuera por estar más cerca. A veces fallan las dos porque se desintonizan entre sí, lo que al menos es un fallo visible y no una redirección silenciosa.
El mismo patrón está bien asentado con los códigos impresos, donde tapar uno con otro es un fraude común. El NFC no es inmune, y el bloqueo no hace nada al respecto.
Cómo es una protección de verdad
Física, lo primero. Una etiqueta bajo un plastificado, detrás de un panel fijo, embebida en un objeto o integrada en una tarjeta es mucho más difícil de tapar o de cambiar que una pegatina sobre una superficie plana.
Visible, lo segundo. Un diseño donde el sitio de la etiqueta sea evidente y una pegatina ajena cante vale más que cualquier función del chip, porque recluta como observador a todo el que pasa.
Criptográfica, cuando lo que está en juego lo justifique. Un chip que autentica en lugar de limitarse a llevar contenido permite a tu servidor comprobar que la etiqueta es la auténtica, que es el único mecanismo que sobrevive a una sustitución.
El bloqueo va junto a todo eso y no en su lugar. Es una capa, no cuesta nada, y tomarlo por suficiente es donde pillan a los despliegues.
Preguntas frecuentes
¿Alguien puede pegar otra etiqueta encima de la mía?
Sí, y es el ataque más probable. Que gane la de fuera depende de la geometría, y que fallen las dos es también un desenlace frecuente, porque dos bobinas en contacto interfieren.
¿El bloqueo impide la clonación?
No. Cualquiera puede leer una etiqueta bloqueada y escribir el mismo contenido en una virgen. El bloqueo impide modificar esa etiqueta, no duplicar lo que dice.
¿Cómo detecto que una etiqueta ha sido sustituida?
Cotejando el identificador con constancia de lo que desplegaste, o usando un chip que autentique. El contenido por sí solo no puede decírtelo, porque una copia lleva contenido idéntico.
¿Merece la pena una etiqueta con evidencia de manipulación?
Cuando la amenaza es la retirada, sí. Esas etiquetas rompen su antena al despegarlas, así que una retirada deja de funcionar en lugar de poder reutilizarse en otro sitio.