¿Por qué una etiqueta NFC normal no es una credencial de acceso?
Porque afirma en vez de demostrar. Todo lo que lleva una etiqueta corriente es público, su identificador incluido, así que presentarla solo demuestra que tienes un número que cualquiera que estuviera cerca podría haber leído por su cuenta. Una credencial tiene que sobrevivir a ser observada.
Lo que debe hacer una credencial
Resistir la reproducción. Quien la observe no debe poder presentarla por ello. Una etiqueta falla aquí, porque leerla es observarla por completo.
Ser revocable. Retirarla debe ser inmediato y centralizado. Es una propiedad del sistema y no del objeto, y es la única que una etiqueta puede tomar prestada.
Tener procedencia. El sistema debe saber de dónde salió cada una. Las etiquetas compradas en un paquete y escritas con un teléfono no tienen ninguna.
Una etiqueta corriente cumple una de las tres, y solo apoyándose en el sistema.
El identificador no es un secreto
Toda etiqueta lleva un identificador, y se lo devuelve a cualquier lector que pregunte, antes de intercambiar contenido alguno. Es la forma que tiene el lector de dirigirse a ella.
Así que un identificador es un nombre y no una contraseña. Tratarlo como un secreto es tratar como privado algo que la etiqueta anuncia a todo el mundo.
Esto importa porque los identificadores parecen secretos. Son largos, parecen claves y nadie los publica. Nada de eso los hace confidenciales.
La prueba es sencilla: ¿podría obtenerlo alguien que estuviera al lado de quien la lleva? Con un identificador sí, con un teléfono corriente y sin ninguna interacción.
Sistemas que autorizan con un número
Algunas instalaciones leen una etiqueta, comparan el identificador con una lista y abren la puerta. Es fácil de construir, barato, y es autorizar con un valor público.
Es habitual en despliegues pequeños, en reformas, y en proyectos donde se le pidió al integrador algo barato.
Si tienes uno, conviene saberlo. El riesgo puede ser aceptable para un armario de material y no lo es para una sala de servidores.
La forma honesta de describir un sistema así es decir que identifica en vez de autenticar. Esa distinción es el asunto entero.
Qué usar en su lugar
Tarjetas construidas para el acceso, que se autentican criptográficamente: el lector plantea un desafío y la tarjeta responde de una forma que solo lograría una tarjeta con la clave correcta.
La clave nunca cruza la interfaz, así que observar el intercambio no permite repetirlo después.
Esa capacidad es una propiedad del chip y no se le puede añadir después a una etiqueta, lo que la convierte en una decisión de especificación y no de configuración.
Y sigue necesitando el sistema alrededor: emisión, revocación, y un registro de qué tarjeta pertenece a quién.
Preguntas frecuentes
¿El identificador de una etiqueta es una contraseña?
No. Se anuncia a cualquier lector antes que nada, así que es un nombre y no un secreto.
¿Puedo escribir un secreto en la etiqueta?
Todo lo escrito en una etiqueta legible es legible. La protección del contenido cambia quién puede escribir, no quién puede leer.
¿Son habituales los sistemas de acceso basados en el UID?
Existen, sobre todo en instalaciones pequeñas o reformadas. Merece la pena averiguar si el tuyo es uno de ellos.
¿Qué hace distinta a una tarjeta de acceso?
Demuestra que tiene una clave sin revelarla, así que observar el intercambio no permite a nadie repetirlo.