¿Se puede clonar una credencial de acceso?
Depende enteramente de qué compruebe el lector. Un sistema que compara un número devuelto por la credencial queda satisfecho con cualquier cosa que devuelva ese número. Un sistema en el que la credencial demuestra que conoce un secreto sin revelarlo no, porque no hay nada observable que reproducir.
Dos tipos de credencial
La distinción que lo decide todo no es la credencial, ni la frecuencia, ni el fabricante. Es qué hace el lector con lo que recibe.
Un tipo de sistema lee un valor de la credencial y lo compara con una lista. La credencial es una etiqueta con un nombre: dice quién es y se la cree.
El otro tipo plantea una pregunta que solo puede responder una credencial que guarde un secreto concreto, sin que ese secreto se transmita nunca. La credencial demuestra en vez de afirmar.
Las dos son idénticas para quien las lleva. Las dos tardan el mismo segundo en la puerta.
El tipo del número
Un valor leído de una credencial es observable, porque la credencial se lo devuelve a cualquier lector que pregunte. Cualquiera que pueda ponerse un momento al lado de quien la lleva puede obtenerlo.
Si ese valor lo puede presentar después otra cosa es una cuestión aparte con una respuesta incómoda: existe material que presenta un valor elegido y se vende abiertamente.
Así que un sistema que autoriza con un número está protegido por la dificultad de acercarse a una credencial, y por nada más. En una oficina donde las credenciales se llevan a la vista todo el día, eso no es mucha protección.
No es un montaje heredado y raro. Es habitual en instalaciones pequeñas, en reformas, y allí donde se eligió una controladora de puerta por su precio.
El tipo del secreto
Cuando la credencial responde a un desafío con una clave que nunca revela, observar el intercambio le da a un atacante una pregunta y una respuesta que no se volverán a plantear.
No hay nada que copiar, porque lo que importa nunca se transmitió. Leer la credencial mil veces no lo acumula.
Qué chips y qué esquemas ofrecen esto, y cómo se llama cada uno, pertenece a la documentación del chip y no a una guía general, y la terminología varía entre proveedores.
Lo que importa a nivel de decisión es la forma: una credencial que demuestra no se puede reproducir observándola, y una que afirma sí.
Averiguar cuál tienes
Hazle al proveedor una sola pregunta: ¿el lector verifica un secreto que guarda la credencial, o compara un valor que la credencial devuelve?
Un proveedor que no sepa responder a eso, o que responda nombrando un producto en vez de un mecanismo, te ha dicho algo útil igualmente.
Mira también qué pasa cuando se pierde una credencial. Un sistema que puede revocarla de inmediato y de forma centralizada es un sistema diseñado con la respuesta en mente.
Y trata el número impreso en la tarjeta como información pública, sea cual sea el montaje, porque en el caso débil es todo el secreto.
Preguntas frecuentes
¿Se puede clonar cualquier credencial?
No. Una que demuestra conocer un secreto sin transmitirlo no se puede reproducir observándola. Una que devuelve un número sí.
¿Cómo sé de qué tipo es la mía?
Pregunta si el lector verifica un secreto o compara un valor devuelto. Un proveedor que no sepa responder ha respondido igualmente.
¿Importa que la tarjeta lleve un número impreso?
En el montaje débil ese número puede ser toda la credencial, así que trátalo como público y diseña en consecuencia.
¿Es más seguro un móvil que una credencial?
Solo si el sistema de acceso le emitió la credencial al móvil. Copiar una credencial a un móvil no es posible.