Un tag verrouillé est-il vraiment à l'abri d'une réécriture ?
Les octets sont réellement à l'abri : un tag verrouillé ne peut être réécrit par personne. L'objet ne l'est pas. Il peut être recouvert d'un autre tag, décollé et échangé, ou simplement retiré, et aucune de ces attaques ne touche à la mémoire que le verrouillage protège.
Ce que le verrouillage protège réellement
Le contenu, complètement. Personne ne peut réécrire un tag verrouillé, et ce n'est pas une affirmation probabiliste : la puce n'acceptera pas l'écriture.
Pour la menace précise d'un passant qui ferait pointer votre affiche ailleurs avec un téléphone, le verrouillage est une réponse complète. Cette menace est réelle et le verrouillage la supprime.
Ce qu'il laisse ouvert
Tout le physique, et c'est là que vivent les attaques les plus faciles.
Un second tag posé sur le premier, que le téléphone lira à sa place. Un retrait suivi d'un remplacement par un tag au contenu différent. Une simple destruction, qui ne redirige personne et met bel et bien le déploiement en échec.
Aucune de ces attaques ne demande de compétence NFC, et toutes reviennent moins cher à un attaquant que réécrire un tag.
L'attaque par recouvrement
Elle mérite d'être examinée parce que c'est celle qu'on n'anticipe pas et celle qui se produit vraiment.
Coller un nouveau tag sur un tag verrouillé met deux tags dans le champ du téléphone, et l'issue dépend de la géométrie. Souvent le tag extérieur l'emporte parce qu'il est plus proche. Parfois les deux échouent parce qu'ils se désaccordent mutuellement, ce qui est au moins une défaillance visible plutôt qu'une redirection silencieuse.
Le même schéma est bien établi avec les codes imprimés, où en recouvrir un d'un autre est une fraude courante. Le NFC n'y est pas immunisé, et le verrouillage n'y peut rien.
À quoi ressemble une vraie protection
Physique, d'abord. Un tag sous un film, derrière un panneau fixe, intégré dans un objet ou incorporé à une carte est bien plus difficile à recouvrir ou à échanger qu'un autocollant sur une surface plane.
Visible, ensuite. Une conception où l'emplacement du tag est évident et où un autocollant étranger paraît suspect vaut plus que n'importe quelle fonction de puce, parce qu'elle recrute chaque passant comme observateur.
Cryptographique, là où l'enjeu le justifie. Une puce qui s'authentifie au lieu de simplement porter un contenu permet à votre serveur de vérifier que le tag est bien l'original, ce qui est le seul mécanisme qui résiste à une substitution.
Le verrouillage se place à côté de ces protections plutôt qu'à leur place. C'est une couche, elle ne coûte rien, et c'est en la tenant pour suffisante que les déploiements se font prendre.
Questions fréquentes
Quelqu'un peut-il coller un autre tag sur le mien ?
Oui, et c'est l'attaque la plus probable. Que le tag extérieur l'emporte dépend de la géométrie, et que les deux échouent est aussi une issue courante, deux bobines en contact se gênant.
Le verrouillage empêche-t-il le clonage ?
Non. N'importe qui peut lire un tag verrouillé et écrire le même contenu sur un tag vierge. Le verrouillage empêche la modification de ce tag plutôt que la duplication de ce qu'il dit.
Comment détecter qu'un tag a été remplacé ?
En confrontant l'identifiant à un relevé de ce que vous avez déployé, ou en employant une puce qui s'authentifie. Le contenu seul ne peut pas vous le dire, une copie portant un contenu identique.
Un tag inviolable en vaut-il la peine ?
Là où le retrait est la menace, oui. Ces tags rompent leur antenne au décollement : un tag retiré cesse de fonctionner au lieu d'être réutilisable ailleurs.