Un agent peut-il falsifier une ronde en copiant un tag ?
Oui, et c'est le déploiement où celui qui lit le tag est celui qui a une raison de le copier. Un tag ordinaire rend les mêmes octets où qu'il se trouve, donc une série de copies dans une poche produit une ronde complète sans que personne ne l'ait marchée.
Ici, le lecteur est l'attaquant
Presque partout ailleurs sur ce site, celui qui tient le téléphone est celui qu'on protège : d'un tag substitué, d'une page qui ment, d'un terminal qui n'est pas ce qu'il prétend. Sur une ronde de surveillance, les rôles sont inversés. Le tag est le contrôle de l'employeur et le téléphone appartient à celui que le contrôle vise.
Cela change les défenses qui ont un sens. Une fixation inviolable et un domaine imprimé protègent un passant d'un tag substitué ; elles ne font rien contre quelqu'un qui possède le lecteur et qui veut un relevé ayant l'air juste.
Le dire franchement vaut mieux qu'une fonction de sécurité, parce qu'un système vendu comme une preuve sera traité comme une preuve par celui qui s'y fie.
À quel point la copie est facile
Copier le contenu d'un tag sur un autre tag demande un téléphone et une minute, ce que décrit pas à pas la page de la copie.
La plupart des systèmes de ronde s'appuient donc sur le numéro de série plutôt que sur le contenu, puisqu'un numéro de série de fabricant ne peut pas être réécrit sur un tag ordinaire, comme l'explique la page de l'UID. Cela relève la barre et ne ferme pas la porte : des tags dont le numéro de série se choisit existent et se vendent ouvertement, ce que couvre la page de l'UID modifiable.
Verrouiller le tag de contrôle n'aide pas davantage. Cela empêche de le modifier, pas de le dupliquer, et la page du verrouillage dit explicitement que ce sont deux propriétés différentes.
Élever le coût
L'authentification cryptographique est la seule réponse à l'intérieur du tag. Une puce qui signe un défi ne peut pas être dupliquée en copiant ce qu'elle dit, parce que ce qu'elle dit est différent à chaque fois, et la page de l'authentification en pèse le coût. Un code tournant est la version bon marché de la même idée.
Tout le reste est de la corroboration en dehors du tag. Une photographie au point, une mesure relevée et saisie, une question à laquelle on ne peut répondre que depuis l'endroit du point de contrôle, une position satellite enregistrée avec le contact, un point de contrôle dont la place change chaque semaine.
Et la détection d'anomalies, qui ne coûte rien et qui est ce qui attrape réellement les gens : une ronde marchée en quatre minutes, des points toujours lus dans le même ordre aux mêmes intervalles, une tournée entière enregistrée depuis un seul endroit. Une ronde copiée est régulière comme une vraie ne l'est jamais.
Ce qui est proportionné
La question que pose la page du tag qui intéresse s'applique ici : qu'est-ce qu'une fausse ronde réussie rapporte à quelqu'un, et qu'est-ce qu'elle coûte à l'établissement.
Pour une ronde qui pilote du travail, la dissuasion et la détection d'anomalies suffisent, et la valeur du système n'a jamais été d'être infalsifiable.
Pour une ronde qui est un contrôle de sécurité, où un point sauté a des conséquences, le tag est le mauvais endroit où mettre toute la charge. L'authentification dans la puce, la corroboration au point, et un responsable qui la marche de temps en temps sont trois couches différentes, et la troisième est celle que personne ne peut copier.
Questions fréquentes
Un tag de point de contrôle peut-il être copié ?
Son contenu trivialement, et son numéro de série avec des tags vendus pour cela. Le verrouillage empêche la modification, pas la duplication.
S'appuyer sur le numéro de série règle-t-il le problème ?
Cela relève le coût, parce qu'un tag ordinaire ne peut pas voir son numéro de série réécrit. Des tags dont ce numéro se choisit existent et se vendent ouvertement.
Qu'est-ce qui attrape réellement une ronde falsifiée ?
Des régularités. Une tournée marchée trop vite, toujours dans le même ordre, ou enregistrée depuis un seul endroit ne ressemble pas à une vraie.
Quand l'authentification cryptographique se justifie-t-elle sur une ronde ?
Quand un point sauté a de vraies conséquences. Pour une ronde qui pilote du travail plutôt que la sécurité, la dissuasion et la détection d'anomalies sont proportionnées.