Que peut-on réellement cloner à partir d'un tag ?
Tout ce qui y est écrit, en quelques secondes, par quiconque peut en approcher un téléphone. Ce qui ne se copie pas, c'est l'identifiant, fixé en usine sur un tag ordinaire. Que la copie soit dangereuse dépend donc de celui des deux auquel se fie le système en face.
Le contenu se copie entièrement
Tout ce qui est écrit sur un tag peut être lu par n'importe qui muni d'un téléphone et écrit sur un support vierge. Il n'y a aucune étape d'autorisation, aucune trace, et aucun moyen pour le propriétaire de l'apprendre.
Cela comprend une adresse, une fiche de contact, un identifiant de réseau, du texte simple, et tout ce qui est stocké comme contenu. Le tout, à l'identique.
Traiter comme public tout ce qui est écrit sur un tag. Non parce que la copie est facile, ce qu'elle est, mais parce que la lecture est toute la fonction d'un tag et qu'on ne peut pas avoir l'une sans l'autre.
L'identité, non
Chaque tag porte un identifiant attribué à la fabrication, et sur un tag ordinaire il ne se change pas. Une copie est donc un autre tag portant les mêmes mots.
La configuration autour du contenu ne se copie pas davantage : un mot de passe posé sur la puce, l'état de verrouillage, et les réglages qui vivent hors de la zone de contenu restent avec l'original.
La mécanique de tout cela, et la raison pour laquelle une copie se comporte parfois mal, relève du versant écriture du sujet et se trouve dans le guide sur la copie d'un tag.
Quand la différence compte
Elle compte exactement quand quelque chose, en face, se fie à l'identifiant plutôt qu'au contenu.
Une porte qui compare un identifiant à une liste est mise en défaut par tout ce qui présente cet identifiant, et pas du tout par une copie qui en présente un autre.
Une page qui s'ouvre depuis une adresse se moque de savoir quel tag y a envoyé le lecteur, donc une copie fonctionne parfaitement et n'apporte rien qu'un seul contact n'aurait pas donné.
Entre ces deux pôles se trouve tout le reste, et la position de votre cas est décidée par le système, jamais par le tag.
La question à poser plutôt
Pas de savoir si cela peut être copié, puisque cela le peut. Ce que quelqu'un détiendrait s'il le copiait.
Si la réponse est une adresse publique, la copie ne vaut rien et aucune protection ne se justifie.
Si la réponse est une entrée, un paiement ou une identité, alors le tag n'a jamais été le bon endroit pour cette confiance, et la correction est du côté du système plutôt que du tag.
Prenez NFC Tools. Sur iOS, elle demande un iPhone 7 ou un modèle ultérieur sous iOS 15.6 au minimum, et l'application doit être lancée manuellement. La lecture en arrière plan est disponible à partir de l'iPhone XS et XR.
Questions fréquentes
L'identifiant peut-il être copié ?
Pas sur un tag ordinaire. Il est attribué à la fabrication et en lecture seule, donc une copie est un autre tag portant le même contenu.
Une copie emporte-t-elle le mot de passe ?
Non. Un mot de passe réside dans la configuration de la puce plutôt que dans le contenu, et il reste avec l'original.
La copie est-elle détectable ?
Pas par le tag. Rien n'est écrit et rien n'est enregistré, donc le propriétaire n'a aucun moyen de savoir que cela a eu lieu.
Que faut-il en faire ?
Décider ce que vaudrait une copie. Si la réponse est une page publique, rien. Si la réponse est une porte, déplacer la confiance hors du tag.