Un mot de passe authentifie-t-il quelque chose ?
Non. Un mot de passe conditionne une opération sur la puce, en général l'écriture et parfois la lecture. L'authentification répond à une tout autre question : est-ce bien le tag que j'ai posé ? Un tag protégé par mot de passe se lit, son contenu s'écrit sur un support vierge, et la copie ne portera aucun mot de passe.
Ce que fait un mot de passe
Il conditionne une opération. Sur la plupart des puces cela signifie l'écriture : le tag refuse d'accepter un nouveau contenu tant que le mot de passe n'est pas présenté.
Sur certaines puces il peut aussi conditionner la lecture, montage différent et plus rare, aux conséquences réelles sur le comportement du tag une fois posé.
Dans les deux cas c'est une permission sur ce tag, contrôlée par ce tag, portant sur ce qu'on peut lui faire.
Ce qu'il ne fait pas
Il ne voyage pas avec une copie. Une copie se fait en lisant le contenu, et la copie est un tag neuf dépourvu de mot de passe.
Il ne prouve pas que le tag est le vôtre. Le vérificateur en face n'a aucun moyen de savoir si un mot de passe a jamais été posé, puisqu'un tag qui se lit normalement se lit normalement dans les deux cas.
Il ne protège pas le contenu contre la lecture, sauf si vous avez spécifiquement acheté et configuré une protection en lecture, laquelle a ses propres conséquences.
Et il ne survit pas à un mot de passe perdu, défaillance qui met fin à plus de déploiements que n'importe quelle attaque.
Pourquoi la confusion est courante
Parce qu'un mot de passe ressemble à un titre d'accès, et parce que les fournisseurs décrivent les puces protégées par mot de passe comme sûres sans dire contre quoi.
Parce que les deux mots décrivent une défense, et parce que la différence entre empêcher une modification et prouver une identité n'est pas évidente tant que personne ne l'énonce.
Et parce que les deux sont souvent nécessaires ensemble, si bien qu'un déploiement qui en a un est facilement supposé avoir les deux.
Le test tient en une question : après une copie du tag, le mot de passe aide-t-il ? Il n'aide pas, dans aucun montage.
L'employer pour ce qu'il est
Poser un mot de passe là où un tag est à portée du public et où sa réécriture porterait à conséquence. C'est un risque réel et c'est l'outil qui lui correspond.
Prenez NFC Tools. Sur iOS, elle demande un iPhone 7 ou un modèle ultérieur sous iOS 15.6 au minimum, et l'application doit être lancée manuellement. La lecture en arrière plan est disponible à partir de l'iPhone XS et XR.
Consigner le mot de passe quelque part de durable et de partagé, parce qu'un mot de passe connu du seul opérateur de la séance d'encodage est un mot de passe que l'organisation ne détient pas.
Et là où la question est de savoir si un tag est authentique, acheter de l'authentification, parce qu'aucun montage à mot de passe n'y répond.
Questions fréquentes
Un mot de passe empêche-t-il la copie ?
Non. Copier revient à lire, et la copie est un tag neuf qui ne porte aucun mot de passe.
Prouve-t-il que le tag est le mien ?
Non. Un lecteur ne peut pas savoir si un mot de passe a été posé, puisque le tag se lit normalement dans les deux cas.
Quand faut-il en poser un ?
Quand le tag est à portée du public et que sa réécriture porterait à conséquence. C'est le risque auquel il répond.
Et si le mot de passe est perdu ?
Le tag ne se réécrit en général plus. Le perdre met fin à plus de déploiements que n'importe quelle attaque.