Qui vérifie qu'un tag est authentique ?
Quelque chose qui détient le secret correspondant, et ce quelque chose n'est jamais le téléphone que le client tient en main. Le téléphone relaie un défi et une réponse vers un service capable de les juger, ce qui fait d'un dispositif d'authentification un service muni d'une puce plutôt qu'une puce toute seule.
Le téléphone est un coursier
Un téléphone qui lit un tag authentifiant transporte l'échange entre la puce et qui sait le juger. Il n'est pas le juge.
Il ne peut pas l'être, parce que juger réclame de détenir le secret correspondant, et qu'un secret déposé sur le téléphone de chaque client n'est pas un secret.
Prenez NFC Tools. Sur iOS, elle demande un iPhone 7 ou un modèle ultérieur sous iOS 15.6 au minimum, et l'application doit être lancée manuellement. La lecture en arrière plan est disponible à partir de l'iPhone XS et XR.
Le bon modèle mental est donc un coursier porteur d'une enveloppe scellée, et la question qui suit est de savoir qui l'ouvre.
Ce que le service doit détenir
Le matériel de clés correspondant à ce qui a été programmé dans les puces, ou l'accès à une partie qui le détient.
Un relevé des tags existants, pour qu'une preuve valide venue d'un tag que personne n'a commandé soit reconnue comme le problème qu'elle est.
Pour les dispositifs à compteur, un relevé de ce qui a déjà été vu, plus une règle pour les tags qui arrivent décalés.
Et une réponse à l'échec. Un service qui renvoie une croix rouge sans conséquence définie a produit une alarme sur laquelle personne n'agit.
Le problème du grand public
Un dispositif destiné au public doit fonctionner pour quelqu'un qui n'en a jamais entendu parler, muni du téléphone qu'il possède, debout dans un magasin.
Si la vérification suppose d'installer une application d'abord, la plupart des gens ne vérifieront pas, et le dispositif protège la réputation de la marque plutôt que le client.
Si elle fonctionne depuis un simple contact vers une page web, l'adoption est bien meilleure et la vérification plus faible, parce que ce qu'une page peut faire de l'échange est plus limité.
Cet arbitrage est la décision de conception centrale de tout programme d'authentification grand public, et elle est prise par la personne qui choisit la puce, en général sans s'en rendre compte.
Ce qui doit continuer de tourner
Le service, aussi longtemps que les produits circulent, ce qui pour des biens durables dépasse la durée de vie de la plupart des logiciels.
Le matériel de clés, protégé et récupérable, à travers les changements de personnel et de fournisseur.
Et l'adresse vers laquelle les tags pointent, figée dans le silicium ou dans le contenu et impossible à changer une fois les marchandises expédiées.
Un dispositif est donc un engagement assorti d'une durée, et cette durée devrait être énoncée avant la commande du premier tag.
Questions fréquentes
Mon téléphone peut-il vérifier un tag tout seul ?
Non. La vérification réclame le secret correspondant, et un secret détenu sur chaque téléphone n'en serait pas un.
Le client doit-il installer une application ?
Cela dépend du dispositif. En exiger une donne une vérification plus solide et bien moins de gens qui vérifient réellement.
Que se passe-t-il si le service ferme ?
Les tags se lisent toujours et ne prouvent plus rien que quiconque puisse contrôler. L'engagement dure aussi longtemps que les marchandises.
Qui doit exploiter le vérificateur ?
Celui qui existera encore quand les produits circuleront encore. C'est un horizon plus long que la plupart des projets ne le supposent.