Android può emulare una scheda senza elemento sicuro?
Sì, con Host Card Emulation, dove è un'applicazione a rispondere direttamente al terminale invece di un chip dedicato. Quello che non ti dà è la fiducia che porta un elemento sicuro, ed è per questo che non sostituisce senz'altro un badge fisico.
Come funziona
Un terminale produce il campo e si rivolge a quella che crede una scheda. Invece che un chip dedicato a rispondere, la richiesta viene instradata verso un'applicazione sul telefono, che compone la risposta.
Android lo documenta con il suo servizio di emulazione di scheda host, che un'applicazione implementa per ricevere quelle richieste e rispondervi.
Il telefono si comporta quindi come una scheda mentre la logica vive in software ordinario invece che in hardware resistente alla manomissione.
Cosa rende possibile
Credenziali di fedeltà e di appartenenza, dove il valore di falsificarne una è basso e la comodità di non emettere plastica è alta.
Biglietteria e accesso agli eventi, dove una credenziale dura poco e si valida contro un server.
L'accesso agli edifici nei sistemi progettati per questo, dove chi gestisce controlla sia il software dei telefoni sia i lettori.
Prototipi e strumenti interni, dove un telefono sostituisce un banco di prova con lettore di schede.
Cosa non ti dà
Un elemento sicuro è hardware resistente alla manomissione che conserva chiavi che non ne escono mai. È quello che permette a una banca di affidare a un telefono una credenziale di pagamento.
Host Card Emulation mette la logica in un'applicazione, quindi la sicurezza dipende dall'integrità del software del telefono invece che da hardware dedicato.
Per un sistema che deve resistere a un attaccante determinato con l'apparecchio in mano, è una differenza sostanziale e non un tecnicismo.
Ed è per questo che le credenziali di pagamento passano per la strada dell'elemento sicuro invece di essere semplicemente realizzate come un'applicazione.
La questione del badge di accesso
Si chiede se un telefono possa sostituire un badge di accesso, e la risposta onesta è che dipende dal sistema e non dal telefono.
Un lettore che verifica una credenziale contro un server può accettare un telefono. Un lettore che si aspetta una tecnologia di scheda precisa, o che autentica contro l'hardware della scheda stessa, in generale no.
Molti sistemi di accesso datati stanno nel secondo gruppo, e nessuna quantità di capacità del telefono li cambia.
Quindi la domanda da porre a chi integra il sistema è che cosa verifichino davvero i suoi lettori, non se i telefoni sostengano l'emulazione.
Domande frequenti
Il mio telefono può copiare il badge del mio edificio?
Di solito no. Quasi tutti i sistemi di accesso verificano qualcosa che il badge conserva nell'hardware, ed emulare quello non è ciò che Host Card Emulation offre.
Host Card Emulation è sicura?
La sua sicurezza poggia sul software del telefono invece che su hardware resistente alla manomissione, il che basta per molti usi e non per tutti.
Perché i pagamenti non la usano?
Le credenziali di pagamento stanno in un elemento sicuro di cui chi le emette si fida. Quella fiducia è una proprietà dell'hardware e non del software.
iOS offre la stessa cosa?
iOS tratta l'emulazione di scheda con il proprio framework e con le proprie regole, che sono più strette dell'equivalente Android.