Quão seguro é o NFC, e o que ele pode expor?

O que a física descarta

Uma tag não tem bateria. Ela é alimentada pelo campo do leitor, e esse campo é útil a cerca de dois centímetros.

Então todo cenário que começa com alguém do outro lado de uma sala, ou passando no meio de uma multidão, pede ao campo algo que ele não consegue fazer. O atacante tem de chegar perto o bastante para que você perceba, e ficar ali enquanto a troca termina.

Uma tag também não tem lógica. Ela responde ao que lhe perguntam e não faz mais nada, o que quer dizer que não consegue decidir, não consegue tomar a iniciativa e não consegue se comunicar com nada.

Esses dois fatos eliminam quase tudo o que se escreve sobre o risco do NFC. O que eles não eliminam merece ser levado a sério.

O que resta de fato

O destino. Uma tag guarda um endereço, e a página nesse endereço se comporta como qualquer outra página: pode registrar a visita, definir identificadores e anotar muito mais do que a tag jamais guardou. É aí que mora de verdade a questão da privacidade.

Sistemas que confiam num número. Uma tag anuncia um identificador a qualquer leitor que o peça. Instalações que autorizam com base nesse identificador estão autorizando com base num valor que qualquer pessoa ao lado de quem carrega a tag consegue obter.

Conteúdo que não deveria ser público. Qualquer coisa gravada numa tag pode ser lida por qualquer pessoa que aproxime um celular dela, sem pedir permissão e sem deixar rastro.

E regravar em vez de copiar. Uma tag desbloqueada numa parede pode ser sobrescrita por quem passa, o que é um ataque mais prático que a duplicação e recebe menos atenção.

A confusão que causa o estrago

Bloquear uma tag e proteger uma tag não são a mesma coisa, e tratar as duas como uma só causa mais perdas reais do que qualquer ataque.

O bloqueio impede a alteração. Ele não faz absolutamente nada contra a cópia, porque uma cópia se faz lendo, e ler é exatamente aquilo para que uma tag serve.

Da mesma forma, um identificador parece um segredo e não é. Ele é longo, parece aleatório e ninguém o publica, e nada disso o torna confidencial.

A maioria das instalações decepcionantes vem de uma dessas duas confusões, e não de um adversário sofisticado.

Julgar um risco pelo que ele vale

Copiar uma tag exige proximidade, uma tag virgem e um motivo. As duas primeiras coisas são baratas; a terceira é onde a maioria dos medos desmorona.

A cópia de uma tag que abre uma página pública dá ao atacante uma página pública. A cópia de um crachá que abre uma porta dá a ele a porta. A mesma operação, consequências radicalmente diferentes, e a diferença está inteira no que fica por trás da tag.

Então a pergunta útil não é se a sua tag pode ser copiada. Pode. A pergunta é o que alguém teria nas mãos se a copiasse.

Responda a isso primeiro, e a proteção que vem depois é proporcional em vez de reflexa.