Um celular consegue clonar uma tag sozinho?
Um celular com um aplicativo comum lê o que está gravado numa tag e grava isso numa tag virgem, que é o que a maioria das pessoas entende por clonar. Ele não consegue definir um identificador, não consegue reproduzir a configuração do chip e não consegue chegar a nada que exija controle de baixo nível da troca.
O que um celular consegue fazer
Ler o conteúdo de uma tag e gravar esse conteúdo em outra tag. Sem equipamento especializado, sem cabo, sem nenhum conhecimento além de instalar um aplicativo.
Isso cobre a grande maioria do que as pessoas têm em mente quando se preocupam com a clonagem, porque a grande maioria das tags não guarda nada além de conteúdo.
Pegue o NFC Tools. No iOS ele exige um iPhone 7 ou um modelo posterior com iOS 15.6 no mínimo, e o aplicativo tem de ser aberto manualmente. A leitura em segundo plano está disponível a partir do iPhone XS e XR.
O que ele não consegue
Definir o identificador da tag de destino. Nas tags comuns o identificador é fixado na fabricação e nenhum aplicativo consegue mudá-lo.
Levar junto a configuração do chip: uma senha, o estado de bloqueio, as configurações de espelhamento. Elas ficam fora do conteúdo e não fazem parte do que é lido.
Chegar a protocolos que exigem controle abaixo do nível que um celular expõe aos aplicativos. As duas plataformas apresentam uma tag pela sua própria interface, e um aplicativo só vê o que essa interface oferece.
Reproduzir qualquer coisa que nunca foi transmitida, que é o caso de toda credencial que prova quem é em vez de se anunciar.
Por que os limites existem
Duas causas distintas, e vale mantê-las separadas.
Alguns limites são físicos e permanentes. Um segredo que nunca sai de um chip não pode ser capturado por um aplicativo melhor, em nenhuma plataforma, nunca.
Outros são decisões de plataforma. O que um aplicativo tem permissão de fazer com o rádio é escolhido pelo sistema operacional, e o iOS e o Android escolhem de modo diferente.
Confundir as duas leva a uma busca permanente pelo aplicativo que vai fazer a coisa impossível, uma busca que não tem fim.
O que isso significa para você
Parta do princípio de que qualquer pessoa com um celular consegue duplicar o conteúdo da sua tag. É uma barreira baixa, e ela é superada em toda parte.
Não parta do mesmo princípio sobre a identidade. Um sistema que se apoia no identificador não é vencido por um celular, embora possa ser vencido por outro hardware, o que é uma preocupação separada e real.
E quando um fornecedor disser que a tag dele não pode ser clonada, pergunte o que ele quer dizer com clonada. O conteúdo sempre pode, e muito marketing se apoia nessa ambiguidade.
Perguntas frequentes
Um aplicativo consegue mudar o identificador de uma tag?
Não numa tag comum, em que ele é fixado na fabricação. Nenhum aplicativo, em nenhuma das duas plataformas, consegue alterá-lo.
A cópia leva a senha?
Não. A configuração do chip fica fora do conteúdo e não faz parte do que um aplicativo lê.
É uma limitação de plataforma ou uma limitação física?
As duas, conforme o caso. Um segredo que nunca sai do chip é físico. O que um aplicativo pode fazer com o rádio é uma decisão de plataforma.
Então uma tag não pode ser clonada por um celular?
O conteúdo dela pode, facilmente. A identidade dela não. Qual das duas importa é decidido pelo que estiver do outro lado.