Um crachá de acesso pode ser clonado?
Depende inteiramente do que o leitor verifica. Um sistema que compara um número devolvido pelo crachá pode ser satisfeito por qualquer coisa que devolva esse número. Um sistema em que o crachá prova que conhece um segredo sem revelá-lo não pode, porque não há nada observável a reproduzir.
Dois tipos de crachá
A distinção que decide tudo não é o crachá, a frequência nem o fabricante. É o que o leitor faz com o que recebe.
Um tipo de sistema lê um valor do crachá e o compara com uma lista. O crachá funciona como um crachá de identificação: diz quem é, e acreditam nele.
O outro tipo faz uma pergunta que só um crachá que guarda um segredo específico consegue responder, sem que esse segredo jamais seja transmitido. O crachá prova em vez de afirmar.
Os dois parecem idênticos para quem os carrega. Os dois levam o mesmo segundo na porta.
O tipo do número
Um valor lido de um crachá é observável, porque o crachá o devolve a qualquer leitor que peça. Qualquer pessoa que consiga ficar um momento ao lado de quem o carrega pode obtê-lo.
Se esse valor pode depois ser apresentado por outra coisa é outra questão, com uma resposta incômoda: existe hardware que apresenta um valor escolhido, e ele é vendido abertamente.
Então um sistema que autoriza com base num número é protegido pela dificuldade de chegar perto de um crachá, e por nada mais. Num escritório onde os crachás ficam à vista o dia inteiro, isso não é muita proteção.
Isso não é um arranjo antigo e obscuro. É comum em instalações pequenas, em modernizações e em qualquer lugar onde a controladora da porta foi escolhida pelo preço.
O tipo do segredo
Quando o crachá responde a um desafio usando uma chave que nunca revela, observar a troca dá ao atacante uma pergunta e uma resposta que não vão ser feitas de novo.
Não há nada para copiar, porque o que importa nunca foi transmitido. Ler o crachá mil vezes não reúne nada disso.
Quais chips e quais esquemas oferecem isso, e como cada um se chama, pertence à documentação dos chips e não a um guia geral, e a terminologia varia de um fornecedor para outro.
O que importa no nível de uma decisão é a forma: um crachá que prova não pode ser reproduzido por observação, e um crachá que afirma pode.
Descobrir qual é o seu
Faça uma pergunta ao fornecedor: o leitor verifica um segredo guardado pelo crachá, ou compara um valor que o crachá devolve?
Um fornecedor que não sabe responder, ou que responde citando um produto em vez de um mecanismo, já disse a você algo útil de qualquer jeito.
Veja também o que acontece quando um crachá é perdido. Um sistema capaz de revogá-lo na hora e de forma centralizada é um sistema que foi projetado com a resposta em mente.
E trate o número impresso no cartão como informação pública, seja qual for o arranjo, porque no caso mais fraco ele é o segredo inteiro.
Perguntas frequentes
Qualquer crachá pode ser clonado?
Não. Um crachá que prova conhecer um segredo sem transmiti-lo não pode ser reproduzido por observação. Um que devolve um número pode.
Como sei de que tipo é o meu?
Pergunte se o leitor verifica um segredo ou compara um valor devolvido. Um fornecedor que não sabe responder já respondeu.
Importa que o cartão tenha um número impresso?
No arranjo mais fraco esse número pode ser a credencial inteira, então trate-o como público e projete de acordo.
Um celular é mais seguro que um crachá?
Só se a credencial foi emitida para o celular pelo sistema de acesso. Copiar um crachá para um celular não é possível.