Tarjetas RFID de 125 kHz o Mifare: cuál es más segura para tu acceso

Si tu control de acceso protege algo de valor, la respuesta corta es: ni 125 kHz ni MIFARE Classic, sino MIFARE DESFire u otra tarjeta con cifrado moderno. Las tarjetas de 125 kHz más comunes solo transmiten un número fijo y se copian con facilidad. Las MIFARE Classic tienen un cifrado que investigadores universitarios rompieron públicamente. Las DESFire usan cifrado AES y autenticación mutua entre la tarjeta y el lector, y son mucho más difíciles de clonar. Te explico las diferencias para que elijas con criterio.

#Dos frecuencias, tres familias

#Tarjetas de 125 kHz: sencillas y vulnerables

Son las tarjetas de proximidad «de toda la vida». La mayoría de las que se ven en el mercado económico funcionan como una etiqueta: el lector les da energía y la tarjeta responde con su número. No hay contraseña, ni cifrado, ni conversación entre la tarjeta y el lector.

Eso significa que cualquiera que logre leer ese número con un equipo adecuado puede programar otra tarjeta con el mismo número, y el lector no nota la diferencia. No voy a explicar cómo se hace; lo importante es que sepas que es posible y que no requiere un laboratorio.

¿Cuándo las acepto? En lugares de bajo riesgo donde la tarjeta reemplaza una llave común y hay vigilancia, por ejemplo, el acceso a un área de uso común. Nunca para un almacén de mercancía, un cuarto de servidores o la puerta principal de un negocio.

#MIFARE Classic: popular, pero superada

Las MIFARE Classic trabajan en 13.56 MHz y tienen memoria protegida con claves. Durante años fueron el estándar en transporte público y en control de acceso de oficinas.

El problema es su cifrado, llamado Crypto1. Un equipo de la Universidad Radboud de Nijmegen, en los Países Bajos, aplicó ingeniería inversa al chip y publicó en 2008 vulnerabilidades en su autenticación y su cifrado, con ataques capaces de recuperar la clave secreta y clonar una tarjeta. El propio fabricante, NXP, ofrece hoy familias con cifrado moderno, como MIFARE DESFire, que es la que yo uso en instalaciones nuevas.

Si tu edificio ya usa MIFARE Classic, no entres en pánico, pero planifica la migración, sobre todo si las tarjetas abren puertas sensibles.

#MIFARE DESFire: la opción que recomiendo

La hoja de datos de NXP para la tercera generación, MIFARE DESFire EV3, describe lo que la hace distinta:

• Cifrado AES de 128 bits y 3DES por hardware.
• Autenticación mutua en tres pasos: la tarjeta y el lector se verifican entre sí antes de intercambiar datos.
• Certificación Common Criteria EAL5+, el mismo nivel que se exige en chips de tarjetas bancarias y pasaportes electrónicos, según el fabricante.
• Cumple la norma ISO/IEC 14443A y opera a 13.56 MHz.
• Identificador aleatorio opcional, para que la tarjeta no revele siempre el mismo número.
• Varias aplicaciones en una misma tarjeta: acceso, cafetería, parqueo.

Lo que hace segura a una DESFire no es solo el chip, sino cómo se configura. Si el instalador deja las claves de fábrica o lee solo el número de serie de la tarjeta, se pierde buena parte de la ventaja. En RYD configuramos las tarjetas con claves propias del cliente y el lector leyendo el área protegida, no solo el número.

#Errores comunes que veo

• Comprar el lector más barato que solo lee 125 kHz y quedarse atado a esa tecnología.
• Usar DESFire pero leer solo el número de serie. Es como tener una caja fuerte y dejarle la llave pegada.
• Mezclar tarjetas de distintos proveedores sin control y no saber cuáles están activas.
• No dar de baja las tarjetas perdidas. Una tarjeta segura, activa y perdida, sigue abriendo la puerta.
• Imprimir el nombre de la empresa y la dirección en la tarjeta. Si se pierde, le dices a quien la encuentre dónde usarla.

#Cómo migrar sin cambiar todo de golpe

1. Inventario: cuántas tarjetas hay, de qué tipo y qué lectores.
2. Lectores multitecnología: leen las tarjetas viejas y las nuevas durante la transición.
3. Reemplazo por etapas: primero las puertas críticas y el personal con más acceso.
4. Desactivar las viejas: cuando todos tengan la nueva, se desactiva la lectura de 125 kHz o MIFARE Classic.

Un consejo de administración: aprovecha la migración para ordenar la base de datos. Es el momento ideal para comprobar que cada tarjeta activa corresponde a una persona que todavía debe entrar, asignar nombres en el software en lugar de números sueltos y definir quién autoriza las tarjetas nuevas. Muchas veces la mejora de seguridad más grande no viene del chip, sino de esa limpieza.

#¿Y el celular como credencial?

Muchos lectores modernos de 13.56 MHz aceptan también credenciales en el celular por NFC o Bluetooth. Si vas a cambiar lectores, elige modelos que lo permitan, aunque hoy uses solo tarjetas. Así no tienes que volver a cambiar cuando quieras dar acceso desde el teléfono, como explico en abrir la puerta desde el celular.

Si estás comparando métodos de identificación en general, te dejo la guía de tarjeta, huella o reconocimiento facial.

Puedes ver lectores y tarjetas en nuestro catálogo de control de acceso, y si la migración incluye revisar el sistema completo, lo hacemos como parte de nuestros servicios técnicos.

#¿Quieres que te lo cotice?

Escríbenos por WhatsApp y cuéntame cuántas tarjetas tienes en uso, qué lectores hay instalados (una foto del lector y de la tarjeta ayuda) y cuántas puertas controlas. Te digo qué tecnología tienes hoy y cómo migrar a una más segura por etapas.