Casi todas las conversaciones sobre seguridad RFID empiezan en la etiqueta y acaban en la etiqueta. Es el punto de partida equivocado, porque la etiqueta es a la vez el elemento más débil del sistema y lo menos valioso que defender. Un inlay pasivo no tiene batería, tiene unos cientos de puertas lógicas y un enlace de radio que cualquiera a diez metros puede escuchar.

La pregunta realista no es cómo hacer la etiqueta invulnerable, sino dónde concentrar el esfuerzo defensivo para que el coste de un ataque supere su valor, y qué capa del sistema debe asumir ese esfuerzo.

Qué está realmente en riesgo en un despliegue RFID

Nombre los activos antes de elegir los controles, porque el gasto en seguridad sin modelo de amenaza compra tranquilidad, no protección.

Integridad del inventario: lecturas falsificadas que inflan el stock, o etiquetas clonadas que crean envíos fantasma.
Seguridad física: un atacante que sabe qué artículos están en qué ubicación o cuáles están en tránsito.
Privacidad del cliente: patrones de movimiento inferidos de etiquetas a nivel de artículo, sobre todo en moda y retail.
Antifalsificación: la etiqueta es la identidad del producto, así que un clon es una falsificación.
Seguridad y cumplimiento: trazabilidad farmacéutica y sanitaria donde una identidad errónea es un evento regulatorio, no un error de stock.

Amenazas de interfaz aérea: skimming, clonación, escucha y retransmisión

Cuatro ataques explican casi todo lo demostrado en campo, y tienen economías distintas.

Skimming: leer etiquetas sin conocimiento del operador. Trivial con un handheld o un lector modificado a pocos metros; cuesta unos cientos de dólares.
Escucha pasiva: escuchar el intercambio lector-etiqueta. Requiere proximidad, no permiso.
Clonación: copiar un EPC en una etiqueta nueva. Las etiquetas baratas lo hacen casi gratis y el clon es indistinguible en la interfaz aérea salvo que el sistema compruebe algo más que el EPC.
Retransmisión: reenviar un desafío a una etiqueta genuina y lejana. Raro en logística, relevante en control de accesos y escenarios cercanos al pago.

Observe lo que no está en la lista: romper criptografía. Los atacantes casi nunca lo necesitan. Clonan, hacen skimming o atacan el backend.

Qué detienen realmente las contraseñas EPC Gen2

Gen2 ofrece dos contraseñas de 32 bits y un conjunto de bits de bloqueo. Son útiles, y sus límites deben explicarse con claridad.

Contraseña de acceso: necesaria antes de escribir en memoria. Detiene la recodificación casual de sus etiquetas, nada más.
Contraseña de kill: desactiva la etiqueta de forma permanente, para privacidad al final de la vida útil. Un intento erróneo decrementa un contador y, tras cuatro fallos, la etiqueta se bloquea.
Bits de bloqueo: por banco de memoria, algunos permanentes. Impiden escrituras, no lecturas.
Gen2 no tiene protección de lectura. Cualquier lector conforme puede leer EPC y TID en claro. Lo que no publicaría no debe guardarse en la memoria de la etiqueta.

Autenticación de etiquetas y estrategias anti-clonación

Si la clonación importa, verifique algo que el atacante no pueda copiar barato.

Unicidad del TID: el TID viene grabado de fábrica y no es reescribible; compárelo con su propio registro de TIDs emitidos. Detiene al clon perezoso, no al decidido.
Etiquetas criptográficas: autenticación basada en AES, por ejemplo NXP UCODE DNA o alternativas de EM Microelectronic, con una clave por etiqueta. El coste pasa de céntimos a cerca de un dólar por etiqueta, y solo se justifica cuando el valor del artículo o la exposición regulatoria son altos.
Desafío-respuesta en el lector: el lector envía un nonce y verifica una respuesta firmada. Requiere un servicio de gestión de claves; perder las claves es peor que no tener esquema.
Firma digital en memoria de usuario: carga firmada verificada con clave pública, útil en antifalsificación donde el verificador puede ser un teléfono.

No invente un esquema. Las autenticaciones propietarias de los fabricantes existen precisamente porque los protocolos caseros se filtran.

Seguridad del backend: la capa que el atacante sí ataca

El incidente real más frecuente no es una etiqueta clonada, sino un lector con contraseña por defecto en una red plana.

TLS en todo el trayecto lector, borde y ERP; TLS mutuo donde el lector lo soporte, para que un dispositivo rogue no pueda suplantar a uno genuino.
Segmentación: VLAN dedicada por grupo de lectores, sin ruta a la LAN corporativa y sin salida a internet.
Firmware firmado y una ruta de actualización controlada; los lectores son ordenadores embebidos y se parchean tan poco como se auditan.
Privilegio mínimo en el middleware: una cuenta de servicio que pueda publicar recepciones pero no borrarlas.
Gestión de secretos: ninguna contraseña en ficheros de configuración ni en claro en la base de datos del ERP.
Registro de auditoría inmutable de cada cambio de configuración, con la identidad del operador.
LLRP y las API del fabricante sobre TLS, con la interfaz de gestión accesible solo desde una subred administrativa.

Privacidad y cumplimiento: minimizar gana a cifrar

A la regulación le importa menos la radio que lo que se puede inferir de los datos que conserva.

RGPD artículo 5: recoger lo que el proceso necesita. Una etiqueta de prenda no necesita un identificador de cliente para ser una etiqueta de prenda.
Derecho de supresión: en etiquetas de retail a nivel de artículo, o se desactiva la etiqueta en el punto de venta, o se rota el EPC para que deje de ser vinculable a una compra.
PIPL y regímenes similares imponen la misma disciplina: limitación de finalidad, límites de conservación y base jurídica para cualquier dato personal.
Información en tienda: cartel en la entrada, plazo de conservación publicado y un contacto para preguntas. Es barato y evita la mayoría de las reclamaciones.
Mantenga el vínculo entre EPC y cliente en el ERP, nunca en la etiqueta.

Secuencia práctica de endurecimiento

Hágalo en este orden; cada paso elimina una clase de ataque antes de que la siguiente sea relevante.

1. Segmente la red de lectores y elimine las credenciales por defecto. Esto solo evita la mayoría de los incidentes reales. 2. Active TLS y después TLS mutuo en cada conexión lector-borde. 3. Configure contraseñas de acceso y bits de bloqueo en las etiquetas que controle, y registre las contraseñas en un almacén gestionado. 4. Compruebe los TID contra un registro en el borde; ponga en cuarentena los desconocidos en lugar de aceptarlos. 5. Añada etiquetas criptográficas solo donde el valor del activo justifique el coste, empezando por los SKU de mayor valor. 6. Desactive o rote las etiquetas al final de su vida y pruebe el procedimiento con un lector real, no sobre el papel.

Conclusión

La seguridad RFID es una propiedad del sistema, no una función de la etiqueta. La etiqueta es un identificador visible por radio con protección de escritura débil y ninguna de lectura; trátela como dato público que resulta estar adherido a su artículo.

El identificador en la etiqueta, el significado en el backend.
Asuma que todo EPC puede leerse y copiarse, y diseñe detección en lugar de negación.
Gaste el primer presupuesto en segmentación y credenciales, no en etiquetas exóticas.
Use etiquetas criptográficas donde el valor o la norma lo exijan, y en ningún otro sitio.
Mantenga los datos personales fuera de la memoria de la etiqueta y convierta el borrado en un procedimiento probado.

Esta postura cuesta mucho menos que una brecha y sobrevive a la siguiente generación de etiquetas.