Las conversaciones sobre seguridad RFID suelen empezar preguntando por el cifrado, y esa es la primera pregunta equivocada. Las etiquetas Gen2 son dispositivos pasivos pequeños, con unos cientos de bits de memoria y sin batería; lo que pueden proteger es estrecho, concreto y merece entenderse antes de escribir cualquier requisito de seguridad.

La seguridad empieza por el modelo de amenaza

Amenazas distintas piden mecanismos distintos, y la mayoría no son criptográficos.

Reescribir un EPC: alguien altera una etiqueta para que un palé afirme ser otro artículo.
Desactivar una etiqueta: un artículo robado pasa por el portal y resulta invisible.
Clonar: un EPC copiado aparece en una falsificación o en un activo duplicado.
Escuchar: un lector no autorizado cosecha identificadores en una zona pública.
Denegación de servicio: interferencia o sobrelectura deliberadas desordenan la operación.

El EPC no es un secreto

Es un identificador difundido y debe diseñarse como tal.

Las etiquetas Gen2 responden a cualquier lector compatible; los comandos básicos de inventario no tienen autenticación.
Cualquiera con un lector y una antena adecuados puede leer un EPC a varios metros.
Trata el EPC como una matrícula, no como una contraseña ni como un token criptográfico.
Nunca codifiques datos personales, precios ni condiciones de contrato en el campo EPC.
Diseña los procesos posteriores para que conocer un EPC no otorgue autoridad por sí solo.

Contraseñas de acceso y de kill en Gen2

Dos contraseñas de 32 bits cubren dos riesgos diferentes.

La contraseña de acceso protege las escrituras de memoria, así que un tercero no puede reescribir el EPC ni los datos de usuario.
La contraseña de kill protege el comando de desactivación permanente, así que una etiqueta no puede apagarse en silencio.
Ambas viajan por el aire y necesitan cover-coding para evitar una interceptación trivial.
Una etiqueta con la contraseña por defecto a cero está efectivamente desprotegida, algo habitual en pilotos.
Escribe ambas contraseñas en la puesta en marcha, o acepta que ninguna de las dos protecciones existe.

Bits de bloqueo y permalock

El bloqueo es el control más fuerte que ofrece Gen2, y es irreversible.

Los comandos de bloqueo protegen EPC, TID, memoria de usuario, contraseña de acceso y de kill con distinta granularidad.
Un EPC bloqueado no puede corregirse, así que bloquea solo cuando el dato esté verificado y el proceso estable.
El permalock hace permanente el propio bloqueo y elimina cualquier posibilidad futura de desbloquear.
Un TID de solo lectura es una prueba útil de identidad; no es, por sí mismo, prueba contra la clonación.
Define la política de bloqueo por clase de activo, porque una etiqueta mal bloqueada es residuo electrónico.

Cover-coding y qué protege

Oculta contraseñas de una interceptación casual, no de un atacante decidido.

El cover-coding hace XOR entre la contraseña y un número aleatorio que el lector pide antes a la etiqueta.
Impide que un oyente pasivo extraiga del aire una contraseña en claro.
No detiene a un atacante capaz de interactuar directamente con la etiqueta.
No hace nada por la lectura del EPC, que sigue en claro por diseño.
Actívalo en los lectores que lo ofrezcan, y no lo presentes como cifrado.

Clonación, TID y autenticación Gen2v2

Las defensas realistas son verificación de identidad y evidencia física.

Un clonador copia el banco EPC; el valor TID es más difícil de copiar, pero se ha demostrado posible.
Gen2v2 añade un comando Authenticate con suites criptográficas, y exige etiquetas que lo soporten.
La autenticación criptográfica cuesta más por etiqueta y reduce mucho el abanico de proveedores.
En muchas operaciones, una consulta contra un registro en servidor es más fuerte que cualquier comprobación en la etiqueta.
Usa autenticación donde el valor del artículo lo justifique, y control de proceso en el resto.

Gestión de claves en todo el parque de etiquetas

Las contraseñas en hojas de cálculo no son un control.

Guarda las contraseñas de acceso y kill en un almacén de secretos gestionado, por sede y por clase de etiqueta.
Nunca las codifiques en el middleware, en apps móviles ni en plantillas de impresión.
Rota la contraseña de acceso donde la generación de etiqueta permita reescritura, y rastrea qué etiquetas conservan valores antiguos.
Restringe qué lectores y qué operarios pueden emitir bloqueos o desactivaciones.
Registra cada bloqueo y cada desactivación con operario, hora y etiqueta, y revisa el registro.

Evidencia de manipulación y seguridad física

La mayoría de los ataques reales son físicos, no radio.

Una etiqueta puede despegarse y moverse a otro artículo; usa etiquetas destructibles o con evidencia de manipulación.
Los lazos antifraude y los precintos detectan apertura, pero añaden coste y modos de fallo.
Inspecciona las etiquetas en la recepción; una etiqueta dañada es más probable que una clonada.
Coloca la etiqueta donde retirarla dañe el soporte, no donde resulte cómodo.
Combina RFID con una marca visual o un número de serie en bienes de alto valor.

La infraestructura de lectores es superficie de ataque

El punto débil rara vez es la etiqueta.

Los lectores ejecutan firmware y servicios de red, y a menudo siguen con credenciales por defecto.
Segmenta la red de lectores y niega el acceso saliente a internet.
Mantén el firmware al día y prueba las actualizaciones en laboratorio antes de desplegarlas.
Trata el middleware que escribe EPC como un sistema privilegiado, porque puede corromper identidades a escala.
Audita quién puede cambiar datos de etiqueta y guarda un registro inmutable de esos cambios.

Auditoría, monitorización y respuesta a incidentes

Un control que nadie vigila es un control que ya ha fallado.

Registra lecturas, escrituras, bloqueos y desactivaciones de forma central, con lector y operario.
Alerta ante cualquier desactivación emitida fuera del flujo documentado de puesta en marcha o baja.
Alerta ante un volumen anómalo de escrituras desde un solo lector, que es la firma de una reescritura masiva.
Mantén el registro de etiquetas capaz de responder cuándo se vio un EPC por última vez y con qué lector.
Ensaya una respuesta a clonación o manipulación antes de que ocurra; el primer incidente real es mal momento para diseñarla.

Una postura de seguridad realista

Declara lo que has logrado y declara lo que no.

Para la mayoría de almacenes, un EPC bloqueado más validación en servidor es proporcionado y suficiente.
Para bienes de alto valor o regulados, añade autenticación Gen2v2 y evidencia física de manipulación.
En entornos públicos, asume que los identificadores se cosechan y diseña en consecuencia.
Documenta el modelo de amenaza, porque un control sin documentar es un control que nadie mantiene.
Revisa cada año: proveedores de etiqueta, firmware de lector y modelo de amenaza cambian.