Por qué la tarjeta de proximidad de toda la vida es un riesgo de seguridad, y cómo elegir entre tarjeta, PIN o biometría facial según el tipo de instalación.
La tarjeta de proximidad blanca que usa su empresa desde hace diez años se puede clonar en menos de cinco segundos con un aparato que cuesta menos de 20 euros. No hace falta ser un hacker profesional: existen lectores-copiadores de venta libre pensados precisamente para eso, y buena parte del parque de control de accesos instalado en oficinas, naves y comunidades de Alicante y Murcia sigue usando la tecnología que ese tipo de aparato es capaz de leer.
En DDR360 instalamos sistemas de control de accesos Hikvision desde Torrevieja para toda la provincia de Alicante y la Región de Murcia. En este artículo explicamos, con el detalle técnico que merece, por qué las tarjetas clásicas son vulnerables, qué cambia realmente con el cifrado DESFire, y cómo elegir entre tarjeta, PIN o biometría facial según el tipo de instalación que tenga que proteger.
La mayoría de tarjetas de acceso instaladas en España durante los últimos veinte años usan tecnología RFID de baja o alta frecuencia con chips como EM4100 o MIFARE Classic. El problema de fondo no es la radiofrecuencia en sí, sino que estos chips fueron diseñados hace más de dos décadas con un nivel de seguridad que ha quedado técnicamente obsoleto.
El caso más conocido es MIFARE Classic, que utiliza un algoritmo de cifrado propietario llamado Crypto1. En 2008, investigadores de seguridad publicaron ataques prácticos que rompen ese cifrado en cuestión de minutos, y desde entonces existen herramientas de hardware (el más conocido es el Proxmark, pero hay copiadoras mucho más baratas y sencillas de usar) capaces de leer el contenido de la tarjeta a distancia, calcular las claves internas y grabar un duplicado exacto en una tarjeta virgen. El proceso completo, con el equipo adecuado, se hace en segundos y sin que el propietario de la tarjeta original se entere: basta con acercarse lo suficiente, por ejemplo al pasar junto a alguien en una cafetería.
A esto se suma un problema de gestión, no solo técnico: cuando la clonación es tan sencilla, el registro de accesos deja de ser fiable. Si dos tarjetas idénticas pueden abrir la misma puerta, el log de "quién entró y a qué hora" ya no permite saber con certeza si fue el empleado legítimo o alguien con una copia. Para una empresa que necesita poder demostrar control de acceso a zonas sensibles (sala de servidores, almacén de mercancía de valor, archivo con datos de clientes), esa pérdida de trazabilidad es tan grave como la propia intrusión física.
La respuesta técnica a ese problema es MIFARE DESFire con cifrado AES128, el mismo estándar de cifrado que protege las tarjetas de crédito con chip EMV y buena parte de las comunicaciones bancarias online. La diferencia con el Crypto1 de las tarjetas clásicas no es de grado, es de generación tecnológica completa.
AES (Advanced Encryption Standard) con clave de 128 bits es un algoritmo público, revisado durante años por toda la comunidad criptográfica mundial, y hasta la fecha no existe ningún ataque práctico conocido capaz de romperlo en un tiempo razonable con el hardware disponible comercialmente. Cada tarjeta DESFire, además, puede configurarse con una clave maestra única por instalación: aunque alguien consiguiera comprometer el sistema de otra empresa, esa clave no sirve para la suya. Los lectores-copiadores de 20 euros que clonan una tarjeta MIFARE Classic en segundos simplemente no tienen capacidad de cómputo ni acceso a la clave criptográfica necesaria para replicar una credencial DESFire correctamente configurada.
En la práctica, esto significa que sustituir el parque de tarjetas antiguas por credenciales DESFire no es un capricho de sobre-ingeniería: es cerrar la puerta de entrada más barata y más usada por quien quiere acceder a unas instalaciones sin autorización.
No existe un método de acceso universalmente mejor, existe el método adecuado para cada situación. Estas son las ventajas y limitaciones reales de cada uno:
| Método | Ventajas | Limitaciones |
|---|---|---|
| Tarjeta DESFire | Rápida, no requiere contacto físico con el lector, fácil de revocar si se pierde, funciona con guantes | Se puede olvidar en casa o prestar voluntariamente a un compañero |
| PIN / teclado | No requiere llevar nada encima, útil como segundo factor combinado con tarjeta | El código se puede compartir o ser observado por encima del hombro (shoulder surfing) |
| Biometría facial | Imposible de prestar o compartir, lectura en 0.2 segundos, no se puede olvidar ni perder | Requiere un lector por punto de acceso, coste inicial mayor que una tarjeta |
La ventaja diferencial de la biometría facial frente a tarjeta y PIN no es solo la velocidad: es que resuelve el único problema que ninguno de los otros dos métodos puede resolver por diseño, que un empleado "fiche" o abra la puerta a otra persona en su nombre. Ni la tarjeta más segura del mercado impide que su dueño se la preste a un compañero un día que llega tarde; la cara de una persona no se puede prestar. Por eso, en zonas de máxima sensibilidad (salas de servidores, accesos de personal en horario nocturno, control horario), muchas empresas combinan tarjeta DESFire para el día a día con lector facial en los puntos críticos.
El diseño de un sistema de control de accesos cambia mucho según el tipo de instalación. Estos son los patrones más habituales que vemos en Alicante y Murcia:
Oficinas. El caso más común: tarjeta DESFire en la entrada general y en zonas comunes, con biometría facial reservada para la sala de servidores o el despacho de dirección. La gestión centralizada permite dar de alta a un empleado nuevo en todas las puertas a la vez en cuestión de segundos, y revocar su acceso al instante el día que deja la empresa, sin tener que recoger físicamente ninguna llave.
Naves industriales y almacenes. En los polígonos industriales de la zona (por ejemplo, en el entorno de Elche, San Vicente del Raspeig o Cartagena) el reto suele ser distinto: no solo controlar quien entra al edificio, sino gestionar el tráfico de camiones de proveedores y transportistas. Ahí entra en juego la lectura automática de matrícula: la barrera se abre sola cuando reconoce un vehículo autorizado en la lista, sin necesidad de que el conductor baje del camión ni de que haya un vigilante físico en la caseta. Para el personal a pie, tornos con tarjeta DESFire evitan que entre alguien sin autorización aprovechando el movimiento de mercancía.
Comunidades de vecinos. Es un caso de uso particularmente relevante en la Costa Blanca y la Costa Cálida, donde abundan las urbanizaciones y comunidades con alta rotación de propietarios (residentes de temporada, alquileres vacacionales) y, muchas veces, barrera de acceso vehicular en la entrada. La lectura de matrícula permite que los propietarios entren con el coche sin usar mando ni tarjeta, mientras que se pueden generar códigos QR o accesos temporales para el servicio de jardinería, limpieza de piscina o mantenimiento, válidos solo en el día y franja horaria acordados. Esto resuelve un problema habitual en comunidades con presidentes que cambian cada año: nadie tiene que ir físicamente a recoger o entregar mandos cuando cambia el proveedor de un servicio.
Todo lo anterior (tarjetas DESFire, lectores faciales, barreras con lectura de matrícula) necesita un cerebro que lo coordine, y ahí es donde entra HikCentral, la plataforma de gestión centralizada de Hikvision. Desde una única consola, accesible por web o app móvil, el responsable de la instalación puede dar de alta o baja usuarios en todas las puertas simultáneamente, definir horarios de acceso distintos por persona o por grupo (por ejemplo, que el personal de limpieza solo pueda entrar de 7:00 a 9:00), y consultar el histórico completo de accesos con fecha, hora y punto exacto.
La funcionalidad que más valoran nuestros clientes en el día a día es la revocación de acceso en un clic desde el móvil. Cuando un empleado deja la empresa, no hace falta cambiar cerraduras ni recoger llaves: se desactiva su credencial desde el teléfono y, en ese mismo instante, deja de tener acceso a cualquier puerta del sistema. Y si se pierde una tarjeta, el procedimiento es idéntico: se anula esa credencial concreta sin afectar a ninguna otra, algo impensable con una llave física compartida por todo un edificio.
¿Se puede combinar el nuevo sistema con las puertas y cerraduras que ya tengo?
En la mayoría de los casos sí. Los lectores DESFire y faciales se integran sobre la cerradura eléctrica o el torno existente; solo es necesario sustituir la cerradura completa cuando es mecánica pura y no dispone de apertura eléctrica.
¿Qué pasa si hay un corte de luz o de conexión a internet?
Los controladores de puerta guardan localmente las credenciales autorizadas y siguen funcionando de forma autónoma aunque se pierda la conexión a internet; lo que se pierde temporalmente es la gestión remota y la sincronización del histórico, que se restablece automáticamente al recuperar la conexión.
¿La biometría facial guarda una foto identificable de cada persona?
No en el sentido tradicional. El sistema extrae y almacena una plantilla matemática (un conjunto de puntos de referencia faciales) que no permite reconstruir una fotografía, siguiendo el mismo principio que usan otros sistemas biométricos de mercado para proteger la privacidad de los datos.
¿Cuánto tarda la instalación en una oficina o nave ya construida?
Depende del número de puertas y de si hay que tirar cableado nuevo o se reutiliza infraestructura existente. En la mayoría de instalaciones de tamaño medio, el trabajo se completa en una o dos jornadas, con la configuración de HikCentral y la formación al personal incluidas.
¿Puedo tener distintos niveles de permiso para distintos empleados?
Sí. HikCentral permite crear tantos perfiles de acceso como se necesiten: por ejemplo, que administración acceda a todas las zonas en horario de oficina, que el personal de producción solo acceda a la nave, y que el servicio de limpieza tenga acceso limitado a una franja horaria concreta.
Analizamos su sistema de accesos actual, le explicamos con claridad los riesgos reales y le proponemos una solución a medida. Sin compromiso.
Solicitar Auditoria →Más información: Control de Accesos DDR360 · Videovigilancia IA · Cobertura Alicante y Murcia · Auditoria Gratuita