Por que la tarjeta de proximidad de toda la vida es un riesgo de seguridad, y como elegir entre tarjeta, PIN o biometria facial segun el tipo de instalacion.
La tarjeta de proximidad blanca que usa su empresa desde hace diez años se puede clonar en menos de cinco segundos con un aparato que cuesta menos de 20 euros. No hace falta ser un hacker profesional: existen lectores-copiadores de venta libre pensados precisamente para eso, y buena parte del parque de control de accesos instalado en oficinas, naves y comunidades de Alicante y Murcia sigue usando la tecnologia que ese tipo de aparato es capaz de leer.
En DDR360 instalamos sistemas de control de accesos Hikvision desde Torrevieja para toda la provincia de Alicante y la Region de Murcia. En este articulo explicamos, con el detalle tecnico que merece, por que las tarjetas clasicas son vulnerables, que cambia realmente con el cifrado DESFire, y como elegir entre tarjeta, PIN o biometria facial segun el tipo de instalacion que tenga que proteger.
La mayoria de tarjetas de acceso instaladas en España durante los ultimos veinte años usan tecnologia RFID de baja o alta frecuencia con chips como EM4100 o MIFARE Classic. El problema de fondo no es la radiofrecuencia en si, sino que estos chips fueron diseñados hace mas de dos decadas con un nivel de seguridad que ha quedado tecnicamente obsoleto.
El caso mas conocido es MIFARE Classic, que utiliza un algoritmo de cifrado propietario llamado Crypto1. En 2008, investigadores de seguridad publicaron ataques practicos que rompen ese cifrado en cuestion de minutos, y desde entonces existen herramientas de hardware (el mas conocido es el Proxmark, pero hay copiadoras mucho mas baratas y sencillas de usar) capaces de leer el contenido de la tarjeta a distancia, calcular las claves internas y grabar un duplicado exacto en una tarjeta virgen. El proceso completo, con el equipo adecuado, se hace en segundos y sin que el propietario de la tarjeta original se entere: basta con acercarse lo suficiente, por ejemplo al pasar junto a alguien en una cafeteria.
A esto se suma un problema de gestion, no solo tecnico: cuando la clonacion es tan sencilla, el registro de accesos deja de ser fiable. Si dos tarjetas identicas pueden abrir la misma puerta, el log de "quien entro y a que hora" ya no permite saber con certeza si fue el empleado legitimo o alguien con una copia. Para una empresa que necesita poder demostrar control de acceso a zonas sensibles (sala de servidores, almacen de mercancia de valor, archivo con datos de clientes), esa perdida de trazabilidad es tan grave como la propia intrusion fisica.
La respuesta tecnica a ese problema es MIFARE DESFire con cifrado AES128, el mismo estandar de cifrado que protege las tarjetas de credito con chip EMV y buena parte de las comunicaciones bancarias online. La diferencia con el Crypto1 de las tarjetas clasicas no es de grado, es de generacion tecnologica completa.
AES (Advanced Encryption Standard) con clave de 128 bits es un algoritmo publico, revisado durante años por toda la comunidad criptografica mundial, y hasta la fecha no existe ningun ataque practico conocido capaz de romperlo en un tiempo razonable con el hardware disponible comercialmente. Cada tarjeta DESFire, ademas, puede configurarse con una clave maestra unica por instalacion: aunque alguien consiguiera comprometer el sistema de otra empresa, esa clave no sirve para la suya. Los lectores-copiadores de 20 euros que clonan una tarjeta MIFARE Classic en segundos simplemente no tienen capacidad de computo ni acceso a la clave criptografica necesaria para replicar una credencial DESFire correctamente configurada.
En la practica, esto significa que sustituir el parque de tarjetas antiguas por credenciales DESFire no es un capricho de sobre-ingenieria: es cerrar la puerta de entrada mas barata y mas usada por quien quiere acceder a unas instalaciones sin autorizacion.
No existe un metodo de acceso universalmente mejor, existe el metodo adecuado para cada situacion. Estas son las ventajas y limitaciones reales de cada uno:
| Metodo | Ventajas | Limitaciones |
|---|---|---|
| Tarjeta DESFire | Rapida, no requiere contacto fisico con el lector, facil de revocar si se pierde, funciona con guantes | Se puede olvidar en casa o prestar voluntariamente a un compañero |
| PIN / teclado | No requiere llevar nada encima, util como segundo factor combinado con tarjeta | El codigo se puede compartir o ser observado por encima del hombro (shoulder surfing) |
| Biometria facial | Imposible de prestar o compartir, lectura en 0.2 segundos, no se puede olvidar ni perder | Requiere un lector por punto de acceso, coste inicial mayor que una tarjeta |
La ventaja diferencial de la biometria facial frente a tarjeta y PIN no es solo la velocidad: es que resuelve el unico problema que ninguno de los otros dos metodos puede resolver por diseño, que un empleado "fiche" o abra la puerta a otra persona en su nombre. Ni la tarjeta mas segura del mercado impide que su dueño se la preste a un compañero un dia que llega tarde; la cara de una persona no se puede prestar. Por eso, en zonas de maxima sensibilidad (salas de servidores, accesos de personal en horario nocturno, control horario), muchas empresas combinan tarjeta DESFire para el dia a dia con lector facial en los puntos criticos.
El diseño de un sistema de control de accesos cambia mucho segun el tipo de instalacion. Estos son los patrones mas habituales que vemos en Alicante y Murcia:
Oficinas. El caso mas comun: tarjeta DESFire en la entrada general y en zonas comunes, con biometria facial reservada para la sala de servidores o el despacho de direccion. La gestion centralizada permite dar de alta a un empleado nuevo en todas las puertas a la vez en cuestion de segundos, y revocar su acceso al instante el dia que deja la empresa, sin tener que recoger fisicamente ninguna llave.
Naves industriales y almacenes. En los poligonos industriales de la zona (por ejemplo, en el entorno de Elche, San Vicente del Raspeig o Cartagena) el reto suele ser distinto: no solo controlar quien entra al edificio, sino gestionar el trafico de camiones de proveedores y transportistas. Ahi entra en juego la lectura automatica de matricula: la barrera se abre sola cuando reconoce un vehiculo autorizado en la lista, sin necesidad de que el conductor baje del camion ni de que haya un vigilante fisico en la caseta. Para el personal a pie, tornos con tarjeta DESFire evitan que entre alguien sin autorizacion aprovechando el movimiento de mercancia.
Comunidades de vecinos. Es un caso de uso particularmente relevante en la Costa Blanca y la Costa Calida, donde abundan las urbanizaciones y comunidades con alta rotacion de propietarios (residentes de temporada, alquileres vacacionales) y, muchas veces, barrera de acceso vehicular en la entrada. La lectura de matricula permite que los propietarios entren con el coche sin usar mando ni tarjeta, mientras que se pueden generar codigos QR o accesos temporales para el servicio de jardineria, limpieza de piscina o mantenimiento, validos solo en el dia y franja horaria acordados. Esto resuelve un problema habitual en comunidades con presidentes que cambian cada año: nadie tiene que ir fisicamente a recoger o entregar mandos cuando cambia el proveedor de un servicio.
Todo lo anterior (tarjetas DESFire, lectores faciales, barreras con lectura de matricula) necesita un cerebro que lo coordine, y ahi es donde entra HikCentral, la plataforma de gestion centralizada de Hikvision. Desde una unica consola, accesible por web o app movil, el responsable de la instalacion puede dar de alta o baja usuarios en todas las puertas simultaneamente, definir horarios de acceso distintos por persona o por grupo (por ejemplo, que el personal de limpieza solo pueda entrar de 7:00 a 9:00), y consultar el historico completo de accesos con fecha, hora y punto exacto.
La funcionalidad que mas valoran nuestros clientes en el dia a dia es la revocacion de acceso en un clic desde el movil. Cuando un empleado deja la empresa, no hace falta cambiar cerraduras ni recoger llaves: se desactiva su credencial desde el telefono y, en ese mismo instante, deja de tener acceso a cualquier puerta del sistema. Y si se pierde una tarjeta, el procedimiento es identico: se anula esa credencial concreta sin afectar a ninguna otra, algo impensable con una llave fisica compartida por todo un edificio.
¿Se puede combinar el nuevo sistema con las puertas y cerraduras que ya tengo?
En la mayoria de los casos si. Los lectores DESFire y faciales se integran sobre la cerradura electrica o el torno existente; solo es necesario sustituir la cerradura completa cuando es mecanica pura y no dispone de apertura electrica.
¿Que pasa si hay un corte de luz o de conexion a internet?
Los controladores de puerta guardan localmente las credenciales autorizadas y siguen funcionando de forma autonoma aunque se pierda la conexion a internet; lo que se pierde temporalmente es la gestion remota y la sincronizacion del historico, que se restablece automaticamente al recuperar la conexion.
¿La biometria facial guarda una foto identificable de cada persona?
No en el sentido tradicional. El sistema extrae y almacena una plantilla matematica (un conjunto de puntos de referencia faciales) que no permite reconstruir una fotografia, siguiendo el mismo principio que usan otros sistemas biometricos de mercado para proteger la privacidad de los datos.
¿Cuanto tarda la instalacion en una oficina o nave ya construida?
Depende del numero de puertas y de si hay que tirar cableado nuevo o se reutiliza infraestructura existente. En la mayoria de instalaciones de tamaño medio, el trabajo se completa en una o dos jornadas, con la configuracion de HikCentral y la formacion al personal incluidas.
¿Puedo tener distintos niveles de permiso para distintos empleados?
Si. HikCentral permite crear tantos perfiles de acceso como se necesiten: por ejemplo, que administracion acceda a todas las zonas en horario de oficina, que el personal de produccion solo acceda a la nave, y que el servicio de limpieza tenga acceso limitado a una franja horaria concreta.
Analizamos su sistema de accesos actual, le explicamos con claridad los riesgos reales y le proponemos una solucion a medida. Sin compromiso.
Solicitar Auditoria →Mas informacion: Control de Accesos DDR360 · Videovigilancia IA · Cobertura Alicante y Murcia · Auditoria Gratuita