¿Qué tan seguras son las tarjetas de acceso RFID para hoteles y los paquetes de llaves en los que se envían?

 

Paquete de llaves, tarjetero o sobre de llaves - ¿Cuál estás comprando realmente?

 

El término está un poco sobrecargado, vale la pena aclararlo antes de especificar nada. En el sector hotelero, un paquete de llaves (también llamado sobre de tarjeta de llave, funda de tarjeta de llave o carpeta de tarjeta de llave) es el soporte de papel o tarjeta-impreso en el que se desliza la llave de la habitación en el momento del registro-. Protege la tarjeta contra dobleces y desmagnetización, le brinda a la recepción un lugar para escribir el número de la habitación y lleva la marca de la propiedad. Por sí solo no tiene ninguna función electrónica.

 

Dos productos no relacionados comparten nombres similares y ocasionalmente aparecen en los mismos resultados de búsqueda: conjuntos de claves físicas utilizadas en inspecciones de bienes raíces-(a veces "paquetes de claves de inspectores") y envases farmacéuticos en blister-que se venden con nombres como Key-Pak. Si una lista corta de proveedores incluye alguno de estos, están resolviendo un problema completamente diferente, que vale la pena señalar con anticipación para que una RFP de sobres de tarjetas de acceso masiva no se confunda.

 

Para todo lo que sigue, nos referimos a la versión hotelera: la funda de papel y, lo que es más importante, la tarjeta RFID o de banda magnética-que va en su interior.

 

Dos decisiones que realmente determinan la seguridad: el grado del chip y la compatibilidad de la cerradura

 

Una vez que el paquete queda fuera de la mesa como factor de seguridad, la compra se reduce a dos variables: qué chip hay dentro de la tarjeta y si la codificación de ese chip coincide con su plataforma de bloqueo. Saflok, Onity, Dormakaba y sistemas similares esperan estructuras de datos ligeramente diferentes en la tarjeta.

 

 

Eso parece trivial en una hoja de especificaciones. Aquí es donde dejó de ser trivial para una propiedad. Un lote de 500 tarjetas destinadas a una cadena turística del sudeste asiático se leyó perfectamente en el lector de demostración de nuestro banco: luz verde, lectura válida, todas las tarjetas. En el lugar, cada tarjeta arrojaba "tarjeta no válida" a la puerta. Dos días de diagnóstico remoto lo rastrearon hasta una actualización de firmware que el fabricante de la cerradura había impulsado unos tres meses antes y que cambió la forma en que se validaba la suma de verificación del sector; el perfil de codificación que nos habían dado era anterior. La cartulina y la impresión fueron impecables. Las puertas todavía no se abrieron. Esa brecha entre "lecturas en el banco" y "abre la puerta" es exactamente donde las órdenes de tarjetas de acceso de hotel anti-clon silenciosamente salen mal.

 

La durabilidad cuenta una historia similar y no es necesario que lo tomes por fe; aparece en el ciclo de reorden. Como punto de referencia aproximado de la industria, las tarjetas de banda magnética-normalmente necesitan ser reemplazadas entre 6 y 12 meses después de un intenso tráfico de huéspedes, mientras que las tarjetas RFID correctamente codificadas suelen funcionar entre 2 y 3 años bajo la misma carga. Un precio por-tarjeta que debe repetirse tres veces más no es más barato; es una decisión de flujo de efectivo-con un disfraz de costo unitario-.

 

Cómo se clonan las tarjetas de acceso de hotel en el campo

 

Vale la pena comprender el mecanismo, porque "las tarjetas RFID se pueden clonar" se afirma como un hecho rotundo sin lapor qué, y elpor quées lo que te dice qué cartas están realmente en riesgo.

 

El problema más antiguo y más extendido se remonta al cifrado Crypto-1 de MIFARE Classic, que investigadores académicos de la Universidad de Radboud realizaron ingeniería inversa ya en 2008 (Archivo de impresión electrónica de la IACR). Las tarjetas de esa familia de chips se autentican con un esquema que se ha roto públicamente durante más de una década; sin embargo, debido a que gran parte del hardware instalado depende de él, todavía está en circulación en propiedades que nunca se actualizaron.

 

Un caso más nuevo y extraño surgió en 2024: un chip lanzado específicamente para cerrar brechas de clonación antiguas (el FM11RF08S) resultó tener su propio defecto a nivel de hardware-, lo que permitió a un atacante con unos minutos de acceso físico a una tarjeta extraer todo el conjunto de claves personalizadas de la propiedad (Las noticias de los piratas informáticos). La conclusión no es "evitar ese chip". Es que la etiqueta de marketing de un chip ("actualizado", "cifrado", "próxima-generación") no sustituye la verificación de su método de autenticación real. Las tarjetas que no dependen más que de una identificación estática, sin intercambio criptográfico entre la tarjeta y la cerradura, son las más fáciles de duplicar con hardware barato, independientemente de lo que diga el paquete. Si rozar la puerta es parte de su modelo de amenaza, esa es una línea de especificaciones separada. Un blindadoFunda para tarjeta con bloqueo RFID-aborda la interceptación, no la clonación, y los dos se confunden constantemente.

 

Especificación de una tarjeta segura: AES, MIFARE Plus SL3 y autenticación mutua

 

La solución no es complicada una vez que el panorama de los chips está claro, y no tiene nada que ver con el paquete de claves en el que se envía la tarjeta. La industria se está alejando de las tarjetas UID-solo y Crypto-1 hacia chips que utilizan cifrado AES-128 con autenticación mutua: la tarjeta y el lector se verifican mutuamente antes de que cualquier dato de acceso cambie de manos, en lugar de que el lector confíe en cualquier identificación que presente una tarjeta.

 

Tipo de chip	Método de autenticación	Resistencia a la clonación	Caso de uso típico hoy
UID-solo/proximidad básica	Solo identificación estática	muy bajo	Legacy, en proceso de eliminación
MIFARE Clásico (Cripto-1)	Cifrado propietario, roto desde 2008	Bajo	Gran base instalada, candidato a actualización
MIFARE Plus SL3	AES-128, autenticación mutua	Alto	Ruta de actualización práctica para la mayoría de las propiedades
Serie DESFire EV-	AES-128/3DES, autenticación mutua	Alto	Mayor-seguridad o implementaciones de múltiples-aplicaciones

 

AES-128 se considera actualmente en la industria del control de acceso-como computacionalmente inviable para la fuerza bruta-con hardware comercial o de consumo existente, por lo que MIFARE Plus SL3 se ha convertido en el punto medio práctico para las propiedades que migran desde una flota basada en Classic-en lugar de saltar directamente a DESFire completo. Pero esa recomendación conlleva una condición que la mayoría de los proveedores no plantearán en su nombre: SL3 sólo ayuda si el firmware de sus cerraduras instaladas realmente admite su lectura en el nivel de seguridad por el que está pagando. La forma de confirmarlo no es aceptar una hoja de datos del chip; es para solicitar el número de versión de firmware escrito de la cerradura y probar una tarjeta de muestra con ese firmware exacto antes de cerrar sesión. Solicitar tarjetas SL3 contra cerraduras aún configuradas para lecturas de nivel Clásico es una forma común en que estos proyectos se estancan, y todavía hay una base instalada muy grande de hardware MIFARE heredado en el campo para que ese error sea fácil de cometer. Aquí es también donde un programa seguro de tarjeta de acceso al hotel y una correspondientellavero RFIDLa credencial pertenece a la misma especificación, por lo que el acceso del personal y de los invitados se ejecuta en el mismo nivel de chip verificado en lugar de una tarjeta potente combinada con un llavero débil.

 

Tres errores de adquisición que cuestan el doble

 

Un puñado de patrones aparecen con bastante frecuencia enpedidos de tarjetas de acceso al hotelque vale la pena nombrarlos directamente, porque cada uno tiende a ser descubierto solo después de que se envían las cartas.

No acepte una garantía verbal aquí. Solicite el número de pieza exacto del chip por escrito y un resultado documentado de la prueba de compatibilidad del firmware-con su modelo de cerradura específico antes de emitir la orden de compra. El segundo es tratar la compatibilidad de la plataforma de bloqueo-como un problema que el proveedor debe resolver después del hecho, en lugar de una especificación confirmada antes de la producción. Así es exactamente como un lote termina impreso correctamente y sin poder abrir ni una sola puerta. El tercero es asumir que una clave basada en un teléfono móvil o-es automáticamente más segura que una tarjeta física; En la mayoría de las implementaciones actuales, el teléfono simula la misma credencial de chip subyacente, por lo que un estándar de chip débil no se vuelve más fuerte solo porque se proyecta en una pantalla.

 

He aquí por qué "descubierto después del envío" es la parte más cara, concretamente. En una tirada de 5000-tarjetas, los primeros cientos de tarjetas muestreadas en el momento de la aprobación estaban bien; las fallas no surgen hasta que la propiedad está codificando y emitiendo a gran volumen, cuando la tasa-de fallas de lectura puede comenzar a aumentar en algún lugar más allá de la tarjeta número 3000, una vez que un problema marginal de codificación o sintonización-de antena se ha replicado en todo el lote. Para entonces, la solución no es una re-especificación, sino una refabricación. Ese es el multiplicador que se esconde detrás de un precio unitario bajo en un pedido masivo de paquetes de claves.

 

Qué sucede en nuestra planta de producción antes de que se envíe una tarjeta

 

Esta es la parte de la que la mayoría de los proveedores de esta categoría no pueden hablar, porque la mayoría revende tarjetas codificadas por otra persona. La unión de chips y la codificación son los dos pasos donde se originan con mayor frecuencia los problemas de compatibilidad, y los dos pasos de los que un distribuidor normalmente no tiene visibilidad.

 

 

Gestionamos ambos internamente-. Eso significó manejar pedidos recurrentes de hospitalidad en el rango de dos millones de tarjetas al año para clientes recurrentes, más un volumen similar para una integración de pagos de un-parque de diversiones- de larga duración. Esos son patrones de reorden que solo se mantienen si la confiabilidad de la codificación y la lectura se mantienen consistentes lote tras lote, no solo en la muestra aprobada. Cada tarjeta que sale del piso pasa por una prueba de salida del 100 % antes de empaquetarla, que es el paso que detecta una discrepancia en la codificación antes de que se convierta en un problema-de recepción en lugar de después.

 

Obtener una muestra-comprobada de compatibilidad antes de realizar el pedido

 

La forma más rápida de cerrar la brecha entre una hoja de especificaciones y lo que realmente abre tus puertas es probarlo antes de comprometerte a ejecutarlo. Comparta su plataforma de bloqueo actual (Saflok, Onity, Dormakaba u otro sistema) y el volumen aproximado, y podremos enviarle una muestra.tarjeta de acceso RFIDcodificado para que coincida con su hardware existente, por lo que la compatibilidad se resuelve antes, no después, de que se envíe un pedido completo. Puedes iniciar esa conversación a través de nuestropagina de consulta.

 

Preguntas frecuentes