Card e tag per gli accessi: come sceglierli perché non si copino, e come personalizzarli

Quando un’azienda ordina i badge, la prima domanda riguarda quasi sempre la grafica. È la meno importante: si cambia alla prossima ristampa, mentre il chip resta nelle tasche di tutti per anni e decide se quel badge si può copiare. Prima si sceglie la tecnologia, poi si guardano lettori e codifica, alla fine stampa e formato.

Il chip: quello che si copia e quello che no

Due tecnologie ancora diffuse proteggono poco o niente:

• 125 kHz. Per HID Global, che le produce, le card di prossimità a 125 kHz si falsificano e si clonano facilmente.
• MIFARE Classic. Nel marzo 2008 la Radboud University di Nimega ha mostrato che le sue chiavi a 48 bit si ricavano con relativa facilità, e lo ha provato sul controllo accessi del proprio edificio. Oggi NXP, che la produce, per le applicazioni in cui conta la sicurezza rimanda a MIFARE DESFire e MIFARE Plus.

Negli impianti nuovi proponiamo una di queste due:

• MIFARE DESFire EV3 (NXP): cifratura AES a 128 bit, certificazione Common Criteria EAL5+ per hardware e software, identificativo casuale opzionale per la privacy.
• HID Seos: AES a 128 bit, autenticazione reciproca fra card e lettore con una chiave di sessione diversa a ogni lettura, nessun identificativo tracciabile. La versione da 16K è certificata TÜViT SEAL-5.

E iCLASS SE? È la piattaforma HID basata sul SIO (Secure Identity Object), un oggetto protetto da crittografia e legato alla singola card per ostacolarne la copia, che può stare su chip diversi. Il chip sotto però conta: a migrazione finita HID chiede di disattivare nei lettori Prox, iCLASS legacy e MIFARE Classic.

Una card sicura letta male non è sicura

Se il lettore legge solo il numero di serie della card (l’UID), la crittografia non entra in gioco: NXP ricorda agli integratori che un emulatore può presentarsi con l’UID che vuole. E contano le chiavi: se sono diversificate, ogni card ha le sue; con il programma Elite di HID sono riservate a un solo cliente. Il rischio è serio, scriveva già la Radboud, quando la stessa chiave sta su tutte le card e tutti i lettori, come può succedere negli edifici.

I lettori che avete già

• Passare per gradi. Con card a doppia tecnologia, come Seos + Prox o DESFire EV3 + Prox, i lettori a 125 kHz continuano a funzionare finché non li sostituite.
• Spegnere il vecchio. HID raccomanda una data, comunicata a tutti, dopo la quale i lettori non leggono più le card vecchie: un lettore che continua a leggerle ne conserva i rischi.
• Il modello esatto. Suprema, per esempio, documenta che le Seos le leggono le versioni dei suoi terminali con lettore iCLASS, da una certa versione del firmware.

Se avete già dei badge, si parte da una lettura di prova. A volte si possono tenere: HID paragona una Prox a una chiave che si duplica dal ferramenta, accettabile dove il rischio è basso. Sulla sala server, no.

Codifica e numerazione

Il numero stampato è più delicato di quanto sembri. Per HID i numeri delle credenziali vanno trattati come password: con numeri in sequenza, a volte basta la foto di un numero stampato per ricostruire una credenziale. Le card si possono ordinare senza numero stampato, o con uno diverso da quello codificato. Anche il formato conta: quello aperto a 26 bit (H10301) lo può ordinare chiunque, anche su card sicure; i formati riservati, come il Corporate 1000 di HID, appartengono a una sola organizzazione.

Card e tag li personalizziamo e numeriamo secondo le vostre esigenze, e forniamo i lettori per codificarli. Chiedete sempre il file che lega numero stampato e numero codificato.

Stampa diretta o a ritrasferimento

Lo spiega Zebra, che produce stampanti per card:

• Stampa diretta: la testina stampa sulla card attraverso il nastro. È la più comune ed economica, ma lascia spesso una cornice bianca e non stampa in modo affidabile su superfici irregolari come portachiavi e smart card.
• Ritrasferimento: si stampa su una pellicola trasparente, poi fusa sulla card. Va bene anche sulle smart card, arriva al bordo, resiste ai graffi e non si stacca senza rovinarsi, quindi una manomissione si vede.

Stampa e assistenza grafica le curiamo noi.

Card, portachiavi, braccialetti, tag

Lo stesso chip può stare in corpi diversi: la card, l’unica che porta foto e nome; il portachiavi; il braccialetto NFC in silicone, resistente all’acqua; i tag per oggetti e asset, anche in versioni per superfici metalliche. Si possono mescolare, purché la tecnologia sia la stessa: un portachiavi a 125 kHz accanto alle card DESFire riporta in casa il problema da cui si voleva uscire.

Che cosa chiedere al fornitore

1. Quale chip c’è dentro, con nome e generazione: «MIFARE» non basta.
2. Il lettore autentica la card, o legge solo il numero di serie?
3. Chiavi e formato del numero sono riservati a voi o standard?
4. Il numero stampato coincide con quello codificato?
5. Stampa diretta o a ritrasferimento?
6. Se si migra: da che data i lettori smettono di leggere le card vecchie?

Card, tag e accessori sono nella pagina smart card e tag, i lettori in quella dei lettori smart card; per scegliere il lettore porta per porta c’è l’articolo badge, PIN o impronta. E se volete sapere che cosa c’è nei badge che avete già, scriveteci.

Fonti: HID Global (blog del 24 gennaio 2022, «Safeguarding Against Legacy Downgrade Attacks» del 2024, pagine e schede tecniche Seos e iCLASS SE); NXP (pagine MIFARE Classic e DESFire EV3, nota AN10969 rev. 2.1); Radboud University Nijmegen (7 marzo 2008); Suprema (supporto tecnico); Zebra Technologies (white paper sulla stampa delle card, 2019). Consultate il 13 ottobre 2026.