Cuando pide presupuesto para un control de accesos, el documento viene lleno de siglas: RFID, NFC, Mifare, EM4100, DESFire, UHF. Suenan a detalle técnico irrelevante y no lo son en absoluto: determinan si su tarjeta se puede clonar en treinta segundos con un aparato de veinte euros o si es prácticamente inviolable.
Este artículo traduce las siglas y le da el criterio para preguntar lo que hay que preguntar.
RFID es la familia, no una tecnología
RFID significa Radio Frequency Identification: identificación por radiofrecuencia. Es el nombre genérico de cualquier sistema en el que un lector interroga a una etiqueta y esta responde con un identificador. Bajo ese paraguas caben tecnologías muy distintas, y lo que las separa es sobre todo la frecuencia.
| Familia | Frecuencia | Alcance típico | Uso habitual |
|---|---|---|---|
| Baja frecuencia (LF) | 125 kHz | Pocos centímetros | Tarjetas antiguas de acceso, identificación de animales |
| Alta frecuencia (HF) | 13,56 MHz | Pocos centímetros | Accesos modernos, transporte, pago, NFC |
| Ultra alta frecuencia (UHF) | 860-960 MHz | Varios metros | Vehículos, logística, inventario |
La regla mental es sencilla: a más frecuencia, más alcance y más capacidad de datos. Por eso los teletags de vehículos son UHF —hacen falta metros— y las tarjetas de personal son 13,56 MHz, donde se quiere que haya que acercar la tarjeta deliberadamente.
NFC es un caso particular de 13,56 MHz
NFC (Near Field Communication) no es una alternativa a RFID: es un estándar que funciona dentro de la banda de 13,56 MHz, pensado para distancias muy cortas —unos pocos centímetros— y con una diferencia importante: permite comunicación en dos sentidos.
Eso es lo que hace posible que un móvil actúe como credencial. Para una empresa tiene un atractivo evidente —nadie se olvida el móvil en casa— y dos inconvenientes que conviene conocer: depende del sistema operativo y de las restricciones del fabricante, y deja fuera a quien no quiera usar su móvil personal para el trabajo.
Mifare es una marca, y ahí está el problema
Mifare no es una tecnología: es una familia comercial de productos de 13,56 MHz. Y dentro de esa familia hay diferencias de seguridad abismales. Cuando un proveedor le dice "es Mifare", no le ha dicho prácticamente nada.
Estas son las variantes que se encuentra en la práctica:
Mifare Classic. La más extendida y la que hay que mirar con lupa. Usa un cifrado propietario llamado Crypto1 que está roto desde hace años: existen ataques públicos y documentados —conocidos como MFOC y MFCUK, entre otros— que permiten recuperar las claves y clonar la tarjeta por completo. No hace falta ser un experto: hay herramientas de uso libre y hardware barato para hacerlo.
Mifare DESFire (EV1, EV2, EV3). Otra liga. Usa cifrado AES de 128 bits, autenticación mutua entre tarjeta y lector, y claves diversificadas —cada tarjeta tiene su propia clave derivada, de modo que comprometer una no compromete el sistema—. No se conocen ataques prácticos contra despliegues correctamente implementados.
Mifare Ultralight. Pensada para usos desechables, como un billete de un día. No es para control de accesos de personal.
Las tarjetas de 125 kHz: cómodas y sin ninguna seguridad
Merecen párrafo aparte porque siguen instalándose. Los chips tipo EM4100 y similares emiten un número fijo, sin cifrado ni autenticación de ningún tipo. El lector pregunta y la tarjeta contesta su número, siempre el mismo, a cualquiera que pregunte.
Clonarlas es trivial: existen duplicadores de bolsillo que copian una de estas tarjetas en segundos, sin conocimientos técnicos y sin dejar rastro. Y como el identificador es fijo, la copia es indistinguible del original para el sistema.
¿Significa eso que no sirven? No necesariamente. Para fichar, donde el riesgo es que un compañero fiche por otro —un problema de organización más que de seguridad—, pueden ser suficientes. Para proteger una zona con valor real, no.
La pregunta que debe hacer a su proveedor
Después de todo lo anterior, se resume en una: "¿qué chip exacto llevan las tarjetas y con qué cifrado trabaja el lector?"
Y hay un matiz que casi nadie explica y que invalida presupuestos enteros: una tarjeta DESFire leída por un sistema mal configurado no aporta nada. Si el lector se limita a leer el número de serie del chip —el UID— en lugar de hacer la autenticación criptográfica, está usando una tarjeta cara exactamente igual que una de 125 kHz. El UID también se puede emular.
Por eso la pregunta completa es: ¿el sistema autentica con clave o solo lee el UID? Si la respuesta no es clara, no lo es.
Qué hacer si ya tiene un sistema antiguo
Es la situación más común: miles de instalaciones siguen funcionando con Mifare Classic o con 125 kHz porque cambiar todos los lectores y reemitir todas las tarjetas cuesta dinero.
El enfoque sensato no es cambiarlo todo de golpe, sino proteger primero lo que importa:
- Haga inventario: qué chip tienen realmente sus tarjetas. Muchas empresas no lo saben.
- Clasifique las puertas por lo que hay detrás. Un vestuario y un almacén de material sensible no merecen la misma protección.
- Actualice solo los puntos críticos a lectores con autenticación cifrada, y deje el resto como está.
- Añada la dimensión horaria, que es gratis y reduce el riesgo enormemente: una tarjeta clonada sirve de poco si esa puerta solo abre de 7:00 a 19:00.
- Revise el registro de accesos de vez en cuando. Un mismo identificador apareciendo en dos puntos incompatibles delata una copia.
Y sobre la biometría, ya que estamos
La objeción "es que las tarjetas se prestan o se clonan" lleva a mucha gente a plantearse la huella. Antes de ir por ahí conviene saber que, para el control horario ordinario, el criterio de la AEPD desde noviembre de 2023 lo hace muy difícil de justificar, con sanciones publicadas de 12.000 a 200.000 euros. Para impedir el paso a zonas restringidas el análisis es distinto y bastante más favorable.
Lo desarrollamos en si es legal fichar con huella o reconocimiento facial y repasamos alternativas en fichaje sin datos biométricos.
Antes de decidir
Las vulnerabilidades y los estándares evolucionan: lo que hoy es seguro puede no serlo en unos años, y por eso conviene elegir equipos que admitan actualización de firmware y cambio de credencial sin sustituir toda la instalación.
Si quiere que revisemos qué tecnología tiene instalada y qué puertas convendría reforzar, cuéntenos su caso. Es un diagnóstico rápido y en bastantes instalaciones la conclusión es que basta con actualizar dos o tres puntos.