Nos sistemas RFID, o Identificador Único (UID) é muitas vezes mal interpretado. É frequentemente tratado como uma credencial de segurança, quando na realidade nunca foi concebido para esse fim. Para conceber, avaliar ou auditar corretamente um sistema RFID, é essencial compreender o que é um UID, o que não é e como deve ser utilizado.
O significado técnico de um UID
Um UID é um identificador não volátil permanentemente armazenado no interior de um circuito integrado RFID. É atribuído pelo fabricante da pastilha durante a produção e destina-se a distinguir exclusivamente uma etiqueta de outra ao nível do protocolo.
Do ponto de vista das normas, o UID existe para garantir:
- Seleção fiável de etiquetas
- Resolução de colisões
- Comunicação determinística entre o leitor e a etiqueta
É verdade não fornecer autenticação, encriptação ou prova de legitimidade.
Como um UID é utilizado durante a comunicação RFID
Quando um leitor RFID ativa o campo RF, várias etiquetas podem responder simultaneamente. O UID desempenha um papel fundamental nesta fase.
A sequência típica é:
- As etiquetas respondem com os seus identificadores
- O leitor efectua a anti-colisão
- Uma única etiqueta é selecionada utilizando o seu UID
- Início das operações de camadas superiores (se suportadas)
Em nenhuma fase o UID valida se a etiqueta é genuína, autorizada ou de confiança.
Armazenamento e imutabilidade de UIDs
Nos chips RFID genuínos, o UID é armazenado em memória só de leitura programada de fábrica. Não pode ser modificado ou reescrito em condições normais de funcionamento.
As etiquetas que permitem a modificação do UID são:
- Fichas clone
- Emuladores
- Dispositivos de desenvolvimento
Não são representativos das credenciais de produção em conformidade com as normas.
Comprimento e estrutura do UID
O comprimento do UID depende da norma RFID e da família de chips. Exemplos comuns incluem:
- UIDs de 32 e 40 bits em sistemas LF antigos
- UIDs de 7 ou 10 bytes em sistemas ISO/IEC 14443 HF
- Identificadores de 96 bits associados aos quadros EPC UHF
A estrutura do UID pode incluir:
- Identificação do fabricante
- Informações sobre a família das pastilhas
- Numeração de série
Esta estrutura apoia a interoperabilidade e não o secretismo.
Comportamento do UID nas bandas de frequência RFID
Baixa frequência (125 kHz)
Os sistemas RFID LF baseiam-se quase universalmente no funcionamento apenas com UID. Estes sistemas fornecem:
- Identificadores fixos
- Sem autenticação
- Sem encriptação
- Comunicação unidirecional
Nesses sistemas, a posse de um UID é suficiente para se fazer passar por uma etiqueta.
Alta-frequência (13,56 MHz)
A RFID HF introduz camadas de segurança opcionais. O papel do UID muda consoante o tipo de pastilha.
Em sistemas HF seguros, o UID é utilizado apenas para:
- Anticolisão
- Seleção de etiquetas
As decisões de controlo de acesso são tomadas após autenticação criptográfica, e não por comparação de UIDs.
Frequência ultra-alta (UHF)
Na RFID UHF, o conceito de um único UID é substituído por múltiplos identificadores:
- TID para autenticidade do chip
- EPC para identificação ao nível da aplicação
Também neste caso, os identificadores apoiam a escala e a logística, não a confiança.
Saiba mais: Explicação das frequências dos chips RFID: LF vs HF vs UHF
O principal erro de conceção: Tratar o UID como uma credencial
Muitos sistemas de controlo de acesso ainda se baseiam na comparação de UID como mecanismo de autorização. Esta abordagem é fundamentalmente incorrecta.
A autorização baseada em UID falha porque:
- Os UIDs são transmitidos em texto claro
- Qualquer leitor compatível pode capturá-los
- As etiquetas clonadas são indistinguíveis das originais
Não se trata de um erro de implementação - é um utilização incorrecta do conceito de UID.
Porque é que os sistemas só com UID ainda existem
Apesar das limitações conhecidas, os sistemas só com UID continuam a ser comuns devido a:
- Baixo custo
- Infra-estruturas herdadas
- Complexidade mínima do software
- Compatibilidade com as primeiras implementações de RFID
Só são adequados quando os requisitos de segurança são negligenciáveis.
Como os sistemas RFID seguros utilizam corretamente o UID
Em sistemas RFID modernos e seguros:
- O UID nunca é utilizado para decisões de acesso
- A autenticação baseia-se num desafio-resposta criptográfico
- As chaves secretas permanecem protegidas dentro do chip
- A verificação baseada na sessão impede a repetição e a clonagem
Nestes sistemas, a duplicação de um UID não tem qualquer valor prático.
Perspetiva das normas
Normas RFID como a ISO/IEC 14443, a ISO/IEC 15693 e a ISO/IEC 18000 definem explicitamente o comportamento do UID. Nenhuma delas define o UID como um mecanismo de segurança.
A segurança é intencionalmente estratificada acima o UID.
Esta distinção é explícita tanto na documentação das normas como nos projectos de referência dos fornecedores.
Implicações práticas para os projectistas de sistemas
Se a segurança de um sistema depende do sigilo do UID, o sistema é inseguro por conceção.
Se um sistema utilizar o UID apenas para identificação e se basear na autenticação criptográfica para autorização, está em conformidade com as melhores práticas modernas de RFID.
O UID é um componente fundamental da comunicação RFID, mas nunca foi concebido para ser uma credencial. Confundir identificação com autenticação levou a décadas de fraquezas de segurança evitáveis.
Compreender a função correta do UID não é opcional - é um pré-requisito para a criação de sistemas RFID que escalem, interoperem e permaneçam seguros.
