Um sistema de controle de acesso por crachá baseia-se em três mecanismos encadeados: autenticação do portador, verificação dos direitos em um repositório e, em seguida, comando de um órgão de bloqueio. Por trás dessa sequência simples, as escolhas tecnológicas, a arquitetura de rede e a gestão de identidades determinam o nível real de segurança. Aqui, detalhamos os pontos técnicos que fazem a diferença entre uma instalação confiável e um dispositivo contornável.
Protocolos RFID e criptografia: o que separa um crachá seguro de um crachá clonável
A frequência de rádio e o protocolo de comunicação condicionam diretamente a resistência ao clonagem. Um crachá a 125 kHz sem criptografia (tipo EM4100) transmite sua identificação em claro. Um leitor pirata a algumas dezenas de euros é suficiente para duplicá-lo.
Os crachás MIFARE Classic, amplamente implantados na França, utilizam a criptografia Crypto-1. Este protocolo foi quebrado publicamente, o que torna esses crachás vulneráveis a ataques por relay ou por força bruta na chave setorial. Recomendamos considerá-los como um nível de segurança intermediário, aceitável para áreas de baixo risco.
MIFARE DESFire EV2 ou EV3 com criptografia AES de 128 bits constitui hoje o padrão para locais sensíveis. A comunicação entre o crachá e o leitor de proximidade é criptografada de ponta a ponta, com autenticação mútua. Cada transação gera uma chave de sessão única, o que neutraliza ataques por escuta passiva.
A arquitetura do sistema conta tanto quanto o crachá em si. Quando o crachá de controle de acesso está associado a um controlador que possui uma tabela de direitos local e sincronizada com um servidor central, a decisão de abertura permanece funcional mesmo em caso de interrupção da rede. Este modo híbrido (decisão local, administração centralizada) evita o ponto de falha único.
Convergência de crachá físico e identificadores de TI: o modelo PIAM
A tendência mais estruturante no setor de controle de acesso não é a mudança de suporte, mas a unificação da identidade física e lógica. O modelo PIAM (Physical Identity and Access Management) funde o crachá de entrada no edifício e os identificadores de TI (sessão de estação de trabalho, VPN, aplicativos de negócios) em um único repositório.
O interesse pela segurança é direto: um colaborador cujo contrato foi rescindido vê seus direitos de acesso físicos e digitais revogados simultaneamente. Sem convergência, o intervalo entre a desativação da conta de TI e a retirada do crachá deixa uma janela de exposição que observamos regularmente durante auditorias.
Para a empresa, esse modelo simplifica a gestão das permissões. Um único fluxo de trabalho provisiona ou desprovisiona todos os acessos. Isso também reduz a superfície de não conformidade com o RGPD, uma vez que a rastreabilidade dos dados de identificação é centralizada em um sistema único em vez de estar dispersa entre o software de controle de acesso e o diretório Active Directory.
Crachá desmaterializado no smartphone: migração para credenciais móveis
Nos últimos anos, a transição para identificadores móveis tem se acelerado. O crachá é substituído por uma credencial armazenada no elemento seguro ou no TEE (Trusted Execution Environment) do smartphone. A comunicação com o leitor é feita via NFC ou BLE (Bluetooth Low Energy).
A credencial móvel elimina o risco de clonagem física do crachá. O segredo criptográfico nunca é exposto: é o smartphone que executa a prova de posse por meio de um challenge-response, sem transmitir a identificação em claro.
Três condições técnicas devem ser atendidas para um deployment confiável:
- Um leitor de proximidade compatível com NFC e BLE, com firmware atualizado para gerenciar os protocolos OSDP v2 (criptografia do canal leitor-controlador)
- Uma plataforma em nuvem ou on-premise capaz de provisionar e revogar as credenciais remotamente, em tempo real
- Uma política de gestão de dispositivos móveis (MDM) que garanta que apenas um smartphone compatível (sistema operacional atualizado, sem root/jailbreak) possa receber uma credencial
O BLE oferece uma vantagem operacional: a abertura sem mãos à distância, útil em estacionamentos ou áreas de entrega. No entanto, o alcance mais amplo do Bluetooth impõe um ajuste fino do limite RSSI para evitar aberturas involuntárias quando um portador passa próximo sem intenção de entrar.
Impacto da NIS2 e do Cyber Resilience Act nos sistemas de controle de acesso
A entrada em vigor da diretiva NIS2 e do Cyber Resilience Act modifica as exigências para as empresas que operam sistemas de controle de acesso conectados. A NIS2 amplia o escopo das entidades afetadas e impõe uma gestão de riscos que cobre explicitamente a segurança física quando esta interage com o sistema de informação.
Concretamente, um controlador de acesso conectado à rede IP da empresa entra no escopo da política de cibersegurança. As atualizações de firmware, o endurecimento das portas de rede e a segmentação VLAN da sub-rede de segurança tornam-se obrigações documentadas, não apenas boas práticas.
O Cyber Resilience Act visa, por sua vez, os fabricantes de produtos que contêm elementos digitais. Os leitores de crachá, controladores e softwares de supervisão deverão integrar a segurança desde a concepção (security by design) e fornecer atualizações de segurança durante toda a vida útil esperada do produto. Para os instaladores e operadores, isso significa que é necessário exigir contratualmente um compromisso de acompanhamento de software junto ao fornecedor.
Critérios de escolha de um sistema de crachás para um site multi-acesso
Recomendamos estruturar o caderno de encargos em torno de quatro eixos técnicos:
- Nível mínimo de criptografia: AES de 128 bits para áreas sensíveis, diversificação das chaves por site para impedir que um crachá clonado em um site funcione em outro
- Capacidade do controlador de operar em modo degradado (fora da rede) com uma tabela de direitos local sincronizada
- Compatibilidade com credenciais móveis para antecipar a migração gradual dos crachás físicos
- Interoperabilidade OSDP v2 entre leitores e controladores, independentemente do fabricante, para evitar o bloqueio proprietário
O dimensionamento do sistema de gestão de identidades continua sendo o fator mais subestimado. Um site com várias centenas de colaboradores, prestadores de serviços e visitantes regulares gera um volume de provisionamento e desprovisionamento que, sem automação, cria falhas de habilitação em poucas semanas.
A escolha do suporte (crachá DESFire, smartphone ou ambos em coexistência) depende do perfil dos usuários e do parque existente. A coexistência de crachá físico e credencial móvel é a configuração mais comum na fase de transição, desde que o leitor gerencie os dois protocolos sem degradação do nível de segurança.