Tarjeta IC, ID o CPU: cuál elegir para un sistema de tarjeta única
En un proyecto de tarjeta única, la primera decisión no suele ser el equipo sino la tarjeta. Las tarjetas ID, IC y CPU pueden diferir varias veces en precio unitario y, una vez elegida, todos los lectores, terminales de comedor y controladores deben seguirla: elegir mal convierte todo lo demás en repetición de trabajo.
Las tres tarjetas en una línea cada una
· Tarjeta ID: 125 kHz, número de serie grabado en fábrica, solo lectura y sin cifrado · Tarjeta IC (normalmente Mifare Classic / M1): 13,56 MHz, organizada en sectores, lectura y escritura con contraseña, capacidad de 1K o 4K · Tarjeta CPU: lleva un microprocesador con sistema operativo de tarjeta, admite autenticación mutua y cifrado por hardware: una verdadera tarjeta inteligente
Tarjetas ID: lo más barato posible y lo más débil posible
La tarjeta solo guarda un número de serie grabado en fábrica y el lector termina su trabajo al leer esa cadena. Es barata, muy fina y disponible en formato llavero o formas especiales, pero ese número es público y un clonador de pocos dólares lo copia.
Sirve para control de presencia, tarjetas temporales, visitas o presupuestos muy ajustados donde el riesgo sea aceptable. No sirve como sistema principal de control de acceso y mucho menos para gestionar dinero.
Tarjetas IC (M1): el estándar del sector, con una vulnerabilidad pública
A 13,56 MHz, la Mifare Classic 1K se divide en 16 sectores, cada uno con sus claves A/B, y la lectura exige pasar la verificación de contraseña. Un kilobyte basta para identidad, saldo y contadores de viaje, y el ecosistema es tan maduro que prácticamente cualquier terminal y lector la acepta.
Pero hay que decirlo sin rodeos: el cifrado Crypto-1 en el que se apoya M1 fue roto públicamente en 2008 y hoy un equipo de unos cientos de dólares clona la tarjeta completa, sectores cifrados incluidos. Use M1 como identificador, nunca como contenedor seguro.
El patrón correcto: el número de tarjeta es solo un índice. Los saldos y permisos viven en la base de datos del servidor y el monedero de la tarjeta es una reserva offline que se sincroniza en cuanto el terminal recupera la conexión. Aunque clonen la tarjeta, la pérdida queda dentro del límite por transacción.
Tarjetas CPU: la seguridad se paga
La tarjeta incorpora un microprocesador con sistema operativo propio. La comunicación es autenticación mutua entre tarjeta y terminal, cifrada con DES/3DES o SM1, con una clave de sesión distinta cada vez. No se puede clonar y los ataques de repetición no funcionan.
El precio es real: la tarjeta cuesta entre tres y cinco veces una M1, el módulo lector debe admitirla y la emisión con carga de claves es bastante más compleja. Encaja en sistemas de tarjeta única de campus, sedes corporativas, transporte y proyectos públicos.
Lista de comprobación para elegir
· Presupuesto muy ajustado, solo presencia o tarjetas temporales: ID · Control de acceso estándar más comedor, con el saldo en el servidor: IC (M1), la mejor relación calidad-precio · Importes elevados, clonación inadmisible o requisitos de cumplimiento: tarjeta CPU · Actualización de un sistema existente: compruebe qué admiten sus lectores y terminales actuales; la mayoría lee M1 y CPU · Quiere acertar a la primera: tarjetas CPU con lectores de doble frecuencia. Un poco más caro ahora y se evita un recambio total después
Detalles que se pasan por alto
· La frecuencia debe coincidir: 125 kHz y 13,56 MHz son incompatibles y una tarjeta IC simplemente no se lee en un lector ID · En 13,56 MHz conviven el NFC del móvil con Mifare y CPU: si los usuarios deben pagar con el teléfono, el terminal necesita módulo NFC · La impresión personalizada tiene pedido mínimo, habitualmente 500 unidades, y plazo de fabricación: no deje que el equipo llegue a obra antes que las tarjetas
En resumen
Ninguna de las tres sustituye a las otras: la ID gana por precio, la IC por ecosistema y la CPU por seguridad. En un sistema de tarjeta única suelo recomendar IC o CPU para la población principal e ID para visitas y personal temporal: coste y seguridad, cada uno en su sitio.