Seguretat informàtica de les etiquetes electròniques: amenaces reals i què exigir al proveïdor

Una etiqueta electrònica de prestatgeria és un petit dispositiu de ràdio que obeeix ordres i canvia el que veu el client. El seu risc principal no és el robatori de dades, sinó la manipulació: un preu fals al lineal, pantalles en blanc o una plataforma al núvol compromesa.

El que ho decideix és si les ordres van autenticades, xifrades i signades.

Aquest text no descriu com funciona una etiqueta (això és a la guia de tecnologia). Se centra en el que pot sortir malament, en el que sabem amb fonts i en què preguntar abans de signar.

Què hi ha en joc de debò

Convé començar rebaixant el dramatisme. Una etiqueta no guarda dades de clients ni números de targeta. Tampoc no fixa el preu de cobrament: això ho decideix el sistema de caixa. El que un atacant pot tocar és la coherència entre el que veus i el que pagues.

Això ja n’hi ha prou per fer mal. Un preu inferior al lineal genera reclamacions i cues a caixa. Un de superior és una pràctica que ningú vol que li atribueixin. Un bloc de pantalles esborrades en plena campanya obliga a reetiquetar a mà. I si l’atac arriba a la plataforma de gestió i no a una etiqueta, l’abast és tota la cadena.

Per això cal pensar el sistema per capes, no només per l’etiqueta.

Capa 1: la ràdio entre passarel·la i etiqueta

És la capa més investigada públicament, i la història és poc tranquil·litzadora per als sistemes antics.

Un cas amb número de CVE. El registre CVE-2022-45914, publicat el 27 de novembre de 2022, descriu un protocol d’etiquetes implementat en una placa concreta (ETAG-2130-V4.3, amb un transceptor OV80e934802) que «no utilitza autenticació» i permet canviar els valors de les etiquetes mitjançant senyals de 433 MHz. Està classificat com a evasió d’autenticació per captura i repetició (CWE-294) i puntua 6,5 sobre 10 en CVSS 3.1 segons NVD; l’avís de GitHub el baixa a 5,3. Al darrere hi ha un avís de SEC Consult. El mateix registre cita com a exemples alterar l’organització d’un magatzem hospitalari i canviar preus minoristes.

La xerrada que ho va originar. SEC Consult va presentar a Hardwear.io USA 2022 l’anàlisi d’una etiqueta popular de 433 MHz. El seu resum parla de diversos defectes que permetien falsificar el senyal de ràdio i mostrar contingut arbitrari a les pantalles.

Una demostració amb maquinari d’afeccionat. Segons Hackster, l’investigador Aaron Christophel va mostrar un equip amb un ESP32 i un mòdul CC1101 alimentat per bateria. Escolta uns segons els missatges de sincronització d’una botiga per esbrinar l’identificador del sistema i la freqüència; després emet un missatge de sincronització més llarg que el de la passarel·la, que deixa de transmetre perquè no ho fa si detecta trànsit al canal. A la seva prova en una botiga real només va refrescar les pantalles sense canviar-ne el contingut, però va assenyalar que una ordre d’esborrat les deixaria inservibles. La crònica no identifica quins fabricants hi estan afectats, i va publicar el microprogramari del punt d’accés però no el codi de l’atac.

Una xerrada més recent. El programa de TROOPERS26 anuncia «Priceless: Hacking Electronic Shelf Labels», amb debilitats en aplicacions Android, programari de gestió, Bluetooth de baix consum i trànsit de 2,4 GHz, i afirma que els investigadors no van obtenir resposta dels fabricants. És un resum de programa: no hem pogut comprovar què es va presentar finalment ni quins fabricants es citen, i tampoc no cal prendre l’afirmació sobre els fabricants com un fet verificat.

Què se’n conclou sense exagerar? Tres patrons: manca d’autenticació a l’enllaç, missatges que es poden gravar i repetir, i un canal compartit que es pot ocupar per silenciar la passarel·la. Els tres són defectes de disseny del protocol, no de la pantalla.

Què diu l’estàndard

El perfil ESL del Bluetooth SIG, publicat el febrer de 2023 sobre Bluetooth 5.4, hi afegeix que ordres i respostes van xifrades i autenticades amb AES-CCM. És una base pública i auditable, cosa que un protocol propietari no ofereix per defecte. Però un estàndard no garanteix una implementació correcta: la gestió de claus, la posada en marxa i el microprogramari continuen essent cosa del fabricant. Tampoc no tot el parc instal·lat l’utilitza.

En els fabricants amb protocol propi, el que hi ha són fulls tècnics. El de Vusion 2.6 F esmenta xifratge AES de 128 bits i NFC xifrat, per exemple. És una dada de partida; la pregunta és què es xifra, amb quines claus i qui les custodia.

Capa 2: la passarel·la

La passarel·la (el gateway) és el pont entre la xarxa de la botiga i la ràdio de les etiquetes, i sol ser un dispositiu Linux o similar connectat per Ethernet amb PoE o per Wi-Fi. Si ja has llegit quantes en calen a l’article sobre gateways, aquí la pregunta és una altra: què passa si algú la pren.

Una passarel·la compromesa pot reenviar ordres falses a totes les etiquetes del seu radi i travessar la xarxa de la botiga cap a la resta. El que cal mirar:

• Segmentació. La passarel·la hauria de viure en una VLAN pròpia, amb sortida només cap als punts de la plataforma que el proveïdor documenti. Si el proveïdor exigeix obrir tota la xarxa de botiga, és mal senyal.
• Connexió sortint. És preferible que sigui la passarel·la qui es connecti cap enfora amb TLS, i que no hi hagi ports oberts cap a ella des d’internet.
• Credencials i serveis. Sense contrasenyes per defecte compartides entre instal·lacions, sense SSH ni panells web oberts que no s’usin.
• Arrencada i actualització. Si la passarel·la accepta qualsevol imatge de microprogramari o només les signades.
• Accés físic. Penja d’un sostre o és en un traster, no en una sala tancada.

Capa 3: el compte i el núvol

És la capa més rendible per a un atacant i la menys vistosa. Un sol usuari amb permisos amplis a la plataforma de gestió pot alterar milers d’etiquetes sense tocar la ràdio. El raonable és exigir:

• Doble factor d’autenticació i, si n’hi ha, inici de sessió únic amb el proveïdor d’identitat de l’empresa.
• Rols diferenciats: qui dissenya plantilles, qui aprova un canvi massiu de preus i qui només consulta no haurien de ser la mateixa persona.
• Registre d’auditoria: qui ha canviat quin preu i quan, exportable.
• Integració amb l’ERP o el TPV mitjançant credencials pròpies de la integració, amb permisos mínims i rotació, no amb el compte d’un empleat.
• Un procediment d’aprovació per a canvis massius, sobretot si encaixen amb el preu dinàmic, on un error o un abús té conseqüències legals a més de comercials.

I la pregunta de continuïtat: què passa amb les etiquetes si el núvol cau o si es perd la connexió de la botiga. Que continuïn mostrant l’últim preu és el normal, però convé preguntar-ho i no donar-ho per fet.

Capa 4: l’NFC

L’NFC en una etiqueta serveix per vincular-la, configurar-la o actualitzar-la amb un mòbil, sense passar per la passarel·la. És còmode, i per això també és una porta. L’abast és de pocs centímetres, de manera que el risc és el d’un client o un empleat amb mala intenció davant del lineal, no el d’un atacant remot. Tot i així:

• Pot qualsevol mòbil amb una app genèrica escriure a l’etiqueta, o cal una credencial?
• Es pot desactivar l’NFC per política quan no s’utilitza?
• L’escriptura per NFC deixa rastre a la plataforma?

Els fulls tècnics parlen d’NFC xifrat amb AES en alguns models, però cap dels que hem revisat detalla com s’autoritza l’escriptura. És una pregunta oberta per al proveïdor.

Capa 5: el microprogramari

Una etiqueta que viu de 5 a 10 anys necessita poder corregir-se. Dues preguntes defineixen la capa:

1. S’actualitza el microprogramari de les etiquetes per ràdio (OTA) i el de les passarel·les? Si no es pot, una vulnerabilitat descoberta l’any tres es queda al sostre fins que es canviï el parc.
2. Les imatges estan signades i es verifiquen? Sense verificació de signatura, qui aconsegueixi parlar amb l’etiqueta pot instal·lar-hi el que vulgui.

Hi ha un matís que costa diners: actualitzar per ràdio consumeix bateria, de manera que un fabricant seriós publica quantes actualitzacions de microprogramari descompta de la vida útil estimada de la pila. Si no sap respondre, probablement no les ha mesurat.

El que canvia amb la regulació europea

Dues normes europees empenyen en la mateixa direcció.

• Directiva d’equips radioelèctrics. El Reglament Delegat (UE) 2022/30 va fer exigibles des de l’1 d’agost de 2025 requisits de ciberseguretat per a equips de ràdio connectats a internet. El Reglament Delegat (UE) 2026/339, de febrer de 2026, el deroga amb efecte des del dia en què el Reglament de Ciberresiliència s’apliqui plenament, i precisa que el 2022/30 s’aplica fins al 10 de desembre de 2027.
• Reglament de Ciberresiliència (UE) 2024/2847. Segons la Comissió, va entrar en vigor el 10 de desembre de 2024; els fabricants han de notificar vulnerabilitats explotades activament des de l’11 de setembre de 2026, i les obligacions principals s’apliquen des de l’11 de desembre de 2027. Inclou gestió de vulnerabilitats durant tot el cicle de vida del producte i actualitzacions de seguretat.

No hem analitzat si una etiqueta concreta cau sota un procediment d’avaluació o un altre, i no és una cosa que es pugui dir en abstracte. El que és útil per al comprador és pràctic: demanar per escrit durant quants anys es compromet el proveïdor a publicar correccions de seguretat i com es notifica una vulnerabilitat. Abans de 2027, això era una cortesia; a partir d’aleshores és una obligació del fabricant.

Preguntes per a qualsevol proveïdor

Aquestes catorze preguntes caben en una reunió d’una hora i separen ràpid qui ha pensat el problema de qui té un full de màrqueting. Les versions puntuables són a la checklist de proveïdor i a la plantilla de plec.

Si el proveïdor respon quasi tot amb «és segur» sense detall, això és informació. Si diu «això no ho publiquem» però ofereix ensenyar-ho sota acord de confidencialitat, també ho és, i és més acceptable.

Un ordre raonable de prioritats

Per a una botiga o una cadena que està avaluant, l’esforç rendeix més així:

1. El compte i els rols de la plataforma. És el que pot fer més mal i el que més es controla.
2. El compromís de pedaços per escrit, perquè condiciona la vida útil del que compres (vegeu també la dependència del proveïdor).
3. La xarxa de la passarel·la. Barata de segmentar al principi, cara de refer després.
4. La ràdio. No la pots auditar tu, però sí que pots demanar quina documentació i quines proves independents hi ha.
5. L’NFC. Importa, però el risc és local.

Una prova de seguretat senzilla, durant un pilot, és demanar al proveïdor que el seu equip intenti (amb el teu permís i al teu local) un atac de repetició sobre un grup d’etiquetes de prova. Si no hi estan disposats, hi ha una altra resposta.

El que aquest text no pot dir

No hi ha cap estudi independent que comparï la seguretat dels grans fabricants, i les vulnerabilitats públiques conegudes afecten sobretot sistemes barats de 433 MHz i treballs d’investigadors individuals. Això no prova que els grans siguin segurs; prova que no s’ha publicat cap comparació. Tractem cada afirmació de seguretat d’un fabricant com a declaració seva fins que hi hagi una prova externa que la recolzi.