Una empresa puede tener firewalls, segmentación de red y auditorías de TI, y aun así dejar expuesto el tramo más corto de su seguridad: los pocos metros de cable entre el lector de tarjetas de la puerta y el panel de control de acceso. Si ese tramo usa el protocolo Wiegand, la credencial viaja sin cifrado y puede capturarse con un dispositivo pequeño conectado detrás del lector. Aquí le explicamos por qué pasa, qué resuelve OSDP y cómo se migra.
EN RESUMEN
- Wiegand es la interfaz histórica entre lectores y paneles: unidireccional, sin cifrado y sin supervisión. El número de la tarjeta se puede interceptar en el cable y reenviarse para abrir la puerta.
- OSDP (Open Supervised Device Protocol) es un estándar abierto de la Security Industry Association, publicado también como norma internacional IEC 60839-11-5.
- OSDP usa RS-485 bidireccional y, con Secure Channel, cifra la comunicación con AES-128 y detecta si el lector se desconecta o se sustituye.
- También permite distancias mucho mayores (del orden de 1.2 km frente a unos 150 m típicos de Wiegand) y conectar varios lectores en un mismo bus.
- La migración puede ser gradual: muchos paneles actuales ya soportan OSDP, y hay convertidores para lectores existentes.
¿Qué es Wiegand y por qué es vulnerable?
Wiegand nació con las primeras tarjetas de proximidad y se volvió el estándar de facto. Eléctricamente es sencillo: dos líneas de datos (D0 y D1) con niveles lógicos de 5 V referidos a tierra. Cuando alguien presenta su tarjeta, el lector envía una serie de pulsos con el número de la credencial al panel. Eso es todo.
Esa sencillez tiene tres debilidades de fondo:
- Sin cifrado. El número de la tarjeta viaja en claro. Quien tenga acceso al cable lo puede leer.
- Unidireccional. El panel no "habla" con el lector: no puede verificar que sigue siendo el mismo equipo ni que nadie lo manipuló.
- Sin supervisión. Si el lector se desconecta, el panel no necesariamente lo sabe; solo deja de recibir lecturas.
En conferencias de seguridad se han demostrado públicamente dispositivos del tamaño de una moneda que se colocan detrás del lector, en las líneas D0 y D1, registran las credenciales de quienes pasan y después las repiten al panel para abrir la puerta sin tarjeta. El lector suele estar del lado no seguro de la puerta y se retira con unos cuantos tornillos, así que el ataque no requiere tocar la red de TI.
¿Qué es OSDP y qué resuelve?
OSDP es un protocolo abierto para comunicar el panel de control de acceso con sus periféricos (lectores, módulos de entradas y salidas). Lo mantiene la Security Industry Association (SIA) y en 2020 se publicó como norma internacional IEC 60839-11-5. La SIA ha seguido actualizándolo: la versión 2.2 salió en 2020 y la 2.2.2 en octubre de 2024.
| Característica | Wiegand | OSDP |
|---|---|---|
| Comunicación | Unidireccional, lector a panel | Bidireccional, el panel interroga al lector |
| Cifrado | No | Sí, con Secure Channel (AES-128) |
| Supervisión del lector | No | Sí: el panel detecta desconexión o sustitución |
| Capa física | Dos líneas de datos, 5 V | RS-485 diferencial |
| Distancia típica | Del orden de 150 m | Hasta alrededor de 1.2 km, según cable |
| Topología | Un cable por lector | Varios lectores en un mismo bus |
Secure Channel
Es la parte de seguridad de OSDP. Cifra y autentica la comunicación entre panel y lector con AES-128, de modo que lo que viaja por el cable no sirve a quien lo intercepte y un dispositivo intruso no puede hacerse pasar por el lector. Dos detalles de implementación importan tanto como el protocolo:
- Activar Secure Channel. Un lector OSDP sin canal seguro sigue enviando datos que se pueden leer, aunque con mejor supervisión.
- Salir del modo de instalación. Durante la puesta en marcha el lector y el panel intercambian llaves; ese proceso debe completarse con llaves propias y el modo de instalación debe quedar desactivado.
Supervisión y administración
Como el panel interroga constantemente al lector, sabe de inmediato si se desconecta, si se sustituye o si reporta manipulación. La comunicación bidireccional permite además controlar indicadores del lector y, según el fabricante, actualizar su firmware desde el sistema.
Distancia y cableado
RS-485 es una señal diferencial más tolerante al ruido eléctrico que las líneas de Wiegand. Las especificaciones de OSDP contemplan distancias de hasta alrededor de 1.2 km (4,000 pies), aunque la distancia real depende del calibre y el tipo de cable. Wiegand, en cambio, suele limitarse a los unos 150 m (500 pies) que publican los fabricantes de lectores.
¿Cómo se migra de Wiegand a OSDP?
No siempre es necesario cambiar todo a la vez:
- Inventario: qué lectores, paneles y tarjetas tiene, y cuáles soportan OSDP.
- Paneles: muchos paneles recientes aceptan OSDP con una actualización de firmware o de licencia.
- Lectores: se sustituyen por lectores OSDP. Donde no conviene cambiarlos todavía, existen convertidores de Wiegand a OSDP de varios fabricantes.
- Cableado: RS-485 requiere par trenzado y, en tramos largos, el calibre adecuado; parte del cableado existente puede reutilizarse tras revisarlo.
- Credenciales: si sus tarjetas son de tecnologías antiguas de 125 kHz, fáciles de clonar, conviene planear la migración a credenciales más seguras al mismo tiempo.
Priorice las puertas de mayor riesgo: perímetro exterior, cuartos de telecomunicaciones, áreas restringidas y accesos donde el lector queda del lado público.
Qué revisar antes de llamar a un técnico
- ¿Sus lectores se conectan al panel con cables D0/D1 (Wiegand) o con un bus RS-485 (OSDP)? El manual o la hoja técnica del lector lo indican.
- ¿El panel reporta una alarma si desconecta un lector? Consulte al proveedor del sistema; no haga la prueba en puertas críticas sin coordinarla.
- ¿Qué tecnología tienen sus tarjetas (125 kHz, 13.56 MHz, móviles)?
- ¿Los lectores exteriores tienen protección contra manipulación y el tornillo de montaje es de seguridad?
- ¿El departamento de TI ha incluido el control de acceso físico en sus evaluaciones de riesgo?
Cómo le ayudamos en Intersystems del Golfo
Diseñamos sistemas de control de acceso desde una puerta hasta múltiples sedes, con lectores biométricos (huella, rostro e iris), credenciales RFID/HID y móviles, torniquetes, gestión centralizada de credenciales e integración con videovigilancia. Somos empresa certificada en ISO/IEC 27001:2022, la norma de gestión de seguridad de la información, por lo que tratamos el control de acceso físico como parte de la seguridad de su información.
- Inventario de lectores, paneles y credenciales.
- Plan de migración por etapas, empezando por las puertas de mayor riesgo.
- Instalación de lectores y paneles con comunicación cifrada.
- Mantenimiento preventivo y correctivo, también en póliza.
Solicite un levantamiento técnico sin costo y le decimos qué tan expuesto está su control de acceso actual.
Preguntas frecuentes
¿Todos los lectores OSDP son seguros?
No automáticamente. La protección criptográfica depende de que Secure Channel esté activado y bien configurado, con llaves propias y sin quedar en modo de instalación.
¿Tengo que cambiar todo el sistema para usar OSDP?
No necesariamente. Muchos paneles soportan OSDP con una actualización, y los lectores se pueden migrar por etapas o mediante convertidores de Wiegand a OSDP.
¿Puedo usar el mismo cable de mis lectores Wiegand?
A veces. RS-485 necesita un par trenzado adecuado y el calibre correcto para la distancia. Conviene revisar el cable existente antes de reutilizarlo.
¿OSDP es una norma oficial?
Es un estándar de la Security Industry Association publicado también por la IEC como norma internacional IEC 60839-11-5. No es una norma oficial mexicana, pero es la referencia de la industria para la comunicación segura entre panel y lector.