MIFARE vs bezdotykové karty: Bezpečnosť, kompatibilita a migrácia

V tejto príručkebezdotyková kartaznamená staré poverenie 125 kHz bežne nazývané proxová karta pri riadení fyzického prístupu. Súčasné portfólio Proximity spoločnosti HID je napríklad explicitne umiestnené ako skupina 125 kHz nízkofrekvenčných-fyzických{4}}prístupových poverení.Informácie o produkte HID Proximityposkytuje aktuálny príklad odvetvia. :contentReference[oaicite:13]{index=13}

MIFARE je iný. Ide o rodinu produktov NXP bezkontaktných inteligentných kariet-založených na technológii ISO/IEC 14443 a používaných v aplikáciách vrátane správy prístupu. Názov MIFARE pokrýva viacero produktových radov, a nie jeden čip alebo jednu úroveň zabezpečenia.Portfólio MIFARE od NXPv súčasnosti zahŕňa platformy Classic, Plus, DESFire a ďalšie platformy MIFARE. :contentReference[oaicite:14]{index=14}

Pre širšie porovnanie dvoch{0}}kategórií prevádzkovej frekvencie nájdete v príručke spoločnosti Syntek125 kHz vs 13,56 MHz prístupové-poverenia na ovládanieposkytuje dodatočný kontext.

Praktické poradie výberu je: nainštalovaná čítačka → presná technológia poverení → identifikátor alebo údaje aplikácie → metóda autentifikácie → bezpečnostný model → plán migrácie → výrobná špecifikácia.

MIFARE vs Proximity Cards: Rýchle porovnanie

Riadok zabezpečenia je ten, ktorý bude s najväčšou pravdepodobnosťou príliš zjednodušený. MIFARE by sa nemalo považovať za jednu „vysokú{1}}bezpečnostnú kartu“. Classic, Plus a DESFire majú rôznu architektúru a možnosti a na spôsobe, akým prístupový systém tieto schopnosti využíva, záleží rovnako ako na názve čipu.

Čo znamená „Bezkontaktná karta“ pri kontrole prístupu?

V širšom odbornom jazyku môže blízkosť opísať-bezkontaktnú interakciu s krátkym dosahom. Pri nákupe fyzického-prístupu sa však „prox karta“ bežne vzťahuje na tradičné 125 kHz poverenie.

Zjednodušená staršia prístupová cesta môže vyzerať takto:

125 kHz poverenie → kompatibilná čítačka → číslo alebo formát poverenia → ovládač → rozhodnutie o prístupe

Dôležitým detailom obstarávania je, že „125 kHz“ úplne nepopisuje poverenie. Riadiaca jednotka môže tiež očakávať špecifickú štruktúru čísel{2}}karty, kód zariadenia/miesta, bitový formát alebo výstup čítačky.

Syntek uvádza obojeBezdotykové véčkové karty 125 kHza širšiePrístupové karty RFID-, ale výber náhrady by mal stále začínať skôr od nainštalovanej čítačky a špecifikácie ovládača než od vzhľadu karty.

Čo je karta MIFARE?

MIFARE je rad bezkontaktných produktov NXP, nie jedna univerzálna špecifikácia poverenia. Tento rozdiel je dôležitý pri riadení prístupu, pretože dve karty nesúce názov MIFARE sa môžu líšiť v organizácii pamäte, bezpečnostných mechanizmoch, autentifikácii a aplikačnom modeli. :contentReference[oaicite:15]{index=15}

Kupujúci si môžu pozrieť prehľad spoločnosti SyntekSmart karta RFIDa je k dispozíciiprístupové karty MIFAREpre kontext na{0}}úrovni produktu, ale špecifikácia prístupu by mala identifikovať presnú skupinu čipov a požadované správanie systému.

Kompatibilita čítačky je pred preferenciou karty

Čítačka iba 125 kHz-nebude kompatibilná s 13,56 MHz poverením MIFARE, pretože karty majú rovnaké rozmery v štýle ISO-.

Pred zmenou prihlasovacích údajov urobte inventúru nainštalovaných čítačiek a zaznamenajte:

• výrobca a model čítačky;
• podporovaná frekvencia alebo frekvencie;
• podporované poverovacie rodiny;
• firmvér alebo konfigurácia, ak je to relevantné;
• rozhranie čítačky-do{1}}ovládača;
• aktuálny kód zariadenia/miesta a prípadne formát karty;
• dĺžka a reprezentácia identifikátora očakávaná prístupovou platformou;
• či systém používa verejný identifikátor alebo overené údaje aplikácie.

Syntek'sČítačka na kontrolu prístupu RFID-stránku aPokyny pre prevádzkovú frekvenciu RFIDposkytnúť dodatočný kontext produktu a frekvencie.

Frekvencia nie je rovnaká ako formát poverenia

Migrácie-riadenia prístupu často zlyhajú, pretože dve rôzne dátové vrstvy sa považujú za rovnaké.

Prvá vrstva je poverenie-pre-interakciu RF s čítačkou. 125 kHz karta a 13,56 MHz karta MIFARE využívajú rôzne rádiové technológie.

Druhá vrstva je to, čo čítačka doručí do ovládača alebo prístupovej platformy. Táto hodnota môže byť normalizovaná, preformátovaná alebo mapovaná podľa konfigurácie čítačky a{1}}riadenia prístupu.

Preto sa môže zdať, že dve karty vytvárajú podobne{0}}vyzerajúce čísla v softvéri, pričom sú úplne nekompatibilné na RF vrstve. Naopak, nová čítačka môže úspešne detekovať kartu MIFARE, ale stále prezentovať jej identifikátor kontroléru v inom formáte, než aký očakáva existujúca databáza.

Zmraziť mapovanie identifikátorov pred hromadným opätovným vydaním

"Ponechať rovnaké číslo karty" nie je úplná špecifikácia migrácie.

Pred importovaním alebo výrobou nových poverení zdokumentujte, ako prístupová platforma očakáva zastúpenie identifikátorov. V závislosti od systému môžu relevantné otázky zahŕňať:

• Je zdrojovou hodnotou UID, ID poverenia aplikácie alebo iné pole?
• Aká dĺžka identifikátora je akceptovaná?
• Je hodnota uložená ako hexadecimálna, desiatková alebo iná reprezentácia?
• Používa aplikácia konkrétne poradie bajtov?
• Zachovajú sa úvodné nuly?
• Očakáva kontrolór rozdelenie kódu zariadenia/miesta a{0}}čísla karty?
• Odhaľuje duálna{0}}technologická karta dve samostatné identity, ktoré sa musia priraďovať k rovnakému záznamu používateľa?

Tieto podrobnosti by mali byť prevzaté zo skutočnej prístupovej platformy a schválenej špecifikácie migrácie. Nemali by sa uhádnuť podľa vytlačeného čísla na starom odznaku.

Bezpečnosť závisí od toho, čo systém skutočne overuje

Porovnanie „blízkosť je neistá, MIFARE je zabezpečená“ je príliš široké na to, aby podporilo seriózne{0}}rozhodnutie o kontrole prístupu.

Statický prístup k identifikátoru

Mnohé staršie nasadenia Prox primárne používajú identifikátor poverenia. Čitateľ rozpozná poverenia a odovzdá identifikátor do systému kontroly prístupu-.

Celkový stav zabezpečenia potom závisí od viac než len od karty: záleží na správe poverení, návrhu čítačky/ovládača, odvolaní, monitorovaní, fyzickej bezpečnosti a administratívnych kontrolách.

MIFARE Používa sa len ako identifikátor

Výkonnejší integrovaný obvod smart{0}}karty je stále možné nasadiť v architektúre-iba s jednoduchým identifikátorom.

Ak čítačka prístupu iba prečíta odhalený identifikátor a nikdy nevykoná chránenú autentifikáciu alebo aplikačné operácie podporované vybratým poverením, projekt automaticky nezíska plnú bezpečnostnú kapacitu dostupnú z tohto čipu.

Autentizovaná aplikácia Smart{0}}karty

Správne navrhnutá aplikácia MIFARE môže používať chránené aplikačné dáta, autentifikáciu, kryptografické kľúče a zabezpečené správy, ak to podporuje vybraný produkt.

Aktuálna dokumentácia NXP MIFARE DESFire EV3 medzi svojimi bezpečnostnými schopnosťami uvádza podporu AES, overenie na{1}}úrovni aplikácie, viacero kľúčov a viacero sád kľúčov. Tieto funkcie stále závisia od čítačky, modelu-správy kľúčov a konfigurácie aplikácie.Technické informácie NXP MIFARE DESFire EV3dokumentuje dostupné možnosti IC. :contentReference[oaicite:16]{index=16}

Zabezpečenie je vlastnosť systému, nie označenie čipu

NIST SP 800-98 považuje zabezpečenie RFID za problém s návrhom a prevádzkou na-úrovni systému a nie ako problém so štítkami. TheBezpečnostná smernica NIST RFIDpokrýva plánovanie, implementáciu a prevádzku RFID systémov. :contentReference[oaicite:17]{index=17}

Pre čitateľa-až-vrstvu radiča, Asociácia bezpečnostného priemysluOtvorte protokol kontrolovaného zariadeniapodporuje kontrolovanú komunikáciu a ochranu zabezpečeného kanála medzi zariadeniami na{0}}riadenie prístupu. Súčasné implementačné pokyny SIA konkrétne odporúčajú bezpečný kanál, keď sa používa OSDP. :contentReference[oaicite:18]{index=18}

Sprievodca SyntekomBezpečnosť dát RFIDmôže podporiť širšiu diskusiu o vnútornej bezpečnosti.

Kľúčové otázky týkajúce sa manažmentu, ktoré by si kupujúci mali klásť

Keď sa projekt presunie nad rámec prístupu len k UID{0}}, správa kľúčov sa stane súčasťou špecifikácie nákupu.

Architektúra DESFire EV3 od NXP podporuje viacero aplikačných kľúčov a viacero sád kľúčov, čo ilustruje, prečo „karta podporuje AES“ nie je dostatočná informácia na definovanie nasadenia. :contentReference[oaicite:19]{index=19}

Pred personalizáciou alebo hromadnou výrobou si ujasnite:

• Kto vlastní výrobné a aplikačné kľúče?
• Kto je oprávnený personalizovať prihlasovacie údaje?
• Bude sa používať personalizácia-kontrolovaná dodávateľom, zákazníkom-alebo spoločne riadená?
• Sú karty dodané v známom inicializačnom stave?
• Ako sa poskytujú náhradné poverenia?
• Je možné zmeniť kľúče, keď sa zmenia povinnosti alebo systémy?
• Ako sú zdokumentované kľúčové verzie a konfigurácia aplikácie?
• Ako sú oddelené výrobné, testovacie a živé prostredie?
• Kto môže obnoviť program poverení, ak pôvodný poskytovateľ personalizácie už nie je k dispozícii?

Odpoveď závisí od platformy{0}}riadenia prístupu a architektúry zabezpečenia. Kupujúci by nemali požadovať, vymieňať si ani uchovávať citlivé produkčné kľúče v bežných tabuľkách s umeleckými dielami alebo v neformálnych e-mailových vláknach.

MIFARE Classic, Plus a DESFire sú rôzne nákupné rozhodnutia

MIFARE Classic EV1

Prúd NXPProduktová stránka MIFARE Classic EV1uvádza produkt ako aktívny, ale „neodporúčaný pre nové dizajny“ a upozorňuje dizajnérov na novšiu náhradu. To neznamená, že každý nainštalovaný systém Classic musí okamžite prestať fungovať; to znamená, že nový projekt by nemal zvoliť Classic len preto, že „MIFARE“ znie novšie ako 125 kHz Prox. :contentReference[oaicite:20]{index=20}

MIFARE Plus EV2

Pozície NXPMIFARE Plus EV2ako cestu inovácie pre existujúce nasadenia. Jeho aktuálna špecifikácia zahŕňa koncept úrovne zabezpečenia pre migráciu a autentifikáciu AES-128 a bezpečné zasielanie správ na vyšších úrovniach zabezpečenia. :contentReference[oaicite:21]{index=21}

MIFARE DESFire EV3

DESFire EV3 je navrhnutý na bezpečné použitie vo viacerých{1}}aplikáciách a poskytuje funkcie vrátane AES-128, vzájomnej autentifikácie a flexibilných štruktúr aplikácií/kľúčov. Prítomnosť týchto schopností nedokazuje, že konkrétny prístupový systém ich používa; podpora čítačky a aplikácií zostáva povinná. :contentReference[oaicite:22]{index=22}

Kedy by ste mali udržiavať blízkosť 125 kHz a kedy by ste sa mali pohybovať?

Udržiavanie blízkosti môže byť racionálne

Tradičné 125 kHz poverenie môže zostať prevádzkovo primerané, keď je nainštalovaná čítacia základňa veľká a stabilná, chránené prostredie má akceptovaný model rizika, kompatibilita je bezprostrednou obchodnou prioritou alebo je plánovaná migrácia lokality neskôr.

Vedomé pokračovanie starej technológie sa líši od predpokladu, že poskytuje rovnaký bezpečnostný model ako overený moderný systém inteligentných{0}} kariet.

Prechod na MIFARE môže mať zmysel

Vhodné{0}}rodinné poverenia MIFARE sa stanú relevantnejšími, keď projekt vyžaduje chránené údaje aplikácie, overenú{1}}interakciu čítačky kariet, schopnosť viacerých{2}}aplikácií, modernú správu poverení alebo definovanú cestu mimo infraštruktúry iba so starými-identifikátormi.

Rozhodnutie si stále vyžaduje presný rad produktov a podporovanú aplikáciu. "MIFARE" sám o sebe zostáva príliš široký pre RFQ.

Naplánujte migráciu v piatich kontrolovaných fázach

Ak sa počas prechodu vyžaduje zmiešaná technológia, Syntek uvádza advojfrekvenčná čítačka RFID-a advojfrekvenčná{0}}karta RFIDmedzi jej súvisiacimi produktmi na stránke.

Duálne{0}}technologické poverenia môžu znížiť rušenie

Dvojitá{0}}technológia môže umiestniť starú technológiu 125 kHz a novšiu technológiu vysokofrekvenčných inteligentných kariet-na rovnakú fyzickú kartu.

Prúd HIDPoverenie MIFARE DESFire EV3 + Proxje skutočným príkladom odvetvia. HID to stavia ako spôsob zachovania interoperability so staršími 125 kHz čítačkami počas migrácie na infraštruktúru založenú na DESFire-. :contentReference[oaicite:23]{index=23}

To neznamená, že tieto dve technológie nevyhnutne odhaľujú rovnaký identifikátor alebo používajú rovnaký bezpečnostný proces. Databáza riadenia prístupu- by mala explicitne mapovať identity poverení na zamýšľaný záznam používateľa.

Duálna technológia je najužitočnejšia, keď má plán odchodu. Keď už stránka nevyžaduje podporu staršej 125 kHz, migračný tím by sa mal rozhodnúť, či má zostať povolená staršia akceptačná cesta.

Ilustratívny scenár migrácie: Tri kancelárske budovy

Nasledujúci scenár je ilustratívny a nie je prezentovaný ako prípad zákazníka.

Spoločnosť prevádzkuje tri administratívne budovy. Budova A má stále iba čítačky-125 kHz. Budova B má čítačky, ktoré môžu podporovať staré poverenia aj novú technológiu inteligentných- kariet. Budova C už bola inovovaná na cieľové prostredie MIFARE.

Namiesto výmeny každých dverí a každého odznaku za jeden víkend spoločnosť najprv zaznamená každú čítačku a dvere. Obmedzená skupina zamestnancov získava duálne{1}}technologické poverenia. Počas pilotného projektu prístupová databáza mapuje obe technológie poverení na rovnaký zamestnanecký účet, pričom tím overuje, ktorý komponent je v každej budove akceptovaný.

Pilot sa nepovažuje za úspešný jednoducho preto, že nový odznak otvára budovu C. Tím tiež overuje, že:

• staré dvere stále fungujú počas schváleného prechodného obdobia;
• nové prihlasovacie údaje sa overia tak, ako bolo zamýšľané pri aktualizovaných dverách;
• zrušené poverenia sú zamietnuté;
• náhradné karty nenechávajú staré poverenia aktívne;
• mapovanie identifikátorov nevytvára duplicitné užívateľské záznamy;
• pracovníci podpory vedia zistiť, či problém patrí karte, čítačke, mapovaniu alebo povoleniu prístupu.

Po inovácii budovy A a migrácii všetkých požadovaných používateľov je možné skontrolovať akceptáciu starších verzií a nie je ponechať povolenú na neurčito.

Pred zavedením definujte kritériá prijatia migrácie

Širší rámec overovania nájdete v príručke spoločnosti SyntekTestovanie systému RFID.

Schváľte produkčnú-ekvivalentnú vzorku poverení

Pilotný projekt migrácie by sa nemal spoliehať len na nevytlačenú vývojovú kartu.

Produkčná-ekvivalentná vzorka by mala predstavovať zamýšľanú objednávku v:

• presná rodina čipov;
• faktor poverenia;
• stav personalizácie;
• konfigurácia identifikátora/aplikácie;
• tlač a variabilné údaje;
• kompatibilita s čítačkou;
• backend mapovanie;
• správanie pri výmene a odvolaní.

Ak je potrebná variabilná tlač, čísla zamestnancov, QR kódy alebo iné viditeľné údaje, sprievodca SyntekRFID tlačmôže podporovať plánovanie umeleckých diel a{0}}údajov.

Pre kontrolu šarže, prehľad spoločnosti Syntekzariadenia na kontrolu kvalityposkytuje dodatočný kontext výroby-QC.

Čo poslať dodávateľovi karty pred objednaním

Projekty vyžadujúce prispôsobenú konštrukciu kariet, tlač, personalizáciu alebo riadenú výrobu môžu pokračovať v spoločnosti SyntekVýroba OEM a ODMpo definovaní technickej špecifikácie.

Bežné chyby pri nákupe

S každou 13,56 MHz kartou sa zaobchádza ako s MIFARE-kompatibilnou

Frekvencia nedefinuje úplný protokol, rodinu čipov ani aplikáciu. Potvrďte presného čitateľa a podporu poverení.

Zaobchádzajte s každou kartou MIFARE ako s rovnako bezpečnou

Classic, Plus a DESFire majú rôzne bezpečnostné architektúry a modely nasadenia. NXP v súčasnosti označuje Classic EV1 ako neodporúčaný pre nové dizajny, zatiaľ čo Plus EV2 a DESFire EV3 poskytujú rôzne možnosti migrácie a zabezpečenia. :contentReference[oaicite:24]{index=24}

Výmena kariet bez mapovania identifikátorov zmrazenia

Čitateľná karta môže stále zlyhať vo výrobe, ak sa čítačka a backend nezhodnú na reprezentácii UID, formáte karty alebo mapovaní používateľa.

Kúpte si zabezpečený čip, ale používate iba verejný identifikátor

Schopnosť vybraného čipu a implementovaný model autentifikácie sú samostatné otázky.

Používanie duálnej technológie bez staršieho-plánu odchodu do dôchodku

Duálne{0}}čítačky frekvencie a duálne{1}}technologické karty môžu znížiť prerušenia, ale migrácia by mala definovať, kedy už stará technológia nebude potrebná.

Záverečné odporúčanie

Praktický rozdiel medzi MIFARE a bezdotykovými kartami je väčší ako 13,56 MHz oproti 125 kHz.

Spoľahlivé rozhodnutie o{0}}riadení prístupu by malo zodpovedať:

• Aké čítačky sú vlastne nainštalované?
• Ktoré poverovacie rodiny podporujú?
• Aký identifikátor alebo chránené údaje aplikácia používa?
• Vykonáva čítačka skutočnú autentifikáciu alebo iba číta identifikátor?
• Kto ovláda kľúče inteligentnej karty-a prispôsobenie?
• Ako je chránená komunikácia medzi čitateľmi- a{1}}kontrolérom?
• Ako budú staré a nové prihlasovacie údaje existovať počas migrácie?
• Aké dôkazy musia prejsť, kým sa starý prístup zruší?

Pre existujúce nízkorizikové nasadenie s veľkou 125 kHz inštalovanou základňou môže byť pokračovanie starších poverení Prox na definované obdobie operačným rozhodnutím a nie chybou.

Pri novom nasadení alebo inovácii zabezpečenia môže správne implementované moderné poverenie MIFARE-rodiny podporovať autentifikáciu, chránené údaje aplikácií a flexibilnejšiu správu poverení. Hodnota pochádza z kompletného dizajnu, nie z názvu MIFARE vytlačeného na špecifikácii.

Nainštalovaná čítačka → presné prihlasovacie údaje → identifikátor/údaje aplikácie → autentifikácia → kľúče → bezpečnosť systému → architektúra migrácie → výrobná vzorka → akceptačný test.

Po zadefinovaní modelov čitateľa, cieľových poverení, pravidiel identifikátorov, autentifikačného prístupu, plánu migrácie, umeleckého diela, množstva a požiadaviek na prijatie môžu kupujúcivyžiadajte si vzorku alebo cenovú ponukuna hodnotenie-konkrétneho projektu.