Kľúčenky RFID na kontrolu prístupu: Sprievodca pre kupujúceho typmi, kompatibilitou, bezpečnosťou a nákupom OEM

Prívesok na kľúče RFID je malé bezkontaktné poverenie, ktoré nesie čip a anténu a identifikuje používateľa čítačke bez fyzického kontaktu. Toľko je jednoduché. Väčšinu kupujúcich napadne všetko, čo je za ním: či bude ovládač skutočne hovoriť s čítačkami, ktoré sú už priskrutkované k stene, či čip odolá klonovaciemu zariadeniu za 30 eur a či dodávateľ dokáže pred odoslaním správne zakódovať 5 000 jednotiek. Táto príručka je napísaná pre ľudí, ktorí vlastnia tieto rozhodnutia - manažérov IT a zariadení, ktorí vykonávajú inováciu, a tímy obstarávania, ktoré hromadne získavajú kľúčenky RFID.

Jedinou najdrahšou chybou v tejto kategórii je objednávanie podľa frekvencie. Frekvencia je potrebná, ale nie dostatočná. Nižšie sú kompatibilita, bezpečnosť a zdroje považované za tri rozhodnutia, ktoré skutočne určujú, či nasadenie funguje - a zhruba v tomto poradí rizika.

Ako funguje prívesok na kľúče RFID (a prečo je dôležité ho kúpiť)

Pasívny ovládač nemá batériu. Keď sa dostane do poľa čítačky, anténa zozbiera energiu z tohto poľa, prebudí čip a čip odpovie späť. V základnom systéme je odpoveďou len pevný identifikátor; v zabezpečenom systéme ovládač a čítačka spustia kryptografický handshake predtým, ako dôjde k výmene čohokoľvek citlivého. Kontrolór za čítačkou potom skontroluje túto identitu podľa svojich pravidiel prístupu a odomkne dvere - alebo zaznamená odmietnutie.

Z toho vyplývajú dva praktické dôsledky. Po prvé, pretože pasívne prívesky čerpajú energiu z čítačky, zvyčajne vydržia viac ako desať rokov bez údržby, a preto ich takmer všetky prístupy k budovám používajú namiesto aktívnych štítkov-na batérie. Po druhé, rozdiel medzi „fob posiela číslo“ a „fob preukáže, kto to je“ je celý príbeh o bezpečnosti - a rozhoduje sa na úrovni čipu, skôr ako sa zamyslíte nad bývaním alebo brandingom. Ak chcete fyziku hlbšie, pozrite si tento rozpisako fungujú RFID kľúčenky na kontrolu prístupu.

Frekvencia a typ čipu: Rozhodnutie o kompatibilite

Existujú tri frekvenčné pásma a navzájom nespolupracujú. 125 kHz čítačka nedokáže prečítať 13,56 MHz FOB a naopak. V rámci každého pásma rodina čipov a komunikačný štandard ďalej zužujú kompatibilitu.

125 kHz (nízka frekvencia)

LF je starý, lacný a zhovievavý okolo kovového a elektrického šumu. Čipy akoKľúčenky EM4100 a TK4100vysielať pevné číslo,{0}}len na čítanie. Táto spoľahlivosť je tiež problémom: pevné číslo bez šifrovania môže byť skopírované v priebehu niekoľkých sekúnd pomocou lacného duplikátora. LF si vyberte len vtedy, keď porovnávate existujúce čítačky LF alebo keď klonovanie jednoducho nie je súčasťou vášho modelu hrozby - šatňa telocvične, povedzme, nie dátové centrum.

13,56 MHz (vysoká frekvencia)

HF je predvolená hodnota pre každé nové nasadenie, kde záleží na bezpečnosti. Riadi sa normou ISO/IEC 14443 (s normou ISO/IEC 15693 pokrývajúcou čipy s dlhším dosahom-), a preto HF poverenia medzi vyhovujúcimi čítačkami čisto spolupracujú. Dominujú tri rodiny čipov:

MIFARE Classic 1K- obrovská inštalovaná základňa, nízke náklady a dôvod, prečo sa stále dodáva vo veľkom množstve. Ale jeho šifra Crypto-1 bola pred rokmi verejne prelomená, takže by sa s ňou malo zaobchádzať ako s praktickou, nie bezpečnostnou. Je to rozumná voľba pre členstvo, bezhotovostné stravovanie alebo vnútorné dvere, kde je klon skôr otravou ako porušením. AKľúčenka 13,56 MHz MIFARE 1Kpokrýva väčšinu týchto prípadov.

MIFARE DESFire EV3- aktuálny štandard pre vysoko{1}}zabezpečený prístup. Podľa dokumentácie NXP DESFire používa hardvérové ​​šifrovanie AES-128, trojité{5}}vzájomné overenie a-správu kľúčov aplikácie a IC má certifikáciu Common Criteria EAL5+ - rovnakú triedu, akú vyžadujú čipy pre bankovníctvo a elektronické pasy. Je spätne kompatibilný s EV2 a EV1, vďaka čomu je postupná migrácia realistická. Ak zadávate vládnu budovu, nemocničnú lekáreň alebo ústredie spoločnosti, toto je východiskový bod, nie upgrade, ktorý by ste mali zvážiť neskôr.

NTAG (NFC)- navrhnuté pre telefonické-interakcie čitateľné skôr než pre spevnený prístup. Užitočné pre návštevnícke preukazy, autentifikáciu produktov a marketing, menej už pre bezpečné dvere.

UHF

UHF sa zobrazuje v metroch, nie v centimetroch, čo je presne to, čo chcete pri paletách a vozidlách a presne to, čo nechcete pri dverách, kde čítanie niekomu o dve izby ďalej predstavuje problém. UHF si ponechajte na sledovanie majetku a identifikáciu brány/vozidla.

Ak uvažujete o celkových nákladoch a nie o cene nálepiek, toto porovnanie nákladov na 125 kHz vs 13,56 MHz poverenia riadenia prístupu je užitočným spoločníkom, ako aj bližší pohľad navýber správnej frekvencie pre RFID kľúčenky.

Kontrolný zoznam kompatibility Nikto nespustí, kým nie je príliš neskoro

Väčšina neúspešných objednávok má jednu hlavnú príčinu: kupujúci zhodoval frekvenciu a zvyšok prevzal. V praxi musia štyri veci zodpovedať frekvencii -, komunikačnému štandardu, skupine čipov a formátu poverení (UID, kód zariadenia alebo proprietárna šifrovaná aplikácia). Čítačka HID Prox bude ignorovať generický 125 kHz EM4100 ovládač, aj keď sú oba "125 kHz", pretože formát sa líši. Pred akoukoľvek hromadnou objednávkou postupujte takto:

• Identifikujte model čítačky.Prečítajte si štítok na nainštalovanej čítačke alebo si prečítajte dokumentáciu k panelu. Na značke aj verzii firmvéru záleží - niektoré čítačky akceptujú aplikáciu s vyšším zabezpečením DESFire- až po aktualizácii firmvéru.
• Skontrolujte existujúce pracovné poverenia.Vytlačené značky alebo rýchle skenovanie pomocou diagnostickej čítačky zvyčajne odhalí typ a formát čipu.
• Potvrďte formát, nielen čip.Opýtajte sa, či sa systém autentifikuje pomocou UID, kódu zariadenia alebo šifrovanej aplikácie so špecifickými kľúčmi.
• Vyžiadajte si vzorku a otestujte ju na svojich živých čitateľoch.Tento jediný krok zabráni takmer každému veľkému-zlyhaniu.
• Objasniť vlastníctvo kľúča.V prípade DESFire a iných šifrovaných systémov rozhodnite, kto vlastní hlavné kľúče a ako budú diverzifikované pred výrobou, nie po nej.

Keď spájate dve generácie čitateľov počas zavádzania, advojfrekvenčný-prívesok na kľúčektorý nesie LF aj HF čip umožňuje jedným poverením otvárať staré a nové dvere naraz - často rozdiel medzi víkendovým prerušením a mesiacom paralelných systémov. Konkrétne pre prostredia HID platí táto poznámkaobjednanie poverení kompatibilných s HID Prox-pokrýva detaily formátu, ktoré upútajú ľudí.

RFID vs NFC: Jedno je podmnožinou druhého

NFC nie je súperom technológie RFID -, je to špecializovaná časť 13,56 MHz HF RFID, ktorá pridáva obojsmernú-komunikáciu, čo umožňuje telefónu fungovať ako čítačka alebo poverenie. Každé zariadenie NFC využíva princípy RFID; nie každý RFID systém hovorí NFC.

Tento rozdiel rozhoduje o tom, či telefóny môžu nahradiť prívesky vo vašej budove. Emulácia hostiteľskej karty systému Android a poverenia založené na{1}}peňaženke od spoločnosti Apple môžu fungovať ako prístupové kľúče, ale iba v prípade, že to podporuje čítačka, softvér na{2}}riadenie prístupu a spôsob poskytovania- poverení. Staršie čítačky LF nemôžu používať telefón vôbec. V skutočnosti väčšina organizácií prevádzkuje oboje: šifrované karty pre zamestnancov a dodávateľov, mobilné poverenia navrstvené navrchu tam, kde ich podporuje flotila čítačiek. Úplný rozpis nájdete v tejto príručkerozdiel medzi RFID a NFC.

Klonovanie a bezpečnosť: Čo sa dá skutočne skopírovať

"Dá sa to naklonovať?" má tri čestné odpovede v závislosti od čipu:

• Triviálne klonovateľné- opravené-čipy UID LF (EM4100, TK4100) a akýkoľvek nešifrovaný systém UID-. Ručná kopírka to zvládne na jeden prechod.
• S námahou klonovateľné- MIFARE Classic. Slabé stránky Crypto-1 sú verejné, takže odhodlaný útočník so správnymi nástrojmi dokáže obnoviť kľúče.
• Navrhnuté tak, aby odolávali klonovaniu- DESFire EV3 a ďalšie{2}}poverenia založené na AES, ktoré sa spoliehajú na vzájomnú autentifikáciu, dynamické kľúče relácie a na-diverzifikáciu kľúčov poverení, takže ohrozenie jedného prívesku neohrozí systém.

Bežný mýtus, že „akýkoľvek RFID je možné skopírovať pomocou telefónu“, spája čítanie otvoreného NTAG tagu s prekonaním kryptografickej autentifikácie. Telefón dokáže napodobniť obyčajnú značku NFC; nemôže vytvoriť DESFire handshake. Podrobnejšie spracovanie modelu hrozby nájdete v tomto prehľadeBezpečnosť dát RFID.

Výber čipu je však len polovicou bezpečného nasadenia. Dizajn systému nesie zvyšok:

• Vymeňte staré Wiegand vedenie zaOSDP, ktorá podporuje šifrovanú komunikáciu medzi čítačkou-k{1}}kontrolovanej čítačke.
• Použitekľúčová diverzifikáciatakže každé poverenie odvodzuje jedinečný kľúč z hlavného kľúča.
• Použiťpovolenia{0}na základe rolí. Model NIST Role-Based Access Control - štandard ANSI/INCITS - je referenciou, ktorú väčšina podnikových prístupových platforiem sleduje, a presne mapuje, ako budovy skutočne prideľujú prístup podľa funkcie úlohy.
• Bežaťpravidelné audity: kontrola protokolov, zrušenie nepoužívaných poverení, otáčanie kľúčov a udržiavanie aktuálneho firmvéru čítačky.
•  

Skutočná migrácia, začnite až do konca

Vzor uvedený nižšie je typický pre kanceláriu strednej{0}}veľkosti, ktorá sťahuje starnúce čítačky LF, a ukazuje, prečo sa predchádzajúce rozhodnutia združujú.

Budova so 125 kHz ovládačmi EM4100 sa rozhodne pre upgrade po tom, čo nájomca nahlási duplicitné prihlasovacie údaje. Namiesto výmeny všetkého naraz nainštalujú čítačky DESFire EV3-podla poschodia a vydávajú dvojfrekvenčné{8}}prívesky, aby si zamestnanci ponechali len jeden poverenie. Hlavné kľúče sú generované a uchovávané klientom, diverzifikované podľa FOB a vstrekované v továrni pred odoslaním. Čitatelia sa presunú na OSDP, keď je každé poschodie prerezané. Staré dvierka len LF fungujú na tom istom ovládači, kým nie je vymenená posledná čítačka, kedy je funkcia LF jednoducho softvérovo vyradená. Žiadne opätovné vydanie poverení, žiadne fronty v lobby.

Vzor uvedený nižšie je typický pre kanceláriu strednej{0}}veľkosti, ktorá sťahuje starnúce čítačky LF, a ukazuje, prečo sa predchádzajúce rozhodnutia združujú.

Budova so 125 kHz ovládačmi EM4100 sa rozhodne pre upgrade po tom, čo nájomca nahlási duplicitné prihlasovacie údaje. Namiesto výmeny všetkého naraz nainštalujú čítačky DESFire EV3-podla poschodia a vydávajú dvojfrekvenčné{8}}prívesky, aby si zamestnanci ponechali len jeden poverenie. Hlavné kľúče sú generované a uchovávané klientom, diverzifikované podľa FOB a vstrekované v továrni pred odoslaním. Čitatelia sa presunú na OSDP, keď je každé poschodie prerezané. Staré dvierka len LF fungujú na tom istom ovládači, kým nie je vymenená posledná čítačka, kedy je funkcia LF jednoducho softvérovo vyradená. Žiadne opätovné vydanie poverení, žiadne fronty v lobby.

Nejde o konkrétnu značku -, ale o to, že fázový, kľúčový{1}}vlastnený, dvoj-frekvenčný prístup premení rušivé trhanie-a{4}}nahradenie na pozadí. Tento plán je možný len preto, že čip (DESFire) a tvarový faktor (dvojitá-frekvencia) boli zvolené s ohľadom na migráciu.

Bývanie a materiály: Prispôsobte sa prostrediu, nie katalógu

Kryt len ​​zriedka výrazne mení rozsah čítania, ale rozhoduje o tom, ako dlho prežije FOB. Výkon čipu a antény; škrupina nastavuje trvanlivosť.

Pre drsné podmienky špecifikujte krytie IP67/IP68, hodnotenie od -25 stupňov do +85 stupňov a odolnosť voči UV žiareniu pre čokoľvek, čo zostane vonku. Toto je zahrnuté-vedľa seba-dvoch najbežnejších škrupínPorovnanie ABS vs epoxidových príveskov na kľúče. Ak je vzhľad súčasťou briefu, akožená RFID kľúčenkaalebo adrevený ekologický-prívesok na kľúčenesie logo oveľa lepšie ako lisované ABS.

Programovanie: Tri spôsoby kódovania Fob

„Programovanie“ znamená zapísanie identity, kľúčov alebo prístupových údajov do čipu. Ako to urobíte, závisí od rozsahu a zabezpečenia:

1. Predbežné{0}}kódovanie z výroby.Dodávateľ pred odoslaním zapíše UID alebo poverenia. Najrýchlejšie pre veľké zavádzanie a hotelové systémy; nie sú potrebné žiadne{1}nástroje na stránke.
2. Kódovanie na-stránke.Prihlasovacie údaje vydávate zapisovačom USB alebo registračným softvérom prístupového panela. Najlepšie, keď sa úlohy často menia a chcete priamu kontrolu.
3. Bezpečné vstrekovanie kľúča.Pre systémy DESFire a AES sú šifrovacie kľúče a aplikácie poskytované za kontrolovaných podmienok, často vo výrobe, takže prihlasovacie údaje nie je možné duplikovať bez autorizácie.

Pri hromadných objednávkach si vopred dohodnite praktické podrobnosti: priepustnosť kódovania, spracovanie chýb, jedinečnosť UID, synchronizácia databázy a protokolovanie auditu. Podniky zvyčajne zadávajú kódovanie do svojho HR alebo systému identity, takže vstup a výstup automaticky riadi stav poverení.

Spoločné nasadenia

Kancelárie centrálne spravujú vchody, výťahy, poschodia a parkovanie a aktualizujú práva bez toho, aby ste sa dotkli hardvéru. Hotely vydávajú poverenia, ktorých platnosť vyprší pri pokladni -, mechanika je vysvetlená v tomto článkuako fungujú hotelové kľúčové karty. Nemocnice zamykajú lekárne, laboratóriá a záznamy s oprávneniami na dodržiavanie pravidiel-na základe rolí. Univerzity zložia prístup, knižnicu, dochádzku a bezhotovostné platby do jedného poverenia. Priemyselné areály ohraničujú nebezpečné zóny a miestnosti s vybavením podľa úlohy a zmeny. V každom prípade je víťazný ťah rovnaký: vyberte žetón pre úroveň hrozby a potom nechajte softvér, aby sa postaral o zvyšok.

Nákup a OEM Sourcing

Cena je posledná vec, ktorú treba optimalizovať, nie prvá. Prepracujte požiadavky, potom čip, potom prispôsobenie a potom dodávateľa.

Výber čipu podľa úrovne zabezpečenia

• Nízka(obytné, parkovacie): EM4100 / TK4100 / HID Prox.
• Stredná(kancelárie, školy, telocvične): MIFARE Classic 1K alebo NTAG.
• Vysoká(financie, zdravotníctvo, vláda): DESFire EV3 s AES a vzájomnou autentifikáciou.
•  

Prispôsobenie (OEM/ODM)

Hromadní kupujúci len zriedka chcú generické akcie. Medzi typické možnosti patrí laserová alebo sieťotlač{1}}sieťotlače loga, kódovanie UID a pred{2}}programovanie, sériové číslovanie, vlastné farby a formy a integrácia QR/čiarových kódov -, z ktorých všetky podporujú budovanie značky, sledovanie majetku a boj proti-falšovaniu. Porovnajte ich s rozsahom od dodávateľaMožnosti OEM/ODMpred spáchaním.

MOQ, dodacia lehota a preverovanie

Ako približný návod, skladové modely bežia 100 – 500 ks, štandardné OEM 500 – 3 000 ks a plne prispôsobené formy 5,000+ ks, pričom jednotkové náklady prudko klesajú pri objeme. Dodacie lehoty sú približne 2 – 5 dní na sklade, 7 – 15 dní pre štandardné OEM a 15 – 30+ dní pre vlastné nástroje; vstavaná vyrovnávacia pamäť na schválenie vzoriek a testy kódovania. Pri preverovaní dodávateľa overte pred hromadnou výrobou originálne čipy (NXP, HID), podporu{15} testovania kódovania a kompatibility, certifikáciu ISO/CE/RoHS a - -nevyjednávateľnú - fyzickú vzorku.

záver

Vyberte si čip pre svoju aktuálnu úroveň hrozby, overte kompatibilitu so svojimi skutočnými čítačkami skôr, než si objednáte vo veľkom, a zaobchádzajte so šifrovaním, OSDP, diverzifikáciou kľúčov a-povoleniami na základe rolí ako s jedným systémom a nie so štyrmi možnosťami. Pre stránky s vysokým-zabezpečením je trvalou odpoveďou DESFire EV3 plus kľúčová-cesta postupnej migrácie. Všetko ostatné -, bývanie, farba, značka -, nasleduje po správnom konaní týchto troch rozhodnutí.

Ak plánujete upgrade alebo hromadnú objednávku, kontrola kompatibility a testovaná vzorka pred výrobou ušetrí oveľa viac, ako stojí. Môžete si vyžiadať hodnotenie vzorky alebo cenovú ponuku, aby ste potvrdili, že vaše prívesky zodpovedajú vášmu systému predtým, ako sa čokoľvek pustí do náradia.

FAQ

Môže každá RFID kľúčenka fungovať s akoukoľvek čítačkou?

Nie. Frekvencia, komunikačný štandard, skupina čipov a formát poverení sa musia zhodovať. Dve „125 kHz“ ovládače môžu byť stále nekompatibilné, ak sa formát líši.

Ktorá RFID kľúčenka je najbezpečnejšia?

MIFARE DESFire EV3 s AES-128 a vzájomnou autentifikáciou je súčasným štandardom vysokého zabezpečenia, ktorý má certifikáciu EAL5+ porovnateľnú s bankovými čipmi.

Dajú sa RFID kľúčenky klonovať?

Pevné ovládače-UID LF sa dajú ľahko klonovať, MIFARE Classic je možné naklonovať s námahou a poverenia DESFire/AES sú špeciálne navrhnuté tak, aby tomu odolali.

Potrebujú RFID kľúčenky batérie?

Nie. Pasívne prívesky čerpajú energiu z oblasti čitateľa a zvyčajne vydržia desať rokov alebo viac.

Môže smartfón nahradiť prívesok na kľúče?

Niekedy. Telefóny NFC môžu fungovať ako prihlasovacie údaje, ak to čítačka a softvér podporujú, ale staršie systémy LF nedokážu telefóny používať vôbec. Mnoho stránok prevádzkuje oboje.

Čo mám robiť, ak sa prívesok stratí?

Nahláste to, okamžite ho deaktivujte v systéme - nie sú potrebné žiadne zmeny zámku - vymeňte ho z náhradných zásob a skontrolujte denníky prístupov za príslušné obdobie.

Aké je typické MOQ a dodacia lehota pre vlastné prívesky?

Štandardné objednávky OEM zvyčajne začínajú okolo 500 – 3 000 kusov s dodacou dobou 7 – 15 dní; vlastné formy vyžadujú vyššie objemy a dlhší čas na spracovanie. Vždy si najskôr vyžiadajte vzorku.