IC-kortti vs. henkilökortti: Kuinka valita oikea pääsykortti järjestelmääsi

Tässä artikkelissa selvitetään IC-korttien ja henkilökorttien väliset todelliset erot, ei vain tekniset tiedot, vaan erot, jotka itse asiassa vaikuttavat hankintapäätökseen, järjestelmän turvallisuuteen ja kokonaisomistuskustannuksiin.

 

IC-kortti ja henkilökortti: Ydinero 30 sekunnissa

henkilökortti

 

(125 kHz, esim. EM4100/TK4100): Tallentaa vain kiinteän sarjanumeron. Kortti lähettää tämän numeron mille tahansa kantaman lukijalle. Ei salausta, ei kirjoituskykyä, ei todennuskättelyä. Lukija yksinkertaisesti tarkistaa, vastaako numero tietokannan merkintää.

IC-kortti

 

(13,56 MHz, esim. MIFARE Classic/DESFire): Sisältää mikroprosessorisirun, jossa on luku- ja kirjoitusmuisti jaettuna itsenäisiin sektoreihin. Tukee salausta, molemminpuolista todennusta kortin ja lukijan välillä sekä usean-sovelluksen käyttöä yhdellä kortilla.

Siinä oppikirjan vastaus. Mutta jos arvioit näitä todellista käyttöönottoa varten, oppikirja ei kerro sinulle, mikä itse asiassa menee pieleen tai mikä on todella tärkeää budjettisi kannalta.

 

 

Viisi eroa hankintatiedoissa ei kerro sinulle

 

1

Pääsykorttien suojaus ei ole binaarinen - Se on spektri

 

Yleisin virhe pääsykorttien hankinnassa: oletetaan "IC-kortti=turvallinen, henkilökortti=ei ole suojattu." Todellisuus on sitä kerrostavampi.

 

Henkilökorteissa ei ole salausta. Mikä tahansa 125 kHz:n lukija tai 15 dollarin kädessä pidettävä klooneri lukee ja kopioi sarjanumeron. Tätä ei voi estää korttitasolla, koska kortilla ei ole todennusmekanismia.

 

IC-kortit ovat turvallisempia, mutta kuinka paljon enemmän riippuu täysin siitä, minkä sirun valitset. MIFARE Classic, maailmanlaajuisesti laajimmin käytetty IC-siru, käyttää salausjärjestelmää nimeltä CRYPTO1, jonka Radboudin yliopiston tutkijat suunnittelivat täysin käänteis{2}} vuonna 2008. Nykyään Flipper Zero -työkalut voivat palauttaa MIFARE Classic -avaimet ja kloonata kortit ilman erikoislaitteita.

 

Elokuussa 2024 tilanne paheni: Quarkslabin tutkijat löysivät laitteiston takaoven Fudan FM11RF08S -siruista, Shanghai Fudan Microelectronicsin laajasti käytetystä MIFARE Classic--yhteensopivasta sirusta. Tämän takaoven avulla kuka tahansa, joka tuntee yhden yleisavaimen, voi vaarantaa kaikki näiden korttien käyttäjän{5}}määrittämät avaimet muutamassa minuutissa. Haavoittuneita siruja käytetään hotelleissa, toimistoissa ja kuljetusjärjestelmissä Yhdysvalloissa, Euroopassa, Kiinassa ja Intiassa.

Turvataso	Esimerkkejä siruista	Salaus	Sopii käytettäväksi
Ei mitään	EM4100, TK4100 (henkilökortit)	Ei mitään	Pysäköinti, vierailijalämpötilat
Perintö (riskitty)	MIFARE Classic 1K/4K	CRYPTO1 (rikki)	Matala-turvatuntimäärä
Keskitaso-	MIFARE Plus (SL3-tila)	AES-128	Toimistopääsy, kampuskortit
Korkea	MIFARE DESFire EV2/EV3 (EAL5+-sertifioitu)	AES-128, keskinäinen todennus	Palvelinkeskukset, rahoituslaitokset
Korkein	CPU-kortit (Java-kortti)	PKI{0}}-yhteensopiva	Hallitus, armeija

 

Yksi yksityiskohta, jota taulukko ei voi näyttää: MIFARE Plusilla on kolme suojaustasoa (SL1, SL2, SL3), mutta monet integraattorit ottavat käyttöön Plus-kortit SL1-tilassa, jotta ne ovat taaksepäin yhteensopivia olemassa olevien Classic-lukijoiden kanssa. SL1-tilassa kortin suojaus on olennaisesti sama kuin tavallisessa MIFARE Classicissa. Tämä on yleinen "tietopäivitys paperilla, ei päivitystä käytännössä" -skenaario. Varmista aina, mikä suojaustaso on todella aktivoitu, älä vain sitä, mikä sirumalli on painettu tilausvahvistukseen.

 

Syntek toimittaa pääsykortteja kaikille viidelle yllä luetellulle tasolle alkaenEM4100/TK4100 henkilökortitkautta MIFARE DESFire EV2/EV3 jaCPU-kortit korkean{0}}turvallisuuden pääsynhallintaan. Jokainen IC-kortti toimitetaan niin, että sirun malli on painettu lähetysluetteloon, koska kortti, jossa ei ole dokumentoitua sirua, on kortti, jota et voi vahvistaa.

 

 

 

0,08–0,15 dollaria yksikköä kohden EM4100 henkilökorteilla verrattuna 0,30–0,60 dollariin MIFARE DESFiressä, 5 000- korttitilauksen -korttikohtainen säästö näyttää todelliselta. Mutta korttikohtainen hinta on vain yksi rivi kokonaiskustannustaulukossa.

 

Henkilökorttijärjestelmät tallentavat nollatietoa itse kortille. Jokainen pääsypäätös edellyttää, että lukija tekee kyselyn reaaliajassa keskustietokannasta. Tämä tarkoittaa, että jokainen lukija tarvitsee verkkoyhteyden (enemmän kaapelointia, enemmän vikakohtia), järjestelmän laajentaminen tarkoittaa uusien lukijoiden kytkemistä takaisin palvelimelle, eikä offline-toimintoa ole: jos verkko katkeaa, ovet joko pysyvät lukittuina tai avautuvat oletusarvoisesti.

 

IC-korttijärjestelmät tallentavat käyttöoikeudet kortille. Lukijat voivat tehdä pääsypäätöksiä paikallisesti. Järjestelmän laajentaminen tarkoittaa lukijan käyttöönottoa ja korttisektorien konfigurointia, uutta kaapelointia palvelimelle ei tarvita.

 

Shenzhenissä toimiva kiinteistönhoitoyhtiö sai tämän selville sen jälkeen, kun sisäinen tarkastus ilmoitti, että heidän pysäköintihallinsa myönsi kuukausikortteja enemmän kuin järjestelmällä oli tiedossa. Tutkimuksissa havaittiin, että työntekijät kopioivat 125 kHz:n henkilökortteja käyttämällä tyhjiä Taobaon kortteja. Koska korteissa ei ollut salausta, teknisiä esteitä ei ollut: kuka tahansa, jolla oli 15 dollarin klooneri, pystyi valmistamaan toimivan kopion. Yritys romutti koko henkilökorttijärjestelmän ja otettiin{5}}uudelleen käyttöön salatuilla IC-korteilla maksaen kahdesti siitä, mitä olisi pitänyt tehdä kerran.

 

 

Kuusitoista itsenäistä alaa. Sen tarjoaa tavallinen MIFARE Classic 1K IC-kortti, ja jokainen sektori voi palvella eri sovellusta omilla salausavaimillaan: kulunvalvonta sektorilla 1, ajankäyttö sektorilla 2, kahvilamaksu sektorilla 3.

 

Henkilökortit eivät voi tehdä tätä. Yksi kortti, yksi sarjanumero, yksi toiminto. Jos haluat lisätä kahvilamaksun pääsyjärjestelmääsi, annat joko toisen kortin tai vaihdat koko infrastruktuurin.

 

Kampus- ja teollisuuspuistokäyttöön, jossa "yksi-kortti-kaikelle-" on tavoite, jo pelkästään tämä sulkee pois 125 kHz:n henkilökortit. Syntek valmistaa moni-sovelluksen IC-kortteja ja kaksitaajuisia komposiittikortteja, jotka yhdistävät 125 kHz:n sirun ja 13,56 MHz:n sirun yhdessä kortin rungossa. Näin myös useimmat vaiheittaiset siirrot toimivat.

 

 

 

Työntekijäsi älypuhelimet toimivat NFC-taajuudella 13,56 MHz, samalla taajuudella kuin IC-kortit. Tämä tarkoittaa, että IC-korttien tunnistetiedot voidaan mahdollisesti antaa puhelimille, mikä mahdollistaa NFC-pohjaisen mobiilikäytön ilman fyysisiä kortteja.

 

125 kHz:n henkilökortit ovat täysin näkymättömiä puhelimen NFC-laitteistolle. Kiertotapaa ei ole olemassa. Jos laitoksesi etenemissuunnitelma sisältää mobiiliyhteyden seuraavan kolmen tai viiden vuoden aikana, 125 kHz:n henkilökorttijärjestelmä on umpikuja. Jos haluat syvemmän kuvan siitä, miten NFC toimii kulunvalvontaekosysteemeissä, katso Syntek'sjohdatus RFID-kulunvalvontajärjestelmiin.

 

 

Jos käytät tällä hetkellä 125 kHz:n henkilökorttijärjestelmää ja tietoturva-aukot koskevat sinua, järjestelmän täydellinen vaihto ei ole ainoa vaihtoehto. Kaksoistaajuuslukijat voivat käsitellä sekä 125 kHz:n että 13,56 MHz:n kortteja samanaikaisesti. Yhdessä kaksois-taajuuskomposiittikorttien kanssa (yksi kortti, joka sisältää sekä ID- että IC-sirun) voit siirtää käyttäjät vaiheittain: ei yhden-päivän katkosta, ei palveluhäiriöitä.

 

Kahden taajuuden{0}}siirto todella kestää, riippuu tukiasemien määrästä, työntekijöiden vaihtuvuusasteesta ja siitä, tarvitseeko taustaohjelmistosi päivitystä. 20{4}}ovinen toimistorakennus saattaa valmistua kolmessa kuukaudessa. Usean-rakennuksen teollisuuspuisto, jossa on ulkoistettu henkilökunta ja suuri vaihtuvuus, saattaa kestää yli vuoden, ennen kuin viimeinen erä vanhoja kortteja poistetaan käytöstä. Yhteinen säiettä on, että kaksitaajuinen lähestymistapa mahdollistaa pääomamenojen jakamisen budjettijaksoille sen sijaan, että ne ottaisi ne yhtenä kertasummana.

Kuinka varmistaa, mitä todella saat

 

Ennen kuin teet joukkotilauksen, varmista kolme asiaa toimittajaltasi: