MIFARE vs Proximity Cards: turvallisuus, yhteensopivuus ja siirto

Tässä oppaassaläheisyyskorttitarkoittaa vanhaa 125 kHz:n valtuustietoa, jota kutsutaan yleisesti välityskortiksi fyysisessä kulunvalvonnassa. Esimerkiksi HID:n nykyinen Proximity-portfolio on nimenomaisesti sijoitettu 125 kHz:n matalataajuiseksi-fyysisen-käyttöoikeustietoperheeksi.HID Proximity -tuotetiedottarjoaa nykyisen alan esimerkin. :contentReference[oaicite:13]{index=13}

MIFARE on eri asia. Se on NXP:n kosketuksettomien -älykorttituotteiden perhe, joka perustuu ISO/IEC 14443 -tekniikkaan ja jota käytetään sovelluksissa, mukaan lukien pääsynhallinta. MIFARE-nimi kattaa useita tuoteperheitä yhden sirun tai yhden suojaustason sijaan.NXP:n MIFARE-salkkusisältää tällä hetkellä Classic-, Plus-, DESFire- ja muita MIFARE-alustoja. :contentReference[oaicite:14]{index=14}

Kahden toimintataajuusluokan{0}}laajempi vertailu löytyy Syntekin oppaasta125 kHz vs 13,56 MHz pääsy-hallintatiedottarjoaa lisäkontekstia.

Käytännön valintajärjestys on: asennettu lukija → tarkka tunnistetekniikka → tunniste tai sovellustiedot → todennusmenetelmä → suojausmalli → siirtosuunnitelma → tuotantospesifikaatio.

MIFARE vs Proximity Cards: nopea vertailu

Suojausrivi on todennäköisimmin liian yksinkertaistettu. MIFAREa ei pidä käsitellä yhtenä "korkean-turvallisena korttina." Classicilla, Plusilla ja DESFirellä on erilaiset arkkitehtuurit ja ominaisuudet, ja tapa, jolla pääsyjärjestelmä käyttää näitä ominaisuuksia, on yhtä tärkeää kuin sirun nimi.

Mitä "läheisyyskortti" tarkoittaa kulunvalvonnassa?

Laajemmalla teknisellä kielellä läheisyys voi kuvata lyhyen{0}}kontaktittoman vuorovaikutuksen. Fyysisen-käyttöoikeuden ostamisessa "välityskortti" viittaa kuitenkin tavallisesti perinteiseen 125 kHz:n valtuustietoon.

Yksinkertaistettu vanha pääsypolku voi näyttää tältä:

125 kHz valtuustiedot → yhteensopiva lukija → valtuusnumero tai muoto → ohjain → pääsypäätös

Tärkeä hankinnan yksityiskohta on, että "125 kHz" ei kuvaa täysin valtuustietoja. Ohjain voi myös odottaa tietyn kortin-numerorakenteen, toimipisteen/sivuston koodin, bittimuodon tai lukijan ulostulon.

Syntek listaa molemmat125 kHz proximity simpukkakortitja laajempiRFID-käytön{0}}hallintakortit, mutta korvaavan valinnan tulisi silti alkaa asennetun lukijan ja ohjaimen tiedoista kortin ulkonäön sijaan.

Mikä on MIFARE-kortti?

MIFARE on kontaktiton NXP-tuoteperhe, ei yksi yleinen valtuustietomääritys. Tällä erolla on merkitystä kulunvalvonnassa, koska kaksi MIFARE-nimeä kantavaa korttia voivat poiketa muistin organisoinnista, suojausmekanismeista, todennuksesta ja sovellusmallista. :contentReference[oaicite:15]{index=15}

Ostajat voivat tutustua Syntekin yleiskatsaukseenRFID-älykorttija sen saatavillaMIFARE pääsykortittuote-tason kontekstissa, mutta käyttöoikeusmäärityksessä tulisi tunnistaa tarkka siruperhe ja vaadittu järjestelmän toiminta.

Lukijayhteensopivuus tulee korttien etusijalle

Vain 125 kHz{1}}lukija ei ole yhteensopiva 13,56 MHz MIFARE-tunnistetietojen kanssa, koska korteilla on samat ISO--tyyliset mitat.

Ennen kuin muutat valtuustietoja, inventoi asennetut lukijat ja kirjaa:

• lukijan valmistaja ja malli;
• tuettu taajuus tai taajuudet;
• tuetut valtakirjaperheet;
• laiteohjelmisto tai kokoonpano tarvittaessa;
• lukija---ohjaimen käyttöliittymä;
• nykyinen laitoksen/paikan koodi ja kortin muoto tarvittaessa;
• pääsyalustan odottama tunnisteen pituus ja esitystapa;
• käyttääkö järjestelmä julkista tunnistetta vai todennettua sovellusdataa.

SyntekinRFID-käytön{0}}hallintalukijasivu jaRFID:n toimintataajuusohjeettarjota lisää tuote- ja taajuuskontekstia.

Taajuus ei ole sama kuin valtuustietojen muoto

Käyttöoikeus-hallinnan siirrot epäonnistuvat usein, koska kahta eri tietokerrosta käsitellään ikään kuin ne olisivat samoja.

Ensimmäinen kerros on tunnistetiedot-lukijan-RF-vuorovaikutukseen. 125 kHz:n kortti ja 13,56 MHz MIFARE-kortti käyttävät erilaisia ​​radioteknologioita.

Toinen kerros on se, mitä lukija toimittaa ohjaimelle tai pääsyalustalle. Tämä arvo voidaan normalisoida, muotoilla uudelleen tai kartoittaa lukijan ja pääsyn-hallintamäärityksen mukaan.

Kaksi korttia voi siksi näyttää tuottavan samannäköisiä numeroita-ohjelmistossa, vaikka ne eivät ole täysin yhteensopivia RF-kerroksessa. Päinvastoin, uusi lukija voi onnistuneesti havaita MIFARE-kortin, mutta silti esittää sen tunnisteen ohjaimelle eri muodossa kuin olemassa oleva tietokanta odottaa.

Pysäytä tunnistekartoitus ennen joukkojulkaisua

"Säilytä sama kortin numero" ei ole täydellinen siirtomääritys.

Ennen kuin tuot tai valmistat uusia valtuustietoja, dokumentoi, kuinka käyttöympäristö odottaa tunnisteiden esitettävän. Järjestelmästä riippuen asiaankuuluvat kysymykset voivat sisältää:

• Onko lähdearvo UID, sovelluksen käyttöoikeustunnus vai jokin muu kenttä?
• Mikä tunnisteen pituus hyväksytään?
• Tallennetaanko arvo heksadesimaali-, desimaali- tai muuna esityksenä?
• Käyttääkö sovellus tiettyä tavujärjestystä?
• Säilytetäänkö etunollat?
• Odottaako valvoja laitoksen/paikan koodin ja kortin{0}}numeron jakamista?
• Paljastaako kaksi{0}}teknologiakorttia kaksi erillistä identiteettiä, jotka on yhdistettävä samaan käyttäjätietueeseen?

Nämä tiedot tulee ottaa varsinaisesta käyttöympäristöstä ja hyväksytystä siirtospesifikaatiosta. Niitä ei pidä arvata vanhan tunnuksen painetusta numerosta.

Suojaus riippuu siitä, mitä järjestelmä todella todentaa

Vertailu "Läheisyys on epävarma; MIFARE on turvallinen" on liian laaja tukemaan vakavaa pääsyn{0}}valvontapäätöstä.

Staattisen tunnisteen käyttö

Monet vanhat Prox-asennukset käyttävät ensisijaisesti valtuustietotunnistetta. Lukija tunnistaa valtuustiedot ja välittää tunnisteen pääsyn-valvontajärjestelmään.

Yleinen suojausasento riippuu sitten muustakin kuin kortista: valtuustietojen hallinta, lukijan/ohjaimen suunnittelu, peruuttaminen, valvonta, fyysinen turvallisuus ja hallinnolliset säädöt ovat tärkeitä.

MIFARE käytetään vain tunnisteena

Toimivampi{0}}älykortin IC voidaan silti ottaa käyttöön yksinkertaisessa-tunnistearkkitehtuurissa.

Jos pääsylukija vain lukee paljastetun tunnisteen eikä koskaan suorita valitun valtuustiedon tukemia suojattuja todennus- tai sovellustoimintoja, projekti ei automaattisesti saa täyttä suojauskykyä, joka on saatavilla kyseiseltä sirulta.

Todennettu{0}}älykorttisovellus

Oikein suunniteltu MIFARE-sovellus voi käyttää suojattuja sovellustietoja, todennusta, salausavaimia ja suojattua viestintää, jos valittu tuote tukee sitä.

NXP:n nykyisessä MIFARE DESFire EV3 -dokumentaatiossa luetellaan AES-tuki, sovellus-tason todennus, useita avaimia ja useita avainjoukkoja sen suojausominaisuuksien joukossa. Nämä ominaisuudet riippuvat edelleen lukijasta, avainten{3}}hallintamallista ja sovelluksen määrityksistä.NXP MIFARE DESFire EV3 tekniset tiedotdokumentoi käytettävissä olevat IC-ominaisuudet. :contentReference[oaicite:16]{index=16}

Turvallisuus on järjestelmän ominaisuus, ei sirutarra

NIST SP 800-98 käsittelee RFID-suojausta järjestelmätason suunnittelu- ja toimintaongelmana pikemminkin kuin vain tunnisteongelmana. TheNIST RFID -turvaohjekattaa RFID-järjestelmien suunnittelun, toteutuksen ja käytön. :contentReference[oaicite:17]{index=17}

Lukija{0}}--ohjaintasolle Security Industry AssociationinAvaa valvotun laitteen protokollatukee valvottua viestintää ja suojatun kanavan suojausta pääsyn{0}}hallintalaitteiden välillä. SIA:n nykyiset käyttöönotto-ohjeet suosittelevat erityisesti Secure Channelia, kun OSDP:tä käytetään. :contentReference[oaicite:18]{index=18}

Syntekin opasRFID-tietoturvavoi tukea laajempaa sisäisestä turvallisuudesta käytävää keskustelua.

Tärkeimmät hallintakysymykset, joita ostajien tulee kysyä

Kun projekti siirtyy pelkän UID{0}}käyttöoikeuden ulkopuolelle, avainten hallinnasta tulee osa ostospesifikaatiota.

NXP:n DESFire EV3 -arkkitehtuuri tukee useita sovellusavaimia ja useita avainjoukkoja, mikä osoittaa, miksi "kortti tukee AES:ää" ei ole tarpeeksi tietoa käyttöönoton määrittämiseen. :contentReference[oaicite:19]{index=19}

Selvitä ennen personointia tai massatuotantoa:

• Kuka omistaa tuotanto- ja sovellusavaimet?
• Kenellä on oikeus personoida valtuustietoja?
• Käytetäänkö toimittajan-hallinnassa, asiakkaan-hallinnassa vai yhteisesti hallinnassa olevaa personointia?
• Toimitetaanko kortit tunnetussa alustustilassa?
• Miten korvaavat valtuustiedot tarjotaan?
• Voidaanko avaimia vaihtaa, kun vastuut tai järjestelmät muuttuvat?
• Miten avainversiot ja sovelluskokoonpano dokumentoidaan?
• Miten tuotanto-, testi- ja live-ympäristöt erotetaan toisistaan?
• Kuka voi palauttaa tunnisteohjelman, jos alkuperäinen personoinnin tarjoaja ei ole enää saatavilla?

Vastaus riippuu pääsyn{0}}hallintaalustasta ja suojausarkkitehtuurista. Ostajien ei tule pyytää, vaihtaa tai tallentaa arkaluonteisia tuotantoavaimia tavallisiin kuvituslaskentataulukoihin tai epävirallisiin sähköpostisäikeisiin.

MIFARE Classic, Plus ja DESFire ovat erilaisia ​​ostopäätöksiä

MIFARE Classic EV1

NXP:n virtaMIFARE Classic EV1 -tuotesivulistaa tuotteen aktiiviseksi, mutta "ei suositella uusille malleille" ja osoittaa suunnittelijoille uudemman korvaavan tuotteen. Tämä ei tarkoita, että jokaisen asennetun Classic-järjestelmän on välittömästi lopetettava toimintansa; se tarkoittaa, että uuden projektin ei pitäisi valita Classic vain siksi, että "MIFARE" kuulostaa uudemmalta kuin 125 kHz Prox. :contentReference[oaicite:20]{index=20}

MIFARE Plus EV2

NXP-asennotMIFARE Plus EV2päivityspoluksi olemassa oleville käyttöönottoille. Sen nykyinen määritys sisältää Security Level -konseptin migraatiota ja AES-128-todennusta ja suojattua viestintää varten korkeammilla suojaustasoilla. :contentReference[oaicite:21]{index=21}

MIFARE DESFire EV3

DESFire EV3 on suunniteltu turvalliseen usean sovelluksen käyttöön, ja se tarjoaa ominaisuuksia, kuten AES-128:n, keskinäisen todennuksen ja joustavat sovellus-/avainrakenteet. Näiden ominaisuuksien olemassaolo ei todista, että tietty pääsyjärjestelmä käyttää niitä; lukija- ja sovellustuki ovat edelleen pakollisia. :contentReference[oaicite:22]{index=22}

Milloin kannattaa pitää 125 kHz:n läheisyys ja milloin kannattaa muuttaa?

Läheisyyden pitäminen voi olla järkevää

Perinteinen 125 kHz:n tunnistetieto voi pysyä toiminnallisesti järkevänä, kun asennettu lukijakanta on suuri ja vakaa, suojatussa ympäristössä on hyväksytty riskimalli, yhteensopivuus on liiketoiminnan välitön prioriteetti tai sivusto on suunniteltu siirrettäväksi myöhemmin.

Vanhan teknologian tietoinen jatkaminen on eri asia kuin sen olettaminen, että se tarjoaa saman suojausmallin kuin autenttinen moderni -älykorttijärjestelmä.

MIFAREen siirtyminen voi olla järkevää

Sopivasta MIFARE-perheen tunnistetiedosta tulee tärkeämpi, kun projekti vaatii suojattuja sovellustietoja, todennettua korttia-lukijan vuorovaikutusta, usean sovelluksen-ominaisuutta, nykyaikaista tunnistetietojen hallintaa tai määritettyä polkua pois vain vanhasta tunnisteinfrastruktuurista.

Päätös vaatii vielä tarkan tuoteperheen ja tuetun hakemuksen. "MIFARE" itsessään on liian laaja tarjouspyyntöön.

Suunnittele siirto viidessä kontrolloidussa vaiheessa

Syntek luettelee akaksitaajuinen-RFID-lukijaja akaksitaajuuksinen{0}}RFID-korttisiihen liittyvien sivustotuotteiden joukossa.

Kaksois-teknologian tunnistetiedot voivat vähentää häiriöitä

Kaksois-teknologian valtuustieto voi sijoittaa vanhan 125 kHz:n tekniikan ja uudemman HF-äly-korttitekniikan samaan fyysiseen korttiin.

HID:n virtaMIFARE DESFire EV3 + Prox-tunnisteon todellinen esimerkki toimialasta. HID asettaa sen tavan ylläpitää yhteentoimivuutta vanhojen 125 kHz:n lukijoiden kanssa siirrettäessä DESFire--pohjaiseen infrastruktuuriin. :contentReference[oaicite:23]{index=23}

Tämä ei tarkoita, että nämä kaksi tekniikkaa paljastavat välttämättä saman tunnisteen tai käyttävät samaa suojausprosessia. Pääsyn-hallintatietokannan tulee nimenomaisesti yhdistää valtuustietojen identiteetit aiottuihin käyttäjätietueisiin.

Kaksoistekniikka on hyödyllisintä, kun sillä on poistumissuunnitelma. Kun sivusto ei enää vaadi vanhaa 125 kHz:n tukea, siirtotiimin tulee päättää, pitäisikö vanhan hyväksymispolun olla käytössä.

Havainnollinen siirtolaisskenaario: Kolme toimistorakennusta

Seuraava skenaario on havainnollinen, eikä sitä esitetä asiakastapauksena.

Yrityksellä on käytössään kolme toimistorakennusta. A-rakennuksessa on edelleen vain 125 kHz{2}}lukijat. Rakennuksessa B on lukijoita, jotka tukevat sekä vanhoja tunnistetietoja että uutta älykorttitekniikkaa. C-rakennus on jo päivitetty MIFARE-kohdeympäristöön.

Sen sijaan, että vaihtaisi jokaisen oven ja jokaisen tunnuksen yhden viikonlopun aikana, yritys kirjaa ensin jokaisen lukijan ja oven. Rajoitettu työntekijäryhmä saa kaksi-teknologian valtuustietoa. Pilotin aikana pääsytietokanta kartoittaa molemmat tunnisteteknologiat samaan työntekijätiliin, kun taas tiimi tarkistaa, mitkä komponentit hyväksytään kussakin rakennuksessa.

Pilottia ei pidetä onnistuneena vain siksi, että uusi tunnus avaa C-rakennuksen. Tiimi varmistaa myös, että:

• vanhat ovet toimivat edelleen hyväksytyn siirtymäkauden aikana;
• uudet tunnistetiedot todennetaan tarkoitetulla tavalla päivitetyissä ovissa;
• peruutetut valtuustiedot evätään;
• korvaavat kortit eivät jätä vanhoja tunnistetietoja aktiiviseksi;
• tunnistekartoitus ei luo päällekkäisiä käyttäjätietueita;
• tukihenkilöstö osaa kertoa, kuuluuko ongelma korttiin, lukijaan, kartoitukseen vai käyttöoikeuksiin.

Kun rakennus A on päivitetty ja kaikki tarvittavat käyttäjät on siirretty, vanhan hyväksynnän voidaan tarkistaa, jotta se voidaan poistaa käytöstä sen sijaan, että se pysyisi käytössä toistaiseksi.

Määritä siirron hyväksymiskriteerit ennen käyttöönottoa

Katso laajempi validointikehys Syntekin oppaastaRFID-järjestelmän testaus.

Hyväksy tuotanto{0}}vastaava valtakirjanäyte

Siirtymälentäjän ei tule luottaa vain tulostamattomaan kehityskorttiin.

Tuotannon{0}}vastaavan näytteen tulee edustaa aiottua tilausta seuraavassa muodossa:

• tarkka siru perhe;
• valtuustietojen muototekijä;
• personointitila;
• tunniste/sovelluskokoonpano;
• tulostus ja muuttuvat tiedot;
• lukijan yhteensopivuus;
• taustakartoitus;
• korvaus- ja peruutuskäyttäytyminen.

Jos tarvitaan muuttuva tulostus, työntekijänumerot, QR-koodit tai muut näkyvät tiedot, Syntekin opasRFID-tulostusvoi tukea kuvien ja{0}}datatiedostojen suunnittelua.

Erätarkastuksia varten Syntekin yleiskatsauslaadunvalvontalaitteettarjoaa lisää valmistus{0}}laadunvalvontakontekstia.

Mitä lähettää korttitoimittajalle ennen tilaamista

Räätälöityä korttirakennusta, painatusta, personointia tai kontrolloitua tuotantoa vaativat projektit voivat jatkua SyntekilleOEM- ja ODM-tuotantotietoja, kun tekninen eritelmä on määritelty.

Yleisiä ostovirheitä

Jokaista 13,56 MHz:n korttia käsitellään MIFARE--yhteensopivana

Taajuus ei määrittele koko protokollaa, siruperhettä tai sovellusta. Vahvista tarkka lukijan ja tunnistetietojen tuki.

Jokaisen MIFARE-kortin kohtelu yhtä turvallisena

Classicilla, Plusilla ja DESFirellä on erilaiset suojausarkkitehtuurit ja käyttöönottomallit. NXP merkitsee tällä hetkellä Classic EV1:tä ei suositella uusille malleille, kun taas Plus EV2 ja DESFire EV3 tarjoavat erilaisia ​​siirto- ja suojausominaisuuksia. :contentReference[oaicite:24]{index=24}

Korttien vaihtaminen ilman tunnistekartoitusta

Luettava kortti voi silti epäonnistua tuotannossa, jos lukija ja taustajärjestelmä ovat eri mieltä UID-esittelystä, kortin muodosta tai käyttäjäkartoituksesta.

Ostat suojatun sirun, mutta käytät vain julkista tunnistetta

Valitun sirun kyky ja toteutettu autentikointimalli ovat erillisiä kysymyksiä.

Kaksoisteknologian käyttäminen ilman vanhaa-eläkesuunnitelmaa

Kaksois-taajuudenlukijat ja kaksois-teknologiakortit voivat vähentää häiriöitä, mutta siirron pitäisi silti määrittää, milloin vanhaa tekniikkaa ei enää tarvita.

Lopullinen suositus

Käytännön ero MIFARE- ja proximity-korttien välillä on suurempi kuin 13,56 MHz vs. 125 kHz.

Luotettavan pääsyn{0}}valvontapäätöksen pitäisi vastata:

• Mitä lukijoita oikeastaan ​​on asennettu?
• Mitä henkilöperheitä he tukevat?
• Mitä tunnistetta tai suojattuja tietoja sovellus käyttää?
• Suorittaako lukija todellisen todennuksen vai lukeeko vain tunnisteen?
• Kuka hallitsee{0}}älykorttien avaimia ja personointia?
• Miten lukijan{0}} ja-ohjaimen välinen viestintä on suojattu?
• Miten vanhat ja uudet tunnistetiedot elävät rinnakkain muuton aikana?
• Mitä todisteita on läpäistävä, ennen kuin käyttöoikeus vanhenee?

Olemassa olevassa alhaisen-riskin käyttöönotossa, jossa on suuri 125 kHz:n asennettu kanta, vanhojen Prox-tunnistetietojen jatkaminen tietyn ajan voi olla toiminnallinen päätös eikä virhe.

Uutta käyttöönottoa tai tietoturvapäivitystä varten oikein toteutettu moderni MIFARE--perhetunniste voi tukea todennusta, suojattuja sovellustietoja ja joustavampaa käyttöoikeustietojen hallintaa. Arvo tulee täydellisestä suunnittelusta, ei spesifikaatiosta painetusta MIFARE-nimestä.

Asennettu lukija → tarkat tunnistetiedot → tunniste/sovellustiedot → todennus → avaimet → järjestelmäturva → siirtoarkkitehtuuri → tuotantonäyte → hyväksymistesti.

Kun lukijamallit, kohdetunnistetiedot, tunnistesäännöt, todennusmenetelmä, siirtosuunnitelma, kuvitus, määrä ja hyväksymisvaatimukset on määritelty, ostajat voivatpyydä näyte tai tarjousprojektikohtaista-arviointia varten.