RFID-avaimenperät kulunvalvontaan: Ostajan opas tyyppeihin, yhteensopivuuteen, turvallisuuteen ja OEM-hankintaan

RFID-avaimenperä on pieni kontaktiton tunniste, jossa on siru ja antenni ja joka tunnistaa käyttäjän lukijalle ilman fyysistä kosketusta. Se on yksinkertaista. Suurin osa ostajista kiusaa kaikkea sen jälkeen: puhuuko fob todella jo seinään kiinnitetyille lukijoille, kestääkö siru 30 euron kloonauslaitetta ja pystyykö toimittaja koodaamaan 5 000 yksikköä oikein ennen niiden lähettämistä. Tämä opas on kirjoitettu ihmisille, jotka tekevät kyseiset päätökset - IT- ja laitospäälliköille, jotka suorittavat päivitystä, sekä hankintatiimejä, jotka hankkivat RFID-avaimenperäisiä volyymeja.

Tämän kategorian kallein virhe on pelkkä taajuuden tilaaminen. Taajuus on välttämätön, mutta ei riittävä. Alla yhteensopivuutta, turvallisuutta ja hankintaa käsitellään kolmena päätöksenä, jotka itse asiassa määräävät, toimiiko käyttöönotto - ja suunnilleen tässä riskijärjestyksessä.

Kuinka RFID-avain toimii (ja miksi sillä on merkitystä ostamisen kannalta)

Passiivisessa kaukosäätimessä ei ole akkua. Kun se tulee lukijan kentälle, antenni kerää energiaa kentältä, herättää sirun ja siru vastaa takaisin. Perusjärjestelmässä vastaus on vain kiinteä tunniste; suojatussa järjestelmässä fob ja lukija suorittavat kryptografisen kättelyn ennen kuin mitään arkaluonteista vaihdetaan. Lukijan takana oleva ohjain tarkistaa sitten identiteetin pääsysääntöjensä mukaisesti ja avaa oven - tai kirjaa kiellon.

Tästä jää kaksi käytännön seurausta. Ensinnäkin, koska passiiviset kaukosäätimet saavat virtaa lukijasta, ne kestävät yleensä reilusti yli vuosikymmenen ilman huoltoa, minkä vuoksi lähes kaikki rakennukset käyttävät niitä akkukäyttöisten -aktiivisten tunnisteiden sijaan. Toiseksi ero "fob lähettää numeron" ja "fob todistaa, kuka se on" on koko turvallisuustarina -, ja se päätetään sirutasolla, ennen kuin ajattelet asumista tai brändäystä. Jos haluat fysiikkaa syvemmälle, katso tämä erittelymiten RFID-avaimenperät toimivat kulunvalvonnassa.

Taajuus ja sirutyyppi: Yhteensopivuuspäätös

Taajuuskaistoja on kolme, eivätkä ne toimi keskenään. 125 kHz:n lukija ei pysty lukemaan 13,56 MHz fobia ja päinvastoin. Jokaisella kaistalla siruperhe ja viestintästandardi rajoittavat yhteensopivuutta entisestään.

125 kHz (matala taajuus)

LF on vanha, halpa ja anteeksiantavainen metallin ja sähköisen melun suhteen. Chips kutenEM4100 ja TK4100 avaimenperätlähettää kiinteän, vain luku -{0}}numeron. Tämä luotettavuus on myös ongelma: kiinteä numero ilman salausta voidaan kopioida sekunneissa halvalla monistimella. Valitse LF vain, kun yhdistät olemassa olevia LF-lukijoita tai kun kloonaus ei yksinkertaisesti ole osa uhkamalliasi - esimerkiksi kuntosalin pukuhuone, ei datakeskus.

13,56 MHz (korkea taajuus)

HF on oletusarvo kaikille uusille käyttöönotuksille, joissa turvallisuus on tärkeää. Sitä säätelee ISO/IEC 14443 -standardi (jossa ISO/IEC 15693 kattaa pidemmän-etäisyyden lähipiirisirut), minkä vuoksi HF-tunnistetiedot toimivat siististi yhteensopivien lukijoiden välillä. Kolme siruperhettä hallitsee:

MIFARE Classic 1K- valtava asennuskanta, alhaiset kustannukset ja syy, miksi sitä toimitetaan edelleen. Mutta sen Crypto-1-salaus rikottiin julkisesti vuosia sitten, joten sitä tulisi käsitellä käyttövaltuutustietona, ei turvallisuustietona. Se on järkevä valinta jäsenyyteen, rahattomaan catering-palveluun tai sisäoviin, joissa klooni on pikemminkin ärsyttävä kuin rikkomus. A13,56 MHz MIFARE 1K avaimenperäkattaa suurimman osan näistä tapauksista.

MIFARE DESFire EV3- korkean-suojauksen nykyinen vertailuarvo. NXP:n DESFire-dokumentaation mukaan se käyttää AES-128-laitteistosalausta, kolmen-passin keskinäistä todennusta ja-sovelluskohtaista avainten hallintaa, ja IC:llä on Common Criteria EAL5+ -sertifikaatti - samaa luokkaa kuin pankki- ja e-passi-sirut vaativat. Se on taaksepäin yhteensopiva EV2:n ja EV1:n kanssa, mikä tekee vaiheittaisesta siirtymisestä realistista. Jos määrität hallintorakennuksen, sairaalan apteekin tai yrityksen pääkonttorin, tämä on lähtökohta, ei myöhemmin harkittava päivitys.

NTAG (NFC)- suunniteltu puhelimella-luettavaan vuorovaikutukseen rajoittuneen käytön sijaan. Hyödyllinen vierailijoille, tuotteiden todentamiseen ja markkinointiin, vähemmän turvalliselle ovelle.

UHF

UHF lukee metreissä, ei sentteissä, mikä on juuri sitä mitä haluat kuormalavoille ja ajoneuvoille ja juuri sitä, mitä et halua ovelle, jossa kahden huoneen päässä olevan henkilön lukeminen on vastuuta. Säilytä UHF omaisuuden seurantaa ja portin/ajoneuvon tunnistamista varten.

Jos punnitat kokonaiskustannuksia tarran hinnan sijaan, tämä 125 kHz:n ja 13,56 MHz:n kulunvalvontatietojen kustannusten vertailu on hyödyllinen kumppani, samoin kuin tarkempi tarkasteluoikean taajuuden valitseminen RFID-avaimenperälle.

Yhteensopivuuden tarkistuslista Kukaan ei juokse ennen kuin on liian myöhäistä

Useimmilla epäonnistuneilla tilauksilla on yksi perussyy: ostaja sovitti tiheyden ja otti loput. Käytännössä neljän asian on sovitettava yhteen --taajuus, viestintästandardi, siruperhe ja tunnistemuoto (UID, toimitilakoodi tai oma salattu sovellus). HID Prox -lukija jättää huomioimatta yleisen 125 kHz EM4100 fobin, vaikka molemmat ovat "125 kHz", koska muoto eroaa. Ennen kuin aloitat joukkotilauksen, suorita tämä:

• Tunnista lukijan malli.Lue asennetun lukijan tarra tai tarkista paneelin dokumentaatio. Sekä tuotemerkillä että laiteohjelmistoversiolla on merkitystä - jotkut lukijat hyväksyvät vain DESFiren korkeamman-suojaussovelluksen laiteohjelmistopäivityksen jälkeen.
• Tarkista olemassa oleva käyttöoikeustieto.Painetut merkinnät tai pikaskannaus diagnostisen lukijan avulla paljastavat yleensä sirun tyypin ja muodon.
• Vahvista muoto, ei vain siru.Kysy, suorittaako järjestelmä todennuksen UID:llä, palvelukoodilla vai salatulla sovelluksella tietyillä avaimilla.
• Pyydä näyte ja testaa sitä live-lukijoillasi.Tämä yksi vaihe estää lähes kaikki suuret{0}}vian.
• Selvitä avaimen omistajuus.DESFiren ja muiden salattujen järjestelmien kohdalla päätä, kenellä on pääavaimet ja miten ne monipuolistetaan ennen tuotantoa, ei sen jälkeen.

Kun yhdistät kaksi lukijoiden sukupolvea julkaisun aikana, akaksoistaajuus{0}}avaimenperäjoka sisältää sekä LF- että HF-sirun, antaa yhden valtuustiedot avata vanhat ja uudet ovet kerralla - usein ero viikonlopun katkaisun ja kuukauden rinnakkaisten järjestelmien välillä. Tämä huomautus koskee erityisesti HID-ympäristöjätilaamalla HID Prox{0}}yhteensopivia kirjautumistietojakattaa muodon yksityiskohdat, jotka saavat ihmiset kiinni.

RFID vs NFC: Yksi on toisen osajoukko

NFC ei ole RFID:n kanssa kilpaileva tekniikka -, se on 13,56 MHz:n HF RFID:n erikoisosa, joka lisää kaksisuuntaisen-viestinnän, mikä antaa puhelimen toimia lukijana tai valtuustietona. Jokainen NFC-laite käyttää RFID-periaatteita; kaikki RFID-järjestelmät eivät puhu NFC:tä.

Tämä ero ratkaisee, voivatko puhelimet korvata kaukosäätimet rakennuksessasi. Androidin isäntäkorttiemulointi ja Applen Wallet{1}}pohjaiset valtuustiedot voivat molemmat toimia pääsyavaimina, mutta vain silloin, kun lukija, pääsyn-hallintaohjelmisto ja tunnistetietojen-hallintamenetelmä tukevat sitä. Vanhat LF-lukijat eivät voi käyttää puhelinta ollenkaan. Todellisuudessa useimmat organisaatiot käyttävät molempia: salattuja fobeja henkilökunnalle ja urakoitsijoille, mobiilitunnistetiedot kerrostettuna päälle, missä lukijakanta niitä tukee. Täydellinen erittely on tässä oppaassaero RFID:n ja NFC:n välillä.

Kloonaus ja turvallisuus: mitä voidaan todella kopioida

"Voiko se kloonata?" on kolme rehellistä vastausta sirusta riippuen:

• Triviaalisti kloonattavissa- kiinteät-UID LF-sirut (EM4100, TK4100) ja kaikki salaamattomat UID{4}}vain järjestelmät. Kädessä pidettävä kopiokone tekee sen yhdellä kertaa.
• Kloonattavissa vaivalla- MIFARE Classic. Crypto-1:n heikkoudet ovat julkisia, joten päättäväinen hyökkääjä oikeilla työkaluilla voi palauttaa avaimet.
• Suunniteltu vastustamaan kloonausta- DESFire EV3 ja muut AES--pohjaiset tunnistetiedot, jotka perustuvat molemminpuoliseen todentamiseen, dynaamisiin istuntoavaimiin ja tunnistetietojen -kohtaiseen hajautukseen, jotta yhden kaukosäätimen vaarantaminen ei vaaranna järjestelmää.

Yleinen myytti, että "kaikki RFID voidaan kopioida puhelimella" sekoittaa avoimen NTAG-tunnisteen lukemisen salaustodennuksen kumoamiseen. Puhelin voi emuloida tavallista NFC-tunnistetta; se ei voi luoda DESFire-kättelyä. Katso uhkamallin kattavampi käsittely tästä yleiskatsauksestaRFID-tietoturva.

Sirun valinta on kuitenkin vain puolet turvallisesta käyttöönotosta. Järjestelmän suunnittelu sisältää loput:

• Vaihda vanhat Wiegand-johdotOSDP, joka tukee salattua, valvottua lukijan---yhteyttä ohjaimeen.
• Käyttääkeskeinen monipuolistaminenjoten jokainen valtuustieto saa yksilöllisen avaimen pääavaimesta.
• Käytärooliin- perustuvat käyttöoikeudet. NIST-rooliin perustuva-pääsynvalvontamalli - ANSI/INCITS-standardi - on viite, jota useimmat yrityskäyttöympäristöt noudattavat, ja se kuvaa selkeästi, kuinka rakennukset todella myöntävät pääsyn työtehtävien mukaan.
• Juoksesäännölliset auditoinnit: tarkista lokit, peruuta käyttämättömät tunnistetiedot, kierrä avaimia ja pidä lukijan laiteohjelmisto ajan tasalla.
•  

Todellinen muutto, alusta loppuun

Alla oleva malli on tyypillinen keskikokoiselle-toimistolle, joka siirtää ikääntyviä LF-lukijoita, ja se osoittaa, miksi aikaisemmat päätökset vaikeutuvat.

Rakennus, jossa on 125 kHz EM4100-fob, päättää päivittää sen, kun vuokralainen on ilmoittanut päällekkäisistä valtuustiedoista. Sen sijaan, että vaihdettaisiin kaikkea kerralla, he asentavat DESFire EV3--lukijat kerros kerrokselta ja lähettävät kaksi-taajuutta, jotta henkilökunnalla on yksi tunniste. Pääavaimet luodaan ja säilytetään asiakkaan toimesta, hajautettuina per fob ja ruiskutetaan tehtaalla ennen toimitusta. Lukijat siirtyvät OSDP:hen, kun jokainen kerros katkaistaan. Vanhat LF-ovet toimivat samalla kaukosäätimellä, kunnes viimeinen lukija vaihdetaan, jolloin LF-toiminto yksinkertaisesti poistetaan ohjelmistosta. Ei valtuustietojen uudelleen myöntämistä, ei aulan jonoa.

Alla oleva malli on tyypillinen keskikokoiselle-toimistolle, joka siirtää ikääntyviä LF-lukijoita, ja se osoittaa, miksi aikaisemmat päätökset vaikeutuvat.

Rakennus, jossa on 125 kHz EM4100-fob, päättää päivittää sen, kun vuokralainen on ilmoittanut päällekkäisistä valtuustiedoista. Sen sijaan, että vaihdettaisiin kaikkea kerralla, he asentavat DESFire EV3--lukijat kerros kerrokselta ja lähettävät kaksi-taajuutta, jotta henkilökunnalla on yksi tunniste. Pääavaimet luodaan ja säilytetään asiakkaan toimesta, hajautettuina per fob ja ruiskutetaan tehtaalla ennen toimitusta. Lukijat siirtyvät OSDP:hen, kun jokainen kerros katkaistaan. Vanhat LF-ovet toimivat samalla kaukosäätimellä, kunnes viimeinen lukija vaihdetaan, jolloin LF-toiminto yksinkertaisesti poistetaan ohjelmistosta. Ei valtuustietojen uudelleen myöntämistä, ei aulan jonoa.

Pointti ei ole tietyssä brändissä - vaan siinä, että vaiheittainen, avain-omistettu, kaksitaajuinen-lähestymistapa muuttaa häiritsevän kopioinnin-ja -korvaamisen taustatehtäväksi. Suunnitelma on mahdollista vain, koska siru (DESFire) ja muototekijä (kaksois-taajuus) valittiin siirtoa ajatellen.

Kotelo ja materiaalit: sovi ympäristöön, ei luetteloon

Kotelo muuttaa harvoin lukualuetta paljon, mutta se ratkaisee kuinka kauan fob selviää. Siru ja antenni asettaa suorituskykyä; kuori lisää kestävyyttä.

Määritä ankaria olosuhteita varten IP67/IP68-tiivistys, −25 asteesta +85 asteeseen ja UV-kestävyys kaikelle, joka jätetään ulos. Tässä käsitellään kahden yleisimmän kuoren vierekkäistä-vierestä-ABS vs epoksi avaimenperä vertailu. Jos ulkonäkö on osa lyhyttä, anahkainen RFID-avaimenperätai apuinen ympäristöystävällinen{0}}avaimenperäsiinä on paljon parempi logo kuin valettu ABS.

Ohjelmointi: kolme tapaa koodata fob

"Ohjelmointi" tarkoittaa identiteetin, avainten tai pääsytietojen kirjoittamista sirulle. Kuinka teet sen, riippuu mittakaavasta ja turvallisuudesta:

1. Tehdasvalmisteinen esi{0}}koodaus.Toimittaja kirjoittaa UID-tunnukset tai valtuustiedot ennen toimitusta. Nopein suurille käyttöönottoille ja hotellijärjestelmille; sivustossa olevia työkaluja ei tarvita.
2. On-sivuston koodaus.Myönnät tunnistetiedot USB-kirjoittimella tai käyttöpaneelin rekisteröintiohjelmistolla. Parasta, kun tehtävät vaihtuvat usein ja haluat suoran hallinnan.
3. Turvallinen avaimen ruiskutus.DESFire- ja AES-järjestelmissä salausavaimet ja sovellukset toimitetaan valvotuissa olosuhteissa, usein tehtaalla, joten valtuustietoja ei voida kopioida ilman lupaa.

Volyymitilauksia varten on sovittava käytännön yksityiskohdista etukäteen: koodauskapasiteetti, virheiden käsittely, UID:n ainutlaatuisuus, tietokannan synkronointi ja tarkastusloki. Yritykset yleensä yhdistävät koodauksen HR- tai identiteettijärjestelmäänsä, joten sisään- ja offboard-käyttö ohjaa tunnistetietojen tilaa automaattisesti.

Yleiset käyttöönotot

Toimistot hallitsevat sisäänkäyntejä, hissejä, kerroksia ja pysäköintiä keskitetysti, oikeudet päivitetään laitteistoon koskematta. Hotellit myöntävät kirjautumistiedot, jotka vanhenevat kassalla - mekaniikka selitetään tässä kappaleessamiten hotellin avainkortit toimivat. Sairaalat lukitsevat apteekit, laboratoriot ja arkistot rooliin -perustuvilla luvilla noudattamisen varmistamiseksi. Yliopistot yhdistävät pääsyn, kirjaston, osallistumismaksut ja käteismaksut yhdelle tunnukselle. Teollisuustyömaat portit vaaravyöhykkeitä ja laitehuoneita roolien ja vuorojen mukaan. Voittoliike on joka tapauksessa sama: valitse siru uhkatason mukaan ja anna ohjelmiston hoitaa loput.

Ostaminen ja OEM-hankinta

Hinta on viimeinen optimoitava asia, ei ensimmäinen. Käy läpi vaatimukset, sitten siru, sitten räätälöinti ja sitten toimittaja.

Sirun valinta turvatason mukaan

• Matala(asunto, pysäköinti): EM4100 / TK4100 / HID Prox.
• Keskikokoinen(toimistot, koulut, kuntosalit): MIFARE Classic 1K tai NTAG.
• Korkea(rahoitus, terveydenhuolto, hallinto): DESFire EV3 AES:llä ja keskinäisellä todennuslla.
•  

Räätälöinti (OEM/ODM)

Bulkkiostajat haluavat harvoin yleisiä osakkeita. Tyypillisiä vaihtoehtoja ovat laser- tai silkki-silkkitulostus, UID-koodaus ja esi-ohjelmointi, sarjanumerointi, mukautetut värit ja muotit sekä QR-/viivakoodiintegraatio -, jotka kaikki tukevat brändäystä, omaisuuden seurantaa ja -väärennösten torjuntaa. Vertaa näitä toimittajan vaatimuksiinOEM/ODM-ominaisuudetennen sitoutumista.

MOQ, läpimenoaika ja seulonta

Karkeana ohjeena voidaan todeta, että varastossa olevat mallit ovat 100–500 kpl, vakio-OEM 500–3 000 kpl ja täysin räätälöidyt muotit 5,000+ kpl, ja yksikkökustannukset laskevat jyrkästi volyymin myötä. Toimitusajat kestävät noin 2–5 päivää varastossa, 7–15 päivää normaalissa OEM-valmistajassa ja 15–30+ päivää mukautetuissa työkaluissa; rakentaa puskuri näytteiden hyväksyntää ja koodaustestejä varten. Kun tarkastat toimittajaa, varmista aidot sirut (NXP, HID), koodaus- ja yhteensopivuus{15}}testaustuki, ISO/CE/RoHS-sertifikaatti ja - ei--neuvoteltavissa oleva - fyysinen näyte ennen massatuotantoa.

johtopäätös

Valitse siru todellisen uhkatasosi mukaan, tarkista yhteensopivuus oikeiden lukijoidesi kanssa ennen laajaa tilaamista ja käsittele salausta, OSDP:tä, avainten monipuolistamista ja rooli{0}}roolipohjaisia ​​käyttöoikeuksia yhtenä järjestelmänä neljän vaihtoehdon sijaan. Korkean-turvallisuuden sivustoille DESFire EV3 sekä avain-omistettu vaiheittainen siirtopolku on kestävä ratkaisu. Kaikki muu - asunto, väri, brändäys - on loppupäässä näiden kolmen päätöksen tekemisestä.

Jos suunnittelet päivitystä tai joukkotilausta, yhteensopivuuden tarkistus ja testattu näyte ennen tuotantoa säästävät paljon enemmän kuin ne maksavat. Voit pyytää näytearviointia tai tarjousta varmistaaksesi, että fob-järjestelmäsi vastaavat järjestelmääsi, ennen kuin mitään ryhdytään työkaluihin.

FAQ

Voiko mikä tahansa RFID-avaimenperä toimia minkä tahansa lukijan kanssa?

Ei. Taajuuden, viestintästandardin, siruperheen ja valtuustietojen muodon on oltava samat. Kaksi "125 kHz" kaukosäädintä voi silti olla yhteensopimattomia, jos muoto eroaa.

Mikä RFID-avaimenperä on turvallisin?

MIFARE DESFire EV3, jossa on AES-128 ja keskinäinen todennus, on tällä hetkellä korkean turvallisuuden vertailukohta, jolla on pankkisiruihin verrattava EAL5+-sertifikaatti.

Voidaanko RFID-avaimenperät kloonata?

Kiinteät{0}}UID LF -fobit kloonataan helposti, MIFARE Classic voidaan kloonata vaivattomasti, ja DESFire/AES-tunnistetiedot on erityisesti suunniteltu kestämään sitä.

Tarvitsevatko RFID-avaimenperät paristot?

Ei. Passiiviset kaukoputket saavat voimaa lukijan kentältä ja kestävät tyypillisesti vuosikymmenen tai kauemmin.

Voiko älypuhelin korvata avaimenperän?

Joskus. NFC-puhelimet voivat toimia tunnistetiedoina, jos lukija ja ohjelmisto tukevat sitä, mutta vanhat LF-järjestelmät eivät voi käyttää puhelimia ollenkaan. Monet sivustot käyttävät molempia.

Mitä minun pitäisi tehdä, jos fob katoaa?

Ilmoita siitä, deaktivoi se järjestelmässä välittömästi - lukkomuutoksia ei tarvita - anna vaihto varavarastosta ja tarkista käyttölokit kyseiseltä ajanjaksolta.

Mikä on tyypillinen MOQ ja toimitusaika mukautetuille kaukosäätimille?

Tavalliset OEM-tilaukset alkavat yleensä noin 500–3 000 kpl ja toimitusaika on 7–15 päivää; mukautetut muotit tarvitsevat suurempia määriä ja pidemmän työstöajan. Pyydä aina ensin näyte.