MIFARE proti proximity karticam: varnost, združljivost in migracija

V tem priročnikuproximity karticopomeni podedovano poverilnico 125 kHz, ki se običajno imenuje prox kartica pri nadzoru fizičnega dostopa. HID-ov trenutni portfelj Proximity je na primer izrecno postavljen kot družina poverilnic za nizko{3}}fizični{4}}dostop 125 kHz.Informacije o izdelku HID Proximityponuja trenutni primer industrije. :contentReference[oaicite:13]{index=13}

MIFARE je drugačen. To je NXP-jeva družina izdelkov brezkontaktne pametne-kartice, ki temelji na tehnologiji ISO/IEC 14443 in se uporablja v aplikacijah, vključno z upravljanjem dostopa. Ime MIFARE pokriva več družin izdelkov namesto enega čipa ali ene varnostne ravni.NXP-jev portfelj MIFAREtrenutno vključuje platforme Classic, Plus, DESFire in dodatne MIFARE. :contentReference[oaicite:14]{index=14}

Za širšo primerjavo obeh kategorij delovne{0}}pogostnosti si oglejte Syntekov vodnik za125 kHz proti 13,56 MHz dostop-nadzorne poverilnicezagotavlja dodaten kontekst.

Praktični vrstni red izbire je: nameščen bralnik → natančna tehnologija poverilnic → identifikator ali podatki aplikacije → metoda avtentikacije → varnostni model → načrt selitve → proizvodna specifikacija.

MIFARE proti proximity karticam: hitra primerjava

Varnostna vrstica je tista, ki bo najverjetneje preveč poenostavljena. MIFARE ne bi smeli obravnavati kot eno samo kartico z visoko-varnostjo. Classic, Plus in DESFire imajo različne arhitekture in zmožnosti, način, kako dostopni sistem uporablja te zmožnosti, pa je pomemben enako kot ime čipa.

Kaj pomeni "proximity card" pri nadzoru dostopa?

V širšem tehničnem jeziku lahko bližina opiše brezstično interakcijo kratkega-razdalje. Pri nakupu fizičnega-dostopa pa se "prox kartica" običajno nanaša na tradicionalno poverilnico 125 kHz.

Poenostavljena podedovana dostopna pot je lahko videti takole:

Poverilnica 125 kHz → združljiv bralnik → številka ali oblika poverilnice → krmilnik → odločitev o dostopu

Pomembna podrobnost javnega naročila je, da "125 kHz" ne opisuje v celoti poverilnice. Krmilnik lahko pričakuje tudi specifično strukturo številk-kartice, kodo objekta/lokacije, bitni format ali izhod bralnika.

Syntek navaja oboje125 kHz proximity preklopne karticein širšeKartice za{0}}nadzor dostopa RFID, vendar bi morala izbira nadomestne kartice še vedno izhajati iz specifikacij nameščenega bralnika in krmilnika in ne videza kartice.

Kaj je kartica MIFARE?

MIFARE je družina brezstičnih izdelkov NXP in ne ena univerzalna specifikacija poverilnic. To razlikovanje je pomembno pri nadzoru dostopa, ker se dve kartici z imenom MIFARE lahko razlikujeta v organizaciji pomnilnika, varnostnih mehanizmih, avtentikaciji in modelu aplikacije. :contentReference[oaicite:15]{index=15}

Kupci lahko pregledajo Syntekov pregled nadRFID pametna karticain je na voljoKartice za dostop do MIFAREza kontekst na-ravni izdelka, vendar mora specifikacija dostopa opredeliti natančno zahtevano družino čipov in vedenje sistema.

Združljivost bralnika je pred izbiro kartic

Čitalnik samo s 125 kHz-ne postane združljiv s poverilnico MIFARE 13,56 MHz, ker imata kartici enake dimenzije v slogu ISO-.

Preden spremenite poverilnice, poglejte nameščene čitalnike in zabeležite:

• proizvajalec in model čitalnika;
• podprta frekvenca ali frekvence;
• podprte akreditacijske družine;
• vdelana programska oprema ali konfiguracija, kjer je ustrezno;
• vmesnik-za-krmilnik;
• trenutna koda objekta/lokacije in format kartice, kjer je primerno;
• dolžina identifikatorja in predstavitev, ki jo pričakuje platforma za dostop;
• ali sistem uporablja javni identifikator ali overjene podatke aplikacije.

SyntekovaČitalnik za{0}}kontrolo dostopa RFIDstran inSmernice za delovno frekvenco RFIDzagotoviti dodaten kontekst izdelka in frekvence.

Pogostost ni enaka obliki poverilnice

Selitve-nadzora dostopa pogosto ne uspejo, ker se dve različni podatkovni plasti obravnavata, kot da sta enaki.

Prva plast je RF-interakcija-za-bralnika. Kartica 125 kHz in kartica MIFARE 13,56 MHz uporabljata različni radijski tehnologiji.

Druga plast je tisto, kar čitalnik dostavi krmilniku ali dostopni platformi. To vrednost je mogoče normalizirati, preoblikovati ali preslikati glede na konfiguracijo bralnika in-nadzora dostopa.

Zato se lahko zdi, da dve kartici v programski opremi ustvarjata podobne -številke, medtem ko sta na ravni RF popolnoma nezdružljivi. Nasprotno pa lahko novi čitalnik uspešno zazna kartico MIFARE, vendar še vedno predstavi njen identifikator krmilniku v drugačni obliki od tiste, ki jo pričakuje obstoječa baza podatkov.

Zamrzni preslikavo identifikatorja pred množično ponovno izdajo

"Ohrani isto številko kartice" ni popolna specifikacija selitve.

Preden uvozite ali izdelate nove poverilnice, dokumentirajte, kako platforma za dostop pričakuje, da bodo identifikatorji predstavljeni. Odvisno od sistema lahko ustrezna vprašanja vključujejo:

• Ali je izvorna vrednost UID, ID poverilnice aplikacije ali drugo polje?
• Kakšna dolžina identifikatorja je sprejemljiva?
• Ali je vrednost shranjena kot šestnajstiška, decimalna ali druga predstavitev?
• Ali aplikacija uporablja določen vrstni red bajtov?
• Ali se vodilne ničle ohranijo?
• Ali upravljavec pričakuje razdelitev kode objekta/lokacije in-številke kartice?
• Ali kartica z dvojno-tehnologijo izpostavi dve ločeni identiteti, ki morata biti preslikani v isti uporabniški zapis?

Te podrobnosti je treba vzeti iz dejanske platforme za dostop in odobrene specifikacije selitve. Ne bi jih smeli uganiti iz natisnjene številke na stari znački.

Varnost je odvisna od tega, kaj sistem dejansko preverja

Primerjava »Bližina ni varna; MIFARE je varen« je preširoka, da bi podprla resno odločitev o-nadzoru dostopa.

Dostop statičnega identifikatorja

Veliko podedovanih uvedb Prox uporablja predvsem identifikator poverilnice. Bralnik prepozna poverilnico in posreduje identifikator sistemu-za nadzor dostopa.

Splošna varnostna drža je nato odvisna od več kot od kartice: upravljanje poverilnic, zasnova čitalnika/krmilnika, preklic, spremljanje, fizična varnost in upravni nadzor so pomembni.

MIFARE Uporablja se samo kot identifikator

Zmogljivejši IC pametne-kartice je še vedno mogoče uvesti v arhitekturi samo-preprostega identifikatorja.

Če bralnik dostopa samo prebere izpostavljeni identifikator in nikoli ne izvede zaščitene avtentikacije ali aplikacijskih operacij, ki jih podpira izbrana poverilnica, projekt samodejno ne pridobi polne varnostne zmogljivosti, ki je na voljo iz tega čipa.

Aplikacija s preverjeno-pametno kartico

Pravilno oblikovana aplikacija MIFARE lahko uporablja zaščitene podatke aplikacije, avtentikacijo, kriptografske ključe in varno sporočanje, kjer to podpira izbrani izdelek.

NXP-jeva trenutna dokumentacija MIFARE DESFire EV3 med svojimi varnostnimi zmogljivostmi navaja podporo za AES,-preverjanje pristnosti na ravni aplikacije, več ključev in več naborov ključev. Te funkcije so še vedno odvisne od bralnika,-modela upravljanja ključev in konfiguracije aplikacije.Tehnične informacije NXP MIFARE DESFire EV3dokumentira razpoložljive zmogljivosti IC. :contentReference[oaicite:16]{index=16}

Varnost je lastnost sistema in ne oznaka čipa

NIST SP 800-98 obravnava varnost RFID kot težavo-zasnove in delovanja na nivoju sistema in ne samo kot težavo oznake. TheVarnostne smernice NIST RFIDzajema načrtovanje, implementacijo in delovanje sistemov RFID. :contentReference[oaicite:17]{index=17}

Za plast--od bralnika do krmilnika je Združenje varnostne industrijeOdprite protokol nadzorovane napravepodpira nadzorovane komunikacije in zaščito varnega kanala med napravami za-nadzor dostopa. Sedanje smernice za izvajanje SIA posebej priporočajo varen kanal, ko se uporablja OSDP. :contentReference[oaicite:18]{index=18}

Syntekov vodnik zaVarnost podatkov RFIDlahko podpre širšo razpravo o notranji varnosti.

Ključna vprašanja o upravljanju, ki bi jih morali kupci vprašati

Ko projekt preseže samo dostop-UID, upravljanje ključev postane del nabavne specifikacije.

NXP-jeva arhitektura DESFire EV3 podpira več aplikacijskih ključev in več naborov ključev, kar ponazarja, zakaj "kartica podpira AES" ni dovolj informacija za opredelitev uvajanja. :contentReference[oaicite:19]{index=19}

Pred personalizacijo ali masovno proizvodnjo pojasnite:

• Kdo je lastnik produkcijskih in aplikacijskih ključev?
• Kdo je pooblaščen za personalizacijo poverilnic?
• Ali bo uporabljena personalizacija, ki jo-nadzira dobavitelj,-stranka ali skupno upravlja?
• Ali so kartice dostavljene v znanem stanju inicializacije?
• Kako so na voljo nadomestne poverilnice?
• Ali je mogoče ključe spremeniti, ko se spremenijo odgovornosti ali sistemi?
• Kako so dokumentirane ključne različice in konfiguracija aplikacije?
• Kako so ločena proizvodna, testna in živa okolja?
• Kdo lahko obnovi program poverilnic, če izvirni ponudnik personalizacije ni več na voljo?

Odgovor je odvisen od-platforme za nadzor dostopa in varnostne arhitekture. Kupci ne smejo zahtevati, izmenjevati ali shranjevati občutljivih produkcijskih ključev v običajnih preglednicah umetniških del ali neformalnih e-poštnih nitih.

MIFARE Classic, Plus in DESFire so različne nakupne odločitve

MIFARE Classic EV1

NXP trenutnoStran izdelka MIFARE Classic EV1navede izdelek kot aktiven, vendar "ni priporočljiv za nove modele" in usmeri oblikovalce k novejši zamenjavi. To ne pomeni, da mora vsak nameščen sistem Classic takoj prenehati delovati; to pomeni, da nov projekt ne bi smel izbrati Classic samo zato, ker "MIFARE" zveni novejše od 125 kHz Prox. :contentReference[oaicite:20]{index=20}

MIFARE Plus EV2

položaji NXPMIFARE Plus EV2kot pot nadgradnje za obstoječe uvedbe. Njegova trenutna specifikacija vključuje koncept ravni varnosti za migracijo in avtentikacijo AES-128 ter varno sporočanje na višjih ravneh varnosti. :contentReference[oaicite:21]{index=21}

MIFARE DESFire EV3

DESFire EV3 je zasnovan za varno več-uporabo aplikacij in zagotavlja zmogljivosti, vključno z AES-128, medsebojno avtentikacijo in prilagodljivimi strukturami aplikacij/ključev. Prisotnost teh zmožnosti ne dokazuje, da jih določen sistem dostopa uporablja; podpora za čitalnike in aplikacije ostaja obvezna. :contentReference[oaicite:22]{index=22}

Kdaj se morate držati 125 kHz bližine in kdaj se premakniti?

Ohranjanje bližine je lahko racionalno

Tradicionalna poverilnica 125 kHz lahko ostane operativno razumna, če je nameščena baza bralnikov velika in stabilna, če ima zaščiteno okolje sprejet model tveganja, je združljivost takojšnja poslovna prednostna naloga ali če je selitev mesta načrtovana pozneje.

Zavestno nadaljevanje podedovane tehnologije je drugačno od domneve, da zagotavlja enak varnostni model kot preverjen sodobni sistem pametnih-kartic.

Prehod na MIFARE je lahko smiseln

Ustrezna poverilnica-družine MIFARE postane pomembnejša, ko projekt zahteva zaščitene podatke aplikacije, preverjeno interakcijo-bralnika kartic, zmožnost več-aplikacij, sodobno upravljanje poverilnic ali definirano pot stran od podedovane infrastrukture samo-identifikatorjev.

Odločitev še vedno zahteva natančno družino izdelkov in podprto aplikacijo. "MIFARE" sam po sebi ostaja preširok za RFQ.

Načrtujte selitev v petih nadzorovanih fazah

Kjer je med prehodom potrebna mešana tehnologija, Syntek navaja advofrekvenčni bralnik RFID-in advofrekvenčna-kartica RFIDmed sorodnimi izdelki spletnega mesta.

Poverilnice dvojne-tehnologije lahko zmanjšajo motnje

Poverilnica dvojne-tehnologije lahko na isto fizično kartico postavi staro tehnologijo 125 kHz in novejšo HF-tehnologijo pametne kartice.

HID trenutnoPoverilnica MIFARE DESFire EV3 + Proxje en pravi primer industrije. HID ga postavlja kot način za ohranjanje interoperabilnosti s podedovanimi bralniki 125 kHz med migracijo na infrastrukturo, ki temelji na DESFire-. :contentReference[oaicite:23]{index=23}

To ne pomeni, da obe tehnologiji nujno izpostavita isti identifikator ali uporabljata isti varnostni postopek. Podatkovna baza-nadzora dostopa mora izrecno preslikati identitete poverilnic v želeni uporabniški zapis.

Dvojna tehnologija je najbolj uporabna, če ima izhodni načrt. Ko spletno mesto ne potrebuje več stare podpore za 125 kHz, se mora skupina za migracijo odločiti, ali naj ta starejša pot sprejemanja ostane omogočena.

Ilustrativni scenarij selitve: tri poslovne stavbe

Naslednji scenarij je ilustrativen in ni predstavljen kot primer stranke.

Podjetje upravlja s tremi poslovnimi stavbami. Zgradba A ima še vedno samo čitalnike 125 kHz-. Zgradba B ima čitalnike, ki lahko podpirajo stare poverilnice in novo tehnologijo pametnih-kartic. Stavba C je že nadgrajena na ciljno okolje MIFARE.

Namesto da bi v enem vikendu zamenjali vsaka vrata in vsako značko, podjetje najprej zabeleži vsak čitalec in vrata. Omejena skupina zaposlenih prejme poverilnice za dvojno-tehnologijo. Med pilotom baza podatkov za dostop preslika obe tehnologiji poverilnic v isti račun zaposlenega, medtem ko ekipa preverja, katera komponenta je sprejeta v posamezni zgradbi.

Pilotni projekt se ne šteje za uspešnega samo zato, ker nova značka odpre stavbo C. Ekipa tudi preveri, da:

• podedovana vrata še vedno delujejo v odobrenem prehodnem obdobju;
• nove poverilnice preverjajo pristnost, kot je predvideno pri nadgrajenih vratih;
• preklicane poverilnice so zavrnjene;
• nadomestne kartice ne pustijo aktivne poverilnice;
• preslikava identifikatorja ne ustvari podvojenih uporabniških zapisov;
• podporno osebje lahko pove, ali je težava povezana s kartico, čitalnikom, preslikavo ali dovoljenjem za dostop.

Ko je stavba A nadgrajena in so vsi zahtevani uporabniki migrirali, je mogoče sprejem starejše različice pregledati za upokojitev, namesto da ostane omogočena za nedoločen čas.

Pred uvedbo določite merila sprejemljivosti selitve

Za širši okvir validacije si oglejte Syntekov vodnik zaTestiranje RFID sistema.

Odobrite produkcijski-enakovreden vzorec poverilnice

Pilot migracije se ne bi smel zanašati samo na nenatisnjeno razvojno kartico.

Proizvodnja-enakovreden vzorec mora predstavljati predvideni vrstni red v:

• natančna družina čipov;
• faktor oblike poverilnice;
• stanje personalizacije;
• identifikator/konfiguracija aplikacije;
• tiskanje in spremenljivi podatki;
• združljivost bralcev;
• preslikava zaledja;
• vedenje pri zamenjavi in ​​preklicu.

Če je potrebno spremenljivo tiskanje, številke zaposlenih, kode QR ali drugi vidni podatki, Syntekov vodnik zaRFID tiskanjelahko podpira načrtovanje umetniških del-datotek.

Za inšpekcijo serije je Syntekov pregled nadoprema za pregled kakovostizagotavlja dodaten kontekst-QC proizvodnje.

Kaj poslati dobavitelju kartice pred naročilom

Projekti, ki zahtevajo izdelavo kartic po meri, tiskanje, personalizacijo ali nadzorovano proizvodnjo, se lahko nadaljujejo pri SyntekuProizvodnja OEM in ODMinformacije, ko je tehnična specifikacija opredeljena.

Pogoste napake pri nakupu

Obravnavanje vsake 13,56 MHz kartice kot MIFARE-združljive

Frekvenca ne opredeljuje celotnega protokola, družine čipov ali aplikacije. Potrdite točen bralec in podporo za poverilnice.

Obravnavanje vsake kartice MIFARE kot enako varne

Classic, Plus in DESFire imajo različne varnostne arhitekture in modele uvajanja. NXP trenutno označuje Classic EV1 kot nepriporočljivo za nove modele, medtem ko Plus EV2 in DESFire EV3 zagotavljata različne migracijske in varnostne zmogljivosti. :contentReference[oaicite:24]{index=24}

Zamenjava kartic brez zamrznitve preslikave identifikatorja

Berljiva kartica lahko še vedno odpove v proizvodnji, če se bralnik in zaledje ne strinjata glede predstavitve UID, formata kartice ali preslikave uporabnikov.

Nakup varnega čipa, vendar z uporabo samo javnega identifikatorja

Zmogljivost izbranega čipa in implementirani model avtentikacije sta ločeni vprašanji.

Uporaba dvojne tehnologije brez podedovanega-pokojninskega načrta

Dvo{0}}frekvenčni čitalniki in dvo-tehnološke kartice lahko zmanjšajo motnje, vendar bi morala migracija še vedno določati, kdaj stara tehnologija ne bo več potrebna.

Končno priporočilo

Praktična razlika med MIFARE in proximity karticami je večja od 13,56 MHz v primerjavi s 125 kHz.

Zanesljiva odločitev{0}}nadzora dostopa bi morala odgovoriti na:

• Kateri bralniki so dejansko nameščeni?
• Katere poverilne družine podpirajo?
• Katere identifikatorje ali zaščitene podatke uporablja aplikacija?
• Ali čitalec izvede pravo avtentikacijo ali samo prebere identifikator?
• Kdo nadzira ključe-pametne kartice in personalizacijo?
• Kako je zaščitena komunikacija--čitalnik-krmilnik?
• Kako bodo stare in nove poverilnice sobivale med selitvijo?
• Katere dokaze je treba predložiti, preden se podedovani dostop umakne?

Za obstoječo uvedbo-z nizkim tveganjem z veliko nameščeno bazo 125 kHz je lahko nadaljevanje podedovanih poverilnic Prox za določeno obdobje operativna odločitev in ne napaka.

Za novo uvedbo ali varnostno nadgradnjo lahko pravilno implementirana sodobna poverilnica družine MIFARE-podpre avtentikacijo, zaščitene podatke aplikacije in bolj prilagodljivo upravljanje poverilnic. Vrednost izhaja iz celotne zasnove, ne iz imena MIFARE, natisnjenega na specifikaciji.

Nameščen bralnik → natančna poverilnica → identifikator/podatki aplikacije → avtentikacija → ključi → sistemska varnost → selitvena arhitektura → proizvodni vzorec → sprejemni test.

Ko so modeli bralnika, ciljna poverilnica, pravila identifikatorja, pristop avtentikacije, načrt selitve, umetniško delo, količina in zahteve za sprejemanje definirani, lahko kupcizahtevajte vzorec ali ponudboza vrednotenje-specifičnega projekta.