MIFARE vs läheduskaardid: turvalisus, ühilduvus ja migratsioon

Selles juhendisläheduskaarttähendab pärand 125 kHz mandaati, mida füüsilises juurdepääsukontrollis tavaliselt nimetatakse prox-kaardiks. Näiteks HID praegune Proximity portfell on selgelt positsioneeritud 125 kHz madala-sagedusega füüsilise-juurdepääsu mandaatide perekonnana.HID Proximity tooteteaveannab praeguse tööstuse näite. :contentReference[oaicite:13]{indeks=13}

MIFARE on erinev. See on NXP kontaktivabade kiipkaartide perekond{1}}, mis põhinevad ISO/IEC 14443 tehnoloogial ja mida kasutatakse rakendustes, sealhulgas juurdepääsuhalduses. MIFARE nimi hõlmab mitut tooteperekonda, mitte ühte kiipi või üht turvataset.NXP MIFARE portfellsisaldab praegu Classic, Plus, DESFire ja täiendavaid MIFARE platvorme. :contentReference[oaicite:14]{indeks=14}

Kahe töösageduse kategooria{0}}laiemaks võrdlemiseks leiate Synteki juhendist125 kHz vs 13,56 MHz juurdepääsu-juhtimismandaadidpakub täiendavat konteksti.

Praktiline valikujärjekord on: paigaldatud lugeja → täpne mandaaditehnoloogia → identifikaator või rakenduse andmed → autentimismeetod → turvamudel → migratsiooniplaan → tootmisspetsifikatsioon.

MIFARE vs läheduskaardid: kiire võrdlus

Turvarida on kõige tõenäolisemalt liialt lihtsustatud. MIFAREt ei tohiks käsitleda kui üht "kõrge{1}}turvakaarti." Classicul, Plusil ja DESFire'il on erinevad arhitektuurid ja võimalused ning viis, kuidas juurdepääsusüsteem neid võimalusi kasutab, on sama oluline kui kiibi nimi.

Mida tähendab "läheduskaart" juurdepääsukontrollis?

Laiemas tehnilises keeles võib lähedus kirjeldada lähi{0}}kontaktivaba suhtlust. Füüsilise-juurdepääsu ostmisel viitab "puhverkaart" aga tavaliselt traditsioonilisele 125 kHz mandaadile.

Lihtsustatud pärandjuurdepääsutee võib välja näha järgmine:

125 kHz mandaat → ühilduv lugeja → mandaadi number või vorming → kontroller → juurdepääsuotsus

Hanke oluline detail on see, et "125 kHz" ei kirjelda täielikult mandaati. Kontroller võib eeldada ka kindlat kaardi-numbristruktuuri, rajatise/saidi koodi, bitivormingut või lugeja väljundit.

Syntek loetleb mõlemad125 kHz proximity clamshell kaardidja laiemRFID juurdepääsu{0}}juhtkaardid, kuid asendusvalik peaks siiski algama installitud lugeja ja kontrolleri spetsifikatsioonidest, mitte kaardi välimusest.

Mis on MIFARE kaart?

MIFARE on NXP kontaktivaba tooteperekond, mitte üks universaalne mandaadi spetsifikatsioon. See eristamine on juurdepääsu kontrollimisel oluline, kuna kaks MIFARE nime kandvat kaarti võivad mälukorralduse, turvamehhanismide, autentimise ja rakendusmudeli poolest erineda. :contentReference[oaicite:15]{indeks=15}

Ostjad saavad üle vaadata Synteki ülevaate anRFID kiipkaartja see on saadavalMIFARE juurdepääsukaardidtoote-taseme kontekstis, kuid juurdepääsu spetsifikatsioon peaks tuvastama täpse kiibiperekonna ja vajaliku süsteemi käitumise.

Lugeja ühilduvus on enne kaardi eelistust

Ainult 125 kHz-lugeja ei ühildu 13,56 MHz MIFARE mandaadiga, kuna kaartidel on samad ISO-stiili mõõtmed.

Enne mandaatide muutmist inventeerige installitud lugejad ja registreerige:

• lugeja tootja ja mudel;
• toetatud sagedus või sagedused;
• toetatud volitatud perekonnad;
• püsivara või konfiguratsioon, kui see on asjakohane;
• lugeja-to-kontrolleri liides;
• praegune rajatise/koha kood ja kaardi formaat, kui see on asjakohane;
• juurdepääsuplatvormi eeldatav identifikaatori pikkus ja esitus;
• kas süsteem kasutab avalikku identifikaatorit või autentitud rakenduse andmeid.

Synteki omaRFID-juurdepääsu{0}}juhtimislugejaleht jaRFID töösageduse juhisedpakkuda täiendavat toote- ja sageduskonteksti.

Sagedus ei ole sama mis mandaadi vorming

Juurdepääsu-juhtimise üleviimine ebaõnnestub sageli, kuna kahte erinevat andmekihti käsitletakse nii, nagu oleksid need samad.

Esimene kiht on lugeja RF interaktsiooni-mandaat-. 125 kHz kaart ja 13,56 MHz MIFARE kaart kasutavad erinevaid raadiotehnoloogiaid.

Teine kiht on see, mille lugeja edastab kontrollerile või juurdepääsuplatvormile. Selle väärtuse saab normaliseerida, ümber vormindada või kaardistada vastavalt lugeja ja juurdepääsu-juhtimise konfiguratsioonile.

Seetõttu võib näida, et kaks kaarti toovad tarkvaras välja sarnased -väljanägemisega numbrid, olles RF-kihis täiesti ühildumatud. Vastupidi, uus lugeja võib MIFARE kaardi edukalt tuvastada, kuid siiski esitada selle identifikaatori kontrollerile erinevas vormingus, kui seda eeldab olemasolev andmebaas.

Külmutage identifikaatori kaardistamine enne massilist uuesti väljastamist

"Säilitage sama kaardi number" ei ole täielik migratsiooni spetsifikatsioon.

Enne uute mandaatide importimist või valmistamist dokumenteerige, kuidas juurdepääsuplatvorm eeldab identifikaatorite esitamist. Olenevalt süsteemist võivad asjakohased küsimused hõlmata järgmist:

• Kas lähteväärtus on UID, rakenduse mandaadi ID või mõni muu väli?
• Millist identifikaatori pikkust aktsepteeritakse?
• Kas väärtus on salvestatud kuueteistkümnendsüsteemi, kümnendsüsteemi või muu esitusena?
• Kas rakendus rakendab kindlat baitide järjekorda?
• Kas eesmised nullid jäävad alles?
• Kas vastutav töötleja ootab rajatise/saidi koodi ja kaardi{0}}numbri jagamist?
• Kas topelt{0}}tehnoloogiakaart paljastab kaks erinevat identiteeti, mis peavad vastama samale kasutajakirjele?

Need üksikasjad tuleks võtta tegelikust juurdepääsuplatvormist ja kinnitatud migratsioonispetsifikatsioonist. Neid ei tohiks vanal märgil trükitud numbri järgi ära arvata.

Turvalisus oleneb sellest, mida süsteem tegelikult autentib

Võrdlus "Lähedus on ebaturvaline; MIFARE on turvaline" on liiga lai, et toetada tõsist juurdepääsu-kontrolliotsust.

Staatilise identifikaatori juurdepääs

Paljud Proxi pärandjuurutused kasutavad peamiselt mandaadi identifikaatorit. Lugeja tunneb mandaadi ära ja edastab identifikaatori juurdepääsu-kontrollisüsteemi.

Üldine turvalisus sõltub siis enamast kui kaardist: mandaadi haldus, lugeja/kontrolleri disain, tühistamine, jälgimine, füüsiline turvalisus ja halduskontrollid on kõik olulised.

MIFARE kasutatakse ainult identifikaatorina

Võimekama -kiipkaardi IC-i saab siiski juurutada lihtsas identifikaatori{1}}arhitektuuris.

Kui juurdepääsulugeja loeb ainult paljastatud identifikaatorit ega teosta kunagi valitud mandaadiga toetatud kaitstud autentimist ega rakendustoiminguid, ei omanda projekt automaatselt selle kiibi täielikku turbevõimalust.

Autentitud kiipkaardi{0}}rakendus

Korralikult kavandatud MIFARE rakendus võib kasutada kaitstud rakenduse andmeid, autentimist, krüptovõtmeid ja turvalist sõnumivahetust, kui valitud toode seda toetab.

NXP praegune MIFARE DESFire EV3 dokumentatsioon loetleb selle turvavõimaluste hulgas AES-i toe, rakenduse{1}}taseme autentimise, mitu võtit ja mitu võtmekomplekti. Need funktsioonid sõltuvad endiselt lugejast, võtme{3}}haldusmudelist ja rakenduse konfiguratsioonist.NXP MIFARE DESFire EV3 tehniline teavedokumenteerib saadaolevad IC-võimalused. :contentReference[oaicite:16]{indeks=16}

Turvalisus on süsteemi omadus, mitte kiibi silt

NIST SP 800-98 käsitleb RFID-turvalisust süsteemi-tasandi disaini- ja tööprobleemina, mitte ainult sildi probleemina. TheNIST RFID turvajuhishõlmab RFID-süsteemide planeerimist, juurutamist ja käitamist. :contentReference[oaicite:17]{indeks=17}

Lugeja-to-kontrolleri kihi jaoks on turvatööstuse assotsiatsioonAvage järelevalvega seadme protokolltoetab järelevalvega sidet ja turvalise kanali kaitset juurdepääsu{0}}juhtimisseadmete vahel. SIA praegused juurutamisjuhised soovitavad OSDP-i kasutamisel konkreetselt turvalist kanalit. :contentReference[oaicite:18]{indeks=18}

Synteki juhendRFID-andmete turvalisussaab toetada laiemat sisejulgeoleku arutelu.

Peamised haldusküsimused, mida ostjad peaksid küsima

Kui projekt läheb kaugemale ainult UID{0}}juurdepääsust, muutub võtmehaldus ostuspetsifikatsiooni osaks.

NXP DESFire EV3 arhitektuur toetab mitut rakendusevõtit ja mitut võtmekomplekti, mis näitab, miks "kaart toetab AES-i" ei ole juurutuse määratlemiseks piisav teave. :contentReference[oaicite:19]{indeks=19}

Enne isikupärastamist või masstootmist selgitage:

• Kellele kuuluvad tootmis- ja rakendusvõtmed?
• Kes on volitatud mandaate isikupärastama?
• Kas kasutatakse tarnija-kontrollitud, kliendi-kontrollitud või ühiselt hallatavat isikupärastamist?
• Kas kaardid tarnitakse teadaolevas lähtestamisolekus?
• Kuidas varutakse asendusmandaadid?
• Kas kohustuste või süsteemide muutumisel saab võtmeid muuta?
• Kuidas põhiversioonid ja rakenduse konfiguratsioon dokumenteeritakse?
• Kuidas eraldatakse tootmis-, testi- ja reaalajas keskkonda?
• Kes saab mandaadiprogrammi taastada, kui algne isikupärastamise pakkuja pole enam saadaval?

Vastus sõltub juurdepääsu{0}}juhtimisplatvormist ja turbearhitektuurist. Ostjad ei tohiks nõuda, vahetada ega salvestada tundlikke tootmisvõtmeid tavalistes kunstiteose arvutustabelites või mitteametlikes meililõimedes.

MIFARE Classic, Plus ja DESFire on erinevad ostuotsused

MIFARE Classic EV1

NXP voolMIFARE Classic EV1 tootelehtloetleb toote aktiivsena, kuid "ei ole soovitatav uute kujunduste jaoks" ja juhib disainereid uuema asendamise poole. See ei tähenda, et iga installitud Classic süsteem peab viivitamatult töö lõpetama; see tähendab, et uus projekt ei tohiks valida klassikalist ainult seetõttu, et "MIFARE" kõlab uuemalt kui 125 kHz Prox. :contentReference[oaicite:20]{indeks=20}

MIFARE Plus EV2

NXP positsioonidMIFARE Plus EV2olemasolevate juurutuste täiendusteena. Selle praegune spetsifikatsioon sisaldab turvataseme kontseptsiooni migratsiooniks ja AES-128 autentimiseks ning turvaliseks sõnumivahetuseks kõrgemal turbetasemel. :contentReference[oaicite:21]{indeks=21}

MIFARE DESFire EV3

DESFire EV3 on loodud turvaliseks mitme-rakenduse kasutamiseks ja pakub võimalusi, sealhulgas AES-128, vastastikust autentimist ja paindlikke rakenduste/võtmete struktuure. Nende võimaluste olemasolu ei tõenda, et konkreetne juurdepääsusüsteem neid kasutab; lugeja ja rakenduste tugi jääb kohustuslikuks. :contentReference[oaicite:22]{indeks=22}

Millal peaksite hoidma 125 kHz lähedust ja millal peaksite liikuma?

Läheduse hoidmine võib olla ratsionaalne

Traditsiooniline 125 kHz mandaat võib jääda operatiivselt mõistlikuks, kui installitud lugejabaas on suur ja stabiilne, kaitstud keskkonnal on aktsepteeritud riskimudel, ühilduvus on äritegevuse vahetu prioriteet või kui sait on plaanitud hiljem migreerida.

Pärandtehnoloogia teadlik jätkamine erineb eeldamisest, et see pakub sama turvamudelit kui autentne kaasaegne kiip{0}}kaardisüsteem.

MIFARE-le üleminek võib olla mõttekas

Sobiv MIFARE-peremandaat muutub asjakohasemaks, kui projekt nõuab kaitstud rakenduseandmeid, autentitud kaardi-lugeja interaktsiooni, mitme-rakenduse võimalust, kaasaegset mandaadihaldust või määratletud teed eemal ainult pärandidentifikaatori-infrastruktuurist.

Otsus vajab veel täpset tooteperekonda ja toetatud rakendust. "MIFARE" jääb pakkumise jaoks liiga laiaks.

Planeerige migratsioon viies kontrollitud faasis

Kui ülemineku ajal on vaja segatehnoloogiat, loetleb Syntek akahe-sagedusega RFID-lugejaja akahe{0}}sagedusega RFID-kaartseotud saiditoodete hulgas.

Kahe-tehnoloogia mandaat võib häireid vähendada

Kahe{0}}tehnoloogia mandaat võib paigutada samale füüsilisele kaardile 125 kHz pärandtehnoloogia ja uuema kõrgsagedusliku-kiipkaarditehnoloogia.

HID voolMIFARE DESFire EV3 + Prox mandaaton üks tõeline tööstuse näide. HID positsioneerib selle võimalusena säilitada koostalitlusvõime 125 kHz pärandlugejatega DESFire-põhisele infrastruktuurile ülemineku ajal. :contentReference[oaicite:23]{indeks=23}

See ei tähenda, et need kaks tehnoloogiat avaldaksid tingimata sama identifikaatorit või kasutavad sama turbeprotsessi. Juurdepääsu-kontrolliandmebaas peaks mandaadi identiteedid selgesõnaliselt seostama kavandatud kasutajakirjega.

Topelttehnoloogia on kõige kasulikum siis, kui sellel on väljumisplaan. Kui sait ei vaja enam 125 kHz pärandtuge, peaks migratsioonimeeskond otsustama, kas see vanem vastuvõtutee jääb lubatuks.

Illustreeriv migratsioonistsenaarium: kolm büroohoonet

Järgmine stsenaarium on illustratiivne ja seda ei esitata kliendi juhtumina.

Ettevõte haldab kolme büroohoonet. Hoonel A on endiselt ainult 125 kHz{2}}lugejaid. Hoones B on lugejad, mis toetavad nii pärandmandaati kui ka uut kiipkaarditehnoloogiat. C-hoone on juba uuendatud MIFARE sihtkeskkonnaks.

Selle asemel, et ühe nädalavahetusega iga ust ja iga märki vahetada, salvestab ettevõte esmalt iga lugeja ja ukse. Piiratud töötajate rühm saab topelt-tehnoloogilise mandaadi. Pilootprojekti ajal kaardistab juurdepääsuandmebaas mõlemad mandaaditehnoloogiad samale töötaja kontole, samal ajal kui meeskond kontrollib, millist komponenti igas hoones aktsepteeritakse.

Pilooti ei peeta edukaks lihtsalt seetõttu, et uus märk avab hoone C. Meeskond kontrollib ka järgmist.

• päranduksed töötavad endiselt kinnitatud üleminekuperioodil;
• uued volikirjad autentivad uuendatud uste puhul ettenähtud viisil;
• tühistatud volikirjad on keelatud;
• asenduskaardid ei jäta vana mandaati aktiivseks;
• identifikaatori vastendamine ei loo dubleerivaid kasutajakirjeid;
• tugipersonal oskab öelda, kas probleem on seotud kaardi, lugeja, kaardistamise või juurdepääsuloaga.

Pärast hoone A täiendamist ja kõigi nõutavate kasutajate üleviimist saab pärandaktsepti üle vaadata, et see pensionile jääks, selle asemel, et see oleks määramata ajaks lubatud.

Enne levitamist määrake migratsiooni aktsepteerimise kriteeriumid

Laiema valideerimisraamistiku saamiseks vaadake Synteki juhenditRFID-süsteemi testimine.

Kinnitage tootmis{0}}võrdne volikirja näidis

Migratsioonipiloot ei tohiks loota ainult trükkimata arenduskaardile.

Tootmis{0}}ekvivalentne näidis peaks esindama kavandatud tellimust järgmistes vormides:

• täpne kiibiperekond;
• volikirja vormitegur;
• isikupärastamise olek;
• identifikaator/rakenduse konfiguratsioon;
• trükkimine ja muutuvad andmed;
• lugeja ühilduvus;
• taustaprogrammi kaardistamine;
• asendamise ja tühistamise käitumine.

Kui on vaja muutuvat printimist, töötajate numbreid, QR-koode või muid nähtavaid andmeid, siis Synteki juhendRFID printiminesaab toetada kunstiteoste ja{0}}andmefailide planeerimist.

Partii kontrollimiseks Synteki ülevaadekvaliteedikontrolli seadmedpakub täiendavat tootmis{0}}QC konteksti.

Mida saata oma kaardi tarnijale enne tellimist

Projektid, mis nõuavad kohandatud kaardi ehitamist, printimist, isikupärastamist või kontrollitud tootmist, võivad jätkuda SyntekileOEM ja ODM tootminepärast tehniliste kirjelduste määratlemist.

Levinud ostuvead

Iga 13,56 MHz kaardi käsitlemine MIFARE-ühilduvana

Sagedus ei määra täielikku protokolli, kiibi perekonda ega rakendust. Kinnitage täpne lugeja ja mandaadi tugi.

Iga MIFARE-kaardi käsitlemine võrdselt turvalisena

Classicul, Plusil ja DESFire'il on erinevad turbearhitektuurid ja juurutusmudelid. NXP märgib praegu klassikalist EV1 uute disainilahenduste jaoks mittesoovitatavaks, samas kui Plus EV2 ja DESFire EV3 pakuvad erinevaid migratsiooni- ja turbevõimalusi. :contentReference[oaicite:24]{indeks=24}

Kaartide vahetamine ilma identifikaatori kaardistamiseta

Loetava kaardi tootmine võib siiski ebaõnnestuda, kui lugeja ja taustaprogramm on eriarvamusel UID esituse, kaardi vormingu või kasutaja vastendamise osas.

Turvalise kiibi ostmine, kuid ainult avaliku identifikaatori kasutamine

Valitud kiibi võimekus ja rakendatud autentimismudel on eraldi küsimused.

Kahetehnoloogia kasutamine ilma vana{0}}pensioniplaanita

Kahe-sageduse lugejad ja kahe-tehnoloogiakaardid võivad häireid vähendada, kuid migratsioon peaks siiski määrama, millal vana tehnoloogiat enam ei vajata.

Lõplik soovitus

Praktiline erinevus MIFARE ja läheduskaartide vahel on suurem kui 13,56 MHz versus 125 kHz.

Usaldusväärne juurdepääsu{0}}kontrolliotsus peaks vastama:

• Millised lugejad on tegelikult installitud?
• Milliseid perekondi nad toetavad?
• Millist identifikaatorit või kaitstud andmeid rakendus kasutab?
• Kas lugeja teostab tõelist autentimist või loeb ainult identifikaatorit?
• Kes juhib kiip{0}}kaardi võtmeid ja isikupärastamist?
• Kuidas on lugejate{0}} ja-kontrolleri suhtlus kaitstud?
• Kuidas vanad ja uued volikirjad migratsiooni ajal koos eksisteerivad?
• Millised tõendid peavad läbima, enne kui pärand juurdepääs lõpetatakse?

Olemasoleva madala-riskiga juurutamise korral suure 125 kHz installitud baasiga võib Proxi pärandmandaatide jätkamine määratud perioodi jooksul olla pigem operatiivne otsus kui viga.

Uue juurutuse või turbeuuenduse jaoks võib korralikult juurutatud kaasaegne MIFARE{0}}peremandaat toetada autentimist, kaitstud rakenduste andmeid ja paindlikumat mandaadihaldust. Väärtus tuleneb terviklikust disainist, mitte spetsifikatsioonile trükitud MIFARE nimest.

Installitud lugeja → täpne mandaat → identifikaator/rakenduse andmed → autentimine → võtmed → süsteemi turvalisus → migratsiooniarhitektuur → tootmisnäidis → vastuvõtutest.

Kui lugeja mudelid, sihtmandaadid, identifikaatorireeglid, autentimisviis, migratsiooniplaan, kunstiteos, kogus ja aktsepteerimisnõuded on määratletud, saavad ostjadküsi näidist või pakkumistprojektipõhiseks{0}}hindamiseks.