MIFARE protiv proximity kartica: Sigurnost, kompatibilnost i migracija

U ovom vodiču,proximity karticaznači naslijeđenu vjerodajnicu od 125 kHz koja se obično naziva prox kartica u kontroli fizičkog pristupa. Trenutačni HID-ov portfelj Proximity, na primjer, izričito je pozicioniran kao obitelj vjerodajnica za nisko{3}}fizički-pristup od 125 kHz.Informacije o proizvodu HID Proximitypruža trenutni primjer industrije. :contentReference[oaicite:13]{index=13}

MIFARE je drugačiji. To je NXP-ova obitelj beskontaktnih pametnih-kartičnih proizvoda koji se temelje na tehnologiji ISO/IEC 14443 i koriste se u aplikacijama uključujući upravljanje pristupom. Naziv MIFARE pokriva nekoliko obitelji proizvoda, a ne jedan čip ili jednu razinu sigurnosti.NXP-ov MIFARE portfeljtrenutno uključuje Classic, Plus, DESFire i dodatne MIFARE platforme. :contentReference[oaicite:14]{index=14}

Za širu usporedbu dviju kategorija radne-učestalosti, Syntekov vodič za125 kHz naspram 13,56 MHz pristupne{2}}kontrolne vjerodajnicedaje dodatni kontekst.

Praktičan redoslijed odabira je: instalirani čitač → točna tehnologija vjerodajnica → identifikator ili podaci aplikacije → metoda provjere autentičnosti → sigurnosni model → plan migracije → proizvodna specifikacija.

MIFARE u odnosu na proximity kartice: brza usporedba

Sigurnosni red je onaj koji će najvjerojatnije biti previše pojednostavljen. MIFARE se ne bi trebao tretirati kao jedna "kartica visoke-sigurnosti." Classic, Plus i DESFire imaju različite arhitekture i mogućnosti, a način na koji pristupni sustav koristi te mogućnosti važan je koliko i naziv čipa.

Što "Proximity Card" znači u kontroli pristupa?

U širem tehničkom jeziku, blizina može opisati beskontaktnu interakciju kratkog-dometa. U kupnji-fizičkog pristupa, međutim, "prox kartica" obično se odnosi na tradicionalnu vjerodajnicu od 125 kHz.

Pojednostavljeni naslijeđeni pristupni put može izgledati ovako:

125 kHz vjerodajnica → kompatibilni čitač → broj ili format vjerodajnice → upravljač → odluka o pristupu

Važan detalj nabave je da "125 kHz" ne opisuje u potpunosti vjerodajnicu. Kontrolor također može očekivati ​​određenu strukturu-broja kartice, kod objekta/lokacije, bitni format ili izlaz čitača.

Syntek navodi oboje125 kHz proximity preklopne karticei šireRFID kartice za{0}}kontrolu pristupa, ali bi odabir zamjene ipak trebao početi od instaliranog čitača i specifikacije kontrolera, a ne od izgleda kartice.

Što je MIFARE kartica?

MIFARE je NXP beskontaktna obitelj proizvoda, a ne jedna univerzalna specifikacija vjerodajnica. Ta je razlika važna u kontroli pristupa jer se dvije kartice koje nose naziv MIFARE mogu razlikovati u organizaciji memorije, sigurnosnim mehanizmima, autentifikaciji i modelu aplikacije. :contentReference[oaicite:15]{index=15}

Kupci mogu pregledati Syntekov pregled proizvodaRFID pametna karticai dostupan jeMIFARE pristupne karticeza kontekst na-razini proizvoda, ali specifikacija pristupa treba identificirati točnu obitelj čipova i potrebno ponašanje sustava.

Kompatibilnost čitača ispred preferencija kartice

Čitač samo od 125 kHz-ne postaje kompatibilan s vjerodajnicom MIFARE od 13,56 MHz jer kartice imaju iste dimenzije ISO-stila.

Prije promjene vjerodajnica, popis instaliranih čitača i zabilježite:

• proizvođač i model čitača;
• podržana frekvencija ili frekvencije;
• podržane vjerodajničke obitelji;
• firmware ili konfiguracija gdje je relevantno;
• sučelje čitača-na-kontroler;
• trenutni kod objekta/lokacije i format kartice gdje je primjenjivo;
• duljina identifikatora i reprezentacija koju očekuje pristupna platforma;
• koristi li sustav javni identifikator ili autentificirane podatke aplikacije.

SyntekovaRFID čitač{0}}kontrole pristupastranica iRFID smjernice za radnu frekvencijupružiti dodatni proizvod i kontekst učestalosti.

Učestalost nije isto što i format vjerodajnice

Migracije-kontrole pristupa često ne uspijevaju jer se dva različita podatkovna sloja tretiraju kao da su ista.

Prvi sloj je RF interakcija vjerodajnice--čitatelja. Kartica od 125 kHz i MIFARE kartica od 13,56 MHz koriste različite radio tehnologije.

Drugi sloj je ono što čitač isporučuje kontroleru ili pristupnoj platformi. Ta se vrijednost može normalizirati, preoblikovati ili mapirati prema konfiguraciji čitača i-kontrole pristupa.

Stoga se može činiti da dvije kartice proizvode slične{0}}brojeve u softveru dok su potpuno nekompatibilne na RF sloju. Nasuprot tome, novi čitač može uspješno otkriti MIFARE karticu, ali i dalje predstaviti svoj identifikator kontroleru u drugačijem formatu od onog koji očekuje postojeća baza podataka.

"Zadrži isti broj kartice" nije potpuna specifikacija migracije.

Prije uvoza ili proizvodnje novih vjerodajnica, dokumentirajte kako pristupna platforma očekuje da identifikatori budu predstavljeni. Ovisno o sustavu, relevantna pitanja mogu uključivati:

• Je li izvorna vrijednost UID, ID vjerodajnice aplikacije ili neko drugo polje?
• Koja je duljina identifikatora prihvaćena?
• Je li vrijednost pohranjena kao heksadecimalni, decimalni ili neki drugi način?
• Primjenjuje li aplikacija određeni redoslijed bajtova?
• Jesu li vodeće nule zadržane?
• Očekuje li kontrolor šifru objekta/lokacije i-broj kartice?
• Izlaže li dvo-tehnološka kartica dva odvojena identiteta koji se moraju preslikati na isti korisnički zapis?

Ove pojedinosti treba uzeti iz stvarne pristupne platforme i odobrene specifikacije migracije. Ne treba ih pogađati iz otisnutog broja na staroj znački.

Sigurnost ovisi o tome što sustav zapravo provjerava autentičnost

Usporedba "Blizina je nesigurna; MIFARE je siguran" preširoka je da bi podržala ozbiljnu-odluku o kontroli pristupa.

Pristup statičkom identifikatoru

Mnoge naslijeđene implementacije Proxa prvenstveno koriste identifikator vjerodajnica. Čitač prepoznaje vjerodajnicu i prosljeđuje identifikator u-sustav kontrole pristupa.

Cjelokupno sigurnosno stanje tada ovisi o više od kartice: upravljanje vjerodajnicama, dizajn čitača/kontrolora, opoziv, nadzor, fizička sigurnost i administrativne kontrole sve su bitne.

MIFARE Koristi se samo kao identifikator

Sposobniji IC pametne-kartice i dalje se može implementirati u jednostavnoj arhitekturi-samo za identifikator.

Ako pristupni čitač samo čita izloženi identifikator i nikada ne izvodi zaštićenu provjeru autentičnosti ili operacije aplikacije koje podržava odabrana vjerodajnica, projekt ne dobiva automatski punu sigurnosnu sposobnost dostupnu iz tog čipa.

Autentificirana aplikacija pametne-kartice

Pravilno dizajnirana MIFARE aplikacija može koristiti zaštićene podatke aplikacije, autentifikaciju, kriptografske ključeve i sigurnu razmjenu poruka gdje to odabrani proizvod podržava.

NXP-ova trenutna MIFARE DESFire EV3 dokumentacija navodi AES podršku,-autentifikaciju na razini aplikacije, višestruke ključeve i višestruke skupove ključeva među svojim sigurnosnim mogućnostima. Te značajke i dalje ovise o čitaču,-modelu upravljanja ključem i konfiguraciji aplikacije.NXP MIFARE DESFire EV3 tehničke informacijedokumentira dostupne IC mogućnosti. :contentReference[oaicite:16]{index=16}

Sigurnost je svojstvo sustava, a ne oznaka čipa

NIST SP 800-98 tretira RFID sigurnost kao problem dizajna-na razini sustava i operativni problem, a ne problem samo s oznakom. TheNIST RFID sigurnosne smjernicepokriva planiranje, implementaciju i rad RFID sustava. :contentReference[oaicite:17]{index=17}

Za sloj od-čitača do-kontrolera, Udruga sigurnosne industrijeOtvorite protokol nadziranog uređajapodržava nadziranu komunikaciju i zaštitu Secure Channel između-uređaja za kontrolu pristupa. SIA-ine trenutne smjernice za implementaciju posebno preporučuju Sigurni kanal kada se koristi OSDP. :contentReference[oaicite:18]{index=18}

Syntekov vodič zaRFID sigurnost podatakamože podržati širu raspravu o unutarnjoj sigurnosti.

Ključna pitanja upravljanja koja bi kupci trebali postaviti

Jednom kada projekt pređe samo pristup-UID-u, upravljanje ključem postaje dio specifikacije kupnje.

NXP-ova DESFire EV3 arhitektura podržava višestruke aplikacijske ključeve i višestruke skupove ključeva, što ilustrira zašto "kartica podržava AES" nije dovoljna informacija za definiranje postavljanja. :contentReference[oaicite:19]{index=19}

Prije personalizacije ili masovne proizvodnje razjasnite:

• Tko posjeduje proizvodne i aplikacijske ključeve?
• Tko je ovlašten personalizirati vjerodajnice?
• Hoće li se koristiti personalizacija koju kontrolira-dobavljač,-korisnik ili zajednički upravlja?
• Jesu li kartice isporučene u poznatom stanju inicijalizacije?
• Kako se osiguravaju zamjenske vjerodajnice?
• Mogu li se ključevi promijeniti kada se promijene odgovornosti ili sustavi?
• Kako se dokumentiraju verzije ključa i konfiguracija aplikacije?
• Kako su proizvodna, testna i živa okruženja odvojena?
• Tko može oporaviti program vjerodajnica ako izvorni pružatelj personalizacije više nije dostupan?

Odgovor ovisi o-platformi za kontrolu pristupa i sigurnosnoj arhitekturi. Kupci ne bi trebali zahtijevati, razmjenjivati ​​ili pohranjivati ​​osjetljive proizvodne ključeve u običnim proračunskim tablicama umjetničkih djela ili neformalnim nitima e-pošte.

MIFARE Classic, Plus i DESFire različite su odluke o kupnji

MIFARE Classic EV1

NXP-ova strujaStranica proizvoda MIFARE Classic EV1navodi proizvod kao aktivan, ali "ne preporučuje se za nove dizajne" i upućuje dizajnere na noviju zamjenu. To ne znači da svaki instalirani Classic sustav mora odmah prestati raditi; to znači da novi projekt ne bi trebao odabrati Classic samo zato što "MIFARE" zvuči novije od 125 kHz Prox. :contentReference[oaicite:20]{index=20}

MIFARE Plus EV2

NXP pozicijeMIFARE Plus EV2kao put nadogradnje za postojeće implementacije. Njegova trenutna specifikacija uključuje koncept sigurnosne razine za migraciju i AES-128 autentifikaciju i sigurnu razmjenu poruka na višim sigurnosnim razinama. :contentReference[oaicite:21]{index=21}

MIFARE DESFire EV3

DESFire EV3 dizajniran je za sigurnu upotrebu više-aplikacija i pruža mogućnosti uključujući AES-128, uzajamnu provjeru autentičnosti i fleksibilne strukture aplikacija/ključeva. Prisutnost tih mogućnosti ne dokazuje da ih određeni pristupni sustav koristi; podrška čitača i aplikacija ostaje obvezna. :contentReference[oaicite:22]{index=22}

Kada biste trebali držati blizinu od 125 kHz, a kada biste se trebali kretati?

Održavanje blizine može biti racionalno

Tradicionalna vjerodajnica od 125 kHz može ostati operativno razumna kada je instalirana baza čitača velika i stabilna, zaštićeno okruženje ima prihvaćeni model rizika, kompatibilnost je neposredni poslovni prioritet ili je mjesto planirano za kasniju migraciju.

Svjesno nastaviti s naslijeđenom tehnologijom razlikuje se od pretpostavke da ona pruža isti sigurnosni model kao autentificirani moderni sustav pametnih-kartica.

Prelazak na MIFARE može imati smisla

Odgovarajuća MIFARE-obiteljska vjerodajnica postaje relevantnija kada projekt zahtijeva zaštićene podatke aplikacije, autentificiranu interakciju-čitača kartica, mogućnost više-aplikacija, moderno upravljanje vjerodajnicama ili definirani put od naslijeđene infrastrukture samo-identifikatora.

Odluka još uvijek zahtijeva točnu obitelj proizvoda i podržanu aplikaciju. "MIFARE" sam po sebi ostaje preširok za RFQ.

Planirajte migraciju u pet kontroliranih faza

Gdje je tijekom prijelaza potrebna mješovita tehnologija, Syntek navodi advo{0}}frekventni RFID čitači advo{0}}frekventna RFID karticameđu svojim srodnim proizvodima na web-mjestu.

Dvostruke-tehnološke vjerodajnice mogu smanjiti smetnje

Dvostruka -tehnološka vjerodajnica može postaviti naslijeđenu tehnologiju od 125 kHz i noviju HF tehnologiju pametne-kartice na istu fizičku karticu.

HID-ova strujaMIFARE DESFire EV3 + Prox vjerodajnicaje jedan pravi primjer industrije. HID ga postavlja kao način održavanja interoperabilnosti s naslijeđenim čitačima od 125 kHz tijekom migracije na infrastrukturu temeljenu na DESFire-. :contentReference[oaicite:23]{index=23}

To ne znači da dvije tehnologije nužno izlažu isti identifikator ili koriste isti sigurnosni proces. Baza podataka-kontrole pristupa treba eksplicitno preslikati identitete vjerodajnica u željeni korisnički zapis.

Dualna tehnologija je najkorisnija kada ima izlazni plan. Nakon što web-mjestu više nije potrebna naslijeđena podrška od 125 kHz, tim za migraciju trebao bi odlučiti treba li taj stariji put prihvaćanja ostati omogućen.

Ilustrativni scenarij migracije: tri poslovne zgrade

Sljedeći scenarij je ilustrativan i nije predstavljen kao slučaj kupca.

Tvrtka upravlja s tri poslovne zgrade. Zgrada A još uvijek ima samo čitače od 125 kHz-. Zgrada B ima čitače koji podržavaju naslijeđene vjerodajnice i novu tehnologiju pametnih-kartica. Zgrada C već je nadograđena na ciljno MIFARE okruženje.

Umjesto da mijenjaju svaka vrata i svaku značku u jednom vikendu, tvrtka prvo bilježi svako čitanje i svako vrata. Ograničena skupina zaposlenika dobiva dualne-tehnološke vjerodajnice. Tijekom pilota, pristupna baza podataka mapira obje tehnologije vjerodajnica na isti račun zaposlenika, dok tim provjerava koja je komponenta prihvaćena u svakoj zgradi.

Pilot se ne smatra uspješnim jednostavno zato što nova značka otvara zgradu C. Tim također potvrđuje da:

• naslijeđena vrata i dalje rade tijekom odobrenog prijelaznog razdoblja;
• nove vjerodajnice autentificiraju kako je predviđeno na nadograđenim vratima;
• opozvane vjerodajnice su odbijene;
• zamjenske kartice ne ostavljaju staru vjerodajnicu aktivnom;
• preslikavanje identifikatora ne stvara dvostruke korisničke zapise;
• osoblje za podršku može reći je li problem povezan s karticom, čitačem, mapiranjem ili dozvolom pristupa.

Nakon što se zgrada A nadogradi i svi potrebni korisnici migriraju, prihvaćanje naslijeđenog sustava može se pregledati radi povlačenja umjesto da ostane omogućeno na neodređeno vrijeme.

Definirajte kriterije prihvaćanja migracije prije uvođenja

Za širi okvir provjere valjanosti pogledajte Syntekov vodič zaIspitivanje RFID sustava.

Odobrite produkcijski-ekvivalentni uzorak vjerodajnice

Migracijski pilot ne bi se trebao oslanjati samo na neispisanu razvojnu karticu.

Proizvodni{0}}ekvivalentni uzorak trebao bi predstavljati predviđenu narudžbu u:

• točna obitelj čipova;
• faktor oblika vjerodajnice;
• stanje personalizacije;
• identifikator/konfiguracija aplikacije;
• ispis i varijabilni podaci;
• kompatibilnost čitača;
• pozadinsko mapiranje;
• ponašanje zamjene i opoziva.

Ako je potreban varijabilni ispis, brojevi zaposlenika, QR kodovi ili drugi vidljivi podaci, Syntekov vodič zaRFID ispismože podržati planiranje slika{0}}datoteke.

Za pregled serije, Syntekov pregledoprema za kontrolu kvalitetepruža dodatni proizvodni-kontekst kontrole kvalitete.

Što poslati dobavljaču kartice prije naručivanja

Projekti koji zahtijevaju prilagođenu izradu kartica, ispis, personalizaciju ili kontroliranu proizvodnju mogu se nastaviti u SyntekuOEM i ODM proizvodnjainformacije nakon definiranja tehničke specifikacije.

Uobičajene pogreške pri kupnji

Tretiranje svake kartice od 13,56 MHz kao MIFARE-kompatibilne

Frekvencija ne definira cijeli protokol, obitelj čipova ili aplikaciju. Potvrdite točan čitač i podršku za vjerodajnice.

Tretiranje svake MIFARE kartice kao jednako sigurne

Classic, Plus i DESFire imaju različite sigurnosne arhitekture i modele postavljanja. NXP trenutno označava da se Classic EV1 ne preporučuje za nove dizajne, dok Plus EV2 i DESFire EV3 pružaju različite mogućnosti migracije i sigurnosti. :contentReference[oaicite:24]{index=24}

Zamjena kartica bez zamrzavanja mapiranja identifikatora

Čitljiva kartica još uvijek može zakazati u proizvodnji ako se čitač i pozadina ne slažu oko predstavljanja UID-a, formata kartice ili mapiranja korisnika.

Kupnja sigurnog čipa uz korištenje samo javnog identifikatora

Odabrana sposobnost čipa i implementirani model autentifikacije su posebna pitanja.

Korištenje dvojne tehnologije bez naslijeđenog{0}}plana mirovine

Dvo-frekventni čitači i dvo-tehnološke kartice mogu smanjiti smetnje, ali bi migracija ipak trebala definirati kada stara tehnologija više neće biti potrebna.

Konačna preporuka

Praktična razlika između MIFARE i proximity kartica je veća od 13,56 MHz naspram 125 kHz.

Pouzdana odluka o-kontroli pristupa trebala bi odgovoriti na sljedeće:

• Koji čitači su zapravo instalirani?
• Koje vjerodajničke obitelji podržavaju?
• Koji identifikator ili zaštićene podatke koristi aplikacija?
• Provodi li čitač pravu autentifikaciju ili samo čita identifikator?
• Tko kontrolira ključeve i personalizaciju pametne-kartice?
• Kako je zaštićena komunikacija čitača--kontrolera?
• Kako će stare i nove vjerodajnice koegzistirati tijekom migracije?
• Koji dokazi moraju proći prije nego što se naslijeđeni pristup ukine?

Za postojeću implementaciju niskog-rizika s velikom instaliranom bazom od 125 kHz, nastavak naslijeđenih Prox vjerodajnica tijekom definiranog razdoblja može biti operativna odluka, a ne pogreška.

Za novu implementaciju ili sigurnosnu nadogradnju, ispravno implementirana moderna vjerodajnica obitelji MIFARE-može podržati autentifikaciju, zaštićene podatke aplikacije i fleksibilnije upravljanje vjerodajnicama. Vrijednost proizlazi iz kompletnog dizajna, a ne iz MIFARE naziva otisnutog na specifikaciji.

Instalirani čitač → točna vjerodajnica → identifikator/podaci aplikacije → provjera autentičnosti → ključevi → sigurnost sustava → migracijska arhitektura → proizvodni uzorak → test prihvaćanja.

Nakon što se definiraju modeli čitača, ciljna vjerodajnica, pravila identifikatora, pristup autentifikaciji, plan migracije, ilustracija, količina i zahtjevi prihvaćanja, kupci moguzatražiti uzorak ili ponuduza-specifičnu evaluaciju projekta.