MIFARE vs Proximity kártyák: Biztonság, kompatibilitás és migráció

Ebben az útmutatóbanproximity kártyaa hagyományos 125 kHz-es hitelesítő adatot jelenti, amelyet a fizikai hozzáférés-vezérlésben prox kártyának neveznek. A HID jelenlegi Proximity portfóliója például kifejezetten egy 125 kHz-es alacsony-frekvenciás fizikai-hozzáférési hitelesítési családként van elhelyezve.HID Proximity termékinformációaktuális iparági példát mutat be. :contentReference[oaicite:13]{index=13}

A MIFARE más. Ez az NXP érintés nélküli intelligens -okoskártya termékcsaládja, amely ISO/IEC 14443 technológián alapul, és olyan alkalmazásokban használatos, mint a hozzáférés-kezelés. A MIFARE név több termékcsaládot takar, nem pedig egy chipet vagy egy biztonsági szintet.Az NXP MIFARE portfóliójajelenleg Classic, Plus, DESFire és további MIFARE platformokat tartalmaz. :contentReference[oaicite:14]{index=14}

A két működési{0}}gyakorisági kategória átfogóbb összehasonlításához tekintse meg a Syntek útmutatóját125 kHz vs 13,56 MHz hozzáférési-vezérlési hitelesítő adatoktovábbi kontextust biztosít.

A praktikus kiválasztási sorrend a következő: telepített olvasó → pontos hitelesítési technológia → azonosító vagy alkalmazás adatai → hitelesítési mód → biztonsági modell → migrációs terv → gyártási specifikáció.

MIFARE vs Proximity Cards: Gyors összehasonlítás

A biztonsági sor a legvalószínűbb, hogy túlságosan leegyszerűsödik. A MIFARE-t nem szabad egyetlen „magas-biztonsági kártyaként kezelni”. A Classic, a Plus és a DESFire eltérő architektúrával és képességekkel rendelkezik, és az, ahogyan a hozzáférési rendszer ezeket a képességeket használja, ugyanolyan fontos, mint a chip neve.

Mit jelent a „közelítési kártya” a beléptető rendszerben?

Tágabb szaknyelven a közelség rövid{0}}hatótávolságú érintés nélküli interakciót írhat le. A fizikai hozzáférésű vásárlásnál azonban a "prox kártya" általában egy hagyományos 125 kHz-es hitelesítő adatot jelent.

Egy egyszerűsített régi hozzáférési útvonal így nézhet ki:

125 kHz hitelesítési adat → kompatibilis olvasó → hitelesítési szám vagy formátum → vezérlő → hozzáférési döntés

A beszerzés fontos részlete az, hogy a „125 kHz” nem írja le teljesen a hitelesítő adatokat. A vezérlő egy adott kártya-számszerkezetre, létesítmény-/helyszínkódra, bitformátumra vagy olvasókimenetre is számíthat.

A Syntek mindkettőt felsorolja125 kHz-es proximity kagylókártyákés szélesebbRFID hozzáférési{0}}vezérlőkártyák, de a csere kiválasztását továbbra is a telepített olvasó és vezérlő specifikációjából kell kiindulni, nem pedig a kártya megjelenéséből.

Mi az a MIFARE kártya?

A MIFARE egy érintés nélküli NXP termékcsalád, nem egy univerzális hitelesítési specifikáció. Ez a megkülönböztetés fontos a hozzáférés-szabályozásban, mivel két MIFARE nevet viselő kártya különbözhet a memória felépítésében, biztonsági mechanizmusaiban, hitelesítésében és alkalmazási modelljében. :contentReference[oaicite:15]{index=15}

A vásárlók áttekinthetik a Syntek áttekintését egyRFID intelligens kártyaés elérhetőMIFARE belépőkártyáktermék{0}}szintű kontextushoz, de a hozzáférési specifikációnak meg kell határoznia a pontos chipcsaládot és a rendszer viselkedését.

Az olvasó-kompatibilitás a kártyapreferencia előtt van

A csak 125 kHz-es -olvasó nem válik kompatibilissé a 13,56 MHz-es MIFARE hitelesítő adatokkal, mert a kártyák ISO-stílusú méretei megegyeznek.

A hitelesítési adatok megváltoztatása előtt leltározza meg a telepített olvasókat, és jegyezze fel:

• olvasó gyártója és modellje;
• támogatott frekvencia vagy frekvenciák;
• támogatott családok;
• firmware vagy konfiguráció, ahol releváns;
• olvasó-–-vezérlő interfész;
• aktuális létesítmény/telephely kódja és adott esetben kártyaformátuma;
• a hozzáférési platform által elvárt azonosító hossza és megjelenítése;
• hogy a rendszer nyilvános azonosítót vagy hitelesített alkalmazásadatokat használ-e.

SyntekRFID hozzáférés{0}}vezérlő olvasóoldal ésRFID működési frekvencia irányelvektovábbi termék- és gyakoriság-kontextust biztosítanak.

A gyakoriság nem ugyanaz, mint a hitelesítő adatok formátuma

A hozzáférés-vezérlők{0}}áttelepítése gyakran sikertelen, mert két különböző adatréteget a rendszer úgy kezel, mintha ugyanazok lennének.

Az első réteg az olvasó RF interakciója-az-olvasó hitelesítő adatai. Egy 125 kHz-es kártya és egy 13,56 MHz-es MIFARE kártya eltérő rádiótechnológiát használ.

A második réteg az, amit az olvasó eljuttat a vezérlőhöz vagy a hozzáférési platformhoz. Ez az érték normalizálható, újraformázható vagy leképezhető az olvasó és a hozzáférés--vezérlő konfigurációja szerint.

Ezért úgy tűnhet, hogy két kártya hasonló,{0}}szoftverben kinéző számokat produkál, miközben az RF rétegen teljesen inkompatibilis. Ezzel szemben egy új olvasó sikeresen észlelhet egy MIFARE kártyát, de ennek ellenére az azonosítóját a meglévő adatbázis által elvárt formátumtól eltérő formátumban mutatja be a vezérlőnek.

Az azonosító leképezés lefagyasztása tömeges újrakiadás előtt

A „Kártyaszám megtartása” nem teljes körű migrációs specifikáció.

Új hitelesítő adatok importálása vagy gyártása előtt dokumentálja, hogy a hozzáférési platform hogyan várja az azonosítók megjelenítését. A rendszertől függően a releváns kérdések a következők lehetnek:

• A forrásérték UID, alkalmazás hitelesítő adatazonosítója vagy más mező?
• Milyen hosszúságú azonosítót fogadnak el?
• Az érték hexadecimális, decimális vagy más ábrázolásként van tárolva?
• Egy adott bájtsorrendet alkalmaz az alkalmazás?
• Megmaradnak a kezdő nullák?
• Várja-e a vezérlő a létesítmény/telephely kódjának és a kártyaszámának-felosztását?
• Egy kettős{0}}technológiai kártya két külön identitást tesz közzé, amelyeknek ugyanahhoz a felhasználói rekordhoz kell hozzárendelniük?

Ezeket a részleteket a tényleges hozzáférési platformból és a jóváhagyott migrációs specifikációból kell átvenni. Nem szabad kitalálni őket egy régi jelvény nyomtatott számából.

A biztonság attól függ, hogy a rendszer valójában mit hitelesít

Az „A közelség nem biztonságos; a MIFARE biztonságos” összehasonlítás túl tág ahhoz, hogy alátámassza a komoly hozzáférési-szabályozási döntést.

Statikus azonosító hozzáférés

Sok régi Prox-telepítés elsősorban hitelesítőadat-azonosítót használ. Az olvasó felismeri a hitelesítő adatot, és átad egy azonosítót a hozzáférés-vezérlő rendszernek.

Az általános biztonsági helyzet ezután nem a kártyán múlik: a hitelesítő adatok kezelése, az olvasó/vezérlő kialakítása, a visszavonás, a figyelés, a fizikai biztonság és az adminisztratív ellenőrzések mind számítanak.

A MIFARE csak azonosítóként használható

Egy nagyobb képességű intelligens{0}}kártya IC továbbra is telepíthető egy egyszerű azonosító{1}}architektúrában.

Ha egy hozzáférés-olvasó csak beolvas egy szabadon látható azonosítót, és soha nem hajtja végre a kiválasztott hitelesítő adatok által támogatott védett hitelesítési vagy alkalmazási műveleteket, a projekt nem nyeri el automatikusan az adott chip által elérhető teljes biztonsági képességet.

Hitelesített intelligens{0}}kártya-alkalmazás

Egy megfelelően megtervezett MIFARE alkalmazás használhat védett alkalmazásadatokat, hitelesítést, kriptográfiai kulcsokat és biztonságos üzenetküldést, ha azt a kiválasztott termék támogatja.

Az NXP jelenlegi MIFARE DESFire EV3 dokumentációja a biztonsági képességei között felsorolja az AES támogatást, az alkalmazás-szintű hitelesítést, a több kulcsot és a több kulcskészletet. Ezek a funkciók továbbra is az olvasótól, a kulcs{3}}kezelési modelltől és az alkalmazás konfigurációjától függenek.NXP MIFARE DESFire EV3 műszaki információkdokumentálja a rendelkezésre álló IC képességeket. :contentReference[oaicite:16]{index=16}

A biztonság rendszertulajdon, nem chipcímke

A NIST SP 800-98 az RFID-biztonságot rendszerszintű tervezési és működési problémaként kezeli, nem pedig csak címkézési problémaként. ANIST RFID biztonsági irányelvkiterjed az RFID rendszerek tervezésére, megvalósítására és üzemeltetésére. :contentReference[oaicite:17]{index=17}

Az olvasó{0}}az-vezérlő réteg számára a Security Industry AssociationNyissa meg a Felügyelt eszköz protokollttámogatja a felügyelt kommunikációt és a Secure Channel védelmet a hozzáférés-vezérlő eszközök között. A SIA jelenlegi megvalósítási útmutatója kifejezetten a Secure Channel használatát javasolja OSDP használatakor. :contentReference[oaicite:18]{index=18}

A Syntek útmutatójaRFID adatbiztonságtámogathatja a szélesebb körű belső biztonsági vitát.

Kulcsfontosságú vezetői kérdések, amelyeket a vásárlóknak fel kell tenniük

Ha egy projekt túllép a kizárólag UID{0}}hozzáférésen, a kulcskezelés a beszerzési specifikáció részévé válik.

Az NXP DESFire EV3 architektúrája több alkalmazáskulcsot és több kulcskészletet is támogat, ami azt mutatja, hogy „a kártya támogatja az AES-t” miért nem elegendő információ a telepítés meghatározásához. :contentReference[oaicite:19]{index=19}

Személyre szabás vagy tömeggyártás előtt tisztázza:

• Ki a termelési és alkalmazási kulcsok tulajdonosa?
• Ki jogosult a hitelesítő adatok személyre szabására?
• Használják-e a beszállító-, az ügyfél által irányított- vagy a közösen kezelt személyre szabást?
• A kártyákat ismert inicializálási állapotban szállítják?
• Hogyan biztosítják a csere hitelesítő adatokat?
• Megváltoztathatók-e a kulcsok, ha a felelősségek vagy a rendszer megváltozik?
• Hogyan dokumentálják a kulcsverziókat és az alkalmazáskonfigurációt?
• Hogyan különül el egymástól a termelési, a tesztelési és az élő környezet?
• Ki állíthatja vissza a hitelesítő programot, ha az eredeti személyre szabási szolgáltató már nem érhető el?

A válasz a hozzáférés--felügyeleti platformtól és a biztonsági architektúrától függ. A vásárlók nem kérhetnek, cserélhetnek vagy tárolhatnak kényes gyártási kulcsokat közönséges grafikai táblázatokban vagy informális e-mail-szálakban.

A MIFARE Classic, a Plus és a DESFire különböző vásárlási döntések

MIFARE Classic EV1

NXP áramMIFARE Classic EV1 termékoldala terméket aktívként sorolja fel, de "új dizájnokhoz nem ajánlott", és a tervezőket egy újabb csere felé irányítja. Ez nem jelenti azt, hogy minden telepített Classic rendszernek azonnal le kell állítania a működését; ez azt jelenti, hogy egy új projektnek nem szabad a Classic-ot választania, pusztán azért, mert a „MIFARE” 125 kHz-nél újabb hangzású Prox. :contentReference[oaicite:20]{index=20}

MIFARE Plus EV2

NXP pozíciókMIFARE Plus EV2frissítési útvonalként a meglévő telepítésekhez. Jelenlegi specifikációja biztonsági szint koncepciót tartalmaz a migrációhoz, valamint az AES-128 hitelesítéshez és a biztonságos üzenetkezeléshez magasabb biztonsági szinteken. :contentReference[oaicite:21]{index=21}

MIFARE DESFire EV3

A DESFire EV3 biztonságos több-alkalmazásos használatra készült, és olyan funkciókat kínál, mint az AES-128, a kölcsönös hitelesítés és a rugalmas alkalmazás-/kulcsszerkezetek. Ezen képességek jelenléte nem bizonyítja, hogy egy adott hozzáférési rendszer használja ezeket; az olvasó- és alkalmazástámogatás továbbra is kötelező. :contentReference[oaicite:22]{index=22}

Mikor érdemes tartani a 125 kHz-es közelséget, és mikor érdemes elköltözni?

A közelség megőrzése racionális lehet

A hagyományos 125 kHz-es hitelesítési adat akkor maradhat működésileg ésszerű, ha a telepített olvasóbázis nagy és stabil, a védett környezet elfogadott kockázati modellel rendelkezik, a kompatibilitás az azonnali üzleti prioritás, vagy a webhely későbbi áttelepítését tervezik.

Az örökölt technológia tudatos folytatása különbözik attól a feltételezéstől, hogy ugyanazt a biztonsági modellt nyújtja, mint egy hitelesített modern intelligens{0}}kártyarendszer.

A MIFARE-ra való átállásnak van értelme

A megfelelő MIFARE-családi hitelesítő adatok relevánsabbá válnak, ha a projekt védett alkalmazásadatokat, hitelesített kártya-olvasó interakciót, több-alkalmazási képességet, modern hitelesítő adatok kezelését vagy meghatározott útvonalat igényel a csak azonosítót használó infrastruktúrától.

A döntéshez még pontos termékcsaládra és támogatott pályázatra van szükség. A „MIFARE” önmagában túl tág marad egy ajánlatkéréshez.

Tervezze meg a migrációt öt ellenőrzött fázisban

Ahol vegyes technológia szükséges az átmenet során, ott a Syntek felsorolja akettős{0}}frekvenciás RFID-olvasóés akettős{0}}frekvenciás RFID-kártyakapcsolódó webhelytermékei között.

A kettős-technológiai hitelesítő adatok csökkenthetik a fennakadásokat

A kettős{0}}technológiás hitelesítési adatok egy régi 125 kHz-es technológiát és egy újabb HF intelligens-kártyatechnológiát helyezhetnek el ugyanabban a fizikai kártyában.

A HID áramaMIFARE DESFire EV{0}} Prox hitelesítő adatokaz egyik igazi iparági példa. A HID úgy pozicionálja, mint a régi 125 kHz-es olvasókkal való együttműködés fenntartásának módja a DESFire-alapú infrastruktúrára való áttérés során. :contentReference[oaicite:23]{index=23}

Ez nem jelenti azt, hogy a két technológia szükségszerűen ugyanazt az azonosítót adja meg, vagy ugyanazt a biztonsági folyamatot használja. A hozzáférés-vezérlő adatbázisnak kifejezetten hozzá kell rendelnie a hitelesítő adatok azonosítását a kívánt felhasználói rekordhoz.

A kettős technológia akkor a leghasznosabb, ha rendelkezik kilépési tervvel. Ha egy hely már nem igényel örökölt 125 kHz-es támogatást, a migrációs csapatnak el kell döntenie, hogy a régebbi elfogadási útvonal engedélyezve marad-e.

Szemléltető migrációs forgatókönyv: három irodaház

A következő forgatókönyv illusztráció, és nem ügyfélesetként kerül bemutatásra.

Egy cég három irodaházat üzemeltet. Az A épületben továbbra is csak 125 kHz-es{2}}olvasók vannak. A B épület olyan olvasókkal rendelkezik, amelyek támogatják a régi hitelesítő adatokat és az új intelligens{4}}kártya-technológiát. A C épület már frissítve lett a cél MIFARE környezetre.

Ahelyett, hogy minden ajtót és jelvényt egyetlen hétvégén kicserélne, a vállalat először minden olvasót és ajtót rögzít. Egy korlátozott alkalmazotti csoport kettős-technológiai hitelesítést kap. A kísérlet során a hozzáférési adatbázis mindkét hitelesítési technológiát leképezi ugyanahhoz az alkalmazotti fiókhoz, miközben a csapat ellenőrzi, hogy az egyes épületekben melyik összetevőt fogadják el.

A pilot csak azért nem tekinthető sikeresnek, mert az új jelvény megnyitja a C épületet. A csapat azt is ellenőrzi, hogy:

• a hagyatéki ajtók továbbra is működnek a jóváhagyott átmeneti időszakban;
• az új hitelesítő adatok rendeltetésszerűen hitelesítenek a frissített ajtókon;
• a visszavont hitelesítő adatok megtagadva;
• a cserekártyák nem hagyják aktívan a régi hitelesítő adatokat;
• az azonosító leképezés nem hoz létre ismétlődő felhasználói rekordokat;
• A támogató személyzet meg tudja mondani, hogy a probléma a kártyához, olvasóhoz, leképezéshez vagy hozzáférési engedélyhez tartozik-e.

Az A épület frissítése és az összes szükséges felhasználó migrációja után felülvizsgálható az örökölt elfogadás visszavonása, ahelyett, hogy korlátlan ideig engedélyezve maradna.

Határozza meg az áttelepítés elfogadási kritériumait a közzététel előtt

A szélesebb érvényesítési keretrendszerért lásd a Syntek útmutatójátRFID rendszer tesztelése.

Gyártási{0}}egyenértékű hitelesítési minta jóváhagyása

A migrációs pilóta nem hagyatkozhat csak egy nyomtatatlan fejlesztési kártyára.

A gyártási-egyenértékű mintának a tervezett sorrendet kell képviselnie:

• pontos chip család;
• hitelesítő adatformátum;
• személyre szabott állapot;
• azonosító/alkalmazás konfigurációja;
• nyomtatás és változó adatok;
• olvasó kompatibilitás;
• háttér-leképezés;
• helyettesítési és visszavonási viselkedés.

Ha változó nyomtatásra, alkalmazotti számokra, QR-kódokra vagy más látható adatokra van szükség, a Syntek útmutatójaRFID nyomtatástámogathatja a műalkotásokat és az adatfájlok{0}}tervezését.

A tételek ellenőrzéséhez a Syntek áttekintése aminőségellenőrző berendezésektovábbi gyártási{0}}minőségellenőrzési kontextust biztosít.

Mit küldjön a kártya szállítójának a rendelés előtt

A személyre szabott kártyaépítést, nyomtatást, személyre szabást vagy ellenőrzött gyártást igénylő projektek a Synteknél folytatódhatnakOEM és ODM gyártása műszaki specifikáció meghatározása után.

Gyakori vásárlási hibák

Minden 13,56 MHz-es kártya MIFARE-kompatibilisnek minősül

A frekvencia nem határozza meg a teljes protokollt, chipcsaládot vagy alkalmazást. Erősítse meg az olvasó és a hitelesítő adatok pontos támogatását.

Minden MIFARE kártya egyformán biztonságosként való kezelése

A Classic, a Plus és a DESFire különböző biztonsági architektúrákkal és telepítési modellekkel rendelkezik. Az NXP jelenleg a Classic EV1-et nem ajánlottnak jelöli az új dizájnokhoz, míg a Plus EV2 és DESFire EV3 eltérő migrációs és biztonsági lehetőségeket kínál. :contentReference[oaicite:24]{index=24}

Kártyák cseréje lefagyás nélküli azonosító leképezés nélkül

Az olvasható kártya gyártása továbbra is meghiúsulhat, ha az olvasó és a háttérrendszer nem ért egyet az UID megjelenítésével, a kártya formátumával vagy a felhasználói leképezéssel kapcsolatban.

Biztonságos chip vásárlása, de csak nyilvános azonosító használata

A kiválasztott chip képessége és a megvalósított hitelesítési modell külön kérdés.

Kettős technológia használata örökölt{0}}nyugdíjcsomag nélkül

A kettős{0}}frekvenciás olvasók és a kettős-technológiás kártyák csökkenthetik a fennakadásokat, de a migrációnak továbbra is meg kell határoznia, hogy mikor lesz többé szükség a régi technológiára.

Végső ajánlás

A gyakorlati különbség a MIFARE és a proximity kártyák között nagyobb, mint 13,56 MHz a 125 kHz-hez képest.

A megbízható hozzáférés-szabályozási döntésnek{0}}meg kell felelnie:

• Milyen olvasók vannak valójában telepítve?
• Milyen családokat támogatnak?
• Milyen azonosítót vagy védett adatokat használ az alkalmazás?
• Valódi hitelesítést hajt végre az olvasó, vagy csak egy azonosítót olvas?
• Ki irányítja az intelligens{0}}kártya kulcsait és a személyre szabást?
• Hogyan védik az olvasók{0}}a vezérlők közötti kommunikációt?
• Hogyan fognak egymás mellett létezni a régi és az új hitelesítő adatok a migráció során?
• Milyen bizonyítékoknak kell megfelelniük, mielőtt az örökölt hozzáférést megszüntetik?

Meglévő, alacsony{0}}kockázatú, nagy, 125 kHz-es telepített bázissal rendelkező telepítések esetén az örökölt Prox-hitelesítő adatok meghatározott ideig történő fenntartása működési döntés lehet, nem pedig hiba.

Új telepítés vagy biztonsági frissítés esetén a megfelelően megvalósított modern MIFARE{0}}családi hitelesítési adatok támogathatják a hitelesítést, a védett alkalmazásadatokat és a rugalmasabb hitelesítő adatok kezelését. Az érték a teljes tervezésből származik, nem a specifikációra nyomtatott MIFARE névből.

Telepített olvasó → pontos hitelesítő adatok → azonosító/alkalmazás adatok → hitelesítés → kulcsok → rendszerbiztonság → migrációs architektúra → éles minta → elfogadási teszt.

Miután meghatározták az olvasómodelleket, a cél hitelesítő adatokat, az azonosító szabályokat, a hitelesítési megközelítést, a migrációs tervet, a grafikát, a mennyiséget és az elfogadási követelményeket, a vásárlókkérjen mintát vagy árajánlatotprojekt{0}}specifikus értékeléshez.