MIFARE vs carduri de proximitate: securitate, compatibilitate și migrare

În acest ghid,card de proximitateînseamnă acreditările moștenite de 125 kHz, denumite în mod obișnuit card prox în controlul accesului fizic. Portofoliul actual de proximitate al HID, de exemplu, este poziționat în mod explicit ca o familie de acreditări de acces fizic-frecvență joasă-de 125 kHz.Informații despre produs HID Proximityoferă un exemplu actual al industriei. :contentReference[oaicite:13]{index=13}

MIFARE este diferit. Este familia NXP de carduri inteligente fără contact, bazate pe tehnologia ISO/IEC 14443 și utilizate în aplicații, inclusiv managementul accesului. Numele MIFARE acoperă mai multe familii de produse decât un cip sau un nivel de securitate.Portofoliul MIFARE al NXPinclude în prezent Classic, Plus, DESFire și platforme suplimentare MIFARE. :contentReference[oaicite:14]{index=14}

Pentru o comparație mai largă a celor două categorii de-frecvență de operare, ghidul Syntek pentru125 kHz față de 13,56 MHz-acreditări de control al accesuluioferă context suplimentar.

O ordine practică de selecție este: cititor instalat → tehnologie exactă de acreditări → identificator sau date aplicației → metodă de autentificare → model de securitate → plan de migrare → specificație de producție.

MIFARE vs carduri de proximitate: comparație rapidă

Rândul de securitate este cel mai probabil să fie suprasimplificat. MIFARE nu trebuie tratat ca un singur „carte de-securitate ridicată”. Classic, Plus și DESFire au arhitecturi și capacități diferite, iar modul în care sistemul de acces utilizează aceste capacități contează la fel de mult ca și numele chipului.

Ce înseamnă „card de proximitate” în controlul accesului?

Într-un limbaj tehnic mai larg, proximitatea poate descrie interacțiunea fără contact pe distanță scurtă{0}. Cu toate acestea, în achiziționarea cu acces fizic-, „card prox” se referă în mod obișnuit la o autentificare tradițională de 125 kHz.

O cale de acces moștenită simplificată poate arăta astfel:

Acreditare 125 kHz → cititor compatibil → număr sau format de autentificare → controler → decizie de acces

Detaliul important de achiziție este că „125 kHz” nu descrie pe deplin acreditările. Controlerul se poate aștepta, de asemenea, la o anumită structură de numere de card-, un cod de unitate/site, un format de biți sau o ieșire a cititorului.

Syntek le enumeră pe ambeleCarduri de proximitate 125 kHzși mai largCarduri de control acces-RFID, dar selecția înlocuirii ar trebui totuși să înceapă de la specificațiile cititorului și controlerului instalate, mai degrabă decât de la aspectul cardului.

Ce este un card MIFARE?

MIFARE este o familie de produse fără contact NXP, nu o specificație de acreditare universală. Această distincție contează în controlul accesului, deoarece două carduri care poartă numele MIFARE pot diferi în ceea ce privește organizarea memoriei, mecanismele de securitate, autentificare și modelul de aplicație. :contentReference[oaicite:15]{index=15}

Cumpărătorii pot revizui prezentarea generală a Syntek asupra unuiCard inteligent RFIDși este disponibilăCarduri de acces MIFAREpentru contextul-la nivel de produs, dar o specificație de acces ar trebui să identifice exact familia de cipuri și comportamentul sistemului necesar.

Compatibilitatea cititorului vine înaintea preferinței cardului

Un cititor de numai 125 kHz-nu devine compatibil cu o autentificare MIFARE de 13,56 MHz, deoarece cardurile au aceleași dimensiuni în stil ISO-.

Înainte de a schimba acreditările, inventariați cititorii instalați și înregistrați:

• producător și model de cititor;
• frecvența sau frecvențele acceptate;
• familii de acreditare sprijinite;
• firmware sau configurație, acolo unde este cazul;
• interfață cititor-la-controler;
• codul actual al instalației/site-ului și formatul cardului, acolo unde este cazul;
• lungimea identificatorului și reprezentarea așteptate de platforma de acces;
• dacă sistemul utilizează un identificator public sau date autentificate ale aplicației.

de la SyntekCititor de control acces-RFIDpagina șiGhid de frecvență de operare RFIDoferiți un context suplimentar de produs și frecvență.

Frecvența nu este aceeași cu formatul acreditării

Migrațiile-controlului accesului eșuează adesea deoarece două straturi de date diferite sunt tratate ca și cum ar fi aceleași.

Primul strat este acreditările-pentru-interacțiunea RF cititorului. Un card de 125 kHz și un card MIFARE de 13,56 MHz folosesc tehnologii radio diferite.

Al doilea strat este ceea ce cititorul furnizează controlerului sau platformei de acces. Valoarea respectivă poate fi normalizată, reformatată sau mapată în funcție de configurația cititorului și a controlului accesului-.

Prin urmare, două carduri pot părea să producă numere similare-în software, în timp ce sunt complet incompatibile la nivelul RF. În schimb, un nou cititor poate detecta cu succes un card MIFARE, dar totuși să-și prezinte identificatorul controlorului într-un format diferit de cel așteptat de baza de date existentă.

Înghețați maparea identificatorului înainte de reeditarea în masă

„Păstrați același număr de card” nu este o specificație completă de migrare.

Înainte de a importa sau de a produce noi acreditări, documentați modul în care platforma de acces se așteaptă ca identificatorii să fie reprezentați. În funcție de sistem, întrebările relevante pot include:

• Valoarea sursă este un UID, un ID de autentificare al aplicației sau un alt câmp?
• Ce lungime de identificare este acceptată?
• Valoarea este stocată ca hexazecimal, zecimal sau altă reprezentare?
• Aplicația aplică o anumită ordine de octeți?
• Se păstrează zerourile de început?
• Controlorul se așteaptă la o împărțire a codului locației/site-ului și a numărului de card-?
• Un card cu dublă-tehnologie expune două identități separate care trebuie asociate cu aceeași înregistrare a utilizatorului?

Aceste detalii ar trebui preluate din platforma de acces reală și din specificația de migrare aprobată. Ele nu ar trebui să fie ghicite din numărul tipărit pe o insignă veche.

Securitatea depinde de ceea ce sistemul autentifică de fapt

Comparația „Proximitatea este nesigură; MIFARE este sigură” este prea largă pentru a sprijini o decizie serioasă de control-de acces.

Acces la identificatorul static

Multe implementări vechi de Prox utilizează în principal un identificator de acreditări. Cititorul recunoaște acreditările și transmite un identificator în sistemul de control-accesului.

Poziția generală de securitate depinde atunci de mai mult decât de card: managementul acreditărilor, proiectarea cititorului/controllerului, revocarea, monitorizarea, securitatea fizică și controalele administrative, toate contează.

MIFARE Folosit numai ca identificator

Un card inteligent-IC mai capabil poate fi încă implementat într-o arhitectură de identificare simplă-doar.

Dacă un cititor de acces doar citește un identificator expus și nu efectuează niciodată autentificarea protejată sau operațiunile de aplicație susținute de acreditările selectate, proiectul nu obține în mod automat întreaga capacitate de securitate disponibilă de pe acel cip.

Aplicație de card inteligent-autentificat

O aplicație MIFARE proiectată corespunzător poate utiliza date protejate ale aplicației, autentificare, chei criptografice și mesagerie securizată, acolo unde este acceptată de produsul ales.

Documentația actuală MIFARE DESFire EV3 a NXP enumeră suportul AES, autentificarea-la nivel de aplicație, mai multe chei și mai multe seturi de chei printre capacitățile sale de securitate. Aceste funcții depind în continuare de cititor, modelul de-cheie de management și configurația aplicației.Informații tehnice despre NXP MIFARE DESFire EV3documentează capabilitățile IC disponibile. :contentReference[oaicite:16]{index=16}

Securitatea este o proprietate a sistemului, nu o etichetă de cip

NIST SP 800-98 tratează securitatea RFID ca pe o problemă de proiectare și operațională la nivel de sistem-, mai degrabă decât ca o problemă de etichetă. TheGhid de securitate NIST RFIDacoperă planificarea, implementarea și operarea sistemelor RFID. :contentReference[oaicite:17]{index=17}

Pentru nivelul cititor-la-controller, Asociația Industriei de SecuritateDeschideți Protocolul dispozitivului supravegheatacceptă comunicații supravegheate și protecția canalului securizat între dispozitivele-de control al accesului. Actualul ghid de implementare al SIA recomandă în mod specific Canalul Securizat atunci când este utilizat OSDP. :contentReference[oaicite:18]{index=18}

Ghidul Syntek pentruSecuritatea datelor RFIDpoate susține discuția mai largă privind securitatea internă.

Întrebări cheie de management pe care ar trebui să le pună cumpărătorii

Odată ce un proiect trece dincolo de accesul numai UID-, managementul cheilor devine parte din specificația de achiziție.

Arhitectura DESFire EV3 a NXP acceptă mai multe chei de aplicație și mai multe seturi de chei, ceea ce ilustrează de ce „cardul acceptă AES” nu este suficientă informație pentru a defini implementarea. :contentReference[oaicite:19]{index=19}

Înainte de personalizare sau producție în masă, clarificați:

• Cine deține cheile de producție și aplicație?
• Cine este autorizat să personalizeze acreditările?
• Va fi utilizată personalizarea controlată de furnizor-, controlată de client- sau gestionată în comun?
• Cardurile sunt livrate într-o stare de inițializare cunoscută?
• Cum sunt furnizate acreditările de înlocuire?
• Pot fi schimbate cheile atunci când responsabilitățile sau sistemele se schimbă?
• Cum sunt documentate versiunile cheie și configurația aplicației?
• Cum sunt separate mediile de producție, de testare și live?
• Cine poate recupera programul de acreditări dacă furnizorul original de personalizare nu mai este disponibil?

Răspunsul depinde de platforma-de control al accesului și arhitectura de securitate. Cumpărătorii nu ar trebui să solicite, să schimbe sau să stocheze chei de producție sensibile în foi de calcul obișnuite sau în fire de e-mail informale.

MIFARE Classic, Plus și DESFire sunt decizii de cumpărare diferite

MIFARE Classic EV1

Actualul lui NXPPagina produsului MIFARE Classic EV1afișează produsul ca fiind activ, dar „nu este recomandat pentru modele noi” și îi îndreaptă pe designeri către un înlocuitor mai nou. Asta nu înseamnă că fiecare sistem Classic instalat trebuie să înceteze imediat să funcționeze; înseamnă că un nou proiect nu ar trebui să selecteze Classic doar pentru că „MIFARE” sună mai nou de 125 kHz Prox. :contentReference[oaicite:20]{index=20}

MIFARE Plus EV2

Pozițiile NXPMIFARE Plus EV2ca o cale de upgrade pentru implementările existente. Specificația sa actuală include un concept de nivel de securitate pentru migrare și autentificare AES-128 și mesagerie securizată la niveluri de securitate mai ridicate. :contentReference[oaicite:21]{index=21}

MIFARE DESFire EV3

DESFire EV3 este proiectat pentru utilizarea securizată de mai multe-aplicații și oferă capabilități inclusiv AES-128, autentificare reciprocă și structuri flexibile de aplicație/cheie. Prezența acelor capacități nu dovedește că un anumit sistem de acces le utilizează; suportul pentru cititor și aplicație rămân obligatorii. :contentReference[oaicite:22]{index=22}

Când ar trebui să păstrați proximitatea de 125 kHz și când ar trebui să vă mutați?

Păstrarea proximității poate fi rațională

O acreditare tradițională de 125 kHz poate rămâne rezonabilă din punct de vedere operațional atunci când baza de citire instalată este mare și stabilă, mediul protejat are un model de risc acceptat, compatibilitatea este prioritatea imediată a afacerii sau site-ul este programat pentru migrare mai târziu.

Continuarea cu bună știință a unei tehnologii vechi este diferită de a presupune că oferă același model de securitate ca un sistem modern de carduri inteligente autentificat-.

Mutarea la MIFARE poate avea sens

O acreditare adecvată a familiei MIFARE-devine mai relevantă atunci când proiectul necesită date de aplicație protejate, interacțiune cu cititorul de card-autentificat, capacitate pentru mai multe-aplicații, gestionarea modernă a acreditărilor sau o cale definită în afara infrastructurii vechi de identificare-doar.

Decizia necesită încă o familie de produse exactă și o aplicație susținută. „MIFARE” în ​​sine rămâne prea larg pentru un RFQ.

Planificați migrația în cinci faze controlate

Acolo unde este necesară o tehnologie mixtă în timpul tranziției, Syntek enumeră acititor RFID cu frecvență duală{0}si acard RFID cu două-frecvențeprintre produsele sale aferente site-ului.

Acreditările duble-tehnologice pot reduce întreruperile

O acreditare cu dublă-tehnologie poate plasa o tehnologie moștenită de 125 kHz și o tehnologie mai nouă de card inteligent- HF în același card fizic.

Actualul lui HIDAcreditare MIFARE DESFire EV3 + Proxeste un exemplu real al industriei. HID îl poziționează ca o modalitate de a menține interoperabilitatea cu cititoarele vechi de 125 kHz în timpul migrării către infrastructura bazată pe DESFire-. :contentReference[oaicite:23]{index=23}

Asta nu înseamnă că cele două tehnologii expun neapărat același identificator sau folosesc același proces de securitate. Baza de date-de control al accesului ar trebui să mapeze în mod explicit identitățile acreditărilor la înregistrarea utilizatorului dorit.

Tehnologia duală este cea mai utilă atunci când are un plan de ieșire. Odată ce un site nu mai necesită suport vechi de 125 kHz, echipa de migrare ar trebui să decidă dacă acea cale de acceptare mai veche ar trebui să rămână activată.

Scenariu ilustrativ de migrare: trei clădiri de birouri

Următorul scenariu este ilustrativ și nu este prezentat ca un caz client.

O companie operează trei clădiri de birouri. Clădirea A are încă cititoare de 125 kHz-doar. Clădirea B are cititoare care pot accepta atât acreditările vechi, cât și noua tehnologie-smart card. Clădirea C a fost deja actualizată la mediul țintă MIFARE.

În loc să schimbe fiecare ușă și fiecare insignă într-un weekend, compania înregistrează mai întâi fiecare cititor și ușă. Un grup limitat de angajați primește acreditări de tehnologie dublă-. În timpul pilotului, baza de date de acces mapează ambele tehnologii de acreditări la același cont de angajat, în timp ce echipa verifică ce componentă este acceptată la fiecare clădire.

Pilotul nu este considerat reușit doar pentru că noua insignă deschide clădirea C. Echipa verifică, de asemenea, că:

• ușile moștenite încă funcționează în perioada de tranziție aprobată;
• noile acreditări se autentifică conform intenției la ușile modernizate;
• acreditările revocate sunt refuzate;
• cardurile de înlocuire nu lasă vechea acreditare activă;
• maparea identificatorului nu creează înregistrări utilizator duplicat;
• personalul de asistență poate spune dacă o problemă aparține cardului, cititorului, cartografierii sau permisiunii de acces.

După ce clădirea A este actualizată și toți utilizatorii necesari au migrat, acceptarea moștenită poate fi revizuită pentru retragere, în loc să rămână activată pe termen nelimitat.

Definiți criteriile de acceptare a migrației înainte de lansare

Pentru un cadru de validare mai larg, consultați ghidul Syntek pentruTestarea sistemului RFID.

Aprobați un eșantion de acreditare echivalent-producție

Un pilot de migrare nu ar trebui să se bazeze doar pe un card de dezvoltare neimprimat.

Eșantionul echivalent de producție-ar trebui să reprezinte ordinea dorită în:

• familia exactă de cipuri;
• factor de formă a acreditării;
• starea de personalizare;
• configurarea identificatorului/aplicației;
• imprimare și date variabile;
• compatibilitate cu cititorul;
• mapare backend;
• comportamentul de înlocuire și revocare.

Dacă sunt necesare imprimări variabile, numere de angajați, coduri QR sau alte date vizibile, ghidul Syntek pentruImprimare RFIDpoate sprijini opera de artă și planificarea-fișierelor de date.

Pentru inspecția lotului, prezentarea de ansamblu a Syntekechipamente de control al calitatiioferă un context suplimentar de-QC de producție.

Ce trebuie să trimiteți furnizorului dvs. de card înainte de a comanda

Proiectele care necesită construcție de carduri personalizate, imprimare, personalizare sau producție controlată pot continua la SyntekProducție OEM și ODMinformații odată ce specificația tehnică este definită.

Greșeli frecvente de cumpărare

Tratarea fiecărui card de 13,56 MHz ca fiind compatibil MIFARE-

Frecvența nu definește protocolul complet, familia de cipuri sau aplicația. Confirmați cititorul exact și suportul pentru acreditări.

Tratarea fiecărui card MIFARE ca fiind la fel de sigur

Classic, Plus și DESFire au arhitecturi de securitate și modele de implementare diferite. În prezent, NXP marchează Classic EV1 ca nerecomandat pentru noile modele, în timp ce Plus EV2 și DESFire EV3 oferă diferite capacități de migrare și securitate. :contentReference[oaicite:24]{index=24}

Înlocuirea cardurilor fără a îngheța maparea identificatorului

Un card care poate fi citit poate eșua în producție dacă cititorul și backend-ul nu sunt de acord cu privire la reprezentarea UID, formatul cardului sau maparea utilizatorului.

Cumpărarea unui cip securizat, dar folosind doar un identificator public

Capacitatea cipului selectat și modelul de autentificare implementat sunt întrebări separate.

Utilizarea tehnologiei duale fără un plan de pensie-moștenire

Cititoarele cu dublă-frecvență și cardurile cu-tehnologie duală pot reduce întreruperile, dar migrarea ar trebui să definească în continuare când nu va mai fi necesară vechea tehnologie.

Recomandare finală

Diferența practică dintre MIFARE și cardurile de proximitate este mai mare de 13,56 MHz față de 125 kHz.

O decizie sigură de control al accesului-ar trebui să răspundă:

• Ce cititoare sunt instalate de fapt?
• Ce familii de acreditare susțin?
• Ce identificator sau date protejate folosește aplicația?
• Cititorul efectuează autentificare reală sau citește doar un identificator?
• Cine controlează cheile cardurilor inteligente-și personalizarea?
• Cum este protejată comunicarea dintre cititor-la-controller?
• Cum vor coexista acreditările vechi și noi în timpul migrării?
• Ce dovezi trebuie să treacă înainte ca accesul moștenit să fie retras?

Pentru o implementare existentă cu risc scăzut-cu o bază mare instalată de 125 kHz, continuarea acreditărilor Prox vechi pentru o perioadă definită poate fi o decizie operațională mai degrabă decât o eroare.

Pentru o nouă implementare sau o actualizare de securitate, o autentificare de familie MIFARE{0}}modernă implementată corespunzător poate accepta autentificare, date protejate ale aplicației și o gestionare mai flexibilă a acreditărilor. Valoarea provine din designul complet, nu din denumirea MIFARE imprimată pe caietul de sarcini.

Cititor instalat → acreditare exactă → date de identificare/aplicație → autentificare → chei → securitate sistemului → arhitectură de migrare → eșantion de producție → test de acceptare.

Odată ce modelele de cititor, acreditările țintă, regulile de identificare, abordarea de autentificare, planul de migrare, opera de artă, cerințele de cantitate și de acceptare sunt definite, cumpărătorii potsolicitați o mostră sau o ofertăpentru evaluarea specifică-proiectului.