Un card RFID pentru controlul accesului și prezența: cartografierea ID/IC și lista de verificare a implementării

O companie poate emite câte o insignă RFID fiecărui angajat și, totuși, poate ajunge cu două identități conflictuale: un număr înscris la ușă și un alt număr așteptat de ceas. Este posibil ca insigna să funcționeze la intrare, dar să nu înregistreze prezența sau ceasul o poate accepta în timp ce sistemul de control-accesului arată o acreditare necunoscută.

Rezolvarea acestui lucru necesită mai mult decât alegerea între o „carte de identitate” și o „carte IC”. Definiți o înregistrare stabilă a persoanei, identificați ceea ce scoate fiecare cititor, mapați fiecare acreditare autorizată la acea persoană și testați accesul și participarea ca evenimente de afaceri separate.

Acest ghid se adresează managerilor de unități, echipelor de resurse umane și IT, integratorilor și organizațiilor care emit carduri RFID atât pentru uși, cât și pentru timp-și-prezență. Acesta acoperă maparea identității, condițiile obișnuite de eșec, testele de acceptare și specificațiile de achiziție, mai degrabă decât o altă comparație generală a cardurilor.

 

 

O insignă nu înseamnă automat un număr de acreditare

Pe unele piețe,"Carte de identitate"înseamnă o autentificare de bază de proximitate de 125 kHz, cum ar fi anumite carduri din seria-identificator fix EM- și„Card IC”înseamnă un smart card fără contact de 13,56 MHz. Acestea sunt etichete de piață informale, nu clasificări tehnice universale. Ambele produse conțin un circuit integrat. În alte contexte, un card IC poate fi, de asemenea, un card inteligent de contact.

Întrebarea relevantă pentru insignele angajaților este ce acreditări sunt acceptate de cititorii reale de ușă și ceas{0}}. Un cititor de numai 125 kHz-nu poate citi o autentificare de numai 13,56 MHz-pentru că ambele folosesc un corp de card PVC. Un cititor de frecvență HF compatibil-ar putea să detecteze un card inteligent, dar totuși să nu poată utiliza aplicația sau formatul de autentificare necesar.

Pentru o tehnologie mai largă și o comparație de achiziție, Syntek'sGhid card IC vs card de identitatese ocupă de acea decizie. Această pagină se concentrează pe a face o insignă să funcționeze în mod constant pe două sisteme de operare.

 

 

Separați persoana, cardul fizic și acreditările de sistem

Un sistem operabil cu dublă-utilizare conține mai multe înregistrări diferite. Tratându-le ca interschimbabile cauzează probleme atunci când cineva își schimbă departamentele sau pierde o insignă.

Identificatorii de ușă și de prezență pot avea uneori aceeași valoare tehnică. De asemenea, pot diferi în ceea ce privește reprezentarea octeților, lungimea, aplicarea sau chiar tehnologia RF. Niciun rezultat nu trebuie presupus dintr-o imagine sau un număr tipărit pe card.

Urmează un design stabilo persoană → una sau mai multe referințe de acreditări autorizate → ușă independentă și permisiuni de prezență. Înlocuirea cardului nu ar trebui să creeze o a doua înregistrare a angajatului.

 

 

Inventariază ambele populații de cititori înainte de a comanda carduri

Multe clădiri au cititoare de ușă principală mai noi-și terminale de prezență mai vechi. Obțineți producătorul, modelul și configurația relevantă pentru fiecare tip de cititor diferit.

Utilizați un card autorizat-bun cunoscut pe o unitate reprezentativă a fiecărei familii de dispozitive. Capturați valoarea așa cum se arată în aplicația autorizată, păstrați zerourile de început și documentați reprezentarea zecimală sau hexazecimală. Nu presupuneți că numărul cardului imprimat este ceea ce stochează controlerul.

 

 

De ce aceeași insignă poate afișa două numere diferite

Firmware-ul cititorului poate extrage o parte dintr-un identificator de cip, poate aplica un format de card, poate inversa ordinea octetilor sau poate afișa un număr convertit. O implementare modernă de card inteligent-poate, în schimb, să autentifice și să preia o valoare a acreditării dintr-o aplicație protejată.

De exemplu, un sistem de uși poate stocaDOOR_TOKEN_Ași se poate înregistra un sistem de prezențăCLOCK_TOKEN_B. Ambele referințe simbolice le pot aparținePERSONA_RECORD_1. Au nevoie de o asociere controlată, nu de o regulă inventată care să-i oblige să egaleze numărul de HR al angajatului.

În cazul în care se utilizează un cod de unitate și un interval de numere de card-, documentați acel aspect și validați rezultatul rezultat. Două sisteme care listează suportul „26 de biți” nu sunt neapărat configurate pentru a interpreta câmpuri de acreditări identice.

 

 

Alegeți o arhitectură tehnologică care se potrivește sistemelor instalate

NXP MIFARE DESFire EV3are capabilități criptografice și multi-aplicații, dar aceste funcții sunt disponibile numai atunci când cititorul, cheile și aplicația compatibile sunt configurate corect. Citirea unui UID public pe un cip capabil nu este echivalent cu autentificarea datelor de autentificare protejate.

Pentru aprovizionarea cardurilor și opțiunile de construcție, Syntek'sCategoria cardului RFIDeste destinatia comerciala. Acest ghid nu înlocuiește sarcina de cumpărare a paginii produsului.

 

 

Creați un registru de cartografiere aprobat înainte de înscrierea în masă

Relația dintre personal și insigne necesită un proprietar responsabil și un istoric de audit. Un registru de acreditări controlat poate locui într-o platformă-de gestionare a acreditărilor sau într-o integrare aprobată. Evitați să vă bazați pe o foaie de calcul neversionată trimisă prin e-mail între facilități și HR.

Păstrați informațiile personale ale angajaților și detaliile de salarizare în sistemele de afaceri protejate, mai degrabă decât să le puneți pe acreditări pur și simplu pentru că un cip care poate fi scris oferă memorie. Limitați-partajarea fișierelor de mapare la administratorii autorizați.

 

 

Evenimentele de acces nu sunt evenimente de participare

Deschiderea autorizată a ușii nu este neapărat un punct valid de lucru-. Cineva poate intra într-o clădire pentru a colecta echipamente, pentru a se deplasa între locații sau pentru a escorta un vizitator. O indicație de timp-poate fi valabilă fără activitatea corespunzătoare a ușii.

• Acces aplicatie:determină dacă acreditările înscrise au permisiunea la o ușă și la oră.
• Cerere de participare:primește ceas-in, ceas-out și evenimente excepționale conform politicilor organizației.
• Procesul HR / salarizare:validează în mod independent programele, corecțiile și înregistrările{0}}orelor lucrate.

Dacă compania dorește o atingere pentru a genera ambele evenimente, integrarea trebuie să le creeze și să le valideze în mod explicit pe ambele. Numai o intrare în jurnalul unui cititor de ușă nu ar trebui să se presupună niciodată că dovedește orele lucrate.

 

 

Utilizați carduri tehnologice duble-numai cu o stare finală planificată

O implementare în etape poate avea cititoare vechi de 125 kHz la stațiile de asistență și cititoare noi de 13,56 MHz la uși, sau invers. O insignă fizică care conține două tehnologii poate reduce decalajul dacă ambele sisteme de acreditări acceptă combinația reală de cipuri.

Acest card poate expune doi identificatori electronici diferiți. Fiecare trebuie să fie conectat la aceeași persoană autorizată și verificat pe dispozitivul corect. oferte HIDInformații de migrare-tehnologiei multiCLASS; compatibilitatea practică depinde încă de configurația cititorului instalat și platforma de acces.

Setați o dată sau o condiție explicită pentru retragerea acceptării moștenite. Un card criptografic modern are o valoare limitată de securitate dacă partea sa mai veche a ID-ului fix-rămîne o acreditare acceptată pe termen nelimitat, fără o necesitate comercială aprobată.

 

 

Testați conexiunea Reader-la-controller ca strat separat

Diagnosticați eșecurile în secvență. Dacă cititorul nu detectează insigna, investigați frecvența, protocolul și familia de acreditări acceptată. Dacă cititorul reacționează, dar software-ul de acces refuză intrarea, inspectați formatul de ieșire, maparea, permisiunile utilizatorului și politica controlerului.

Link-ul cititor-la-controler este separat de interfața cardului. TheLista de verificare OSDP a Asociației Industriei de Securitateabordează implementarea și verificarea securității conexiunilor bazate{0}}OSDP. OSDP și Wiegand vechi descriu comunicațiile componente; niciunul nu garantează în sine că un anumit ID sau card IC funcționează cu cititorul.

Achiziția de carduri nu ar trebui să fie utilizată ca prescurtare pentru o actualizare de securitate a cititorului/controllerului. Documentați astfel de modificări ale infrastructurii ca propria lor lucrare de proiect aprobată.

 

 

Testele de acceptare ar trebui să urmeze întregul ciclu de viață al angajatului

O singură trecere cu succes a ușii și un ceas{0}}de succes nu pot dovedi o implementare completă. Testați cum se comportă fiecare sistem după evenimente normale și excepționale ale forței de muncă.

Unele platforme sincronizează identitatea și starea acreditărilor. Altele necesită acțiuni administrative separate. Confirmați comportamentul în documentație și un pilot controlat, mai degrabă decât să promiteți actualizări automate.

 

 

Preveniți cardurile de înlocuire să creeze identități active paralele

Înlocuirea creează un risc specific: administratorul ușii înregistrează o nouă insignă, în timp ce administratorul-ceasului o lasă activă pe cea veche. Ambele carduri pot apărea apoi valide într-una sau ambele baze de date.

1. Căutați evidența persoanei cu forță de muncă autorizată.
2. Listați referințele la ușile active și acreditările de prezență pentru acea persoană.
3. Înregistrați de ce a fost înlocuită insigna fizică și dacă a fost returnată.
4. Înregistrați și testați noile referințe de card folosind proceduri aprobate.
5. Revocați referințele vechi din fiecare sistem relevant.
6. Confirmați că acreditările retrase sunt refuzate acolo unde este necesar.
7. Păstrați cartografierea și modificarea istoricului; păstrează evidențele de prezență anterioare ale persoanei.

Recuperarea fizică și revocarea electronică sunt stări diferite. O insignă lipsă poate fi dezactivată; o insignă returnată poate fi încă autorizată din punct de vedere tehnic până când permisiunile de acces sunt efectiv eliminate.

 

 

Pilotează o schimbare completă, nu doar două demonstrații pentru cititori

Rulați pilotul pe modelele exacte de citire și aplicațiile backend așteptate în producție. Utilizați date de testare ne-sensibile aprobate și includeți securitatea, HR și integratorul în procesul de acceptare.

1. Linia de referință:surprindeți cum se comportă o insignă-bună cunoscută la ușile reprezentative și ceasurile de timp.
2. Inscriere:emite un eșantion de card și înregistrează-i identitățile tehnice și maparea forței de muncă.
3. Acces:verifica tranzacțiile permise și refuzate în mod intenționat, inclusiv diferite modele de cititoare.
4. Prezenta:verificați evenimentele-de intrare și de terminare-la ceasului apar sub înregistrarea persoanei potrivite.
5. Excepții:testați numere necunoscute, mapări conflictuale, expirare și o acreditare revocată intenționat.
6. Înlocuire:emite un nou eșantion și asigură-te că ambele sisteme retrag identitatea anterioară.
7. Reconciliere:comparați jurnalele de audit și cozile de excepții înainte de a aproba producția pe lot.

Compania trebuie să decidă propriile praguri de acceptare, cum ar fi evenimentele eșuate care blochează lansarea și cine poate aproba o excepție. Declarația unui furnizor că un card „se citește cu succes” nu este o dovadă că înregistrările de prezență și permisiunile de ușă sunt corecte.

 

 

Ce să specificați într-o cerere de cumpărare a unui card ID/IC

O cotație are rareori nevoie de liste de angajați brute, chei de aplicație confidențiale sau acreditări de acces la producție live. Începeți cu specificațiile cititorului și mostrele de testare autorizate, apoi stabiliți un proces controlat de partajare a datelor-dacă este necesară personalizarea.

 

 

Când păstrarea cărților de identitate existente are sens

Dacă lucrarea este o reordonare de întreținere și ambele aplicații depind de un format de 125 kHz de lucru-cunoscut, continuitatea poate fi prioritatea imediată. Acest lucru nu ar trebui interpretat greșit ca o îmbunătățire a securității. Este posibil să fie în continuare nevoie de un plan separat pentru a aborda riscurile aferente-identificatorului fix.

Dacă organizația are nevoie de aplicații autentificate sau de gestionare consolidată în mai multe sisteme, definiți cititori compatibile, cheile de autentificare și guvernarea identității înainte de a selecta un cip de card inteligent-. Pentru o decizie mai amplă de cost și tehnologie, Syntek'sGhid de cost pentru acreditările de acces 125 kHz vs 13,56 MHzeste resursa adiacentă adecvată.

 

 

Handoff-ul care face ca o carte să funcționeze

Înainte de lansarea completă, ar trebui să existe o singură regulă de mapare a forței de muncă aprobate-la-de mapare a acreditărilor, o matrice de compatibilitate cu cititor-, un proces de emitere și revocare și înregistrări de testare care să arate că accesul la ușă și prezența rezolvă aceleiași persoane autorizate.

Secvența utilă esteînregistrarea persoanei → inventarul cititorului → arhitectura acreditărilor → maparea identificatorului → problema eșantionului → testul ușii → testul de prezență → testul de înlocuire și revocare → specificația lotului aprobat → lansare.

Un card este un format fizic convenabil. Identitățile consecvente și administrarea disciplinată sunt ceea ce îl fac un acreditiv partajat de încredere.