MIFARE срещу безконтактни карти: Сигурност, съвместимост и миграция

В това ръководство,безконтактна картаозначава наследените 125 kHz идентификационни данни, обикновено наричани прокс карта при физически контрол на достъпа. Текущото портфолио Proximity на HID, например, е изрично позиционирано като 125 kHz ниско{3}}фамилия-идентификационни данни за физически достъп.Информация за продукта HID Proximityпредоставя актуален пример за индустрията. :contentReference[oaicite:13]{index=13}

MIFARE е различен. Това е фамилията продукти за безконтактни смарт-карти на NXP, базирани на технологията ISO/IEC 14443 и използвани в приложения, включително управление на достъпа. Името MIFARE покрива няколко семейства продукти, а не един чип или едно ниво на сигурност.Портфолиото MIFARE на NXPв момента включва Classic, Plus, DESFire и допълнителни MIFARE платформи. :contentReference[oaicite:14]{index=14}

За по-широко сравнение на двете работни-категории честота, ръководството на Syntek за125 kHz срещу 13,56 MHz достъп-контролни идентификационни даннипредоставя допълнителен контекст.

Практичен ред за избор е: инсталиран четец → точна технология за удостоверяване → идентификатор или данни на приложението → метод за удостоверяване → модел на защита → план за миграция → производствена спецификация.

MIFARE срещу безконтактни карти: Бързо сравнение

Редът за сигурност е най-вероятно да бъде твърде опростен. MIFARE не трябва да се третира като единична карта с висока-сигурност. Classic, Plus и DESFire имат различни архитектури и възможности и начинът, по който системата за достъп използва тези възможности, е толкова важен, колкото и името на чипа.

Какво означава „проксимити карта“ в контрола на достъпа?

На по-широк технически език, близостта може да опише безконтактно взаимодействие на малък{0}}обхват. При закупуване на физически -достъп обаче „prox карта“ обикновено се отнася до традиционни 125 kHz идентификационни данни.

Опростеният наследен път за достъп може да изглежда така:

125 kHz идентификационни данни → съвместим четец → идентификационен номер или формат → контролер → решение за достъп

Важната подробност за поръчката е, че "125 kHz" не описва напълно удостоверението. Контролерът може също така да очаква конкретна структура-на номера на картата, код на съоръжение/сайт, битов формат или изход от четеца.

Syntek изброява и двете125 kHz безконтактни карти с мидаи по-широкоRFID карти за{0}}контрол на достъпа, но изборът на замяна трябва да започне от спецификацията на инсталирания четец и контролер, а не от външния вид на картата.

Какво е карта MIFARE?

MIFARE е семейство безконтактни продукти на NXP, а не една универсална спецификация за идентификационни данни. Това разграничение има значение при контрола на достъпа, тъй като две карти, носещи името MIFARE, може да се различават по организация на паметта, механизми за сигурност, удостоверяване и модел на приложение. :contentReference[oaicite:15]{index=15}

Купувачите могат да прегледат прегледа на Syntek наRFID смарт картаи е наличенMIFARE карти за достъпза контекст на -ниво продукт, но спецификацията за достъп трябва да идентифицира точното изисквано семейство чипове и поведение на системата.

Съвместимостта на четеца е преди предпочитанията за карти

Само 125 kHz-четец не става съвместим с 13,56 MHz MIFARE идентификационни данни, тъй като картите имат едни и същи размери в стил ISO-.

Преди да промените идентификационните данни, инвентаризирайте инсталираните четци и запишете:

• производител и модел на четеца;
• поддържана честота или честоти;
• подкрепени акредитивни семейства;
• фърмуер или конфигурация, когато е приложимо;
• интерфейс от-към-контролер;
• код на текущо съоръжение/обект и формат на картата, когато е приложимо;
• дължина на идентификатора и представяне, очаквано от платформата за достъп;
• дали системата използва публичен идентификатор или удостоверени данни от приложението.

на СинтекRFID четец за{0}}контрол на достъпастраница иНасоки за работна честота на RFIDпредоставя допълнителен контекст на продукта и честотата.

Честотата не е същата като формата на идентификационните данни

Миграциите-на контрола на достъпа често се провалят, защото два различни слоя данни се третират така, сякаш са едни и същи.

Първият слой е радиочестотното взаимодействие-с-четеца. 125 kHz карта и 13,56 MHz MIFARE карта използват различни радиотехнологии.

Вторият слой е това, което четецът доставя на контролера или платформата за достъп. Тази стойност може да бъде нормализирана, преформатирана или картографирана според конфигурацията на четеца и-контрола на достъпа.

Следователно може да изглежда, че две карти произвеждат подобни-изглеждащи числа в софтуера, като същевременно са напълно несъвместими в RF слоя. Обратно, нов четец може успешно да открие MIFARE карта, но все пак да представи своя идентификатор на контролера във формат, различен от очаквания от съществуващата база данни.

Замразяване на съпоставянето на идентификатора преди масово преиздаване

„Запазване на същия номер на карта“ не е пълна спецификация за миграция.

Преди да импортирате или произведете нови идентификационни данни, документирайте как платформата за достъп очаква идентификаторите да бъдат представени. В зависимост от системата съответните въпроси могат да включват:

• Изходната стойност UID, идентификационен номер на приложението ли е или друго поле?
• Каква дължина на идентификатора се приема?
• Стойността съхранява ли се като шестнадесетично, десетично или друго представяне?
• Приложението прилага ли определен ред на байтовете?
• Запазват ли се водещите нули?
• Контролерът очаква ли разделяне на кода на обекта/обекта и-номера на картата?
• Карта с двойна-технология разкрива ли две отделни самоличности, които трябва да бъдат съпоставени с един и същи потребителски запис?

Тези подробности трябва да бъдат взети от действителната платформа за достъп и одобрената спецификация за миграция. Те не трябва да се гадаят по отпечатания номер на стара значка.

Сигурността зависи от това, което системата действително удостоверява

Сравнението „Близостта е несигурна; MIFARE е защитен“ е твърде широко, за да подкрепи сериозно решение-за контрол на достъпа.

Достъп със статичен идентификатор

Много наследени внедрявания на Prox използват предимно идентификатор на идентификационни данни. Четецът разпознава идентификационните данни и предава идентификатор в-системата за контрол на достъпа.

Цялостното положение на сигурността тогава зависи от нещо повече от картата: управление на идентификационните данни, дизайн на четец/контролер, отмяна, наблюдение, физическа сигурност и административни контроли са от значение.

MIFARE Използва се само като идентификатор

По-мощна интегрална схема за смарт-карти все още може да бъде разгърната в архитектура с обикновен идентификатор-.

Ако четецът за достъп просто чете разкрит идентификатор и никога не изпълнява защитените операции за удостоверяване или приложение, поддържани от избраните идентификационни данни, проектът не получава автоматично пълната способност за сигурност, налична от този чип.

Удостоверено приложение за смарт-карта

Правилно проектираното приложение на MIFARE може да използва защитени данни на приложението, удостоверяване, криптографски ключове и защитени съобщения, когато се поддържат от избрания продукт.

Текущата документация на NXP за MIFARE DESFire EV3 изброява AES поддръжка,-удостоверяване на ниво приложение, множество ключове и множество набори ключове сред неговите възможности за сигурност. Тези функции все още зависят от четеца, модела-на управление на ключове и конфигурацията на приложението.Техническа информация за NXP MIFARE DESFire EV3документира наличните възможности на IC. :contentReference[oaicite:16]{index=16}

Сигурността е системно свойство, а не етикет на чип

NIST SP 800-98 третира RFID сигурността като системен{2}}дизайн и оперативен проблем, а не проблем само с етикета. TheУказание за сигурност на NIST RFIDобхваща планиране, внедряване и експлоатация на RFID системи. :contentReference[oaicite:17]{index=17}

За слоя-към-контролера, Асоциацията на индустрията за сигурностОтворете протокола за контролирано устройствоподдържа контролирани комуникации и защита на защитения канал между-устройствата за контрол на достъпа. Настоящите насоки за внедряване на SIA специално препоръчват защитен канал, когато се използва OSDP. :contentReference[oaicite:18]{index=18}

Ръководството на Syntek заRFID сигурност на даннитеможе да подпомогне по-широката дискусия за вътрешна сигурност.

Ключови въпроси за управление, които купувачите трябва да задават

След като даден проект премине отвъд достъпа само-UID, управлението на ключовете става част от спецификацията за закупуване.

Архитектурата DESFire EV3 на NXP поддържа множество ключове за приложения и множество набори ключове, което илюстрира защо „картата поддържа AES“ не е достатъчна информация за дефиниране на внедряването. :contentReference[oaicite:19]{index=19}

Преди персонализиране или масово производство, изяснете:

• Кой притежава ключовете за производство и приложение?
• Кой е упълномощен да персонализира идентификационните данни?
• Ще се използва ли персонализация,-контролирана от доставчика,-клиента или съвместно управлявана?
• Картите доставят ли се в известно състояние на инициализация?
• Как се предоставят заместващи идентификационни данни?
• Могат ли ключовете да се променят при промяна на отговорностите или системите?
• Как се документират ключовите версии и конфигурацията на приложението?
• Как се разделят производствената, тестовата и жива среда?
• Кой може да възстанови програмата за идентификационни данни, ако първоначалният доставчик на персонализиране вече не е наличен?

Отговорът зависи от-платформата за контрол на достъпа и архитектурата за сигурност. Купувачите не трябва да изискват, обменят или съхраняват чувствителни производствени ключове в обикновени електронни таблици с произведения на изкуството или неофициални имейл нишки.

MIFARE Classic, Plus и DESFire са различни решения за покупка

MIFARE Classic EV1

Ток на NXPПродуктова страница MIFARE Classic EV1изброява продукта като активен, но „не се препоръчва за нови дизайни“ и насочва дизайнерите към по-нова замяна. Това не означава, че всяка инсталирана класическа система трябва незабавно да спре да работи; това означава, че нов проект не трябва да избира Classic само защото "MIFARE" звучи по-ново от 125 kHz Prox. :contentReference[oaicite:20]{index=20}

MIFARE Plus EV2

NXP позицииMIFARE Plus EV2като път за надграждане за съществуващи внедрявания. Текущата му спецификация включва концепция за ниво на сигурност за миграция и удостоверяване по AES-128 и защитени съобщения при по-високи нива на сигурност. :contentReference[oaicite:21]{index=21}

MIFARE DESFire EV3

DESFire EV3 е проектиран за сигурно използване на много-приложения и предоставя възможности, включително AES-128, взаимно удостоверяване и гъвкави структури на приложения/ключове. Наличието на тези възможности не доказва, че определена система за достъп ги използва; поддръжката на четец и приложение остава задължителна. :contentReference[oaicite:22]{index=22}

Кога трябва да поддържате 125 kHz близост и кога трябва да се движите?

Поддържането на близост може да бъде рационално

Традиционните идентификационни данни от 125 kHz могат да останат оперативно разумни, когато инсталираната база от четци е голяма и стабилна, защитената среда има приет рисков модел, съвместимостта е непосредствен бизнес приоритет или сайтът е планиран за миграция по-късно.

Съзнателното продължаване на наследена технология е различно от допускането, че тя предоставя същия модел на сигурност като удостоверена съвременна система със смарт{0}}карти.

Преминаването към MIFARE може да има смисъл

Подходящите MIFARE{0}}фамилни идентификационни данни стават по-уместни, когато проектът изисква защитени данни от приложението, удостоверено взаимодействие с-четец на карти, възможност за множество-приложения, модерно управление на идентификационни данни или дефиниран път далеч от наследената инфраструктура само-идентификатор.

Решението все още се нуждае от точно продуктово семейство и поддържано приложение. "MIFARE" сам по себе си остава твърде широк за RFQ.

Планирайте миграцията в пет контролирани фази

Когато се изисква смесена технология по време на прехода, Syntek изброява aдвучестотен RFID четец-и адву{0}}честотна RFID картасред свързаните със сайта продукти.

Идентификационните данни за двойна-технология могат да намалят смущенията

Идентификационни данни за двойна-технология могат да поставят наследена технология от 125 kHz и по-нова HF технология за смарт-карти в една и съща физическа карта.

Ток на HIDИдентификационни данни за MIFARE DESFire EV3 + Proxе един реален пример за индустрията. HID го позиционира като начин за поддържане на оперативна съвместимост с наследени 125 kHz четци по време на миграция към инфраструктура, базирана на DESFire-. :contentReference[oaicite:23]{index=23}

Това не означава, че двете технологии непременно излагат един и същ идентификатор или използват един и същ процес на сигурност. Базата данни-за контрол на достъпа трябва изрично да съпостави самоличностите на идентификационните данни към желания потребителски запис.

Двойната технология е най-полезна, когато има план за изход. След като даден сайт вече не изисква наследена поддръжка на 125 kHz, екипът за мигриране трябва да реши дали този по-стар път за приемане трябва да остане активиран.

Илюстративен сценарий за миграция: Три офис сгради

Следният сценарий е илюстративен и не е представен като клиентски случай.

Фирмата управлява три офис сгради. Сграда А все още има 125 kHz-само четци. Сграда B има четци, които могат да поддържат както наследените идентификационни данни, така и новата технология за смарт-карти. Сграда C вече е надстроена до целевата MIFARE среда.

Вместо да сменя всяка врата и всяка значка за един уикенд, компанията първо записва всеки четец и врата. Ограничена група служители получава идентификационни данни за двойна-технология. По време на пилота базата данни за достъп картографира и двете технологии за идентификационни данни към един и същ акаунт на служител, докато екипът проверява кой компонент е приет във всяка сграда.

Пилотът не се счита за успешен просто защото новата значка отваря сграда C. Екипът също така проверява, че:

• старите врати все още работят по време на одобрения преходен период;
• новите идентификационни данни се удостоверяват по предназначение при надстроени врати;
• анулираните пълномощия са отказани;
• картографирането на идентификатори не създава дублиращи се потребителски записи;
• персоналът по поддръжката може да разбере дали проблемът принадлежи на картата, четеца, картографирането или разрешението за достъп.

След надграждане на сграда A и мигриране на всички необходими потребители, наследеното приемане може да бъде прегледано за оттегляне, вместо да остане активирано за неопределено време.

Определете критериите за приемане на миграция преди внедряване

За по-широка рамка за валидиране вижте ръководството на Syntek заТестване на RFID система.

Одобрете производствен-еквивалентен образец на удостоверение

Пилотът за миграция не трябва да разчита само на неотпечатана карта за развитие.

Производствената{0}}еквивалентна проба трябва да представлява планираната поръчка в:

• точно семейство чипове;
• акредитивен форм фактор;
• състояние на персонализация;
• конфигурация на идентификатор/приложение;
• печатни и променливи данни;
• съвместимост с четец;
• бекенд картографиране;
• поведение при замяна и отмяна.

Ако се изисква променлив печат, номера на служители, QR кодове или други видими данни, ръководството на Syntek заRFID печатможе да поддържа планиране на{0}}файлове с произведения на изкуството и данни.

За проверка на партиди прегледът на Syntek наоборудване за проверка на качествотопредоставя допълнителен производствен-контекст за контрол на качеството.

Какво да изпратите на доставчика на вашата карта, преди да поръчате

Проекти, изискващи персонализирана конструкция на карти, печат, персонализиране или контролирано производство, могат да продължат към SyntekOEM и ODM производствоинформация след дефиниране на техническата спецификация.

Често срещани грешки при купуване

Третиране на всяка 13,56 MHz карта като MIFARE-съвместима

Честотата не определя пълния протокол, семейство чипове или приложение. Потвърдете точния четец и поддръжката на идентификационни данни.

Третиране на всяка MIFARE карта като еднакво сигурна

Classic, Plus и DESFire имат различни архитектури за сигурност и модели на внедряване. В момента NXP маркира Classic EV1 като непрепоръчителен за нови дизайни, докато Plus EV2 и DESFire EV3 предоставят различни възможности за миграция и сигурност. :contentReference[oaicite:24]{index=24}

Смяна на карти без замразяване на съпоставянето на идентификатора

Четима карта все още може да се провали в производството, ако четецът и бекендът не са съгласни относно представянето на UID, формата на картата или потребителското картографиране.

Закупуване на защитен чип, но използване само на публичен идентификатор

Възможностите на избрания чип и внедреният модел за удостоверяване са отделни въпроси.

Използване на двойна технология без наследен{0}}план за пенсиониране

Четците с двойна-честота и картите с двойна{1}}технология могат да намалят смущенията, но миграцията все пак трябва да определи кога старата технология вече няма да е необходима.

Окончателна препоръка

Практическата разлика между MIFARE и безконтактните карти е по-голяма от 13,56 MHz спрямо 125 kHz.

Едно надеждно решение{0}}за контрол на достъпа трябва да отговори на:

• Какви четци всъщност са инсталирани?
• Кои семейства на удостоверения поддържат?
• Какъв идентификатор или защитени данни използва приложението?
• Четецът извършва ли реално удостоверяване или само чете идентификатор?
• Кой контролира ключовете и персонализирането-на смарт карти?
• Как е защитена комуникацията-с-контролер?
• Как старите и новите идентификационни данни ще съществуват едновременно по време на миграцията?
• Какви доказателства трябва да бъдат приети, преди наследеният достъп да бъде оттеглен?

За съществуващо внедряване с нисък{0}}риск с голяма инсталирана база от 125 kHz, продължаването на наследените идентификационни данни на Prox за определен период може да бъде по-скоро оперативно решение, отколкото грешка.

За ново разгръщане или надграждане на сигурността правилно внедрени модерни идентификационни данни за MIFARE-фамилията могат да поддържат удостоверяване, защитени данни на приложението и по-гъвкаво управление на идентификационни данни. Стойността идва от пълния дизайн, а не от името на MIFARE, отпечатано върху спецификацията.

Инсталиран четец → точни идентификационни данни → данни за идентификатор/приложение → удостоверяване → ключове → сигурност на системата → архитектура за миграция → производствена проба → тест за приемане.

След като моделите на четеца, целевите идентификационни данни, правилата за идентификатор, подходът за удостоверяване, планът за миграция, произведенията на изкуството, количеството и изискванията за приемане са определени, купувачите могатпоискайте проба или офертаза-конкретна оценка на проекта.