Безконтактна карта срещу смарт карта: ключови разлики, рискове за сигурността и как да изберете

Това ръководство обхваща как работи всяка карта, къде prox картите не отговарят на сигурността, как да идентифицирате кой тип използвате в момента, колко реалистично струва надграждането и коя технология отговаря на коя среда.

Как работи безконтактната карта

Безконтактната карта е пасивна, безконтактна идентификационна информация, работеща при125 kHz(ниска честота). Дръжте една близо до съвместим четец и електромагнитното поле на четеца захранва вътрешната антенна намотка на картата. Чипът се събужда, излъчва фиксиран идентификационен номер - обикновено код на обекта и номер на карта, кодирани в 26-битовия Wiegand формат - и затихва. Без батерия, без контакт, без взаимодействие извън това единично излъчване.

Картата съхранява много малко: приблизително 64 бита данни, достатъчно за тези два идентификатора и нищо друго. Няма възможност за обработка и криптиране. Същият идентификатор се предава всеки път, когато картата влезе във всяко 125 kHz поле -, включително такова, генерирано от нападател. Комуникационната връзка четец-към-контролер (протокол Wiegand) също не е криптирана.

125 kHz безконтактни картиобикновено идват като PVC карти с размер на-карта- или компактни ключодържатели. Те са евтини и лесни за инсталиране - една-настройка на четец не се нуждае от конфигурация на софтуер от страна на карта-. Тази простота е и причината, поради която те издържаха толкова дълго на пазара, дори когато ограниченията им за сигурност станаха по-трудни за пренебрегване.

Често срещани приложения: влизане в сгради, бариери за паркиране, турникети и всякаква среда, където целта е регистриране на достъпа до вратата, а не криптографска проверка на самоличността.

Как работи смарт картата - и защо е коренно различна

Смарт карта работи при13,56 MHz(висока честота) и съдържа вграден микропроцесор - не само намотка и пасивен чип. Когато се представят на съвместим четец, двете устройства изпълняват криптографско ръкостискане, преди каквито и да било данни за идентификационни данни да сменят ръцете си. Картата изчислява отговорите на предизвикателствата на четеца, четецът прави същото в замяна и никоя страна не предава статичен идентификатор, който може да бъде възпроизведен по-късно.

Тъй като изчисленията се извършват на самата карта, чувствителните идентификационни данни никога не трябва да напускат в четима форма. Четецът получава криптографско доказателство за самоличност. Това взаимно удостоверяване, което напълно липсва в системите за прокси карти, е в основата на сигурността на смарт карти.

Смарткартите също така съхраняват много повече, отколкото може една прокси карта - обикновено от 2 KB до 72 KB в зависимост от чипа - и поддържат множество едновременни приложения. Един единственСмарт карта ISO 14443Aможе да носи идентификационни данни за достъп до сграда, сертификат за влизане в работна станция, профил за плащане в кафене и запис на време-и-присъствие. Prox картите не могат да поберат нищо от това.

Доминиращият стандарт за смарт карти за контрол на достъпа еISO/IEC 14443- същата спецификация, използвана от картите за безконтактно плащане. Често срещаните семейства чипове включват MIFARE Classic, MIFARE DESFire EV2/EV3 и HID iCLASS. Една бележка за MIFARE Classic: изследователи от университета Radboud демонстрираха през 2008 г., че неговият патентован шифър Crypto-1 е уязвим на атаки за-възстановяване на ключ. DESFire EV2 и EV3 използват AES криптиране и са текущото поколение защитена опция за нови внедрявания.

Смарт картите се предлагат като стандартни PVC карти, ключодържатели и - в среди за здравеопазване и събития - ленти за китки.RFID гривниизградени на 13,56 MHz чипове за смарт карти се използват като детски гривни в болници, тематични паркове и летни лагери, където персоналът се нуждае както от безконтактно удобство, така и от надеждна сигурност за самоличността за непълнолетни, които не могат да управляват карта.

Ключови разлики с един поглед

Два записа в тази таблица заслужават малко повече контекст.OSDP (Отворен протокол за контролирано устройство)е модерният заместител на Wiegand във връзката-към-контролер. Повечето системи за прокси карти използват Wiegand - некриптиран сериен протокол, датиращ от 80-те години на миналия век. OSDP заменя това с AES-128-шифрована, двупосочна комуникация. Четците на смарт карти с поддръжка на OSDP затварят изцяло уязвимостта при прихващане на Wiegand, а не само риска от клониране на карта.Дистанционно оттеглянее другото недооценено предимство: когато смарт картата бъде изгубена или служител напусне, системата за управление на карти може да обезсили идентификационните данни на всички врати едновременно. Идентификационните данни на prox картата трябва да бъдат премахнати ръчно от базата данни на всеки контролер - и ако тази стъпка се забави, идентификационните данни остават активни.

Пропускът в сигурността: как всъщност изглеждат рисковете

Основният проблем с безконтактните карти е архитектурен. Те излъчват фиксиран, некриптиран идентификатор към всяко електромагнитно поле от 125 kHz -, включително генерирано от нападател. Три практични вектора на атака следват директно от този дизайн:

Клониране на карти.125 kHz устройства за четене/запис се предлагат в търговската мрежа и са лесни за използване. Четенето на идентификационни данни на прокс карта отнема секунди; записването му на празна карта отнема още няколко. Полученият клонинг е електрически неразличим от оригинала. Притежателят на картата няма индикация, че се е случило, а регистърът за достъп показва нормално сканиране.

Прихващане на Wiegand.Дори ако клонирането на карти беше предотвратено по някакъв начин, Wiegand връзката между четеца и контролера предава в чист текст. Малко устройство, монтирано вътре или зад корпуса на четеца - извън полезрението, между стената и четеца -, може безшумно да регистрира всички идентификационни данни, които преминават. Без видими манипулации, без системно предупреждение.

Без автоматично оттегляне.Както беше отбелязано по-горе, идентификационните данни на прокси картата на бивш-служител остават валидни, докато някой не ги премахне ръчно от всеки съответен контролер. На практика тази разлика често се измерва в дни или седмици.

Атаките с безконтактни карти са оперативно тихи. Клонираните идентификационни данни създават записи в регистрационния файл за достъп, идентични с тези на законния потребител. Няма аномалия, няма предупреждение и често няма разследване, докато нещо друго не задейства преглед. Това е частта, която не се показва в спецификациите.

За организации, които търсят незабавна пасивна защита за prox карти, съхранявани в портфейли, anRFID блокираща картаосигурява известно смекчаване срещу опортюнистичното сканиране -, въпреки че не прави нищо за справяне с проблема с прихващането на Wiegand от страна на четеца.

Как да разберете коя карта имате в момента

Преди да планирате каквото и да е надграждане, трябва да знаете каква технология всъщност работи във вашето съоръжение.

Стъпка 1 - Сканиране на смартфон.Инсталирайте NFC Tools (безплатно, Android) и задръжте картата на гърба на телефона. Ако приложението чете някакви данни за чип, това е 13,56 MHz смарт карта. Ако нищо не се случи, почти сигурно е 125 kHz prox карта, която Android NFC не може да разчете.

Стъпка 2 - Физическа проверка.Дръжте картата на силна светлина. Смарткартите често показват бледи вътрешни контури - сянката на намотката на антената и слоя на чипа. Prox картите изглеждат еднакви. Видима златна или сребърна контактна подложка на лицевата страна показва възможност за контактна-смарт карта, обичайна за държавните PIV карти.

Стъпка 3 - Лист със спецификации на четеца.Потърсете номера на модела на вашите инсталирани четци. Листът с данни ще изброява поддържаните честоти. "125 kHz," "HID Prox," "EM4100" или "TK4100" означава прокс. „13,56 MHz,“ „MIFARE,“ „ISO 14443“ или „iCLASS“ означава смарт карта. Ако се появят и двете, вече имате хардуер с двойна-честота.

Цена: Реалистичен поглед

Всички цифри са приблизителни към 2024–2025 г.; проверете текущите цени с доставчици преди бюджетиране.

• 125 kHz безконтактни карти: $1–$5 на карта
• Смарт карти MIFARE Classic: $2–$6 на карта
• MIFARE DESFire EV3 / iCLASS SEOS: $6–$20+ на карта
• Четци на безконтактни карти: $50–$200 на врата
• Четци на смарт карти: $80–$300 на врата
• Двучестотни-четци(четете и двата вида карти): $100–$400 на врата

Разликата в цената на-карта между прокси и начално-ниво смарт карти е по-малка, отколкото повечето хора очакват - приблизително $1–$3 на идентификационни данни. По-голямата първоначална цена е хардуерът на четеца. Ето защо четците с двойна-честота са практическата отправна точка за повечето миграции: съществуващите прокс карти продължават да работят, докато смарт картите се издават паралелно, като се избягва всяко прекъсване на ежедневния достъп.

Изчислението на общите разходи също трябва да включва колко действително струва инцидент със сигурността на прокс карта - подмяна на идентификационни данни, разследване и потенциално регулаторно докладване. Тази цифра може да надхвърли години инвестиции в инфраструктура за смарт карти.

Коя технология е подходяща за коя среда?

Здравеопазване.Смарт картите са практичният избор. Клиничните среди се нуждаят от физически контрол на достъпа (стаи за приемане на лекарства, зони с ограничен достъп) и логически контрол на достъпа (влизане в работна станция на EHR) на едни и същи идентификационни данни. Изискванията за одит на HIPAA са в съответствие с регистрирането на достъп до смарт карта.Четци за контрол на достъпакоито поддържат и двете функции, са стандартни в съвременните болнични сгради. В педиатрични и родилни отделения детските гривни с RFID, използващи чипове за смарт карти, позволяват на персонала да проследява пациентите и да предотвратява неоторизирани излизания - пряко оперативно използване на същата инфраструктура за идентификационни данни.

Правителство.PIV (Personal Identity Verification) карти, изисквани съгласноFIPS 201за федерални служители, които имат достъп до правителствени системи, са смарт карти. Проксимити картите не отговарят на HSPD-12 или неговите приемни рамки. Нефедералните органи, работещи при подобни изисквания за съответствие, трябва да следват същата посока.

висше образование.Университетите често използват една карта за достъп до общежитие, библиотечни услуги, транзитни карти и планове за хранене. Един единственСмарт карта MIFARE 1Kможе да се справи с няколко от тях едновременно. Prox картите не могат.

Корпоративно предприятие.Организациите под SOC 2 тип II или ISO 27001 трябва да използват по подразбиране смарт карти. Прокси системите, базирани на Wiegand-, все повече се маркират при одити на сигурността като недостатъчни за среди, обработващи регулирани данни.

Ниско{0}}рискова реклама.Малък офис, единичен склад или хранилище без чувствителни данни зад вратите си - prox картите остават-рентабилни тук. Моделът на заплахата не оправдава разходите за инфраструктура на смарт карти в този мащаб.

Планиране на миграция: Пет стъпки, които работят

Рядко се налага пълно разкъсване-и-замяна. Повечето организации мигрират постепенно, използвайки инфраструктура с двойна-честота, която поддържа съществуващите идентификационни данни валидни, докато се въвеждат нови.

1. Одитирайте вашата система.Изтеглете листове със спецификации за всеки четец в съоръжението. Определете кои контролери за врати използват Wiegand спрямо OSDP и кои четци могат да-надграждат фърмуера. Избройте всички формати на карти, които се използват активно.

2. Първо сменете четците.Разположете модели с двойна{0}}честота на всяка врата.Идентификационни данни с двойна{0}}честотаи четците позволяват на прокс картите да продължат да работят през целия преход - без прекъсване на достъпа по време на прозореца за внедряване.

3. Първо издайте смарт карти на високо{1}}рискови потребители.Ръководители, ИТ администратори, притежатели на достъп до сървърна стая и център за данни - те трябва да бъдат мигрирани в първа вълна. А13,56 MHz ключодържателработи както и като формат на карта за потребители, които го предпочитат.

4. Задайте дата на изтичане на прокси картата.Съобщете конкретна дата - обикновено от 90 до 180 дни -, след която 125 kHz идентификационни данни вече няма да се приемат. Анчетец за записванеопростява груповото издаване за останалата потребителска популация.

5. Деактивирайте 125 kHz на четци с двойна-честота.След като всички потребители имат смарт карти, конфигурирайте четците да отхвърлят ниско{0}}честотни идентификационни данни. Това затваря повърхността за атака на прокс карта за постоянно.

За организации в регулирана среда,NIST SP 800-116 Rev. 1предоставя подробни насоки за внедряване на PIV{0}}съвместими физически и логически идентификационни програми за достъп.

Какво ще кажете за мобилните идентификационни данни?

Мобилните идентификационни данни -, съхраняващи идентификационни данни за достъп на смартфон чрез NFC или Bluetooth с ниска енергия -, набират популярност в корпоративни среди. Оперативният случай е реален: идентификационните данни могат да се издават, променят и отменят дистанционно, без да се докосва физическа карта, което има значение за организации, управляващи голяма или разпределена работна сила.

Компромисите също са реални. Мобилните идентификационни данни зависят от състоянието на батерията на устройството, съвместимостта на операционната система и MDM инфраструктурата. Те все още не са универсално подходящи за регулирани среди или периметри с висока-сигурност. За повечето организации в момента смарт картите остават доказано средно ниво - по-сигурно от прокси картите, по-широко съвместими от внедрявания-само за мобилни устройства и се поддържат от зряла екосистема от четци и софтуер за управление.

Долната линия

Безконтактните карти имаха смисъл, когато бяха проектирани. Те са прости, издръжливи и евтини - и все още са за среди с нисък-риск. Сигурната среда около тях се промени. Клонирането на прокси карта вече струва десетки долари и отнема минути. Тази асиметрия е трудно да се оправдае за всяко съоръжение, защитаващо активи, които имат значение.

Смарт картите не са надстройка, запазена за корпоративните бюджети. Смарткартите -MIFARE от начално ниво струват само малко повече на единица от базовите прокси карти, а разликата в цената на четеца може да бъде преодоляна с хардуер с двойна-честота, който поддържа миграцията не-разрушителна. Стъпката, която си струва първо да предприемете, е честна оценка на това какво всъщност има зад вратите ви - и дали идентификационни данни, които могат да бъдат копирани тихо в коридора, са правилният инструмент за защитата им.

За персонализирани изисквания за идентификационни данни във всеки форм-фактор - независимо дали са стандартни карти,RFID ключодържатели, илисиликонови гривниза приложения за здравеопазване и събития - Syntek предлага както 125 kHz, така и 13,56 MHz формати във всички основни семейства чипове. Свържете се с екипа, за да обсъдите вашите специфични изисквания за идентификационни данни.