Підвищення безпеки та налаштування за допомогою високоякісних-чистих смарт-карт

 

 

Вибір чіпів – це те, де більшість проектів із порожніми смарт-картками досягають довгострокового-успішного результату або спокійно налаштовуються на повторне-замовлення через шість місяців. У наведеній нижче таблиці зіставлено найпоширеніші сімейства чіпів із розмірами, які фактично визначають рішення про закупівлю.

 

Сім'я Чіп	Частота / Стандарт	Типове застосування	Рівень безпеки	Ключове обмеження
MIFARE Classic 1K/4K	13,56 МГц / ISO 14443-A	Базовий доступ до дверей, картки лояльності	Низький (Crypto-1, зламаний)	Відомі вразливості; клонований
MIFARE DESFire EV2/EV3	13,56 МГц / ISO 14443-A	Безпечний контроль доступу, транзит, оплата	Високий (AES-128, EAL5+)	Більш висока вартість одиниці
MIFARE Plus	13,56 МГц / ISO 14443-A	Шлях оновлення класичних систем	Середній–Високий (режим SL3)	Потрібне оновлення мікропрограми зчитувача для SL3
NTAG 213/215/216	13,56 МГц / ISO 14443-A	Мобільна взаємодія NFC, тегування ресурсів	Низький–Середній	обмежена пам'ять; не для контролю доступу
SLE4442/SLE4428	Контакт / ISO 7816	Збережені{0}}картки цінностей, застарілі системи ідентифікації	Середній (PIN-захищено)	Лише контакт-; відсутність безконтактної можливості
T5577	125 кГц (НЧ)	Застарілий безконтактний доступ, клонування	Дуже низький	Без шифрування; тривіально дубльований

 

Перш ніж замовляти чисті картки MIFARE для систем доступу до дверей, зніміть номер моделі з встановлених зчитувачів. Якщо ваш інтегратор не може підтвердити підтримку протоколу протягом 48 годин, розглядайте це як ризик сумісності, а не як незручність. Підприємство, на якому працюють застарілі пропрієтарні зчитувачі, зазвичай не може використовувати карти DESFire без змін проміжного програмного забезпечення або заміни апаратного забезпечення, і виявлення цього після доставки 2000 карток є п’ятизначною-проблемою.

Якщо ви шукаєтепорожні картки NFC оптомдля нового розгортання частота та перевірка протоколу не-обговорюються. Але ось те, що більшість посібників з вибору чіпів пропускає: навіть у межах одного частотного діапазону ISO 14443-A (MIFARE, NTAG) і ISO 15693 (ICODE) використовують різні протоколи зв’язку. Зчитувач, налаштований для одного, не виявить інший. Єдиний надійний спосіб підтвердити сумісність — перевірити фактичні зразки карток із реально встановленими зчитувачами, а не порівнювати таблиці даних. Syntek постачає партії зразків у точному варіанті чіпа, який ви вкажете; побачитидоступні порожні конфігурації смарт-картперш ніж встановлювати обсяг.

 

Якщо ви масово купуєте порожні картки NFC для нового розгортання, перевірка частоти та протоколу не-підлягає обговоренню. Але ось те, що більшість посібників з вибору чіпів пропускає: навіть у межах одного частотного діапазону ISO 14443-A (MIFARE, NTAG) і ISO 15693 (ICODE) використовують різні протоколи зв’язку. Зчитувач, налаштований для одного, не виявить інший. Єдиний надійний спосіб підтвердити сумісність — перевірити фактичні зразки карток із реально встановленими зчитувачами, а не порівнювати таблиці даних. Syntek постачає партії зразків у точному варіанті чіпа, який ви вкажете; дивіться доступні порожні конфігурації смарт-карт перед тим, як приєднатися до обсягу.

 

 

Ось позиція, яку більшість постачальників чистих карток не висловлять прямо:MIFARE Classicбільше не є обґрунтованим вибором для будь-якої програми, де клонування картки становить значний ризик.Це включає корпоративний доступ до дверей, ключі від готельних номерів, системи паркування та, по суті, усі випадки використання, коли дублікат картки дозволяє фізичний вхід.

 

Це не теоретичне занепокоєння. У 2024 році дослідники безпеки з Quarkslab виявили апаратний бекдор у мікросхемах FM11RF08S, широко поширеному китайському-виробленому варіанті, який продається як «сумісний з MIFARE Classic». Бекдор дозволяє повністю клонувати картку за лічені хвилини без будь-якого спеціального обладнання, окрім комерційно доступного зчитувача (Тиждень безпеки). Було виявлено, що готелі в США, Європі та Індії використовують ці чіпи, не підозрюючи, що їхні картки не є справжніми мікросхемами MIFARE Classic виробництва NXP-. Команди із закупівель, які розміщували ці замовлення, оцінювали ціну та вказували на сумісність, але не фактичний кремній усередині картки.

 

 

У попередніх наукових дослідженнях Університетського коледжу Лондона вже було продемонстровано, що навіть автентичні картки MIFARE Classic можна клонувати лише за допомогою проксіміти, без доступу зчитувача, за допомогою того, що дослідники назвали «атакою лише{0}}картки» (UCL Discovery). Висновки Quarkslab підтвердили, що проблема не тільки зберігалася, але й погіршилася через заміну ланцюга постачання.

 

Практичний шлях оновлення для організацій, які все ще використовують класичні-пусті безконтактні смарт-картки, залежить від наявних інвестицій у інфраструктуру:

 

Сценарій A - Апаратне забезпечення Reader підтримує MIFARE Plus.Перейдіть на карти MIFARE Plus і налаштуйте зчитувачі для режиму безпеки 3 (SL3), який активує шифрування AES-128. Це найнижчий-шлях міграції, оскільки він повторно використовує наявні зчитувачі, але вимагає оновлення мікропрограми та повторної реєстрації всіх карток.

 

Сценарій B - Читачі — це лише -закінчені-життя або класика-.Бюджет на повну заміну зчитувача та перехід безпосередньо до MIFARE DESFire EV3. Вартість-картки вища, але сертифікація DESFire EAL5+ і гнучка структура додатків значно зменшують ймовірність ще одного примусового переходу порівняно з інфраструктурою на основі класичної-системи.

 

Сценарій C - Низький-захист, не-критична програма(картки лояльності кафетерію, бейджи відвідувачів). Classic або NTAG залишаються прийнятними, але лише якщо картка не надає жодних прав фізичного доступу. Якщо ваша зона відвідувачів використовує ту саму інфраструктуру доступу до дверей, що й зони для працівників, навіть частково, цей виняток не застосовується, і вам слід оцінити сценарій A або B.

 

Розрив між сценарієм А та Б є місцем, де зупиняється більшість бюджетів закупівель. Різниця у вартості між міграцією Plus SL3 і повним розгортанням DESFire залежить від змінних, характерних для вашої інсталяції: умов оренди зчитувачів, що залишилися, кількості ІТ-персоналу для повторної -реєстрації та чи має ваша команда безпеки прямі бюджетні повноваження. Але рамки рішення зрозумілі. Якщо ваші зчитувачі були встановлені до 2019 року та ви маєте будь-які вимоги до відповідності чи страхування, пов’язані з контролем доступу, вартість залишатися на Classic вже вища, ніж перехід. Більшість зчитувачів, розгорнутих до 2019 року, постачаються без підтримки вбудованого програмного забезпечення для MIFARE Plus Security Level 3, що означає, що міграція з Classic-на-Plus не є можливістю, а повна заміна зчитувача стає єдиним шляхом оновлення.

 

Від основної частини картки до закодованого значка: правильна настройка

 

Пуста смарт-карта – це лише половина продукту. Інша половина — це те, що відбувається після надходження: друк, кодування, ламінування та видача. Специфікації закупівель, які ігнорують цей другий етап, створюють проблеми, які виникають лише під час виробництва.

 

Матеріал корпусу картки та сумісність із принтером є найпоширенішими джерелами помилок налаштування. Відображення не є інтуїтивно зрозумілим, і якщо його зробити неправильно, ви витрачаєте картки та стрічки для друку:

 

Матеріал картки	Тип сумісного принтера	Поширена невідповідність
ПВХ (стандарт)	Термоперенесення-на-картку, сублімація-барвника	Немає (більшість настільних принтерів)
ПЕТ-Г	Лише принтери для повторного перенесення	Подається через-на-принтер для карток → змащений вихід
Полікарбонат (ПК)	Ретрансфер або лазерне гравіювання	Термоперенесення → порушення адгезії протягом тижнів

 

Обробка поверхні також критична дляпорожні смарт-чіп-картки для друку ідентифікаторів. Картки, що постачаються без накладки, тонкого шару ламінування, який приймає чорнило та захищає надруковане зображення, створюють відбитки, які розмазуються протягом тижнів і відшаровуються протягом місяців. Якщо у вашій специфікації закупівлі прямо не вказано «друкована поверхня із захисним покриттям», не припускайте, що вона включена. Повний-друк над контактною поверхнею мікросхеми або зоною котушки антени вимагає калібрування тиску друкувальної голівки; незначна нерівність поверхні вбудованих компонентів спричиняє смуги або чорнильні пустоти, якщо їх не усунути.

 

 

Офсетно-друковані пусті смарт-посвідчення особи для співробітників потребують додаткових 10–15 робочих днів, ніж звичайний білий запас, залежно від складності конструкції. Це окремий етап виробництва від-персоналізації на місці: фабрика наносить фонове зображення за допомогою офсетного друку перед вбудовуванням чіпа, для чого потрібно залучати виробника карткиПослуги налаштування OEM/ODMщоб узгодити реєстрацію ілюстрації з розташуванням чіпа та антени.

 

Кодування, етап, на якому облікові дані доступу або дані власника картки записуються на чіп, є останнім етапом персоналізації. Більшість корпоративних розгортань обробляють кодування на-сайті за допомогою настільних програм для зчитування, інтегрованих із програмним забезпеченням для керування ідентифікацією. Переконайтеся, що ваш кодер підтримує певний варіант чіпа та протокол зв’язку перед відправленням замовлення вашої картки. З нашого досвіду виявлення несумісності під час реєстрації зазвичай означає від 3 до 6 тижнів затримки, поки картки для заміни не будуть знайдені, перевірені та-надіслані повторно. Для готелю це означає, що стійка реєстрації не може видати ключі від номерів у високий сезон.

 

П'ять помилок у закупівлях, які коштують дорожче, ніж самі картки

 

Невідповідність частоти є найпоширенішою несправністю, якій можна запобігти. Низькочастотні (125 кГц) і високочастотні (13,56 МГц) карти фізично ідентичні: однакові розміри, такий самий білий зовнішній вигляд ПВХ, така ж вага. Вони також повністю-несумісні з протоколом. Підприємство, яке використовує зчитувачі 125 кГц і замовляє порожні картки RFID 13,56 МГц для контролю доступу, виявить проблему лише тоді, коли картки не скануються. Основною причиною зазвичай є форма закупівлі, у якій зазначено «картки доступу RFID» без зазначення частоти, а також постачальник, який постачає найпопулярніший SKU. Завжди вказуйте точну частоту та протокол.

 

Невідповідність протоколу в межах однієї смуги частот є менш помітною.ISO 14443-A (MIFARE, NTAG) і ISO 15693 (ICODE, Tag-it) обидва працюють на частоті 13,56 МГц, але використовують різні проти-колізійні протоколи та протоколи зв’язку. Зчитувач, налаштований на 14443-A, не виявить картку 15693. Ця різниця часто спостерігає, як команди закупівель масово закуповують порожні картки NFC для проектів змішаного використання.

 

Пропуск тестування зразків перед масовими замовленнями перекладає весь ризик на покупця.Галузева практика у виробництві карток RFID однозначна: коли тип чіпа підтверджено та почнеться виробництво, клієнт несе відповідальність за помилки у виборі. Авторитетні виробники пропонують зразки партій саме з цієї причини. Якщо постачальник не заохочує або бере надмірну плату за зразки, сприймайте це як червоний прапор. Перш ніж присвятити себе обсягу,запросити партію зразків карток із 10–20 картокі перевірте кожну картку на відповідність встановленим зчитувачам і програмному забезпеченню для кодування.

 

Ігнорування обробки поверхні картки призводить до погіршення якості друку.Картки без накладання дають ненадійні відбитки. Ця помилка особливо поширена, коли порожні безконтактні смарт-картки купуються оптом у посередників, які оптимізують ціну за одиницю, а не зручність використання.

 

Постачання через посередників без видимості фабрики є найдорожчою помилкою, яку найважче виявити.Коли торгова компанія стоїть між вами та фактичним виробником, ви втрачаєте видимість джерела чіпів. Уразливість готельної картки Quarkslab безпосередньо пов’язана з непрозорістю ланцюжка поставок: групи із закупівель замовили «MIFARE Classic» і отримали мікросхему FM11RF08S від іншого виробника з апаратним бекдором, який вони не могли виявити за допомогою візуального огляду чи базового функціонального тестування. Це не теоретичний ризик. Це задокументована причина найбільшого інциденту з безпекою карт доступу RFID за останні роки.

 

Оцінка постачальника порожньої смарт-картки: чого не вказано на аркуші цінової пропозиції

 

У ціновій пропозиції кожного постачальника RFID-картки вказано ціну за одиницю, тип чіпа та час виконання. У жодному з них не зазначено перевірку автентичності-рівня мікросхеми, перевірку міцності з’єднання ламінування або те, що відбувається, коли ваш перший виробничий запуск не проходить перевірку на сумісність. Ці невидимі позиції є тим, що відрізняє виробника від торговельного посередника та визначає, чи справді ваші чисті смарт-карти з чіпами MIFARE містять кремній NXP, який ви вказали.

 

 

Кілька запитань, які виявляють різницю: чи використовує постачальник власне обладнання для вбудовування мікросхем і ламінування чи передає виробництво неназваним третім сторонам? Чи можуть вони надати звіт про випробування-рівня мікросхеми для кожної партії, у якому вказано фактичного виробника мікросхеми та версію кристала, а не лише «сумісність з MIFARE Classic»? Чи пропонують вони закодовані зразки карток для функціонального тестування на ваших зчитувачах, чи лише порожні візуальні зразки?

 

У Syntek ми побудували наш процес перевірки навколо точного режиму збою, описаного вище. Коли група гостинності з Південно-Східної Азії звернулася до нас після того, як виявила, що їхні поточні картки FM11RF08 померли, незважаючи на те, що на них було виставлено рахунки як MIFARE Classic, ми провели пакетну{3}}ідентифікацію IC на вхідній партії, підтвердили заміну FM11RF08 протягом 48 годин після першого тестового сканування картки та замінили повне замовлення картами DESFire EV3, перевіреними NXP-. протягом двох тижнів. Їхнім попереднім постачальником була торгова компанія, яка не мала доступу до рівня виготовлення мікросхем. Наше власне-виробництво, включаючи ламінування з ЧПК, високо-кодування та 100% автоматизовану перевірку IC на об’єкті площею 4500 м², існує спеціально для того, щоб коли ми доставляємо порожні смарт-карти з маркуванням DESFire EV3, кремній всередині відповідав етикетці. Ми виробляємо RFID-карти з 2006 року, і ми інвестуємо в контроль якості-на рівні чіпа тому, що ми бачили, що відбувається, коли його немає. Дослідіть повністюлінійка чистих чіпових картокщоб переглянути доступні конфігурації за сімейством мікросхем і форм-фактором.

 

Сертифікація ISO 9001 є основою, а не відмінністю; більшість заводів тримають його. Сигнал, який насправді має значення, полягає в тому, чи може постачальник надати звіт про випробування-рівня мікросхеми, у якому вказано виробника мікросхеми та версію кристала для кожної виробничої партії. Крім того, перевірте готовність надати доступ до фабричного аудиту, опубліковану гнучкість MOQ і задокументовані терміни виконання як для простих білих карток, так і для -надрукованих на замовлення корпусів карток. Syntek обслуговує замовлення зразків від 100 одиниць із терміном виконання 3–5 днів, а витрати на зразки зараховуються до першого оптового замовлення.

Готові перевірити, яка конфігурація чіпа підходить для вашої системи, перш ніж приступати до обсягу?Запит на безкоштовний зразокі протестуйте на встановлених зчитувачах.