MIFARE проти безконтактних карт: безпека, сумісність та міграція

У цьому посібникубезконтактна карткаозначає застарілі облікові дані 125 кГц, які зазвичай називають проксі-карткою в контролі фізичного доступу. Наприклад, поточне портфоліо HID Proximity явно позиціонується як сімейство облікових даних низькочастотного-фізичного-доступу 125 кГц.Інформація про продукт HID Proximityнадає приклад поточної галузі. :contentReference[oaicite:13]{index=13}

MIFARE інший. Це сімейство продуктів NXP для безконтактних смарт--карток, які базуються на технології ISO/IEC 14443 і використовуються в програмах, включаючи керування доступом. Назва MIFARE охоплює кілька сімейств продуктів, а не один чіп або один рівень безпеки.Портфоліо MIFARE NXPнаразі включає платформи Classic, Plus, DESFire та додаткові MIFARE. :contentReference[oaicite:14]{index=14}

Для ширшого порівняння двох робочих{0}}категорій частоти дивіться посібник Syntek125 кГц проти 13,56 МГц облікові дані-контролю доступузабезпечує додатковий контекст.

Практичний порядок вибору такий: встановлений зчитувач → точна технологія облікових даних → ідентифікатор або дані програми → метод автентифікації → модель безпеки → план міграції → специфікація виробництва.

MIFARE проти безконтактних карт: швидке порівняння

Ряд безпеки є тим, що, швидше за все, буде надто спрощеним. MIFARE не слід розглядати як єдину картку з високим-захистом. Classic, Plus і DESFire мають різні архітектури та можливості, і те, як система доступу використовує ці можливості, має таке ж значення, як і назва мікросхеми.

Що означає «проксіміті-карта» в контролі доступу?

Говорячи ширшою технічною мовою, близькість може описати безконтактну-взаємодію на короткій відстані. Проте під час купівлі фізичного{2}}доступу «прокс-карта» зазвичай стосується традиційних облікових даних 125 кГц.

Спрощений шлях доступу до старої версії може виглядати так:

125 кГц облікові дані → сумісний зчитувач → обліковий номер або формат → контролер → рішення про доступ

Важливою деталлю закупівлі є те, що "125 кГц" не повністю описує облікові дані. Контролер також може очікувати певну структуру-номера картки, код об’єкта/сайту, бітовий формат або вихід зчитувача.

Syntek перераховує обидваБезконтактні розкладні карти 125 кГці ширшеКартки контролю-доступу RFID, але вибір заміни все одно повинен починатися з встановленого зчитувача та специфікації контролера, а не зовнішнього вигляду карти.

Що таке картка MIFARE?

MIFARE — це сімейство безконтактних продуктів NXP, а не одна універсальна специфікація облікових даних. Ця різниця має значення для контролю доступу, оскільки дві карти з іменем MIFARE можуть відрізнятися організацією пам’яті, механізмами безпеки, автентифікацією та моделлю програми. :contentReference[oaicite:15]{index=15}

Покупці можуть переглянути огляд Syntek щодоСмарт-карта RFIDі він доступнийКартки доступу MIFAREдля контексту-рівня продукту, але специфікація доступу має визначати точне сімейство мікросхем і необхідну поведінку системи.

Сумісність з рідером на першому місці

Зчитувач із частотою лише 125 кГц-не сумісний із обліковими даними MIFARE 13,56 МГц, оскільки картки мають однакові розміри в стилі ISO-.

Перш ніж змінювати облікові дані, перегляньте встановлені зчитувачі та запишіть:

• виробник і модель зчитувача;
• підтримувана частота або частоти;
• підтримувані облікові сім'ї;
• вбудоване програмне забезпечення або конфігурація, де це необхідно;
• зчитувач--інтерфейс контролера;
• поточний код закладу/об’єкта та формат картки, де це можливо;
• довжина ідентифікатора та представлення, очікувані платформою доступу;
• чи використовує система публічний ідентифікатор чи автентифіковані дані програми.

СинтекЗчитувач{0}}контролю доступу RFIDсторінка іРекомендації щодо робочої частоти RFIDнадати додатковий контекст продукту та частоти.

Частота не збігається з форматом облікових даних

Міграції-контролю доступу часто не вдаються, оскільки два різні рівні даних розглядаються як однакові.

Перший рівень – це радіочастотна взаємодія-{1}}з читачем. Картка 125 кГц і карта MIFARE 13,56 МГц використовують різні радіотехнології.

Другий рівень – це те, що зчитувач доставляє до контролера або платформи доступу. Це значення можна нормалізувати, переформатувати або відобразити відповідно до конфігурації зчитувача й-контролю доступу.

Таким чином, може здатися, що дві карти створюють однакові-числа в програмному забезпеченні, будучи абсолютно несумісними на РЧ-рівні. Навпаки, новий зчитувач може успішно виявити картку MIFARE, але все одно представити її ідентифікатор контролеру у форматі, відмінному від того, який очікує існуюча база даних.

Заморозити зіставлення ідентифікаторів перед масовим перевипуском

«Зберігати той самий номер картки» не є повною специфікацією міграції.

Перш ніж імпортувати або створювати нові облікові дані, задокументуйте, як платформа доступу очікує представлення ідентифікаторів. Залежно від системи відповідні запитання можуть включати:

• Чи є вихідним значенням UID, ідентифікатор облікових даних програми чи інше поле?
• Яка довжина ідентифікатора прийнятна?
• Чи зберігається значення у шістнадцятковому, десятковому чи іншому вигляді?
• Чи застосовує програма певний порядок байтів?
• Чи зберігаються початкові нулі?
• Чи очікує контролер розділення коду закладу/об’єкта та-номера картки?
• Чи картка з подвійною-технологією відкриває дві окремі ідентифікаційні записи, які мають зіставлятися з тим самим записом користувача?

Ці відомості слід взяти з фактичної платформи доступу та затвердженої специфікації міграції. Їх не слід вгадувати з числа, надрукованого на старому значку.

Безпека залежить від того, що насправді перевіряє система

Порівняння "Близькість є небезпечним; MIFARE безпечним" є надто широким, щоб підтвердити серйозне рішення про-контроль доступу.

Статичний ідентифікатор доступу

Багато застарілих розгортань Prox переважно використовують ідентифікатор облікових даних. Зчитувач розпізнає облікові дані та передає ідентифікатор у-систему контролю доступу.

Тоді загальна безпека залежить не лише від картки: керування обліковими даними, конструкція зчитувача/контролера, відкликання, моніторинг, фізична безпека та адміністративний контроль – усе це має значення.

MIFARE Використовується лише як ідентифікатор

Потужнішу мікросхему-смарт-картки все ще можна розгорнути в архітектурі лише з простим ідентифікатором.

Якщо зчитувач доступу просто зчитує відкритий ідентифікатор і ніколи не виконує захищену автентифікацію або операції додатків, які підтримуються вибраними обліковими даними, проект не отримує автоматично повні можливості безпеки, доступні з цього чіпа.

Програма автентифікованої смарт--картки

Правильно розроблена програма MIFARE може використовувати захищені дані програми, автентифікацію, криптографічні ключі та безпечний обмін повідомленнями, якщо це підтримується вибраним продуктом.

У поточній документації NXP MIFARE DESFire EV3 перелічено підтримку AES, автентифікацію-на рівні програми, кілька ключів і кілька наборів ключів серед можливостей безпеки. Ці функції все ще залежать від зчитувача, моделі-керування ключами та конфігурації програми.Технічна інформація NXP MIFARE DESFire EV3документує доступні можливості IC. :contentReference[oaicite:16]{index=16}

Безпека – це властивість системи, а не етикетка мікросхеми

NIST SP 800-98 розглядає безпеку RFID як проблему-системного рівня дизайну та операційну проблему, а не проблему лише тегів. TheІнструкція з безпеки RFID NISTохоплює планування, впровадження та експлуатацію систем RFID. :contentReference[oaicite:17]{index=17}

Для рівня від-до-контролера Асоціація індустрії безпекиВідкрийте протокол контрольованого пристроюпідтримує контрольований зв’язок і захист безпечного каналу між-пристроями контролю доступу. Поточні інструкції щодо реалізації SIA спеціально рекомендують захищений канал, коли використовується OSDP. :contentReference[oaicite:18]{index=18}

Посібник від SyntekБезпека даних RFIDможе підтримати ширше обговорення внутрішньої безпеки.

Ключові запитання щодо менеджменту, які мають ставити покупці

Коли проект виходить за рамки лише доступу-UID, керування ключами стає частиною специфікації закупівлі.

Архітектура DESFire EV3 від NXP підтримує кілька ключів додатків і кілька наборів ключів, що ілюструє, чому «картка підтримує AES» недостатньо інформації для визначення розгортання. :contentReference[oaicite:19]{index=19}

Перед персоналізацією або масовим виробництвом уточніть:

• Кому належать ключі виробництва та програми?
• Хто має право персоналізувати облікові дані?
• Чи використовуватиметься персоналізація,-контрольована постачальником,-клієнтом або спільно керована?
• Чи доставляються картки у відомому стані ініціалізації?
• Як надаються облікові дані для заміни?
• Чи можна змінити ключі, коли змінюються обов’язки чи система?
• Як документуються ключові версії та конфігурація програми?
• Як розділено робоче, тестове та живе середовище?
• Хто може відновити програму облікових даних, якщо вихідний постачальник персоналізації більше не доступний?

Відповідь залежить від-платформи контролю доступу та архітектури безпеки. Покупці не повинні вимагати, обмінювати або зберігати конфіденційні робочі ключі в звичайних електронних таблицях ілюстрацій або неофіційних ланцюжках електронної пошти.

MIFARE Classic, Plus і DESFire – це різні рішення щодо купівлі

MIFARE Classic EV1

Поточний NXPСторінка продукту MIFARE Classic EV1вказує продукт як активний, але «не рекомендований для нових дизайнів» і вказує дизайнерам на новішу заміну. Це не означає, що кожна встановлена ​​класична система повинна негайно припинити роботу; це означає, що новий проект не повинен вибирати Classic лише тому, що "MIFARE" звучить новіше, ніж 125 кГц Prox. :contentReference[oaicite:20]{index=20}

MIFARE Plus EV2

Позиції NXPMIFARE Plus EV2як шлях оновлення для існуючих розгортань. Його поточна специфікація включає концепцію рівня безпеки для міграції та автентифікації AES-128 і безпечного обміну повідомленнями на вищих рівнях безпеки. :contentReference[oaicite:21]{index=21}

MIFARE DESFire EV3

DESFire EV3 розроблено для безпечного використання кількох -додатків і надає такі можливості, як AES-128, взаємна автентифікація та гнучка структура програм/ключів. Наявність цих можливостей не доводить, що певна система доступу їх використовує; підтримка читачів і програм залишається обов'язковою. :contentReference[oaicite:22]{index=22}

Коли ви повинні дотримуватися близькості 125 кГц, а коли рухатися?

Дотримання близькості може бути раціональним

Традиційні облікові дані 125 кГц можуть залишатися операційно прийнятними, якщо встановлена ​​база читачів є великою та стабільною, захищене середовище має прийнятну модель ризику, сумісність є безпосереднім бізнес-пріоритетом або сайт планується для міграції пізніше.

Свідоме продовження застарілої технології відрізняється від припущення, що вона забезпечує ту саму модель безпеки, що й автентифікована сучасна система смарт--картки.

Перехід на MIFARE може мати сенс

Відповідні облікові дані сімейства MIFARE-стають більш доцільними, коли для проекту потрібні захищені дані програми, автентифікована взаємодія з-зчитувачем карток, можливість використання кількох-додатків, сучасне керування обліковими даними або визначений шлях від застарілої інфраструктури-лише ідентифікаторів.

Рішення все ще потребує точного сімейства продуктів і підтримуваної програми. «MIFARE» сам по собі залишається занадто широким для запиту пропозицій.

Плануйте міграцію в п'ять контрольованих фаз

Якщо під час переходу потрібна змішана технологія, Syntek вказує aдвочастотний-зчитувач RFIDі адвочастотна-карта RFIDсеред пов’язаних продуктів сайту.

Облікові дані за подвійною-технологією можуть зменшити збої

Облікові дані подвійної-технології можуть розмістити застарілу технологію 125 кГц і новішу ВЧ-технологію смарт--картки в одній фізичній картці.

струм HIDОблікові дані MIFARE DESFire EV3 + Proxє одним із реальних прикладів галузі. HID позиціонує це як спосіб підтримувати сумісність із застарілими зчитувачами 125 кГц під час переходу на інфраструктуру на основі DESFire-. :contentReference[oaicite:23]{index=23}

Це не означає, що ці дві технології обов’язково надають однаковий ідентифікатор або використовують однаковий процес безпеки. База даних керування-доступом має чітко зіставляти облікові дані з призначеним записом користувача.

Подвійна технологія є найбільш корисною, коли вона має план виходу. Після того, як для сайту більше не потрібна підтримка застарілої частоти 125 кГц, команда міграції повинна вирішити, чи слід залишати цей старий шлях прийняття ввімкненим.

Ілюстративний сценарій міграції: три офісні будівлі

Наступний сценарій є ілюстративним і не представлений як приклад клієнта.

Компанія управляє трьома офісними будівлями. Будівля А все ще має лише зчитувачі-125 кГц. Будівля B має зчитувачі, які можуть підтримувати як застарілі облікові дані, так і нову технологію смарт--карт. Будівлю C уже оновлено до цільового середовища MIFARE.

Замість того, щоб міняти кожні двері та кожен бейдж за один вихідний, компанія спочатку записує кожен зчитувач і двері. Обмежена група співробітників отримує облікові дані-подвійної технології. Під час пілотної версії база даних доступу прив’язує обидві технології облікових даних до одного облікового запису співробітника, а команда перевіряє, який компонент прийнято в кожній будівлі.

Пілотний проект не вважається успішним просто тому, що новий значок відкриває будівлю C. Команда також перевіряє, що:

• застарілі двері все ще працюють протягом затвердженого перехідного періоду;
• нові облікові дані автентифікуються за призначенням на оновлених дверях;
• відкликані облікові дані відмовляються;
• картки заміни не залишають активними старі облікові дані;
• зіставлення ідентифікаторів не створює повторюваних записів користувачів;
• персонал служби підтримки може визначити, чи проблема пов’язана з карткою, зчитувачем, картою чи дозволом доступу.

Після того, як будівлю A буде оновлено та всі необхідні користувачі перенесено, прийняття спадщини можна буде переглянути для виходу з експлуатації, а не залишати активним на невизначений термін.

Визначте критерії прийняття міграції перед впровадженням

Щоб отримати ширшу структуру перевірки, перегляньте посібник SyntekТестування системи RFID.

Затвердити робочий-еквівалентний зразок облікових даних

Пілот міграції не повинен покладатися лише на нероздруковану картку розвитку.

Виробничий-еквівалентний зразок має представляти запланований порядок у:

• точне сімейство мікросхем;
• фактор форми облікових даних;
• стан персоналізації;
• ідентифікатор/конфігурація програми;
• друк і змінні дані;
• сумісність з читачами;
• серверне відображення;
• поведінка заміни та відкликання.

Якщо потрібен змінний друк, номери співробітників, QR-коди або інші видимі дані, посібник Syntek зДрук RFIDможе підтримувати планування файлів-ілюстрацій і даних.

Для перевірки партії, огляд Syntekобладнання для контролю якостінадає додатковий контекст-КЯ виробництва.

Що надіслати постачальнику картки перед замовленням

Проекти, що вимагають індивідуальної конструкції картки, друку, персоналізації або контрольованого виробництва, можуть продовжуватись у SyntekВиробництво OEM і ODMінформації після визначення технічної специфікації.

Поширені помилки при купівлі

Вважати кожну картку 13,56 МГц сумісною з MIFARE-

Частота не визначає повний протокол, сімейство чіпів або програму. Підтвердьте точний зчитувач і підтримку облікових даних.

Розглядання кожної картки MIFARE як однаково безпечної

Classic, Plus і DESFire мають різні архітектури безпеки та моделі розгортання. Наразі NXP позначає Classic EV1 як нерекомендований для нових дизайнів, тоді як Plus EV2 і DESFire EV3 забезпечують різні можливості міграції та безпеки. :contentReference[oaicite:24]{index=24}

Заміна карток без заморожування зіставлення ідентифікатора

Зчитувана картка все ще може вийти з ладу у виробництві, якщо зчитувач і серверна частина не погоджуються щодо представлення UID, формату картки чи відображення користувача.

Купівля захищеного чіпа, але використання лише загальнодоступного ідентифікатора

Можливості вибраного чіпа та реалізована модель автентифікації – окремі питання.

Використання подвійної технології без застарілого{0}}пенсійного плану

Дво-частотні зчитувачі та подвійні{1}}технологічні карти можуть зменшити збої, але міграція все одно має визначити, коли стара технологія більше не буде потрібна.

Остаточна рекомендація

Практична різниця між MIFARE і безконтактними картками перевищує 13,56 МГц проти 125 кГц.

Надійне рішення про{0}}контроль доступу має відповідати:

• Які рідери насправді встановлені?
• Які облікові сім'ї вони підтримують?
• Який ідентифікатор або захищені дані використовує програма?
• Зчитувач виконує справжню автентифікацію чи лише зчитує ідентифікатор?
• Хто контролює ключі та персоналізацію смарт-карт-?
• Як захищено зв’язок між-зчитувачем-контролером?
• Як старі та нові облікові дані співіснуватимуть під час міграції?
• Які докази необхідно надати, перш ніж застарілий доступ буде припинено?

Для існуючого розгортання з низьким-ризиком із великою встановленою базою 125 кГц збереження застарілих облікових даних Prox протягом певного періоду може бути оперативним рішенням, а не помилкою.

Для нового розгортання або оновлення безпеки належним чином реалізований сучасний обліковий запис сімейства MIFARE-може підтримувати автентифікацію, захищені дані програми та більш гнучке керування обліковими даними. Значення походить від повного дизайну, а не від назви MIFARE, надрукованої в специфікації.

Встановлений зчитувач → точні облікові дані → дані ідентифікатора/програми → автентифікація → ключі → безпека системи → архітектура міграції → робочий зразок → приймальний тест.

Після визначення моделей зчитувачів, цільових облікових даних, правил ідентифікації, підходу до автентифікації, плану міграції, ілюстрації, кількості та вимог до прийняття, покупці можутьзапросити зразок або пропозиціюдля оцінки-проекту.