MIFARE vs Proximity Cards: Sikkerhed, kompatibilitet og migration

I denne vejledning,nærhedskortbetyder det gamle 125 kHz-legitimationsoplysninger, der almindeligvis kaldes et prox-kort i fysisk adgangskontrol. HID's nuværende Proximity-portefølje er f.eks. eksplicit positioneret som en 125 kHz lav-fysisk-legitimationsfamilie med lav frekvens.HID Proximity produktinformationgiver et aktuelt industrieksempel. :contentReference[oaicite:13]{indeks=13}

MIFARE er anderledes. Det er NXP's familie af kontaktløse smart-kortprodukter baseret på ISO/IEC 14443-teknologi og bruges i applikationer, herunder adgangsstyring. MIFARE-navnet dækker flere produktfamilier i stedet for én chip eller ét sikkerhedsniveau.NXP's MIFARE-porteføljeinkluderer i øjeblikket Classic, Plus, DESFire og yderligere MIFARE platforme. :contentReference[oaicite:14]{indeks=14}

For en bredere sammenligning af de to drifts-frekvenskategorier kan Synteks guide til125 kHz vs 13,56 MHz adgang-kontroloplysningergiver yderligere kontekst.

En praktisk valgrækkefølge er: installeret læser → nøjagtig legitimationsteknologi → identifikator eller applikationsdata → autentificeringsmetode → sikkerhedsmodel → migrationsplan → produktionsspecifikation.

MIFARE vs Proximity Cards: Hurtig sammenligning

Sikkerhedsrækken er den, der med størst sandsynlighed vil blive forsimplet. MIFARE bør ikke behandles som et enkelt "høj-sikkerhedskort." Classic, Plus og DESFire har forskellige arkitekturer og muligheder, og den måde, adgangssystemet bruger disse muligheder, betyder lige så meget som chipnavnet.

Hvad betyder "Proximity Card" i adgangskontrol?

I et bredere teknisk sprog kan nærhed beskrive kort{0}}kontaktløs interaktion. Ved køb af fysisk-adgang refererer "prox-kort" dog almindeligvis til en traditionel 125 kHz legitimation.

En forenklet ældre adgangssti kan se sådan ud:

125 kHz legitimationsoplysninger → kompatibel læser → legitimationsnummer eller format → controller → adgangsbeslutning

Den vigtige indkøbsdetalje er, at "125 kHz" ikke fuldt ud beskriver legitimationsoplysningerne. Controlleren kan også forvente en specifik kort-nummerstruktur, facilitet/webstedskode, bitformat eller læseroutput.

Syntek lister begge op125 kHz proximity clamshell-kortog bredereRFID-adgang-kontrolkort, men udskiftningsvalget bør stadig starte fra den installerede læser og controllerspecifikation i stedet for kortets udseende.

Hvad er et MIFARE-kort?

MIFARE er en NXP kontaktløs produktfamilie, ikke én universel legitimationsspecifikation. Denne skelnen har betydning for adgangskontrol, fordi to kort, der bærer MIFARE-navnet, kan være forskellige i hukommelsesorganisation, sikkerhedsmekanismer, autentificering og applikationsmodel. :contentReference[oaicite:15]{indeks=15}

Købere kan gennemgå Synteks oversigt over enRFID smartkortog den er tilgængeligMIFARE adgangskortfor kontekst på produkt-niveau, men en adgangsspecifikation bør identificere den nøjagtige chipfamilie og systemadfærd, der kræves.

Læserkompatibilitet kommer før kortpræference

En 125 kHz-læser-kun bliver ikke kompatibel med en 13,56 MHz MIFARE-legitimationsoplysninger, fordi kortene har samme ISO--stildimensioner.

Før du ændrer legitimationsoplysninger, skal du opgøre de installerede læsere og registrere:

• læser producent og model;
• understøttet frekvens eller frekvenser;
• støttede legitimationsfamilier;
• firmware eller konfiguration, hvor det er relevant;
• læser-til-controllergrænseflade;
• nuværende facilitet/stedkode og kortformat, hvor det er relevant;
• identifikatorlængde og repræsentation forventet af adgangsplatformen;
• om systemet bruger en offentlig identifikator eller autentificerede applikationsdata.

SynteksRFID-adgang-kontrollæserside ogRetningslinjer for RFID-driftsfrekvensgive yderligere produkt- og frekvenskontekst.

Frekvens er ikke det samme som legitimationsformat

Adgangskontrol-migreringer mislykkes ofte, fordi to forskellige datalag behandles, som om de var ens.

Det første lag er legitimationsoplysningerne-til-læserens RF-interaktion. Et 125 kHz-kort og et 13,56 MHz MIFARE-kort bruger forskellige radioteknologier.

Det andet lag er, hvad læseren leverer til controlleren eller adgangsplatformen. Denne værdi kan normaliseres, omformateres eller kortlægges i henhold til læse- og adgangskontrolkonfigurationen.-

To kort kan derfor se ud til at producere ens-lignende tal i software, mens de er fuldstændig inkompatible på RF-laget. Omvendt kan en ny læser med succes finde et MIFARE-kort, men stadig præsentere dets identifikator for controlleren i et andet format end det, der forventes af den eksisterende database.

Fastfrys identifikatorkortlægning før masseudgivelse

"Behold det samme kortnummer" er ikke en komplet migreringsspecifikation.

Før du importerer eller fremstiller nye legitimationsoplysninger, skal du dokumentere, hvordan adgangsplatformen forventer, at identifikatorer bliver repræsenteret. Afhængigt af systemet kan relevante spørgsmål omfatte:

• Er kildeværdien et UID, applikationslegitimations-id eller et andet felt?
• Hvilken identifikatorlængde accepteres?
• Er værdien gemt som hexadecimal, decimal eller en anden repræsentation?
• Anvender applikationen en bestemt byte-rækkefølge?
• Bibeholdes indledende nuller?
• Forventer controlleren en facilitet/webstedskode og kort-nummeropdeling?
• Viser et dobbelt-teknologikort to separate identiteter, der skal knyttes til den samme brugerregistrering?

Disse detaljer bør tages fra den faktiske adgangsplatform og godkendte migreringsspecifikation. De skal ikke gættes ud fra det trykte nummer på et gammelt badge.

Sikkerhed afhænger af, hvad systemet faktisk godkender

Sammenligningen "Nærhed er usikker; MIFARE er sikker" er for bred til at understøtte en seriøs adgangskontrol-beslutning.

Statisk identifikatoradgang

Mange ældre Prox-implementeringer bruger primært en legitimationsidentifikator. Læseren genkender legitimationsoplysningerne og sender en identifikator til adgangskontrolsystemet-.

Den overordnede sikkerhedsposition afhænger så af mere end kortet: legitimationsstyring, læser/controllerdesign, tilbagekaldelse, overvågning, fysisk sikkerhed og administrative kontroller har alle betydning.

MIFARE Bruges kun som en identifikator

En mere dygtig smart-kort-IC kan stadig implementeres i en simpel identifikator-kun arkitektur.

Hvis en adgangslæser blot læser en synlig identifikator og aldrig udfører den beskyttede godkendelse eller applikationshandlinger understøttet af den valgte legitimation, opnår projektet ikke automatisk den fulde sikkerhedsfunktion, der er tilgængelig fra den chip.

Autentificeret smart-kortapplikation

En korrekt designet MIFARE-applikation kan bruge beskyttede applikationsdata, autentificering, kryptografiske nøgler og sikker meddelelse, hvor det understøttes af det valgte produkt.

NXP's nuværende MIFARE DESFire EV3-dokumentation viser AES-support, applikations-godkendelse, flere nøgler og flere nøglesæt blandt dens sikkerhedsfunktioner. Disse funktioner afhænger stadig af læseren, nøgle-administrationsmodel og applikationskonfiguration.NXP MIFARE DESFire EV3 tekniske oplysningerdokumenterer de tilgængelige IC-funktioner. :contentReference[oaicite:16]{indeks=16}

Sikkerhed er en systemegenskab, ikke en chip-etiket

NIST SP 800-98 behandler RFID-sikkerhed som et design- og driftsproblem på system-niveau snarere end et problem med tags. DeNIST RFID sikkerhedsvejledningdækker planlægning, implementering og drift af RFID-systemer. :contentReference[oaicite:17]{indeks=17}

For læseren-til-controllerlaget, Security Industry Association'sÅbn protokol for overvåget enhedunderstøtter overvåget kommunikation og sikker kanalbeskyttelse mellem adgangskontrolenheder-. SIAs nuværende implementeringsvejledning anbefaler specifikt Secure Channel, når OSDP bruges. :contentReference[oaicite:18]{indeks=18}

Synteks guide tilRFID datasikkerhedkan understøtte den bredere interne sikkerhedsdiskussion.

Nøgle ledelsesspørgsmål købere bør stille

Når et projekt bevæger sig ud over -kun UID-adgang, bliver nøgleadministration en del af købsspecifikationen.

NXP's DESFire EV3-arkitektur understøtter flere applikationsnøgler og flere nøglesæt, hvilket illustrerer, hvorfor "kortet understøtter AES" ikke er nok information til at definere implementeringen. :contentReference[oaicite:19]{indeks=19}

Før personalisering eller masseproduktion, præciser:

• Hvem ejer produktions- og applikationsnøglerne?
• Hvem er autoriseret til at tilpasse legitimationsoplysninger?
• Vil leverandør-kontrolleret, kunde-kontrolleret eller fælles administreret personalisering blive brugt?
• Leveres kortene i en kendt initialiseringstilstand?
• Hvordan klargøres erstatningslegitimationsoplysninger?
• Kan nøgler ændres, når ansvar eller systemer ændres?
• Hvordan dokumenteres nøgleversioner og applikationskonfiguration?
• Hvordan adskilles produktions-, test- og livemiljøer?
• Hvem kan gendanne legitimationsprogrammet, hvis den oprindelige personaliseringsudbyder ikke længere er tilgængelig?

Svaret afhænger af adgangskontrolplatformen- og sikkerhedsarkitekturen. Købere bør ikke anmode om, udveksle eller opbevare følsomme produktionsnøgler i almindelige regneark eller uformelle e-mail-tråde.

MIFARE Classic, Plus og DESFire er forskellige købsbeslutninger

MIFARE Classic EV1

NXP's nuværendeMIFARE Classic EV1 produktsideangiver produktet som aktivt, men "anbefales ikke til nye designs" og peger designere mod en nyere erstatning. Det betyder ikke, at alle installerede Classic-systemer straks skal stoppe med at fungere; det betyder, at et nyt projekt ikke bør vælge Classic, blot fordi "MIFARE" lyder nyere end 125 kHz Prox. :contentReference[oaicite:20]{indeks=20}

MIFARE Plus EV2

NXP-stillingerMIFARE Plus EV2som en opgraderingssti til eksisterende implementeringer. Dens nuværende specifikation inkluderer et sikkerhedsniveau-koncept til migrering og AES-128-godkendelse og sikker meddelelser på højere sikkerhedsniveauer. :contentReference[oaicite:21]{indeks=21}

MIFARE DESFire EV3

DESFire EV3 er designet til sikker brug af flere-applikationer og giver funktioner, herunder AES-128, gensidig godkendelse og fleksible applikations-/nøglestrukturer. Tilstedeværelsen af ​​disse kapaciteter beviser ikke, at et bestemt adgangssystem bruger dem; læser- og applikationssupport forbliver obligatorisk. :contentReference[oaicite:22]{indeks=22}

Hvornår skal du holde 125 kHz nærhed, og hvornår skal du flytte?

At holde nærhed kan være rationelt

En traditionel 125 kHz legitimation kan forblive driftsmæssigt rimelig, når den installerede læsebase er stor og stabil, det beskyttede miljø har en accepteret risikomodel, kompatibilitet er den umiddelbare forretningsprioritet, eller stedet er planlagt til migrering senere.

At videreføre en ældre teknologi bevidst er anderledes end at antage, at den giver den samme sikkerhedsmodel som et autentificeret moderne smart-kortsystem.

Det kan give mening at flytte til MIFARE

Et passende MIFARE-familielegitimationsoplysninger bliver mere relevant, når projektet kræver beskyttede applikationsdata, autentificeret kort-læserinteraktion, multi-applikationskapacitet, moderne legitimationsadministration eller en defineret vej væk fra infrastruktur kun for ældre identifikatorer.-

Beslutningen kræver stadig en nøjagtig produktfamilie og understøttet applikation. "MIFARE" i sig selv forbliver for bred til en tilbudsanmodning.

Planlæg migreringen i fem kontrollerede faser

Hvor blandet teknologi er påkrævet under overgangen, lister Syntek enRFID-læser med dobbelt-frekvensog endobbelt-frekvens RFID-kortblandt dets relaterede webstedsprodukter.

Dobbelt-teknologilegitimationsoplysninger kan reducere forstyrrelser

En dobbelt-teknologilegitimationsoplysninger kan placere en ældre 125 kHz-teknologi og en nyere HF-smart-kortteknologi i det samme fysiske kort.

HID's nuværendeMIFARE DESFire EV3 + Prox-legitimationsoplysningerer et rigtigt industrieksempel. HID placerer det som en måde at opretholde interoperabilitet med ældre 125 kHz-læsere under migrering til DESFire-baseret infrastruktur. :contentReference[oaicite:23]{indeks=23}

Det betyder ikke, at de to teknologier nødvendigvis afslører den samme identifikator eller bruger den samme sikkerhedsproces. Adgangskontroldatabasen- skal udtrykkeligt kortlægge legitimationsoplysningerne til den tilsigtede brugerpost.

Dobbelt teknologi er mest nyttig, når den har en exitplan. Når et websted ikke længere kræver ældre 125 kHz-understøttelse, bør migreringsteamet beslutte, om den ældre acceptsti skal forblive aktiveret.

Illustrativt migrationsscenarie: Tre kontorbygninger

Følgende scenarie er illustrativt og præsenteres ikke som en kundecase.

En virksomhed driver tre kontorbygninger. Bygning A har stadig kun 125 kHz-læsere. Bygning B har læsere, der kan understøtte både de ældre legitimationsoplysninger og den nye smart-kortteknologi. Bygning C er allerede blevet opgraderet til MIFARE-målmiljøet.

I stedet for at skifte hver dør og hvert badge på en weekend, registrerer virksomheden først hver læser og dør. En begrænset medarbejdergruppe modtager dobbelt-teknologilegitimationsoplysninger. Under piloten kortlægger adgangsdatabasen begge legitimationsteknologier til den samme medarbejderkonto, mens teamet verificerer, hvilken komponent der accepteres i hver bygning.

Piloten anses ikke for at være vellykket, blot fordi den nye badge åbner bygning C. Teamet bekræfter også, at:

• ældre døre fungerer stadig i den godkendte overgangsperiode;
• nye legitimationsoplysninger autentificeres som tilsigtet ved opgraderede døre;
• tilbagekaldte legitimationsoplysninger nægtes;
• erstatningskort efterlader ikke de gamle legitimationsoplysninger aktive;
• identifikatortilknytning opretter ikke dublerede brugerregistreringer;
• supportpersonale kan fortælle, om et problem hører til kortet, læseren, kortlægningen eller adgangstilladelsen.

Efter at bygning A er opgraderet, og alle nødvendige brugere er migreret, kan den ældre accept gennemgås med henblik på pensionering i stedet for at forblive aktiveret på ubestemt tid.

Definer migreringsacceptkriterier før udrulning

For en bredere valideringsramme, se Synteks vejledning tilRFID-system test.

Godkend en produktions-ækvivalent legitimationseksempel

En migreringspilot bør ikke kun stole på et utrykt udviklingskort.

Den produktions-ækvivalente prøve skal repræsentere den tilsigtede rækkefølge i:

• nøjagtig chip familie;
• credential formfaktor;
• personaliseringstilstand;
• identifikator/applikationskonfiguration;
• udskrivning og variable data;
• læserkompatibilitet;
• backend kortlægning;
• udskiftnings- og tilbagekaldelsesadfærd.

Ønskes variabel udskrivning, medarbejdernumre, QR-koder eller andre synlige data, Synteks vejledning tilRFID udskrivningkan understøtte illustrationer og data-filplanlægning.

Til batchkontrol, Synteks oversigt overkvalitetskontroludstyrgiver yderligere produktions-QC-kontekst.

Hvad skal du sende din kortleverandør, før du bestiller

Projekter, der kræver tilpasset kortkonstruktion, trykning, personalisering eller kontrolleret produktion, kan fortsætte til SynteksOEM og ODM produktionoplysninger, når den tekniske specifikation er defineret.

Almindelige købsfejl

Behandler hvert 13,56 MHz-kort som MIFARE-kompatibelt

Frekvens definerer ikke den komplette protokol, chipfamilie eller applikation. Bekræft den nøjagtige læser og legitimationsoplysninger.

Behandler hvert MIFARE-kort som lige sikkert

Classic, Plus og DESFire har forskellige sikkerhedsarkitekturer og implementeringsmodeller. NXP markerer i øjeblikket Classic EV1 som ikke anbefalet til nye designs, mens Plus EV2 og DESFire EV3 giver forskellige migrerings- og sikkerhedsfunktioner. :contentReference[oaicite:24]{indeks=24}

Udskiftning af kort uden at fryse identifikatorkortlægning

Et læsbart kort kan stadig fejle i produktionen, hvis læseren og backend er uenige om UID-repræsentation, kortformat eller brugerkortlægning.

Køb af en sikker chip, men brug kun en offentlig identifikator

Den valgte chips kapacitet og den implementerede autentificeringsmodel er separate spørgsmål.

Brug af dobbeltteknologi uden en ældre-pensionsordning

Dobbelt-frekvenslæsere og dobbelt-teknologikort kan reducere forstyrrelser, men migrering bør stadig definere, hvornår gammel teknologi ikke længere er påkrævet.

Endelig anbefaling

Den praktiske forskel mellem MIFARE og proximity-kort er større end 13,56 MHz versus 125 kHz.

En pålidelig adgangskontrol-beslutning bør svare:

• Hvilke læsere er faktisk installeret?
• Hvilke legitimationsfamilier støtter de?
• Hvilken identifikator eller beskyttede data bruger applikationen?
• Udfører læseren ægte godkendelse eller læser kun en identifikator?
• Hvem kontrollerer smart-kortnøglerne og tilpasningen?
• Hvordan er læser-til-controller-kommunikation beskyttet?
• Hvordan vil gamle og nye legitimationsoplysninger sameksistere under migration?
• Hvilke beviser skal bestå, før legacy-adgang trækkes tilbage?

For en eksisterende lav-risikoimplementering med en stor 125 kHz installeret base, kan fortsættelse af ældre Prox-legitimationsoplysninger i en defineret periode være en operationel beslutning snarere end en fejl.

Til en ny implementering eller sikkerhedsopgradering kan en korrekt implementeret moderne MIFARE-familielegitimationsoplysninger understøtte godkendelse, beskyttede applikationsdata og mere fleksibel legitimationsadministration. Værdien kommer fra det komplette design, ikke fra MIFARE-navnet trykt på specifikationen.

Installeret læser → nøjagtige legitimationsoplysninger → identifikator/applikationsdata → autentificering → nøgler → systemsikkerhed → migrationsarkitektur → produktionseksempel → accepttest.

Når læsermodellerne, mål-legitimationsoplysninger, identifikatorregler, godkendelsestilgang, migrationsplan, illustrationer, mængde og acceptkrav er defineret, kan købereanmode om en prøve eller et tilbudtil projektspecifik-evaluering.