MIFARE versus Proximity-kaarten: beveiliging, compatibiliteit en migratie

In deze gids,nabijheidskaartbetekent de oudere 125 kHz-referentie die gewoonlijk een prox-kaart wordt genoemd bij fysieke toegangscontrole. Het huidige Proximity-portfolio van HID is bijvoorbeeld expliciet gepositioneerd als een 125 kHz lage- fysieke--toegangsreferentiefamilie.HID Proximity-productinformatiegeeft een actueel voorbeeld uit de sector. :contentReferentie[oaicite:13]{index=13}

MIFARE is anders. Het is de familie van contactloze smartcardproducten van NXP, gebaseerd op ISO/IEC 14443-technologie en gebruikt in toepassingen, waaronder toegangsbeheer. De naam MIFARE omvat meerdere productfamilies in plaats van één chip of één beveiligingsniveau.Het MIFARE-portfolio van NXPomvat momenteel Classic, Plus, DESFire en aanvullende MIFARE-platforms. :contentReferentie[oaicite:14]{index=14}

Voor een bredere vergelijking van de twee bedrijfsfrequentiecategorieën- raadpleegt Syntek's handleiding voor125 kHz versus 13,56 MHz toegang-controlegegevensbiedt extra context.

Een praktische selectievolgorde is: geïnstalleerde lezer → exacte identificatietechnologie → identificatie- of applicatiegegevens → authenticatiemethode → beveiligingsmodel → migratieplan → productiespecificatie.

MIFARE versus Proximity-kaarten: snelle vergelijking

De beveiligingsrij is het meest waarschijnlijk te simpel. MIFARE mag niet worden behandeld als een enkele 'kaart met hoge- beveiliging'. Classic, Plus en DESFire hebben verschillende architecturen en mogelijkheden, en de manier waarop het toegangssysteem deze mogelijkheden gebruikt, is net zo belangrijk als de chipnaam.

Wat betekent "Proximity Card" in toegangscontrole?

In bredere technische termen kan nabijheid contactloze interactie op korte- afstand beschrijven. Bij aankoop van fysieke{2}}toegang verwijst 'prox-kaart' echter gewoonlijk naar een traditionele 125 kHz-referentie.

Een vereenvoudigd verouderd toegangspad kan er als volgt uitzien:

125 kHz identificatie → compatibele lezer → identificatienummer of formaat → controller → toegangsbeslissing

Het belangrijke aankoopdetail is dat "125 kHz" de referentie niet volledig beschrijft. De controller kan ook een specifieke kaartnummerstructuur, faciliteits-/locatiecode, bitformaat of lezeruitvoer verwachten.

Syntek somt beide op125 kHz proximity clamshell-kaartenen brederRFID-toegang-controlekaarten, maar de vervangingsselectie moet nog steeds uitgaan van de geïnstalleerde lezer- en controllerspecificatie in plaats van het uiterlijk van de kaart.

Wat is een MIFARE-kaart?

MIFARE is een contactloze productfamilie van NXP, niet één universele referentiespecificatie. Dat onderscheid is van belang bij toegangscontrole omdat twee kaarten met de naam MIFARE kunnen verschillen wat betreft geheugenorganisatie, beveiligingsmechanismen, authenticatie en toepassingsmodel. :contentReferentie[oaicite:15]{index=15}

Kopers kunnen Syntek's overzicht van eenRFID-smartcarden het is beschikbaarMIFARE-toegangskaartenvoor context op product-niveau, maar een toegangsspecificatie moet de exacte chipfamilie en het vereiste systeemgedrag identificeren.

Compatibiliteit met lezers gaat vóór kaartvoorkeur

Een 125 kHz-lezer wordt niet compatibel met een 13,56 MHz MIFARE-referentie omdat de kaarten dezelfde ISO--stijlafmetingen hebben.

Voordat u de inloggegevens wijzigt, inventariseert u de geïnstalleerde lezers en noteert u:

• fabrikant en model van lezer;
• ondersteunde frequentie of frequenties;
• ondersteunde geloofsbrievenfamilies;
• firmware of configuratie waar relevant;
• interface van lezer-naar-controller;
• huidige faciliteit/locatiecode en kaartformaat, indien van toepassing;
• identificatielengte en representatie verwacht door het toegangsplatform;
• of het systeem een ​​openbare identificatie of geauthenticeerde applicatiegegevens gebruikt.

SynteksRFID-toegang-controlelezerpagina enRichtlijnen voor RFID-werkfrequentieaanvullende product- en frequentiecontext bieden.

Frequentie is niet hetzelfde als het identificatieformaat

Toegangs-migraties mislukken vaak omdat twee verschillende gegevenslagen worden behandeld alsof ze hetzelfde zijn.

De eerste laag is de referentie-voor-RF-interactie van de lezer. Een 125 kHz-kaart en een 13,56 MHz MIFARE-kaart gebruiken verschillende radiotechnologieën.

De tweede laag is wat de lezer levert aan de controller of het toegangsplatform. Die waarde kan worden genormaliseerd, opnieuw geformatteerd of in kaart gebracht volgens de configuratie van de lezer en de toegangscontrole.

Het kan daarom lijken alsof twee kaarten vergelijkbare-getallen produceren in de software, terwijl ze volledig incompatibel zijn op de RF-laag. Omgekeerd kan een nieuwe lezer met succes een MIFARE-kaart detecteren, maar toch de identificatie ervan aan de controller presenteren in een ander formaat dan verwacht door de bestaande database.

Identificatietoewijzing bevriezen vóór massale heruitgave

"Hetzelfde kaartnummer behouden" is geen volledige migratiespecificatie.

Voordat u nieuwe inloggegevens importeert of produceert, documenteert u hoe het toegangsplatform verwacht dat identificatiegegevens worden weergegeven. Afhankelijk van het systeem kunnen relevante vragen zijn:

• Is de bronwaarde een UID, een applicatiereferentie-ID of een ander veld?
• Welke identificatielengte wordt geaccepteerd?
• Wordt de waarde opgeslagen als hexadecimaal, decimaal of op een andere manier?
• Past de toepassing een bepaalde bytevolgorde toe?
• Blijven voorloopnullen behouden?
• Verwacht de beheerder een faciliteits-/locatiecode en kaartnummersplitsing-?
• Geeft een dubbele-technologiekaart twee afzonderlijke identiteiten weer die moeten worden toegewezen aan dezelfde gebruikersrecord?

Deze details moeten afkomstig zijn van het daadwerkelijke toegangsplatform en de goedgekeurde migratiespecificatie. Ze mogen niet worden geraden op basis van het gedrukte nummer op een oude badge.

Beveiliging hangt af van wat het systeem daadwerkelijk verifieert

De vergelijking 'Nabijheid is onveilig; MIFARE is veilig' is te breed om een ​​serieus besluit over toegangscontrole- te ondersteunen.

Toegang tot statische identificatie

Veel oudere Prox-implementaties maken voornamelijk gebruik van een identificatie-ID. De lezer herkent de inloggegevens en geeft een identificatie door aan het toegangscontrolesysteem-.

De algemene beveiligingssituatie hangt dan af van meer dan alleen de kaart: beheer van inloggegevens, ontwerp van lezer/controller, intrekking, monitoring, fysieke beveiliging en administratieve controles zijn allemaal van belang.

MIFARE wordt alleen gebruikt als identificatiemiddel

Een beter capabele smartcard-IC-kan nog steeds worden geïmplementeerd in een architectuur met alleen eenvoudige identificatie-.

Als een toegangslezer alleen maar een blootgestelde identificatiecode leest en nooit de beschermde authenticatie of applicatiebewerkingen uitvoert die door de geselecteerde referentie worden ondersteund, krijgt het project niet automatisch de volledige beveiligingsmogelijkheden die beschikbaar zijn via die chip.

Geauthenticeerde Smart-Card-applicatie

Een goed ontworpen MIFARE-applicatie kan gebruik maken van beschermde applicatiegegevens, authenticatie, cryptografische sleutels en beveiligde berichtenuitwisseling, indien ondersteund door het gekozen product.

De huidige MIFARE DESFire EV3-documentatie van NXP vermeldt AES-ondersteuning, authenticatie op applicatie-niveau, meerdere sleutels en meerdere sleutelsets als beveiligingsmogelijkheden. Deze functies zijn nog steeds afhankelijk van de lezer, het sleutelbeheermodel en de applicatieconfiguratie.NXP MIFARE DESFire EV3 technische informatiedocumenteert de beschikbare IC-mogelijkheden. :contentReferentie[oaicite:16]{index=16}

Beveiliging is een systeemeigenschap, geen chiplabel

NIST SP 800-98 behandelt RFID-beveiliging als een ontwerp- en operationeel probleem op systeemniveau-niveau, en niet als een probleem dat alleen met tags te maken heeft. DeNIST RFID-beveiligingsrichtlijnomvat de planning, implementatie en werking van RFID-systemen. :contentReferentie[oaicite:17]{index=17}

Voor de lezer-tot-controllerlaag: die van de Security Industry AssociationOpen het bewaakte apparaatprotocolondersteunt bewaakte communicatie en Secure Channel-bescherming tussen toegangscontrole--apparaten. De huidige implementatierichtlijnen van SIA bevelen Secure Channel specifiek aan wanneer OSDP wordt gebruikt. :contentReferentie[oaicite:18]{index=18}

Syntek's gids voorRFID-gegevensbeveiligingkan de bredere interne veiligheidsdiscussie ondersteunen.

Sleutelbeheervragen die kopers moeten stellen

Zodra een project verder gaat dan alleen UID-toegang, wordt sleutelbeheer onderdeel van de aankoopspecificatie.

De DESFire EV3-architectuur van NXP ondersteunt meerdere applicatiesleutels en meerdere sleutelsets, wat illustreert waarom "de kaart AES ondersteunt" niet voldoende informatie is om de implementatie te definiëren. :contentReferentie[oaicite:19]{index=19}

Vóór personalisatie of massaproductie verduidelijken:

• Wie is eigenaar van de productie- en applicatiesleutels?
• Wie is bevoegd om inloggegevens te personaliseren?
• Wordt er gebruik gemaakt van door de leverancier-gecontroleerde, klant-gecontroleerde of gezamenlijk beheerde personalisatie?
• Worden kaarten geleverd in een bekende initialisatiestatus?
• Hoe worden vervangende referenties ingericht?
• Kunnen sleutels worden gewijzigd als verantwoordelijkheden of systemen veranderen?
• Hoe worden sleutelversies en applicatieconfiguratie gedocumenteerd?
• Hoe zijn productie-, test- en liveomgevingen gescheiden?
• Wie kan het referentieprogramma herstellen als de oorspronkelijke personalisatieprovider niet langer beschikbaar is?

Het antwoord hangt af van het toegangscontroleplatform- en de beveiligingsarchitectuur. Kopers mogen geen gevoelige productiesleutels aanvragen, uitwisselen of opslaan in gewone spreadsheets of informele e-mailthreads.

MIFARE Classic, Plus en DESFire zijn verschillende aankoopbeslissingen

MIFARE Klassieke EV1

NXP's stroomMIFARE Classic EV1-productpaginavermeldt het product als actief maar "niet aanbevolen voor nieuwe ontwerpen" en wijst ontwerpers op een nieuwere vervanging. Dat betekent niet dat elk geïnstalleerd Classic-systeem onmiddellijk moet stoppen met werken; het betekent dat een nieuw project niet Classic mag selecteren, alleen maar omdat "MIFARE" nieuwer klinkt dan 125 kHz Prox. :contentReferentie[oaicite:20]{index=20}

MIFARE Plus EV2

NXP-positiesMIFARE Plus EV2als upgradepad voor bestaande implementaties. De huidige specificatie omvat een Security Level-concept voor migratie en AES-128-authenticatie en beveiligde berichtenuitwisseling op hogere beveiligingsniveaus. :contentReferentie[oaicite:21]{index=21}

MIFARE DESFire EV3

DESFire EV3 is ontworpen voor veilig gebruik van meerdere- applicaties en biedt mogelijkheden zoals AES-128, wederzijdse authenticatie en flexibele applicatie-/sleutelstructuren. De aanwezigheid van deze mogelijkheden bewijst niet dat een bepaald toegangssysteem er gebruik van maakt; ondersteuning voor lezers en applicaties blijft verplicht. :contentReferentie[oaicite:22]{index=22}

Wanneer moet u de nabijheid van 125 kHz behouden en wanneer moet u verhuizen?

Nabijheid bewaren kan rationeel zijn

Een traditionele 125 kHz-referentie kan operationeel redelijk blijven als de geïnstalleerde lezersbasis groot en stabiel is, de beschermde omgeving een geaccepteerd risicomodel heeft, compatibiliteit de onmiddellijke zakelijke prioriteit is, of als de site later zal worden gemigreerd.

Het bewust voortzetten van een verouderde technologie is iets anders dan aannemen dat deze hetzelfde beveiligingsmodel biedt als een geverifieerd modern smartcard-systeem-.

Overstappen naar MIFARE kan zinvol zijn

Een geschikte MIFARE--familiereferentie wordt relevanter wanneer het project beschermde applicatiegegevens, geauthenticeerde kaart-kaartlezerinteractie, multi-applicatiemogelijkheden, modern credentialbeheer of een gedefinieerd pad vereist, weg van de verouderde infrastructuur-alleen voor ID's.

De beslissing vereist nog steeds een exacte productfamilie en ondersteunde toepassing. "MIFARE" op zichzelf blijft te breed voor een offerteaanvraag.

Plan de migratie in vijf gecontroleerde fasen

Waar gemengde technologie vereist is tijdens de transitie, somt Syntek aRFID-lezer met dubbele- frequentieen eenRFID-kaart met dubbele-frequentieonder de gerelateerde siteproducten.

Dubbele-technologiereferenties kunnen disruptie verminderen

Met een dubbele-technologiereferentie kan een oudere 125 kHz-technologie en een nieuwere HF-smartcard-technologie op dezelfde fysieke kaart worden geplaatst.

HID is actueelMIFARE DESFire EV3 + Prox-referentieis een echt voorbeeld uit de sector. HID positioneert het als een manier om de interoperabiliteit met oudere 125 kHz-lezers te behouden tijdens de migratie naar op DESFire-gebaseerde infrastructuur. :contentReferentie[oaicite:23]{index=23}

Dat betekent niet dat de twee technologieën noodzakelijkerwijs dezelfde identificator blootleggen of hetzelfde beveiligingsproces gebruiken. De toegangs-database moet de identificatie-identiteiten expliciet toewijzen aan de beoogde gebruikersrecord.

Dubbele technologie is het nuttigst als er een exitplan voor is. Zodra een site niet langer verouderde 125 kHz-ondersteuning nodig heeft, moet het migratieteam beslissen of dat oudere acceptatiepad ingeschakeld moet blijven.

Illustratief migratiescenario: drie kantoorgebouwen

Het volgende scenario is illustratief en wordt niet gepresenteerd als een klantcase.

Een bedrijf exploiteert drie kantoorgebouwen. Gebouw A heeft nog steeds alleen lezers voor 125 kHz-. Gebouw B heeft lezers die zowel de oude inloggegevens als de nieuwe smartcard-technologie- kunnen ondersteunen. Gebouw C is al geüpgraded naar de doel-MIFARE-omgeving.

In plaats van elke deur en elke badge in één weekend te veranderen, registreert het bedrijf eerst elke lezer en deur. Een beperkte groep werknemers ontvangt dubbele-technologiereferenties. Tijdens de pilot koppelt de toegangsdatabase beide referentietechnologieën aan hetzelfde werknemersaccount, terwijl het team verifieert welk onderdeel in elk gebouw wordt geaccepteerd.

De pilot wordt niet als succesvol beschouwd simpelweg omdat de nieuwe badge gebouw C opent. Het team verifieert ook dat:

• oude deuren werken nog steeds tijdens de goedgekeurde overgangsperiode;
• nieuwe inloggegevens authenticeren zoals bedoeld bij geüpgradede deuren;
• ingetrokken inloggegevens worden geweigerd;
• vervangende kaarten laten de oude inloggegevens niet actief;
• ID-toewijzing creëert geen dubbele gebruikersrecords;
• ondersteunend personeel kan zien of een probleem te maken heeft met de kaart, lezer, mapping of toegangsrechten.

Nadat Gebouw A is geüpgraded en alle vereiste gebruikers zijn gemigreerd, kan de oude acceptatie worden beoordeeld voor buitengebruikstelling in plaats van voor onbepaalde tijd ingeschakeld te blijven.

Definieer acceptatiecriteria voor migratie vóór de implementatie

Voor een breder validatieraamwerk, zie Syntek's handleiding voorTesten van RFID-systemen.

Een productie goedkeuren-Equivalent referentievoorbeeld

Een migratiepilot mag niet alleen vertrouwen op een onbedrukte ontwikkelingskaart.

Het productie-equivalente monster moet de beoogde volgorde weergeven in:

• exacte chipfamilie;
• referentievormfactor;
• personalisatie staat;
• identificatie/applicatieconfiguratie;
• afdrukken en variabele gegevens;
• compatibiliteit van lezers;
• backend-toewijzing;
• vervangings- en intrekkingsgedrag.

Als variabel afdrukken, personeelsnummers, QR-codes of andere zichtbare gegevens vereist zijn, kunt u de handleiding van Syntek raadplegenRFID-printenkan de planning van illustraties en gegevens-bestanden ondersteunen.

Voor batchinspectie is Syntek's overzicht vankwaliteitscontroleapparatuurbiedt aanvullende productie-QC-context.

Wat u uw kaartleverancier moet sturen voordat u bestelt

Projecten die een aangepaste kaartconstructie, drukwerk, personalisatie of gecontroleerde productie vereisen, kunnen doorgaan naar SyntekOEM- en ODM-productieinformatie zodra de technische specificatie is gedefinieerd.

Veel voorkomende koopfouten

Elke 13,56 MHz-kaart behandelen als MIFARE-compatibel

Frequentie definieert niet het volledige protocol, de chipfamilie of de toepassing. Bevestig de exacte lezer en referentie-ondersteuning.

Elke MIFARE-kaart als even veilig behandelen

Classic, Plus en DESFire hebben verschillende beveiligingsarchitecturen en implementatiemodellen. NXP markeert momenteel Classic EV1 als niet aanbevolen voor nieuwe ontwerpen, terwijl Plus EV2 en DESFire EV3 verschillende migratie- en beveiligingsmogelijkheden bieden. :contentReferentie[oaicite:24]{index=24}

Kaarten vervangen zonder identificatie-toewijzing te bevriezen

Een leesbare kaart kan nog steeds mislukken tijdens de productie als de lezer en de backend het oneens zijn over de UID-weergave, het kaartformaat of de gebruikerstoewijzing.

Een veilige chip kopen, maar alleen een openbare identificatie gebruiken

De mogelijkheden van de geselecteerde chip en het geïmplementeerde authenticatiemodel zijn afzonderlijke vragen.

Dubbele technologie gebruiken zonder een oud-Pensioenplan

Lezers met dubbele- frequentie en kaarten met dubbele- technologie kunnen de verstoring verminderen, maar migratie moet nog steeds bepalen wanneer oude technologie niet langer nodig zal zijn.

Laatste aanbeveling

Het praktische verschil tussen MIFARE en proximity-kaarten is groter dan 13,56 MHz versus 125 kHz.

Een betrouwbaar besluit over toegangscontrole- zou het volgende moeten beantwoorden:

• Welke lezers zijn er eigenlijk geïnstalleerd?
• Welke geloofsbrievenfamilies ondersteunen zij?
• Welke identificatie- of beschermde gegevens gebruikt de applicatie?
• Voert de lezer echte authenticatie uit of leest hij alleen een identificatie?
• Wie beheert de smartcard-sleutels en personalisatie?
• Hoe wordt de communicatie tussen lezer-en-controller beveiligd?
• Hoe zullen oude en nieuwe inloggegevens naast elkaar bestaan ​​tijdens de migratie?
• Welk bewijs moet worden doorgegeven voordat de verouderde toegang wordt stopgezet?

Voor een bestaande implementatie met een laag-risico en een grote geïnstalleerde basis van 125 kHz kan het voortzetten van de verouderde Prox-inloggegevens voor een bepaalde periode een operationele beslissing zijn in plaats van een fout.

Voor een nieuwe implementatie of beveiligingsupgrade kan een goed geïmplementeerde, moderne MIFARE--familiereferentie authenticatie, beschermde applicatiegegevens en flexibeler credentialbeheer ondersteunen. De waarde komt voort uit het volledige ontwerp, niet uit de MIFARE-naam die op de specificatie is afgedrukt.

Geïnstalleerde lezer → exacte identificatie → identificatie-/applicatiegegevens → authenticatie → sleutels → systeembeveiliging → migratiearchitectuur → productievoorbeeld → acceptatietest.

Zodra de lezermodellen, doelreferenties, identificatieregels, authenticatiebenadering, migratieplan, artwork, hoeveelheid en acceptatievereisten zijn gedefinieerd, kunnen kopersVraag een monster of offerte aanvoor project-specifieke evaluatie.