Proximity Card versus Smart Card: belangrijkste verschillen, beveiligingsrisico's en hoe te kiezen
Jul 17, 2026
Laat een bericht achter
In deze handleiding wordt beschreven hoe elke kaart werkt, waar prox-kaarten tekortschieten op het gebied van beveiliging, hoe u kunt identificeren welk type u momenteel gebruikt, wat een upgrade realistisch kost en welke technologie bij welke omgeving past.
Hoe een Proximity-kaart werkt
Een proximity-kaart is een passieve, contactloze identificatie die werkt op125 kHz(lage frequentie). Houd er één in de buurt van een compatibele lezer en het elektromagnetische veld van de lezer voedt de interne antennespoel van de kaart. De chip wordt wakker, zendt een vast identificatienummer uit -, meestal een faciliteitscode en kaartnummer gecodeerd in het 26-bit Wiegand-formaat, en wordt stil. Geen batterij, geen contact, geen interactie buiten die ene uitzending.
De kaart slaat heel weinig op: ongeveer 64 bits aan gegevens, genoeg voor die twee identificatiegegevens en niets anders. Er is geen verwerkingscapaciteit en geen codering. Telkens wanneer de kaart een 125 kHz-veld binnengaat -, inclusief een veld dat door een aanvaller is gegenereerd, wordt dezelfde ID verzonden. De communicatieverbinding tussen lezer-naar-controller (Wiegand-protocol) is ook niet-versleuteld.
125 kHz proximity-kaartenworden meestal geleverd als PVC-kaarten van creditcard-kaart-formaat of compacte sleutelhangers. Ze zijn goedkoop en eenvoudig te installeren. - Voor een enkele-lezerconfiguratie is geen softwareconfiguratie aan de kaart- nodig. Die eenvoud is ook de reden dat ze zo lang op de markt bestaan, ook al zijn de beveiligingsbeperkingen steeds moeilijker te negeren.
Veel voorkomende toepassingen: toegang tot gebouwen, slagbomen, tourniquets en elke omgeving waar het doel het registreren van deurtoegang is in plaats van het cryptografisch verifiëren van de identiteit.
Hoe een smartcard werkt - en waarom deze fundamenteel anders is
Een smartcard werkt op13,56 MHz(hoge frequentie) en bevat een ingebouwde microprocessor - niet alleen een spoel en een passieve chip. Wanneer ze aan een compatibele lezer worden gepresenteerd, voeren de twee apparaten een cryptografische handshake uit voordat er inloggegevens van eigenaar wisselen. De kaart berekent de antwoorden op uitdagingen van de lezer, de lezer doet hetzelfde op zijn beurt, en geen van beide partijen verzendt een statische ID die later opnieuw kan worden afgespeeld.
Omdat de berekening op de kaart zelf plaatsvindt, hoeven gevoelige gegevens nooit in een leesbare vorm achter te blijven. De lezer ontvangt een cryptografisch identiteitsbewijs. Deze wederzijdse authenticatie, die geheel afwezig is bij prox-kaartsystemen, vormt de basis van smartcard-beveiliging.
Smartcards kunnen ook veel meer opslaan dan een prox-kaart (meestal 2 KB tot 72 KB, afhankelijk van de chip -) en ondersteunen meerdere gelijktijdige toepassingen. Een enkeleISO 14443A-smartcardkan een toegangsbewijs voor het gebouw, een inlogcertificaat voor een werkstation, een betalingsprofiel voor de cafetaria en een tijd-en-aanwezigheidsregistratie bevatten. Prox-kaarten kunnen dat allemaal niet bevatten.
De dominante standaard voor smartcards voor toegangscontrole isISO/IEC 14443- dezelfde specificatie die wordt gebruikt door contactloze betaalkaarten. Veel voorkomende chipfamilies zijn MIFARE Classic, MIFARE DESFire EV2/EV3 en HID iCLASS. Eén opmerking over MIFARE Classic: onderzoekers van de Radboud Universiteit hebben in 2008 aangetoond dat het eigen Crypto-1-cijfer kwetsbaar is voor sleutel-herstelaanvallen. DESFire EV2 en EV3 gebruiken AES-encryptie en zijn de veilige optie van de huidige generatie voor nieuwe implementaties.
Smartcards zijn verkrijgbaar als standaard PVC-kaarten, sleutelhangers en - in de gezondheidszorg en evenementenomgevingen - polsbandjes.RFID-polsbandjesgebouwd op 13,56 MHz smartcardchips worden gebruikt als kinderpolsbandjes in ziekenhuizen, themaparken en zomerkampen, waar het personeel zowel contactloos gemak als betrouwbare identiteitsgarantie nodig heeft voor minderjarigen die geen kaart kunnen beheren.
Belangrijkste verschillen in één oogopslag
| Functie | Nabijheidskaart | Smartcard |
|---|---|---|
| Frequentie | 125 kHz (LF) | 13,56 MHz (HF) |
| Interne hardware | Passieve spoel + basis-IC | Microprocessor + antenne |
| Gegevensversleuteling | Geen | AES/3DES |
| Geheugencapaciteit | ~64 bits | 2 KB – 72 KB |
| Wederzijdse authenticatie | Nee | Ja |
| Protocol van lezer-naar-controller | Wiegand (niet-versleuteld) | OSDP (gecodeerd) of Wiegand |
| Ondersteuning voor meerdere- applicaties | Nee | Ja |
| Risico van klonen | Hoog | Zeer laag |
| Intrekking van inloggegevens op afstand | Nee (handmatig, per-deur) | Ja (systeem-breed) |
| Ongeveer. per-kaartkosten | $1–$5 | $2–$20+ |
Twee vermeldingen in die tabel verdienen wat meer context.OSDP (Open Supervised Device Protocol)is de moderne vervanging voor Wiegand op de link tussen lezer-naar-controller. De meeste prox-kaartsystemen gebruiken Wiegand -, een niet-gecodeerd serieel protocol uit de jaren tachtig. OSDP vervangt dat door AES-128-gecodeerde, bidirectionele communicatie. Smartcardlezers met OSDP-ondersteuning sluiten de kwetsbaarheid voor onderschepping van Wiegand volledig af, en niet alleen het risico van het klonen van kaarten.Intrekking op afstandis het andere ondergewaardeerde voordeel: wanneer een smartcard verloren gaat of een medewerker vertrekt, kan een kaartbeheersysteem de inloggegevens voor alle deuren tegelijkertijd ongeldig maken. Een prox-kaartreferentie moet handmatig uit elke controllerdatabase worden verwijderd - en als deze stap wordt uitgesteld, blijft de inloggegevens live.
De veiligheidskloof: hoe de risico's er feitelijk uitzien
Het fundamentele probleem met proximity-kaarten is van architectonische aard. Ze zenden een vaste, niet-gecodeerde ID uit naar elk elektromagnetisch veld van 125 kHz -, inclusief het veld dat een aanvaller genereert. Drie praktische aanvalsvectoren volgen rechtstreeks uit dat ontwerp:
Kaart klonen.125 kHz lees-/schrijfapparaten zijn in de handel verkrijgbaar en eenvoudig te gebruiken. Het lezen van de referenties van een proxkaart duurt enkele seconden; het schrijven naar een blanco kaart vergt nog een paar stappen. De resulterende kloon is elektrisch niet te onderscheiden van het origineel. De kaarthouder heeft geen indicatie dat dit is gebeurd en het toegangslogboek toont een normale scan.
Wiegand-onderschepping.Zelfs als het klonen van kaarten op de een of andere manier zou worden voorkomen, verzendt de Wiegand-koppeling tussen lezer en controller in leesbare tekst. Een klein apparaat dat in of achter de lezerbehuizing wordt geïnstalleerd - uit het zicht, tussen de muur en de lezer - kan in stilte elke inloggegevens registreren die passeren. Geen zichtbare manipulatie, geen systeemwaarschuwing.
Geen automatische intrekking.Zoals hierboven vermeld, blijven de prox-kaartgegevens van een ex-werknemer geldig totdat iemand deze handmatig van elke relevante controller verwijdert. Dat verschil wordt in de praktijk vaak gemeten in dagen of weken.
Proximity-kaartaanvallen zijn operationeel stil. Een gekloonde referentie produceert toegangslogboekvermeldingen die identiek zijn aan die van de legitieme gebruiker. Er is geen sprake van een anomalie, geen waarschuwing en vaak geen onderzoek totdat iets anders aanleiding geeft tot een beoordeling. Dat is het onderdeel dat niet op de specificatiebladen staat.
Voor organisaties die op zoek zijn naar onmiddellijke passieve bescherming voor prox-kaarten die in portemonnees zijn opgeslagen, is eenRFID-blokkeerkaartbiedt enige bescherming tegen opportunistisch scannen -, hoewel het niets doet om het Wiegand-onderscheppingsprobleem aan de kant van de lezer op te lossen.
Hoe u kunt zien welke kaart u momenteel heeft
Voordat u een upgrade plant, moet u weten welke technologie daadwerkelijk in uw faciliteit wordt gebruikt.
Stap 1 - Smartphonescan.Installeer NFC Tools (gratis, Android) en houd de kaart plat tegen de achterkant van de telefoon. Als de app chipgegevens leest, is het een 13,56 MHz smartcard. Als er niets gebeurt, is het vrijwel zeker een 125 kHz-proxkaart, die Android NFC niet kan lezen.
Stap 2 - Fysieke inspectie.Houd de kaart onder fel licht. Smartcards vertonen vaak vage interne contouren - de schaduw van de antennespoel en chiplaag. Prox-kaarten zien er uniform uit. Een zichtbaar gouden of zilveren contactvlak op de voorkant geeft aan dat de smartcard in de contact-modus staat, wat gebruikelijk is op PIV-kaarten van de overheid.
Stap 3 - Lezerspecificatieblad.Zoek het modelnummer van uw geïnstalleerde lezers op. Het gegevensblad vermeldt de ondersteunde frequenties. "125 kHz", "HID Prox", "EM4100" of "TK4100" betekent prox. "13,56 MHz", "MIFARE", "ISO 14443" of "iCLASS" betekent smartcard. Als beide verschijnen, beschikt u al over hardware met dubbele frequentie.
Kosten: een realistisch beeld
Alle cijfers zijn bij benadering vanaf 2024–2025; verifieer de huidige prijzen bij leveranciers voordat u budgetteert.
- 125 kHz proximity-kaarten: $ 1–$ 5 per kaart
- MIFARE Classic-smartcards: $ 2 - $ 6 per kaart
- MIFARE DESFire EV3 / iCLASS SEOS: $6–$20+ per kaart
- Proximity-kaartlezers: $ 50 - $ 200 per deur
- Smartcardlezers: $ 80 - $ 300 per deur
- Dubbele-lezers met frequentie(lees beide kaarttypen): $ 100 - $ 400 per deur
Het verschil in kosten per-kaart tussen smartcards op prox- en instapniveau- is kleiner dan de meeste mensen verwachten (ongeveer $1-$3 per identificatie). De grotere kosten vooraf zijn de lezerhardware. Dat is de reden waarom lezers met dubbele-frequentie het praktische startpunt vormen voor de meeste migraties: bestaande prox-kaarten blijven werken terwijl smartcards parallel worden uitgegeven, waardoor verstoring van de dagelijkse toegang wordt vermeden.
Bij de berekening van de totale kosten moet ook rekening worden gehouden met wat een beveiligingsincident met een prox-kaart daadwerkelijk kost - vervanging van legitimatiegegevens, onderzoek en mogelijk rapportage door de toezichthouder. Dat cijfer kan jaren van investeringen in de smartcardinfrastructuur overschrijden.
Welke technologie past bij welke omgeving?
Gezondheidszorg.Smartcards zijn de praktische keuze. Klinische omgevingen hebben fysieke toegangscontrole (medicatiekamers, beperkte gebieden) en logische toegangscontrole (login op het EPD-werkstation) nodig met dezelfde inloggegevens. HIPAA-auditvereisten komen overeen met het loggen van smartcardtoegang.Toegangscontrole lezersdie beide functies ondersteunen, zijn standaard in moderne ziekenhuisgebouwen. Op kinderafdelingen en kraamafdelingen zorgen RFID-kinderpolsbandjes met smartcardchips ervoor dat het personeel patiënten kan volgen en ongeoorloofde uitgangen kan voorkomen - een direct operationeel gebruik van dezelfde identificatie-infrastructuur.
Regering.PIV-kaarten (Persoonlijke Identiteitsverificatie), vereist onderFIPS-201voor federale werknemers die toegang hebben tot overheidssystemen, zijn smartcards. Proximity-kaarten voldoen niet aan HSPD-12 of de daaropvolgende raamwerken. Niet-federale instanties die onder vergelijkbare nalevingseisen opereren, moeten dezelfde richting volgen.
Hoger onderwijs.Universiteiten gebruiken vaak één kaart voor toegang tot de residentiezaal, bibliotheekdiensten, OV-passen en maaltijdplannen. Een enkeleMIFARE 1K-smartcardkan er meerdere tegelijk verwerken. Prox-kaarten kunnen dat niet.
Zakelijke onderneming.Organisaties onder SOC 2 Type II of ISO 27001 moeten standaard smartcards gebruiken. Op Wiegand-gebaseerde prox-systemen worden bij beveiligingsaudits steeds vaker aangemerkt als onvoldoende voor omgevingen die gereguleerde gegevens verwerken.
Commercieel met laag-risico.Een klein kantoor, een enkel magazijn of een opslagfaciliteit zonder gevoelige gegevens achter de deuren, - proxkaarten blijven hier kosteneffectief-. Het dreigingsmodel rechtvaardigt de kosten van de smartcardinfrastructuur op deze schaal niet.
Een migratie plannen: vijf stappen die werken
Volledig rippen-en-vervangen is zelden nodig. De meeste organisaties migreren geleidelijk met behulp van een infrastructuur met dubbele- frequentie, waardoor bestaande inloggegevens geldig blijven terwijl er nieuwe worden geïntroduceerd.
1. Controleer uw systeem.Specificatiebladen opvragen voor elke lezer in de faciliteit. Identificeer welke deurcontrollers Wiegand versus OSDP gebruiken, en welke lezers firmware- kunnen upgraden. Maak een lijst van alle kaartformaten die actief worden gebruikt.
2. Vervang eerst de lezers.Implementeer modellen met dubbele- frequentie bij elke deur.Inloggegevens met dubbele- frequentieen lezers zorgen ervoor dat prox-kaarten gedurende de gehele transitie blijven werken - geen toegangsonderbreking tijdens de uitrolperiode.
3. Geef eerst smartcards uit aan gebruikers met een hoog-risico.Leidinggevenden, IT-beheerders, houders van toegang tot serverruimtes en datacenters - deze moeten in wave één worden gemigreerd. A13,56 MHz sleutelhangerwerkt evenals een kaartformaat voor gebruikers die er de voorkeur aan geven.
4. Stel een vervaldatum voor de proxykaart in.Geef een specifieke datum door -, doorgaans 90 tot 180 dagen uit -, waarna 125 kHz-inloggegevens niet langer worden geaccepteerd. Eeninschrijving lezervereenvoudigt de bulkuitgifte voor de resterende gebruikerspopulatie.
5. Schakel 125 kHz uit op dubbele-frequentielezers.Zodra alle gebruikers smartcards hebben, configureert u de lezers zo dat ze laag-inloggegevens met een lage frequentie weigeren. Dit sluit het aanvalsoppervlak van de prox-kaart permanent.
Voor organisaties in gereguleerde omgevingen,NIST SP 800-116 Rev. 1biedt gedetailleerde implementatierichtlijnen voor PIV-compatibele fysieke en logische toegangsreferentieprogramma's.
Hoe zit het met mobiele inloggegevens?
Mobiele inloggegevens - waarin toegangsgegevens op een smartphone worden opgeslagen via NFC of Bluetooth Low Energy - winnen aan terrein in bedrijfsomgevingen. De praktijk is reëel: inloggegevens kunnen op afstand worden uitgegeven, gewijzigd en ingetrokken zonder een fysieke kaart aan te raken, wat van belang is voor organisaties die grote of gedistribueerde arbeidskrachten beheren.
De afwegingen zijn ook reëel. Mobiele inloggegevens zijn afhankelijk van de batterijstatus van het apparaat, de compatibiliteit van het besturingssysteem en de MDM-infrastructuur. Ze zijn nog niet universeel geschikt voor gereguleerde omgevingen of hoge- beveiligingsperimeters. Voor de meeste organisaties op dit moment blijven smartcards de bewezen middenweg - veiliger dan prox-kaarten, breder compatibel dan mobiele -implementaties, en ondersteund door een volwassen ecosysteem van lezers en beheersoftware.
Veelgestelde vragen
Vraag: Kan een proximity-kaart worden gekloond zonder dat de kaarthouder hiervan op de hoogte is?
EEN: Ja. Omdat prox-kaarten een niet-gecodeerde ID naar elk compatibel veld zenden, kan een 125 kHz-lezer die zich in de buurt van de kaarthouder - in een lift of in een drukke ruimte - bevindt, de identificatie lezen en opnemen zonder enig fysiek contact. In de handel verkrijgbare RFID-kopieerapparaten kunnen die identificatie vervolgens naar een blanco kaart schrijven. Het proces laat geen sporen na en de kaarthouder heeft geen enkele aanwijzing dat dit heeft plaatsgevonden.
Vraag: Zijn proximity-kaarten hetzelfde als RFID-kaarten?
A: Proximity-kaarten zijn een subset van RFID - specifiek 125 kHz laag- RFID met lage frequentie. Wanneer mensen in de toegangscontrole 'RFID-kaarten' vergelijken met 'proximity-kaarten', bedoelen ze meestal het verschil tussen moderne 13,56 MHz smartcards (gecodeerd, multi-toepassing) en oudere 125 kHz prox-kaarten (niet-gecodeerd, alleen vaste ID). De onderliggende fysica is hetzelfde; de mogelijkheden en het beveiligingsprofiel zijn dat niet.
Vraag: Werkt een smartcard in een proximity-kaartlezer?
A: Nee. Een 13,56 MHz smartcard bevindt zich buiten het frequentiebereik van een 125 kHz-lezer - en kan niet met elkaar communiceren. Organisaties die overstappen tussen de twee technologieën hebben lezers nodig die beide frequenties tegelijkertijd ondersteunen, tenminste tijdens de migratieperiode.
Vraag: Wat is een clamshell-kaart - is het een prox- of smartcard?
A: Een clamshell-kaart is een behuizingsformaat, geen technologie. Het verwijst naar een stevige, dikke PVC-behuizing die de identificatie binnenin beschermt -, handig voor industriële of buitenomgevingen. Clamshell-nabijheidskaarten werken op 125 kHz; smartcardversies van dezelfde behuizing draaien op 13,56 MHz. De behuizing verandert niets aan de frequentie of het beveiligingsniveau van de identificatie binnenin.
Vraag: Is een contactloze bankkaart een smartcard?
A: Technisch gezien wel. Contactloze betaalkaarten gebruiken 13,56 MHz en de EMV-standaard onder ISO/IEC 14443 - dezelfde frequentie en specificatiefamilie als smartcards voor toegangscontrole. De applicatieprotocollen en cryptografische sleutels zijn specifiek voor het betalingsdomein, dus er is geen interoperabiliteit met deurtoegangssystemen. Maar de onderliggende chiptechnologie is van dezelfde klasse.
Vraag: Hoe weet ik welke kaart ik heb als ik geen NFC-lezer heb?
A: Controleer de lezer die bij uw deuren is geïnstalleerd. Het gegevensblad van het modelnummer vermeldt de ondersteunde frequenties. Elke verwijzing naar "125 kHz", "HID Prox", "EM4100" of "TK4100" bevestigt een proximity-kaartsysteem. Als u '13,56 MHz', 'MIFARE', 'ISO 14443' of 'iCLASS' ziet, is uw referentie-infrastructuur gebaseerd op smartcards-. Als beide verschijnen, heeft u al een configuratie met dubbele frequenties.
De onderste regel
Proximity-kaarten waren logisch toen ze werden ontworpen. Ze zijn eenvoudig, duurzaam en goedkoop - en voor omgevingen met een laag-risico zijn ze dat nog steeds. De veiligheidsomgeving om hen heen is veranderd. Het klonen van een proxkaart kost nu tientallen dollars en duurt minuten. Die asymmetrie is moeilijk te rechtvaardigen voor elke faciliteit die belangrijke activa beschermt.
Smartcards zijn geen upgrade die is voorbehouden aan ondernemingsbudgetten. MIFARE-smartcards op instap-niveau kosten slechts iets meer per eenheid dan standaard prox-kaarten, en de kloof in de kosten van de lezer kan worden overbrugd met hardware met dubbele- frequentie die ervoor zorgt dat de migratie- niet wordt verstoord. De eerste stap die het waard is om te nemen is een eerlijke beoordeling van wat zich feitelijk achter uw deuren bevindt - en of een identiteitsbewijs dat stilletjes in een gang kan worden gekopieerd het juiste hulpmiddel is om dit te beschermen.
Voor aangepaste inloggegevensvereisten voor elke vormfactor -, of het nu gaat om standaardkaarten,RFID-sleutelhangers, ofsiliconen polsbandjesvoor toepassingen in de gezondheidszorg en evenementen - Syntek biedt zowel 125 kHz- als 13,56 MHz-formaten voor alle grote chipfamilies. Neem contact op met het team om uw specifieke kwalificatievereisten te bespreken.
Aanvraag sturen