MIFARE против бесконтактных карт: безопасность, совместимость и миграция

В этом руководствебесконтактная картаозначает устаревшие учетные данные 125 кГц, обычно называемые прокси-картой в физическом управлении доступом. Например, нынешний портфель Proximity от HID явно позиционируется как семейство низкочастотных-физических-доступов с частотой 125 кГц.Информация о продукте HID Proximityпредставляет собой текущий пример отрасли. :contentReference[oaicite:13]{index=13}

МИФАРЕ — это другое. Это семейство бесконтактных смарт-карт-от NXP, основанное на технологии ISO/IEC 14443 и используемое в таких приложениях, как управление доступом. Название MIFARE охватывает несколько семейств продуктов, а не один чип или один уровень безопасности.Портфель MIFARE от NXPв настоящее время включает платформы Classic, Plus, DESFire и дополнительные платформы MIFARE. :contentReference[oaicite:14]{index=14}

Более подробное сравнение двух категорий рабочих-частот можно найти в руководстве Syntek по125 кГц или 13,56 МГц-управляющие учетные данные доступаобеспечивает дополнительный контекст.

Практический порядок выбора таков: установленный считыватель → точная технология учетных данных → идентификатор или данные приложения → метод аутентификации → модель безопасности → план миграции → производственная спецификация.

MIFARE и бесконтактные карты: быстрое сравнение

Строка безопасности, скорее всего, будет упрощена. MIFARE не следует рассматривать как единую «карту с высоким-защищенностью». Classic, Plus и DESFire имеют разные архитектуры и возможности, и то, как система доступа использует эти возможности, имеет такое же значение, как и название чипа.

Что означает «карта доступа» в системе контроля доступа?

Говоря более широким техническим языком, близость может описывать бесконтактное взаимодействие-на близком расстоянии. Однако при покупке физического-доступа под «прокси-картой» обычно подразумеваются традиционные учетные данные 125 кГц.

Упрощенный путь доступа к устаревшим версиям может выглядеть так:

Учетные данные 125 кГц → совместимый считыватель → номер или формат учетных данных → контроллер → решение о доступе

Важная деталь закупки заключается в том, что «125 кГц» не полностью описывает полномочия. Контроллеру также может потребоваться определенная структура номера карты-, код объекта/объекта, битовый формат или выходные данные считывателя.

Syntek перечисляет обаБесконтактные карты-раскладушки 125 кГци ширеRFID-карты доступа-контроля, но выбор замены все равно следует начинать с характеристик установленного считывателя и контроллера, а не с внешнего вида карты.

Что такое карта MIFARE?

MIFARE — это семейство бесконтактных продуктов NXP, а не одна универсальная спецификация учетных данных. Это различие имеет значение для контроля доступа, поскольку две карты с именем MIFARE могут различаться по организации памяти, механизмам безопасности, аутентификации и модели приложения. :contentReference[oaicite:15]{index=15}

Покупатели могут ознакомиться с обзором SyntekRFID-смарт-картаи он доступенКарты доступа MIFAREдля контекста уровня-продукта, но спецификация доступа должна точно определять требуемое семейство микросхем и поведение системы.

Совместимость ридеров важнее предпочтений карт

Считыватель, работающий только на частоте 125 кГц-, несовместим с учетными данными MIFARE на частоте 13,56 МГц, поскольку карты имеют одинаковые размеры в стиле ISO-.

Прежде чем менять учетные данные, проведите инвентаризацию установленных считывателей и запишите:

• производитель и модель считывателя;
• поддерживаемая частота или частоты;
• поддерживаемые учетные семьи;
• встроенное ПО или конфигурация, если это необходимо;
• интерфейс чтения-к-контроллера;
• текущий код объекта/объекта и формат карты, если применимо;
• длина и представление идентификатора, ожидаемое платформой доступа;
• использует ли система общедоступный идентификатор или аутентифицированные данные приложения.

Синтек'сRFID-доступ-считыватель контроля доступастраница иРекомендации по рабочей частоте RFIDпредоставьте дополнительный контекст продукта и частоты.

Частота не совпадает с форматом учетных данных

Миграция элементов управления доступом-часто завершается неудачей, поскольку два разных уровня данных обрабатываются так, как если бы они были одинаковыми.

Первый уровень — это RF-взаимодействие-с-считывателем учетных данных. Карта 125 кГц и карта MIFARE 13,56 МГц используют разные радиотехнологии.

Второй уровень — это то, что считыватель доставляет на контроллер или платформу доступа. Это значение может быть нормализовано, переформатировано или сопоставлено в соответствии с конфигурацией устройства чтения и управления доступом-.

Таким образом, две карты могут выдавать похожие-цифры в программном обеспечении, но при этом быть совершенно несовместимыми на радиочастотном уровне. И наоборот, новое считывающее устройство может успешно обнаружить карту MIFARE, но при этом представить контроллеру ее идентификатор в формате, отличном от того, который ожидается существующей базой данных.

Заморозить сопоставление идентификаторов перед массовым перевыпуском

«Сохранить тот же номер карты» — это не полная спецификация миграции.

Прежде чем импортировать или создавать новые учетные данные, задокументируйте, как платформа доступа ожидает представления идентификаторов. В зависимости от системы соответствующие вопросы могут включать в себя:

• Является ли исходное значение UID, идентификатором учетных данных приложения или другим полем?
• Какая длина идентификатора принимается?
• Значение хранится в шестнадцатеричном, десятичном или другом виде?
• Применяет ли приложение определенный порядок байтов?
• Сохраняются ли ведущие нули?
• Ожидает ли контролер разделения кода объекта/объекта и номера карты-?
• Предоставляет ли карта двойной-технологии два отдельных идентификатора, которые должны сопоставляться с одной и той же записью пользователя?

Эти сведения следует взять из фактической платформы доступа и утвержденной спецификации миграции. Их не следует угадывать по номеру, напечатанному на старом значке.

Безопасность зависит от того, что на самом деле аутентифицирует система

Сравнение «Близость небезопасна; MIFARE безопасен» слишком широкое, чтобы поддержать серьезное решение по управлению доступом-.

Статический идентификатор доступа

Многие устаревшие развертывания Prox в основном используют идентификатор учетных данных. Считыватель распознает учетные данные и передает идентификатор в систему контроля доступа-.

Таким образом, общий уровень безопасности зависит не только от карты: управление учетными данными, конструкция считывателя/контроллера, отзыв, мониторинг, физическая безопасность и административный контроль — все это имеет значение.

MIFARE используется только как идентификатор

Более мощную микросхему смарт--карты по-прежнему можно развернуть в простой архитектуре,-только идентификатор.

Если считыватель доступа просто считывает открытый идентификатор и никогда не выполняет защищенную аутентификацию или операции приложения, поддерживаемые выбранными учетными данными, проект не получает автоматически все возможности безопасности, доступные от этого чипа.

Применение смарт--карты с аутентификацией

Правильно разработанное приложение MIFARE может использовать защищенные данные приложения, аутентификацию, криптографические ключи и безопасный обмен сообщениями, если это поддерживается выбранным продуктом.

В текущей документации NXP по MIFARE DESFire EV3 среди возможностей безопасности перечислены поддержка AES, аутентификация на уровне приложения-, несколько ключей и несколько наборов ключей. Эти функции по-прежнему зависят от устройства чтения, модели управления ключами-и конфигурации приложения.Техническая информация NXP MIFARE DESFire EV3документирует доступные возможности IC. :contentReference[oaicite:16]{index=16}

Безопасность — это свойство системы, а не метка чипа

NIST SP 800-98 рассматривает безопасность RFID как проблему проектирования и эксплуатации уровня системы, а не проблему только тегов.Рекомендации NIST по безопасности RFIDохватывает планирование, внедрение и эксплуатацию систем RFID. :contentReference[oaicite:17]{index=17}

Для уровня чтения-к-контроллера Ассоциация индустрии безопасностиОткрытый протокол контролируемого устройстваподдерживает контролируемую связь и защиту безопасного канала между устройствами контроля доступа-. Текущее руководство по внедрению SIA специально рекомендует использовать безопасный канал при использовании OSDP. :contentReference[oaicite:18]{index=18}

Руководство Syntek поБезопасность RFID-данныхможет поддержать более широкую дискуссию по вопросам внутренней безопасности.

Ключевые управленческие вопросы, которые следует задать покупателям

Как только проект выходит за рамки доступа только по UID-, управление ключами становится частью спецификации закупок.

Архитектура NXP DESFire EV3 поддерживает несколько ключей приложений и несколько наборов ключей, что иллюстрирует, почему фраза «карта поддерживает AES» не является достаточной информацией для определения развертывания. :contentReference[oaicite:19]{index=19}

Перед персонализацией или массовым производством уточните:

• Кому принадлежат производственные и прикладные ключи?
• Кто имеет право персонализировать учетные данные?
• Будет ли использоваться персонализация,-контролируемая поставщиком,-клиентом или совместно управляемая?
• Доставляются ли карты в известном состоянии инициализации?
• Как предоставляются новые учетные данные?
• Могут ли ключи быть изменены, когда меняются обязанности или системы?
• Как документируются ключевые версии и конфигурация приложения?
• Как разделены производственная, тестовая и живая среды?
• Кто может восстановить программу учетных данных, если исходный поставщик персонализации больше не доступен?

Ответ зависит от платформы-управления доступом и архитектуры безопасности. Покупатели не должны запрашивать, обменивать или хранить конфиденциальные производственные ключи в обычных таблицах с произведениями искусства или в неофициальных переписках по электронной почте.

MIFARE Classic, Plus и DESFire — разные решения о покупке

МИФАРЕ Классик EV1

Текущая ситуация NXPСтраница продукта MIFARE Classic EV1продукт перечисляется как активный, но «не рекомендуется для новых дизайнов» и указывает дизайнерам на более новую замену. Это не означает, что каждая установленная классическая система должна немедленно прекратить работу; это означает, что новый проект не должен выбирать Classic только потому, что «MIFARE» звучит новее, чем Prox 125 кГц. :contentReference[oaicite:20]{index=20}

МИФАРЕ Плюс EV2

Позиции NXPМИФАРЕ Плюс EV2как путь обновления для существующих развертываний. Его текущая спецификация включает концепцию уровня безопасности для миграции, аутентификации AES-128 и безопасного обмена сообщениями на более высоких уровнях безопасности. :contentReference[oaicite:21]{index=21}

MIFARE DESFire EV3

DESFire EV3 предназначен для безопасного использования несколькими-приложениями и предоставляет такие возможности, как AES-128, взаимную аутентификацию и гибкие структуры приложений/ключей. Наличие этих возможностей не доказывает, что конкретная система доступа их использует; поддержка чтения и приложений остается обязательной. :contentReference[oaicite:22]{index=22}

Когда следует сохранять близость на частоте 125 кГц, а когда следует двигаться?

Сохранение близости может быть рациональным

Традиционные учетные данные 125 кГц могут оставаться приемлемыми с точки зрения эксплуатации, если установленная база считывателей велика и стабильна, защищенная среда имеет принятую модель риска, совместимость является непосредственным бизнес-приоритетом или если сайт планируется перенести позднее.

Сознательное продолжение использования устаревшей технологии отличается от предположения, что она обеспечивает ту же модель безопасности, что и аутентифицированная современная система смарт-карт.-

Переход на MIFARE может иметь смысл

Подходящие семейные учетные данные MIFARE-становятся более актуальными, когда проекту требуются защищенные данные приложения, взаимодействие с аутентифицированным устройством-считывания карт, возможность использования нескольких-приложений, современное управление учетными данными или определенный путь от устаревшей инфраструктуры, состоящей только из идентификаторов-.

Для принятия решения по-прежнему требуется точное семейство продуктов и поддерживаемое приложение. Термин «MIFARE» сам по себе остается слишком широким для запроса цен.

Планируйте миграцию в пять контролируемых этапов

Если во время перехода требуется смешанная технология, Syntek перечисляетдвухчастотный-считыватель RFIDидвухчастотная-карта RFIDсреди сопутствующих продуктов сайта.

Двойные-технологические учетные данные могут сократить количество сбоев

Учетные данные двойной-технологии позволяют использовать устаревшую технологию 125 кГц и новую технологию ВЧ-смарт--карт на одной физической карте.

текущий момент HIDУчетные данные прокси-сервера MIFARE DESFire EV3 +это один из реальных примеров отрасли. HID позиционирует его как способ сохранить совместимость с устаревшими считывателями с частотой 125 кГц во время перехода на инфраструктуру на базе DESFire-. :contentReference[oaicite:23]{index=23}

Это не означает, что обе технологии обязательно предоставляют один и тот же идентификатор или используют один и тот же процесс безопасности. База данных управления доступом-должна явно сопоставлять удостоверения учетных данных с предполагаемой записью пользователя.

Двойная технология наиболее полезна, когда у нее есть план выхода. Как только сайт больше не требует устаревшей поддержки 125 кГц, группа миграции должна решить, следует ли оставить этот старый путь принятия включенным.

Иллюстративный сценарий миграции: три офисных здания

Следующий сценарий является иллюстративным и не представлен как случай клиента.

Компания управляет тремя офисными зданиями. В здании А по-прежнему работают только считыватели с частотой 125 кГц-. В здании Б есть считыватели, поддерживающие как устаревшие учетные данные, так и новую технологию смарт--карт. Здание C уже модернизировано до целевой среды MIFARE.

Вместо того, чтобы менять каждую дверь и каждый значок за один уик-энд, компания сначала записывает каждый считыватель и дверь. Ограниченная группа сотрудников получает двойные-технологические учетные данные. В ходе пилотного проекта база данных доступа сопоставляет обе технологии учетных данных с одной и той же учетной записью сотрудника, а команда проверяет, какой компонент принят в каждом здании.

Пилотный проект не считается успешным просто потому, что новый значок открывает здание C. Команда также проверяет, что:

• устаревшие двери по-прежнему работают в течение утвержденного переходного периода;
• новые учетные данные аутентифицируются, как и предполагалось, на модернизированных дверях;
• отозванные полномочия отклоняются;
• заменяющие карты не оставляют старые учетные данные активными;
• сопоставление идентификаторов не создает дубликатов записей пользователей;
• Сотрудники службы поддержки могут определить, связана ли проблема с картой, считывателем, картографированием или разрешением доступа.

После обновления здания А и миграции всех необходимых пользователей устаревшее принятие может быть рассмотрено для прекращения использования, а не оставаться включенным на неопределенный срок.

Определите критерии принятия миграции перед развертыванием

Более широкую структуру проверки см. в руководстве Syntek поТестирование RFID-системы.

Утвердить производственный-эквивалентный образец учетных данных

Пилотный проект миграции не должен полагаться только на нераспечатанную карту развития.

Производственный-эквивалентный образец должен представлять предполагаемый заказ в:

• точное семейство чипов;
• форм-фактор удостоверения;
• состояние персонализации;
• конфигурация идентификатора/приложения;
• печать и переменные данные;
• совместимость считывателей;
• отображение серверной части;
• поведение замены и отзыва.

Если требуется переменная печать, номера сотрудников, QR-коды или другие видимые данные, руководство Syntek поRFID-печатьможет поддерживать планирование файлов изображений и данных-.

Для контроля партий см. обзор Syntekоборудование для контроля качествапредоставляет дополнительный контекст производственного-контроля качества.

Что отправить поставщику карты перед заказом

Проекты, требующие индивидуального изготовления карт, печати, персонализации или контролируемого производства, могут продолжаться в Syntek.OEM и ODM производствоинформацию после определения технической спецификации.

Распространенные ошибки при покупке

Считаем каждую карту 13,56 МГц MIFARE-совместимой

Частота не определяет полный протокол, семейство чипов или приложение. Подтвердите точный читатель и поддержку учетных данных.

Считать каждую карту MIFARE одинаково безопасной

Classic, Plus и DESFire имеют разные архитектуры безопасности и модели развертывания. В настоящее время NXP помечает Classic EV1 как нерекомендуемый для новых разработок, а Plus EV2 и DESFire EV3 предоставляют другие возможности миграции и безопасности. :contentReference[oaicite:24]{index=24}

Замена карт без фиксации сопоставления идентификаторов

Считываемая карта все равно может выйти из строя, если считыватель и серверная часть не согласны с представлением UID, форматом карты или сопоставлением пользователей.

Покупка защищенного чипа, но использование только общедоступного идентификатора

Возможности выбранного чипа и реализованная модель аутентификации — это отдельные вопросы.

Использование двойной технологии без устаревшего-пенсионного плана

Считыватели с двумя-частотами и карты с двумя-технологиями могут уменьшить сбои в работе, но миграция все равно должна определять, когда старая технология больше не будет требоваться.

Заключительная рекомендация

Практическая разница между MIFARE и бесконтактными картами превышает 13,56 МГц против 125 кГц.

Надежное решение по управлению доступом-должно отвечать на следующие вопросы:

• Какие читалки на самом деле установлены?
• Какие семейства учетных данных они поддерживают?
• Какой идентификатор или защищенные данные использует приложение?
• Выполняет ли считыватель реальную аутентификацию или считывает только идентификатор?
• Кто контролирует смарт--ключи и персонализацию?
• Как защищена связь считывателя-с-контроллером?
• Как старые и новые учетные данные будут сосуществовать во время миграции?
• Какие доказательства должны быть представлены, прежде чем прекратится доступ к устаревшим версиям?

Для существующего развертывания с низким-риском и большой установленной базой частот 125 кГц сохранение устаревших учетных данных Prox в течение определенного периода может быть оперативным решением, а не ошибкой.

При новом развертывании или обновлении безопасности правильно реализованные современные учетные данные семейства MIFARE-могут поддерживать аутентификацию, защищенные данные приложений и более гибкое управление учетными данными. Ценность зависит от всей конструкции, а не от названия MIFARE, напечатанного в спецификации.

Установленный считыватель → точные учетные данные → идентификатор/данные приложения → аутентификация → ключи → безопасность системы → архитектура миграции → производственный образец → приемочное испытание.

После того как определены модели считывателя, целевые учетные данные, правила идентификации, подход к аутентификации, план миграции, графические изображения, количество и требования к приемке, покупатели могутзапросить образец или предложениедля оценки-конкретного проекта.