MIFARE Vs Carte di Prossimità: Sicurezza, Compatibilità e Migrazione

In questa guida,tessera di prossimitàindica la credenziale legacy da 125 kHz comunemente chiamata tessera di prossimità nel controllo degli accessi fisici. L'attuale portafoglio Proximity di HID, ad esempio, è esplicitamente posizionato come una famiglia di credenziali di accesso fisico-a bassa frequenza a 125 kHz.Informazioni sul prodotto di prossimità HIDfornisce un esempio attuale del settore. :contentReference[oaicite:13]{index=13}

MIFARE è diverso. Si tratta della famiglia di prodotti smart card contactless di NXP-basati sulla tecnologia ISO/IEC 14443 e utilizzati in applicazioni che includono la gestione degli accessi. Il nome MIFARE copre diverse famiglie di prodotti anziché un chip o un livello di sicurezza.Il portafoglio MIFARE di NXPattualmente include Classic, Plus, DESFire e ulteriori piattaforme MIFARE. :contentReference[oaicite:14]{index=14}

Per un confronto più ampio tra le due categorie di-frequenze operative, la guida di Syntek aCredenziali di controllo dell'accesso-a 125 kHz contro 13,56 MHzfornisce ulteriore contesto.

Un ordine di selezione pratico è: lettore installato → tecnologia delle credenziali esatte → identificatore o dati dell'applicazione → metodo di autenticazione → modello di sicurezza → piano di migrazione → specifica di produzione.

MIFARE vs Carte di prossimità: rapido confronto

La riga relativa alla sicurezza è quella che con maggiore probabilità sarà eccessivamente semplificata. MIFARE non deve essere trattata come un'unica "carta ad alta-sicurezza". Classic, Plus e DESFire hanno architetture e funzionalità diverse e il modo in cui il sistema di accesso utilizza tali funzionalità è importante tanto quanto il nome del chip.

Cosa significa "Carta di prossimità" nel controllo degli accessi?

In un linguaggio tecnico più ampio, la prossimità può descrivere l'interazione senza contatto a corto- raggio. Negli acquisti con accesso fisico-, tuttavia, "carta di prossimità" si riferisce comunemente a una credenziale tradizionale da 125 kHz.

Un percorso di accesso legacy semplificato potrebbe assomigliare a questo:

Credenziale 125 kHz → lettore compatibile → numero o formato credenziale → controller → decisione di accesso

Il dettaglio importante dell'approvvigionamento è che "125 kHz" non descrive completamente la credenziale. Il titolare del trattamento potrebbe anche aspettarsi una struttura del numero di carta-specifica, un codice struttura/sito, un formato bit o un output del lettore.

Syntek li elenca entrambiSchede di prossimità a conchiglia da 125 kHze più ampioSchede di controllo dell'accesso-RFID, ma la scelta della sostituzione dovrebbe comunque iniziare dalle specifiche del lettore e del controller installati piuttosto che dall'aspetto della scheda.

Cos'è una Carta MIFARE?

MIFARE è una famiglia di prodotti contactless NXP, non una specifica di credenziale universale. Questa distinzione è importante nel controllo degli accessi perché due carte che portano il nome MIFARE possono differire nell'organizzazione della memoria, nei meccanismi di sicurezza, nell'autenticazione e nel modello applicativo. :contentReference[oaicite:15]{index=15}

Gli acquirenti possono rivedere la panoramica di Syntek di unCarta intelligente RFIDed è disponibileCarte di accesso MIFAREper il contesto a livello di prodotto-, ma una specifica di accesso dovrebbe identificare l'esatta famiglia di chip e il comportamento del sistema richiesti.

La compatibilità del lettore viene prima delle preferenze della carta

Un lettore solo a 125 kHz-non diventa compatibile con una credenziale MIFARE a 13,56 MHz perché le carte hanno le stesse dimensioni di stile ISO-.

Prima di modificare le credenziali, inventariare i lettori installati e registrare:

• produttore e modello del lettore;
• frequenza o frequenze supportate;
• famiglie di credenziali supportate;
• firmware o configurazione ove rilevante;
• interfaccia da lettore-a-controller;
• codice struttura/sito attuale e formato della tessera, ove applicabile;
• lunghezza e rappresentazione dell'identificatore previste dalla piattaforma di accesso;
• se il sistema utilizza un identificatore pubblico o dati dell'applicazione autenticata.

SyntekLettore di controllo accessi-RFIDpagina eLinee guida sulla frequenza operativa RFIDfornire ulteriore contesto di prodotto e frequenza.

La frequenza non è la stessa del formato delle credenziali

Le migrazioni del controllo di accesso-spesso falliscono perché due diversi livelli di dati vengono trattati come se fossero gli stessi.

Il primo livello è l'interazione RF tra credenziali-e-lettore. Una scheda da 125 kHz e una scheda MIFARE da 13,56 MHz utilizzano tecnologie radio diverse.

Il secondo livello è ciò che il lettore fornisce al controller o alla piattaforma di accesso. Tale valore può essere normalizzato, riformattato o mappato in base alla configurazione del lettore e del controllo dell'accesso.

Può quindi sembrare che due schede producano numeri-simili nel software pur essendo completamente incompatibili a livello RF. Al contrario, un nuovo lettore potrebbe rilevare con successo una carta MIFARE ma presentare comunque il suo identificatore al controller in un formato diverso da quello previsto dal database esistente.

Congelare la mappatura degli identificatori prima della riemissione di massa

"Mantieni lo stesso numero di carta" non è una specifica di migrazione completa.

Prima di importare o produrre nuove credenziali, documentare il modo in cui la piattaforma di accesso prevede che vengano rappresentati gli identificatori. A seconda del sistema, le domande rilevanti possono includere:

• Il valore di origine è un UID, un ID credenziale dell'applicazione o un altro campo?
• Quale lunghezza dell'identificatore è accettata?
• Il valore è memorizzato come esadecimale, decimale o in un'altra rappresentazione?
• L'applicazione applica un particolare ordine di byte?
• Gli zeri iniziali vengono mantenuti?
• Il titolare del trattamento si aspetta una suddivisione del codice struttura/sito e del numero della carta-?
• Una scheda a doppia tecnologia- espone due identità separate che devono essere associate allo stesso record utente?

Questi dettagli dovrebbero essere presi dalla piattaforma di accesso effettiva e dalle specifiche di migrazione approvate. Non devono essere dedotti dal numero stampato su un vecchio badge.

La sicurezza dipende da ciò che il sistema autentica effettivamente

Il paragone "La prossimità non è sicura; MIFARE è sicuro" è troppo ampio per supportare una decisione seria in materia di controllo-dell'accesso.

Accesso all'identificatore statico

Molte distribuzioni Prox legacy utilizzano principalmente un identificatore di credenziali. Il lettore riconosce la credenziale e trasmette un identificatore al sistema di controllo degli accessi-.

Il livello di sicurezza complessivo dipende quindi da qualcosa di più della semplice carta: la gestione delle credenziali, la progettazione del lettore/controller, la revoca, il monitoraggio, la sicurezza fisica e i controlli amministrativi sono tutti aspetti importanti.

MIFARE Utilizzato solo come identificatore

Un circuito integrato per smart-card più potente può comunque essere implementato in un'architettura semplice-solo identificatore.

Se un lettore di accesso legge semplicemente un identificatore esposto e non esegue mai l'autenticazione protetta o le operazioni applicative supportate dalla credenziale selezionata, il progetto non ottiene automaticamente la piena capacità di sicurezza disponibile da quel chip.

Applicazione per smart card-autenticata

Un'applicazione MIFARE progettata correttamente può utilizzare dati applicativi protetti, autenticazione, chiavi crittografiche e messaggistica sicura ove supportato dal prodotto scelto.

L'attuale documentazione MIFARE DESFire EV3 di NXP elenca il supporto AES, l'autenticazione a livello di applicazione-, chiavi multiple e set di chiavi multiple tra le sue funzionalità di sicurezza. Tali funzionalità dipendono ancora dal lettore, dal modello di gestione delle chiavi-e dalla configurazione dell'applicazione.Informazioni tecniche NXP MIFARE DESFire EV3documenta le capacità IC disponibili. :contentReference[oaicite:16]{index=16}

La sicurezza è una proprietà del sistema, non un'etichetta del chip

NIST SP 800-98 tratta la sicurezza RFID come un problema operativo e di progettazione a livello di sistema- piuttosto che come un problema relativo ai soli tag. ILLinee guida NIST sulla sicurezza RFIDcopre la pianificazione, l'implementazione e il funzionamento dei sistemi RFID. :contentReference[oaicite:17]{index=17}

Per il livello da lettore-a-controller, la Security Industry AssociationApri Protocollo dispositivo supervisionatosupporta le comunicazioni supervisionate e la protezione Secure Channel tra i dispositivi-di controllo degli accessi. Le attuali linee guida sull'implementazione di SIA raccomandano specificamente Secure Channel quando viene utilizzato OSDP. :contentReference[oaicite:18]{index=18}

La guida di Syntek aSicurezza dei dati RFIDpuò sostenere il più ampio dibattito sulla sicurezza interna.

Domande chiave sulla gestione che gli acquirenti dovrebbero porre

Una volta che un progetto supera il solo accesso UID-, la gestione delle chiavi diventa parte della specifica di acquisto.

L'architettura DESFire EV3 di NXP supporta più chiavi di applicazione e più set di chiavi, il che illustra perché "la scheda supporta AES" non è un'informazione sufficiente per definire l'implementazione. :contentReference[oaicite:19]{index=19}

Prima della personalizzazione o della produzione in serie, chiarire:

• Chi possiede le chiavi di produzione e di applicazione?
• Chi è autorizzato a personalizzare le credenziali?
• Verrà utilizzata la personalizzazione-controllata dal fornitore, controllata dal cliente-o gestita congiuntamente?
• Le carte vengono consegnate in uno stato di inizializzazione noto?
• Come viene effettuato il provisioning delle credenziali sostitutive?
• Le chiavi possono essere cambiate quando cambiano le responsabilità o i sistemi?
• Come vengono documentate le versioni chiave e la configurazione dell'applicazione?
• Come vengono separati gli ambienti di produzione, test e live?
• Chi può recuperare il programma di credenziali se il fornitore di personalizzazione originale non è più disponibile?

La risposta dipende dalla piattaforma-di controllo degli accessi e dall'architettura di sicurezza. Gli acquirenti non devono richiedere, scambiare o archiviare chiavi di produzione sensibili in normali fogli di calcolo delle opere d'arte o thread di posta elettronica informali.

MIFARE Classic, Plus e DESFire sono decisioni di acquisto diverse

MIFARE Classico EV1

La corrente di NXPPagina del prodotto MIFARE Classic EV1elenca il prodotto come attivo ma "non consigliato per nuovi progetti" e indirizza i progettisti verso una sostituzione più recente. Ciò non significa che ogni sistema Classic installato debba smettere immediatamente di funzionare; significa che un nuovo progetto non dovrebbe selezionare Classic semplicemente perché "MIFARE" suona più recente di 125 kHz Prox. :contentReference[oaicite:20]{index=20}

MIFARE Plus EV2

Posizioni NXPMIFARE Plus EV2come percorso di aggiornamento per le distribuzioni esistenti. Le sue specifiche attuali includono un concetto di livello di sicurezza per la migrazione e l'autenticazione AES-128 e la messaggistica sicura a livelli di sicurezza più elevati. :contentReference[oaicite:21]{index=21}

MIFARE DESFire EV3

DESFire EV3 è progettato per l'uso sicuro di più-applicazioni e fornisce funzionalità tra cui AES-128, autenticazione reciproca e strutture flessibili di applicazioni/chiavi. La presenza di tali capacità non prova che un particolare sistema di accesso le utilizzi; il supporto del lettore e dell'applicazione rimane obbligatorio. :contentReference[oaicite:22]{index=22}

Quando dovresti mantenere la prossimità a 125 kHz e quando dovresti muoverti?

Mantenere la vicinanza può essere razionale

Una credenziale tradizionale a 125 kHz può rimanere ragionevole dal punto di vista operativo quando la base di lettori installata è ampia e stabile, l'ambiente protetto ha un modello di rischio accettato, la compatibilità è la priorità aziendale immediata o il sito è programmato per la migrazione successiva.

Portare avanti consapevolmente una tecnologia legacy è diverso dal presupporre che fornisca lo stesso modello di sicurezza di un moderno sistema di smart-card autenticato.

Passare a MIFARE può avere senso

Una credenziale della famiglia MIFARE-adatta diventa più rilevante quando il progetto richiede dati applicativi protetti, interazione autenticata del-lettore di carte, funzionalità multi-applicazione, gestione moderna delle credenziali o un percorso definito lontano dall'infrastruttura legacy-solo identificatore.

La decisione necessita ancora di una famiglia di prodotti esatta e di un'applicazione supportata. Il termine "MIFARE" di per sé rimane troppo ampio per una richiesta di offerta.

Pianifica la migrazione in cinque fasi controllate

Laddove sia necessaria una tecnologia mista durante la transizione, Syntek elenca alettore RFID a doppia-frequenzae unscheda RFID a doppia-frequenzatra i prodotti del sito correlato.

Le credenziali-doppie tecnologiche possono ridurre le interruzioni

Una credenziale a doppia-tecnologia può inserire una tecnologia legacy da 125 kHz e una tecnologia smart card-più recente HF nella stessa carta fisica.

L'HID è attualeMIFARE DESFire EV3 + Credenziale proxyè un vero esempio di settore. HID lo posiziona come un modo per mantenere l'interoperabilità con i lettori legacy a 125 kHz durante la migrazione all'infrastruttura basata su DESFire-. :contentReference[oaicite:23]{index=23}

Ciò non significa che le due tecnologie espongano necessariamente lo stesso identificatore o utilizzino lo stesso processo di sicurezza. Il database di controllo degli accessi- dovrebbe associare esplicitamente le identità delle credenziali al record dell'utente previsto.

La doppia tecnologia è particolarmente utile quando ha un piano di uscita. Una volta che un sito non richiede più il supporto legacy a 125 kHz, il team di migrazione dovrebbe decidere se il percorso di accettazione precedente debba rimanere abilitato.

Scenario di migrazione illustrativo: tre edifici adibiti ad uffici

Lo scenario seguente è illustrativo e non viene presentato come un caso cliente.

Una società gestisce tre edifici per uffici. L'edificio A ha ancora solo lettori da 125 kHz-. L'edificio B dispone di lettori in grado di supportare sia le credenziali legacy che la nuova tecnologia smart-card. L'edificio C è già stato aggiornato all'ambiente MIFARE target.

Invece di cambiare ogni porta e ogni badge in un fine settimana, l’azienda registra prima ogni lettore e ogni porta. Un gruppo limitato di dipendenti riceve credenziali a doppia-tecnologia. Durante il progetto pilota, il database di accesso mappa entrambe le tecnologie di credenziali sullo stesso account del dipendente, mentre il team verifica quale componente è accettato in ciascun edificio.

Il progetto pilota non è considerato riuscito semplicemente perché il nuovo badge apre l'Edificio C. Il team verifica inoltre che:

• le porte preesistenti funzionano ancora durante il periodo di transizione approvato;
• le nuove credenziali vengono autenticate come previsto alle porte aggiornate;
• le credenziali revocate vengono negate;
• le carte sostitutive non lasciano attiva la vecchia credenziale;
• la mappatura degli identificatori non crea record utente duplicati;
• il personale di supporto può riconoscere se il problema riguarda la tessera, il lettore, la mappatura o il permesso di accesso.

Dopo l'aggiornamento dell'edificio A e la migrazione di tutti gli utenti richiesti, l'accettazione legacy può essere rivista per il ritiro anziché rimanere abilitata a tempo indeterminato.

Definire i criteri di accettazione della migrazione prima dell'implementazione

Per un quadro di validazione più ampio, consultare la guida di Syntek aTest del sistema RFID.

Approvare un campione di credenziali equivalenti di produzione-

Un progetto pilota di migrazione non dovrebbe fare affidamento solo su una carta di sviluppo non stampata.

Il campione equivalente alla produzione- deve rappresentare l'ordine previsto in:

• famiglia di chip esatta;
• fattore di forma delle credenziali;
• stato della personalizzazione;
• configurazione identificatore/applicazione;
• stampa e dati variabili;
• compatibilità del lettore;
• mappatura del back-end;
• comportamento di sostituzione e revoca.

Se sono necessarie stampe variabili, numeri di dipendenti, codici QR o altri dati visibili, la guida di SyntekStampa RFIDpuò supportare la pianificazione di grafica e file di dati-.

Per l'ispezione dei lotti, la panoramica di Syntek suattrezzature per il controllo della qualitàfornisce ulteriore contesto di produzione-QC.

Cosa inviare al fornitore della carta prima di ordinare

I progetti che richiedono la costruzione, la stampa, la personalizzazione o la produzione controllata di carte personalizzate possono continuare a essere affidati a SyntekProduzione OEM e ODMinformazioni una volta definita la specifica tecnica.

Errori d'acquisto comuni

Trattare ogni scheda da 13,56 MHz come compatibile MIFARE-

La frequenza non definisce il protocollo completo, la famiglia di chip o l'applicazione. Conferma il lettore esatto e il supporto delle credenziali.

Trattare ogni carta MIFARE come ugualmente sicura

Classic, Plus e DESFire hanno architetture di sicurezza e modelli di implementazione diversi. NXP attualmente contrassegna Classic EV1 come non consigliato per i nuovi progetti, mentre Plus EV2 e DESFire EV3 forniscono diverse funzionalità di migrazione e sicurezza. :contentReference[oaicite:24]{index=24}

Sostituzione delle carte senza bloccare la mappatura degli identificatori

Una carta leggibile può ancora non riuscire in produzione se il lettore e il backend non sono d'accordo sulla rappresentazione dell'UID, sul formato della carta o sulla mappatura dell'utente.

Acquistare un chip sicuro ma utilizzare solo un identificatore pubblico

La capacità del chip selezionato e il modello di autenticazione implementato sono domande separate.

Utilizzo della doppia tecnologia senza un piano pensionistico-legacy

I lettori a doppia-frequenza e le schede a doppia-tecnologia possono ridurre le interruzioni, ma la migrazione dovrebbe comunque definire quando la vecchia tecnologia non sarà più necessaria.

Raccomandazione finale

La differenza pratica tra MIFARE e le carte di prossimità è maggiore di 13,56 MHz contro 125 kHz.

Una decisione affidabile sul controllo-dell'accesso dovrebbe rispondere a:

• Quali lettori sono effettivamente installati?
• Quali famiglie di credenziali supportano?
• Quale identificatore o dati protetti utilizza l'applicazione?
• Il lettore esegue un'autenticazione reale o legge solo un identificatore?
• Chi controlla le chiavi della smart-card e la personalizzazione?
• Come viene protetta la comunicazione dal lettore-al-controller?
• In che modo le vecchie e le nuove credenziali coesisteranno durante la migrazione?
• Quali prove devono essere superate prima che l'accesso legacy venga ritirato?

Per un'implementazione esistente a basso-rischio con un'ampia base installata a 125 kHz, il mantenimento delle credenziali Prox legacy per un periodo definito può rappresentare una decisione operativa piuttosto che un errore.

Per una nuova implementazione o aggiornamento della sicurezza, una moderna credenziale della famiglia MIFARE- correttamente implementata può supportare l'autenticazione, la protezione dei dati delle applicazioni e una gestione delle credenziali più flessibile. Il valore deriva dal design completo, non dal nome MIFARE stampato sulle specifiche.

Lettore installato → credenziale esatta → identificatore/dati dell'applicazione → autenticazione → chiavi → sicurezza del sistema → architettura di migrazione → campione di produzione → test di accettazione.

Una volta definiti i modelli di lettore, le credenziali di destinazione, le regole di identificazione, l'approccio di autenticazione, il piano di migrazione, la grafica, i requisiti di quantità e di accettazione, gli acquirenti possonorichiedi un campione o un preventivoper la valutazione specifica del progetto-.