Thẻ lân cận MIFARE và thẻ lân cận: Bảo mật, khả năng tương thích và di chuyển

Trong hướng dẫn này,thẻ lân cậnnghĩa là thông tin xác thực 125 kHz kế thừa thường được gọi là thẻ prox trong kiểm soát truy cập vật lý. Ví dụ: danh mục lân cận hiện tại của HID được định vị rõ ràng là nhóm thông tin xác thực truy cập vật lý tần số thấp-tần số-125 kHz.Thông tin sản phẩm HID lân cậncung cấp một ví dụ về ngành công nghiệp hiện tại. :contentReference[oaicite:13]{index=13}

MIFARE thì khác. Đây là dòng sản phẩm thẻ thông minh không tiếp xúc-của NXP dựa trên công nghệ ISO/IEC 14443 và được sử dụng trong các ứng dụng bao gồm cả quản lý quyền truy cập. Tên MIFARE bao gồm một số họ sản phẩm thay vì một con chip hoặc một cấp độ bảo mật.Danh mục MIFARE của NXPhiện bao gồm Classic, Plus, DESFire và các nền tảng MIFARE bổ sung. :contentReference[oaicite:14]{index=14}

Để có sự so sánh rộng hơn về hai loại tần suất-hoạt động, hướng dẫn của Syntek vềthông tin xác thực kiểm soát truy cập 125 kHz so với 13,56 MHzcung cấp bối cảnh bổ sung.

Thứ tự lựa chọn thực tế là: trình đọc đã cài đặt → công nghệ xác thực chính xác → mã định danh hoặc dữ liệu ứng dụng → phương pháp xác thực → mô hình bảo mật → kế hoạch di chuyển → đặc tả sản phẩm.

Thẻ MIFARE và Thẻ lân cận: So sánh nhanh

Hàng bảo mật là hàng có nhiều khả năng được đơn giản hóa quá mức. MIFARE không được coi là một "thẻ bảo mật{1}}cao". Classic, Plus và DESFire có kiến ​​trúc và khả năng khác nhau và cách hệ thống truy cập sử dụng những khả năng đó cũng quan trọng như tên chip.

"Thẻ lân cận" có nghĩa là gì trong Kiểm soát truy cập?

Trong ngôn ngữ kỹ thuật rộng hơn, khoảng cách có thể mô tả tương tác không tiếp xúc trong phạm vi ngắn. Tuy nhiên, trong-việc mua quyền truy cập vật lý, "thẻ prox" thường đề cập đến thông tin xác thực 125 kHz truyền thống.

Đường dẫn truy cập cũ được đơn giản hóa có thể trông như thế này:

Thông tin xác thực 125 kHz → đầu đọc tương thích → số hoặc định dạng thông tin xác thực → bộ điều khiển → quyết định truy cập

Chi tiết mua sắm quan trọng là "125 kHz" không mô tả đầy đủ thông tin xác thực. Bộ điều khiển cũng có thể mong đợi một cấu trúc số-thẻ cụ thể, mã cơ sở/địa điểm, định dạng bit hoặc đầu ra của đầu đọc.

Syntek liệt kê cả haiThẻ vỏ sò gần 125 kHzvà rộng hơnthẻ kiểm soát truy cập RFID-, nhưng việc lựa chọn thay thế vẫn phải bắt đầu từ thông số kỹ thuật của đầu đọc và bộ điều khiển được cài đặt thay vì hình thức của thẻ.

Thẻ MIFARE là gì?

MIFARE là dòng sản phẩm không tiếp xúc NXP, không phải là một thông số xác thực chung. Sự khác biệt đó quan trọng trong kiểm soát truy cập vì hai thẻ mang tên MIFARE có thể khác nhau về tổ chức bộ nhớ, cơ chế bảo mật, xác thực và mô hình ứng dụng. :contentReference[oaicite:15]{index=15}

Người mua có thể xem lại tổng quan của Syntek về mộtThẻ thông minh RFIDvà nó có sẵnThẻ truy cập MIFAREđối với ngữ cảnh cấp độ sản phẩm, nhưng thông số truy cập phải xác định chính xác dòng chip và hành vi hệ thống cần thiết.

Khả năng tương thích của đầu đọc đi trước tùy chọn thẻ

Đầu đọc chỉ có tần số 125 kHz-không tương thích với thông tin xác thực MIFARE 13,56 MHz vì các thẻ có cùng kích thước kiểu ISO{3}}.

Trước khi thay đổi thông tin xác thực, hãy kiểm kê các trình đọc đã cài đặt và ghi lại:

• nhà sản xuất và mẫu đầu đọc;
• tần số hoặc tần số được hỗ trợ;
• các dòng thông tin xác thực được hỗ trợ;
• chương trình cơ sở hoặc cấu hình nếu có liên quan;
• giao diện đầu đọc-đến-bộ điều khiển;
• mã cơ sở/địa điểm hiện tại và định dạng thẻ nếu có;
• độ dài định danh và cách trình bày mà nền tảng truy cập mong đợi;
• liệu hệ thống có sử dụng mã định danh công khai hay dữ liệu ứng dụng đã được xác thực hay không.

của Syntekđầu đọc điều khiển truy cập RFIDtrang vàHướng dẫn tần số hoạt động RFIDcung cấp bối cảnh sản phẩm và tần số bổ sung.

Tần suất không giống với định dạng thông tin xác thực

Quá trình di chuyển-kiểm soát quyền truy cập thường không thành công do hai lớp dữ liệu khác nhau được xử lý như thể chúng giống nhau.

Lớp đầu tiên là thông tin xác thực-cho-tương tác RF của người đọc. Thẻ 125 kHz và thẻ MIFARE 13,56 MHz sử dụng các công nghệ vô tuyến khác nhau.

Lớp thứ hai là những gì đầu đọc cung cấp cho bộ điều khiển hoặc nền tảng truy cập. Giá trị đó có thể được chuẩn hóa, định dạng lại hoặc ánh xạ tùy theo cấu hình kiểm soát-đầu đọc và quyền truy cập.

Do đó, hai thẻ có thể tạo ra các con số trông giống nhau trong phần mềm nhưng hoàn toàn không tương thích ở lớp RF. Ngược lại, một đầu đọc mới có thể phát hiện thành công thẻ MIFARE nhưng vẫn hiển thị mã nhận dạng của nó cho bộ điều khiển ở định dạng khác với định dạng mà cơ sở dữ liệu hiện có mong đợi.

Đóng băng bản đồ nhận dạng trước khi phát hành lại hàng loạt

"Giữ nguyên số thẻ" không phải là thông số di chuyển hoàn chỉnh.

Trước khi nhập hoặc tạo thông tin xác thực mới, hãy ghi lại cách nền tảng truy cập mong đợi số nhận dạng được thể hiện. Tùy thuộc vào hệ thống, các câu hỏi liên quan có thể bao gồm:

• Giá trị nguồn có phải là UID, ID thông tin xác thực ứng dụng hoặc trường khác không?
• Độ dài định danh nào được chấp nhận?
• Giá trị có được lưu trữ dưới dạng thập lục phân, thập phân hoặc biểu diễn khác không?
• Ứng dụng có áp dụng thứ tự byte cụ thể không?
• Các số 0 đứng đầu có được giữ lại không?
• Bộ điều khiển có yêu cầu phân chia mã cơ sở/địa điểm và số thẻ- không?
• Thẻ công nghệ-kép có hiển thị hai danh tính riêng biệt phải ánh xạ tới cùng một hồ sơ người dùng không?

Những chi tiết này phải được lấy từ nền tảng truy cập thực tế và thông số di chuyển đã được phê duyệt. Không nên đoán chúng từ số in trên huy hiệu cũ.

Bảo mật phụ thuộc vào những gì hệ thống thực sự xác thực

Sự so sánh "Ở gần không an toàn; MIFARE an toàn" quá rộng để hỗ trợ cho quyết định kiểm soát quyền truy cập-nghiêm túc.

Truy cập định danh tĩnh

Nhiều hoạt động triển khai Prox cũ chủ yếu sử dụng mã định danh thông tin xác thực. Người đọc nhận ra thông tin xác thực và chuyển mã nhận dạng vào hệ thống-kiểm soát quyền truy cập.

Trạng thái bảo mật tổng thể sau đó phụ thuộc vào nhiều thứ hơn là thẻ: quản lý thông tin xác thực, thiết kế đầu đọc/bộ điều khiển, thu hồi, giám sát, bảo mật vật lý và kiểm soát hành chính, tất cả đều quan trọng.

MIFARE Chỉ được sử dụng làm mã định danh

IC thẻ thông minh có khả năng cao hơn vẫn có thể được triển khai trong kiến ​​trúc chỉ có mã nhận dạng đơn giản.

Nếu trình đọc truy cập chỉ đọc mã định danh bị lộ và không bao giờ thực hiện các hoạt động ứng dụng hoặc xác thực được bảo vệ được hỗ trợ bởi thông tin xác thực đã chọn thì dự án sẽ không tự động có được khả năng bảo mật đầy đủ có sẵn từ chip đó.

Ứng dụng thẻ thông minh{0}}đã được xác thực

Ứng dụng MIFARE được thiết kế phù hợp có thể sử dụng dữ liệu ứng dụng được bảo vệ, xác thực, khóa mật mã và nhắn tin an toàn khi được sản phẩm đã chọn hỗ trợ.

Tài liệu MIFARE DESFire EV3 hiện tại của NXP liệt kê hỗ trợ AES, xác thực cấp độ ứng dụng-, nhiều khóa và nhiều bộ khóa trong số các khả năng bảo mật của nó. Những tính năng đó vẫn phụ thuộc vào trình đọc,-mô hình quản lý khóa và cấu hình ứng dụng.Thông tin kỹ thuật NXP MIFARE DESFire EV3ghi lại các khả năng sẵn có của IC. :contentReference[oaicite:16]{index=16}

Bảo mật là thuộc tính hệ thống, không phải nhãn chip

NIST SP 800-98 coi bảo mật RFID là một vấn đề-thiết kế và vận hành ở cấp hệ thống chứ không phải là vấn đề chỉ liên quan đến thẻ. cácHướng dẫn bảo mật NIST RFIDbao gồm việc lập kế hoạch, triển khai và vận hành hệ thống RFID. :contentReference[oaicite:17]{index=17}

Đối với lớp trình đọc-đến-bộ điều khiển, Hiệp hội Công nghiệp An ninhMở giao thức thiết bị được giám sáthỗ trợ liên lạc được giám sát và bảo vệ Kênh bảo mật giữa các thiết bị kiểm soát quyền truy cập. Hướng dẫn triển khai hiện tại của SIA khuyến nghị cụ thể Kênh Bảo mật khi sử dụng OSDP. :contentReference[oaicite:18]{index=18}

Hướng dẫn của SyntekBảo mật dữ liệu RFIDcó thể hỗ trợ các cuộc thảo luận an ninh nội bộ rộng hơn.

Những câu hỏi quản lý chính mà người mua nên hỏi

Sau khi dự án vượt ra khỏi quyền truy cập{0}chỉ UID, việc quản lý khóa sẽ trở thành một phần của đặc tả mua hàng.

Kiến trúc DESFire EV3 của NXP hỗ trợ nhiều khóa ứng dụng và nhiều bộ khóa, điều này minh họa tại sao "thẻ hỗ trợ AES" không đủ thông tin để xác định việc triển khai. :contentReference[oaicite:19]{index=19}

Trước khi cá nhân hóa hoặc sản xuất hàng loạt, hãy làm rõ:

• Ai sở hữu khóa sản xuất và ứng dụng?
• Ai được ủy quyền cá nhân hóa thông tin xác thực?
• Liệu việc cá nhân hóa do nhà cung cấp, khách hàng-kiểm soát hay được quản lý chung sẽ được sử dụng?
• Thẻ có được phân phối ở trạng thái khởi tạo đã biết không?
• Thông tin xác thực thay thế được cung cấp như thế nào?
• Chìa khóa có thể được thay đổi khi trách nhiệm hoặc hệ thống thay đổi không?
• Các phiên bản chính và cấu hình ứng dụng được ghi lại như thế nào?
• Môi trường sản xuất, thử nghiệm và trực tiếp được tách biệt như thế nào?
• Ai có thể khôi phục chương trình thông tin xác thực nếu nhà cung cấp dịch vụ cá nhân hóa ban đầu không còn nữa?

Câu trả lời phụ thuộc vào-nền tảng kiểm soát quyền truy cập và kiến ​​trúc bảo mật. Người mua không nên yêu cầu, trao đổi hoặc lưu trữ các khóa sản xuất nhạy cảm trong bảng tính tác phẩm nghệ thuật thông thường hoặc chuỗi email không chính thức.

MIFARE Classic, Plus và DESFire là những quyết định mua hàng khác nhau

MIFARE cổ điển EV1

NXP hiện tạiTrang sản phẩm MIFARE Classic EV1liệt kê sản phẩm là đang hoạt động nhưng "không được khuyến nghị cho các thiết kế mới" và hướng các nhà thiết kế tới một sản phẩm thay thế mới hơn. Điều đó không có nghĩa là mọi hệ thống Classic được cài đặt đều phải ngừng hoạt động ngay lập tức; điều đó có nghĩa là một dự án mới không nên chọn Cổ điển chỉ vì "MIFARE" có âm thanh mới hơn Prox 125 kHz. :contentReference[oaicite:20]{index=20}

MIFARE Plus EV2

vị trí NXPMIFARE Plus EV2như một đường dẫn nâng cấp cho các triển khai hiện có. Thông số kỹ thuật hiện tại của nó bao gồm khái niệm Cấp độ bảo mật để di chuyển và xác thực AES-128 cũng như nhắn tin bảo mật ở cấp độ bảo mật cao hơn. :contentReference[oaicite:21]{index=21}

MIFARE DESFire EV3

DESFire EV3 được thiết kế để sử dụng nhiều ứng dụng một cách an toàn và cung cấp các khả năng bao gồm AES-128, xác thực lẫn nhau và cấu trúc khóa/ứng dụng linh hoạt. Sự hiện diện của những khả năng đó không chứng minh rằng một hệ thống truy cập cụ thể sử dụng chúng; hỗ trợ người đọc và ứng dụng vẫn là bắt buộc. :contentReference[oaicite:22]{index=22}

Khi nào bạn nên giữ khoảng cách gần 125 kHz và khi nào bạn nên di chuyển?

Giữ sự gần gũi có thể hợp lý

Thông tin xác thực 125 kHz truyền thống có thể vẫn hoạt động hợp lý khi cơ sở đầu đọc được cài đặt lớn và ổn định, môi trường được bảo vệ có mô hình rủi ro được chấp nhận, khả năng tương thích là ưu tiên kinh doanh trước mắt hoặc trang web được lên lịch di chuyển sau.

Việc tiếp tục sử dụng công nghệ cũ một cách có chủ ý khác với việc cho rằng nó cung cấp cùng một mô hình bảo mật như một hệ thống thẻ thông minh hiện đại đã được xác thực.

Chuyển sang MIFARE có thể có ý nghĩa

Thông tin xác thực dòng MIFARE-phù hợp sẽ trở nên phù hợp hơn khi dự án yêu cầu dữ liệu ứng dụng được bảo vệ, tương tác với-đầu đọc thẻ đã xác thực, khả năng nhiều-ứng dụng, quản lý thông tin xác thực hiện đại hoặc một đường dẫn xác định khỏi cơ sở hạ tầng chỉ có giá trị nhận dạng cũ.

Quyết định vẫn cần một dòng sản phẩm chính xác và ứng dụng được hỗ trợ. Bản thân "MIFARE" vẫn còn quá rộng đối với RFQ.

Lập kế hoạch di chuyển theo năm giai đoạn được kiểm soát

Khi cần có công nghệ hỗn hợp trong quá trình chuyển đổi, Syntek liệt kê mộtđầu đọc RFID tần số képvà mộtthẻ RFID tần số kép-trong số các sản phẩm trang web liên quan của nó.

-Thông tin xác thực công nghệ kép có thể giảm thiểu sự gián đoạn

Chứng chỉ-công nghệ kép có thể đặt công nghệ 125 kHz cũ và công nghệ thẻ thông minh HF-mới hơn vào cùng một thẻ vật lý.

hiện tại của HIDThông tin xác thực MIFARE DESFire EV3 + Proxlà một ví dụ thực tế trong ngành. HID coi đây là một cách để duy trì khả năng tương tác với các đầu đọc 125 kHz cũ trong quá trình di chuyển sang cơ sở hạ tầng dựa trên-DESFire. :contentReference[oaicite:23]{index=23}

Điều đó không có nghĩa là hai công nghệ nhất thiết phải có cùng một mã định danh hoặc sử dụng cùng một quy trình bảo mật. Cơ sở dữ liệu kiểm soát quyền truy cập-phải ánh xạ rõ ràng danh tính thông tin xác thực tới bản ghi người dùng dự kiến.

Công nghệ kép hữu ích nhất khi nó có kế hoạch rút lui. Khi một trang web không còn yêu cầu hỗ trợ 125 kHz cũ nữa, nhóm di chuyển sẽ quyết định xem có nên tiếp tục kích hoạt đường dẫn chấp nhận cũ hơn đó hay không.

Kịch bản di cư minh họa: Ba tòa nhà văn phòng

Tình huống sau đây mang tính minh họa và không được trình bày dưới dạng trường hợp khách hàng.

Một công ty vận hành ba tòa nhà văn phòng. Tòa nhà A vẫn chỉ có đầu đọc 125 kHz{2}}. Tòa nhà B có các đầu đọc có thể hỗ trợ cả thông tin xác thực cũ và công nghệ thẻ thông minh-mới. Tòa nhà C đã được nâng cấp lên môi trường MIFARE mục tiêu.

Thay vì thay đổi từng cánh cửa và từng huy hiệu trong một ngày cuối tuần, trước tiên công ty sẽ ghi lại từng đầu đọc và từng cánh cửa. Một nhóm nhân viên hạn chế sẽ nhận được thông tin-công nghệ kép. Trong quá trình thí điểm, cơ sở dữ liệu truy cập sẽ ánh xạ cả hai công nghệ thông tin xác thực vào cùng một tài khoản nhân viên, trong khi nhóm xác minh thành phần nào được chấp nhận tại mỗi tòa nhà.

Thí điểm không được coi là thành công chỉ vì huy hiệu mới mở ra Tòa nhà C. Nhóm cũng xác minh rằng:

• cửa cũ vẫn hoạt động trong thời gian chuyển tiếp đã được phê duyệt;
• thông tin xác thực mới như dự định tại các cửa được nâng cấp;
• thông tin xác thực bị thu hồi bị từ chối;
• thẻ thay thế không để thông tin xác thực cũ hoạt động;
• ánh xạ định danh không tạo ra hồ sơ người dùng trùng lặp;
• nhân viên hỗ trợ có thể cho biết liệu sự cố có thuộc về thẻ, đầu đọc, bản đồ hoặc quyền truy cập hay không.

Sau khi Tòa nhà A được nâng cấp và tất cả người dùng bắt buộc đã di chuyển, việc chấp nhận kế thừa có thể được xem xét để ngừng hoạt động thay vì duy trì kích hoạt vô thời hạn.

Xác định tiêu chí chấp nhận di chuyển trước khi triển khai

Để có khung xác thực rộng hơn, hãy xem hướng dẫn của Syntek vềKiểm tra hệ thống RFID.

Phê duyệt mẫu thông tin xác thực tương đương-sản xuất

Phi công di chuyển không nên chỉ dựa vào thẻ phát triển chưa được in.

Mẫu tương đương-sản xuất phải thể hiện thứ tự dự định trong:

• họ chip chính xác;
• yếu tố hình thức thông tin xác thực;
• trạng thái cá nhân hóa;
• cấu hình ứng dụng/định danh;
• in ấn và dữ liệu biến đổi;
• khả năng tương thích của người đọc;
• ánh xạ phụ trợ;
• hành vi thay thế và thu hồi.

Nếu cần in biến đổi, mã số nhân viên, mã QR hoặc dữ liệu hiển thị khác, hướng dẫn của Syntek vềin RFIDcó thể hỗ trợ việc lập kế hoạch tệp-dữ liệu và tác phẩm nghệ thuật.

Để kiểm tra hàng loạt, tổng quan của Syntek vềthiết bị kiểm tra chất lượngcung cấp bối cảnh-QC sản xuất bổ sung.

Những gì cần gửi cho nhà cung cấp thẻ của bạn trước khi đặt hàng

Các dự án yêu cầu xây dựng thẻ tùy chỉnh, in ấn, cá nhân hóa hoặc sản xuất có kiểm soát có thể tiếp tục do Syntek thực hiệnSản xuất OEM và ODMthông tin sau khi đặc tả kỹ thuật được xác định.

Những sai lầm mua hàng phổ biến

Coi mọi thẻ 13,56 MHz là tương thích với MIFARE-

Tần số không xác định giao thức hoàn chỉnh, dòng chip hoặc ứng dụng. Xác nhận chính xác người đọc và hỗ trợ thông tin xác thực.

Xử lý mọi thẻ MIFARE đều an toàn như nhau

Classic, Plus và DESFire có các kiến ​​trúc bảo mật và mô hình triển khai khác nhau. NXP hiện đánh dấu Classic EV1 là không được khuyến nghị cho các thiết kế mới, trong khi Plus EV2 và DESFire EV3 cung cấp các khả năng di chuyển và bảo mật khác nhau. :contentReference[oaicite:24]{index=24}

Thay thế thẻ mà không đóng băng bản đồ nhận dạng

Thẻ có thể đọc được vẫn có thể bị lỗi trong quá trình sản xuất nếu đầu đọc và phần phụ trợ không đồng ý về cách trình bày UID, định dạng thẻ hoặc ánh xạ người dùng.

Mua chip bảo mật nhưng chỉ sử dụng mã định danh công khai

Khả năng của chip được chọn và mô hình xác thực được triển khai là những câu hỏi riêng biệt.

Sử dụng công nghệ kép không có kế hoạch cũ{0}}

Đầu đọc-tần số kép và thẻ công nghệ-kép có thể giảm bớt tình trạng gián đoạn nhưng việc di chuyển vẫn phải xác định khi nào công nghệ cũ sẽ không còn cần thiết nữa.

Khuyến nghị cuối cùng

Sự khác biệt thực tế giữa MIFARE và thẻ lân cận lớn hơn 13,56 MHz so với 125 kHz.

Quyết định kiểm soát quyền truy cập{0}}đáng tin cậy sẽ trả lời:

• Những trình đọc nào thực sự được cài đặt?
• Họ hỗ trợ những dòng thông tin xác thực nào?
• Ứng dụng sử dụng dữ liệu nhận dạng hoặc dữ liệu được bảo vệ nào?
• Đầu đọc có thực hiện xác thực thực hay chỉ đọc mã định danh?
• Ai kiểm soát khóa thẻ thông minh và hoạt động cá nhân hóa?
• Giao tiếp giữa đầu đọc và bộ điều khiển được bảo vệ như thế nào?
• Thông tin đăng nhập cũ và mới sẽ cùng tồn tại như thế nào trong quá trình di chuyển?
• Bằng chứng nào phải được thông qua trước khi quyền truy cập cũ bị ngừng hoạt động?

Đối với hoạt động triển khai có-rủi ro thấp hiện có với cơ sở cài đặt lớn 125 kHz, việc tiếp tục thông tin xác thực Prox cũ trong một khoảng thời gian xác định có thể là một quyết định vận hành chứ không phải là một lỗi.

Để triển khai hoặc nâng cấp bảo mật mới, thông tin xác thực dòng MIFARE{0}}hiện đại được triển khai đúng cách có thể hỗ trợ xác thực, bảo vệ dữ liệu ứng dụng và quản lý thông tin xác thực linh hoạt hơn. Giá trị đến từ thiết kế hoàn chỉnh chứ không phải từ tên MIFARE được in trên thông số kỹ thuật.

Trình đọc đã cài đặt → thông tin xác thực chính xác → mã định danh/dữ liệu ứng dụng → xác thực → khóa → bảo mật hệ thống → kiến ​​trúc di chuyển → mẫu sản xuất → kiểm tra chấp nhận.

Sau khi xác định mô hình trình đọc, thông tin xác thực mục tiêu, quy tắc nhận dạng, phương pháp xác thực, kế hoạch di chuyển, tác phẩm nghệ thuật, số lượng và yêu cầu chấp nhận, người mua có thểyêu cầu một mẫu hoặc báo giáđể đánh giá-dự án cụ thể.