RFID raktų pakabukai prieigos kontrolei: Pirkėjo vadovas apie tipus, suderinamumą, saugą ir OĮG šaltinį

RFID raktas yra mažas bekontaktis kredencialas, turintis lustą ir anteną ir identifikuojantis vartotoją skaitytuvui be fizinio kontakto. Tai labai paprasta. Daugumą pirkėjų trikdo viskas, kas yra po jo: ar pultelis iš tikrųjų kalbės su jau pritvirtintais prie sienos skaitytuvais, ar lustas gali atsispirti 30 eurų kainuojančiam klonavimo įrenginiui ir ar tiekėjas gali teisingai užkoduoti 5000 vienetų prieš išsiunčiant. Šis vadovas skirtas žmonėms, kuriems priklauso tie sprendimai - IT ir įrenginių vadovams, vykdantiems atnaujinimą, ir pirkimų komandoms, kurios tiekia RFID raktų pakabukus.

Vienintelė brangiausia klaida šioje kategorijoje yra užsakymas tik pagal dažnį. Dažnis yra būtinas, bet nepakankamas. Toliau suderinamumas, saugumas ir tiekimas traktuojami kaip trys sprendimai, kurie iš tikrųjų nustato, ar diegimas veikia - ir apytiksliai tokia rizikos tvarka.

Kaip veikia RFID raktų pakabukas (ir kodėl tai svarbu perkant)

Pasyvus pultelis neturi baterijos. Kai ji patenka į skaitytuvo lauką, antena paima energiją iš to lauko, pažadina lustą ir lustas atsako. Pagrindinėje sistemoje atsakymas yra tik fiksuotas identifikatorius; saugioje sistemoje pultelis ir skaitytuvas paleidžia kriptografinį rankos paspaudimą prieš apsikeičiant bet kokia jautria informacija. Tada už skaitytuvo esantis valdiklis patikrina tą tapatybę pagal prieigos taisykles ir atrakina duris - arba užregistruoja atsisakymą.

Iš to iškrenta dvi praktinės pasekmės. Pirma, kadangi pasyvieji pulteliai semiasi energijos iš skaitytuvo, jie paprastai tarnauja ilgiau nei dešimtmetį be jokios priežiūros, todėl beveik visose pastatų prieigose jos naudojamos, o ne-baterija maitinamos aktyvios žymos. Antra, skirtumas tarp „FOB siunčia numerį“ ir „FOB įrodo, kas tai yra“ yra visa saugumo istorija - ir tai nusprendžiama lusto lygmeniu, dar negalvojant apie būstą ar prekės ženklą. Jei norite giliau susipažinti su fizika, peržiūrėkite šį suskirstymąkaip veikia RFID raktų pakabukai prieigos kontrolei.

Dažnis ir lusto tipas: suderinamumo sprendimas

Yra trys dažnių juostos ir jos neveikia. 125 kHz skaitytuvas negali nuskaityti 13,56 MHz fob ir atvirkščiai. Kiekvienoje juostoje lustų šeima ir ryšio standartas dar labiau susiaurina suderinamumą.

125 kHz (žemas dažnis)

LF yra senas, pigus ir atlaidus metalo ir elektros triukšmui. Traškučiai patinkaEM4100 ir TK4100 raktų pakabukaitransliuoti fiksuotą, tik skaitomą{0}}numerį. Šis patikimumas taip pat yra problema: fiksuotas numeris be šifravimo gali būti nukopijuotas per kelias sekundes nebrangiu dauginimo aparatu. Pasirinkite LF tik tada, kai suderinate esamus LF skaitytuvus arba kai klonavimas tiesiog nėra jūsų grėsmės modelio - sporto salės persirengimo kambarys, tarkime, ne duomenų centras.

13,56 MHz (aukštas dažnis)

HF yra numatytoji bet kokiam naujam diegimui, kai svarbu saugumas. Jai taikomas ISO/IEC 14443 standartas (su ISO/IEC 15693, apimančiu ilgesnio-atstumo lustus), todėl HF kredencialai puikiai veikia suderinamuose skaitytuvuose. Dominuoja trys lustų šeimos:

MIFARE Classic 1K- didžiulė įdiegta bazė, maža kaina ir priežastis, dėl kurios vis dar pristatomas didelis kiekis. Tačiau jo „Crypto-1“ šifras buvo viešai sugadintas prieš daugelį metų, todėl jis turėtų būti traktuojamas kaip patogumo, o ne saugumo kredencialas. Tai protingas pasirinkimas narystei, maitinimui be grynųjų pinigų ar vidaus durims, kur klonas yra erzina, o ne pažeidimas. A13,56 MHz MIFARE 1K klavišų pakabukasapima daugumą tų atvejų.

MIFARE DESFire EV3- dabartinis aukštos-saugos prieigos etalonas. Remiantis NXP DESFire dokumentacija, jis naudoja AES-128 aparatinės įrangos šifravimą, trijų-laidų abipusį autentifikavimą ir kiekvienos programos raktų valdymą, o IC turi Common Criteria EAL5+ sertifikatą - tos pačios klasės, kurios reikalaujama bankininkystės ir el. paso lustams. Jis atgal suderinamas su EV2 ir EV1, todėl laipsniškas perkėlimas yra realus. Jei nurodote vyriausybės pastatą, ligoninės vaistinę ar įmonės būstinę, tai yra atskaitos taškas, o ne atnaujinimas, kurį reikia apsvarstyti vėliau.

NTAG (NFC)- sukurtas telefone-skaitomai sąveikai, o ne griežtai prieigai. Naudinga lankytojų leidimams, produktų autentifikavimui ir rinkodarai, mažiau naudinga saugioms durims.

UHF

UHF nuskaito metrais, o ne centimetrais, o tai yra būtent tai, ko norite padėklams ir transporto priemonėms, ir būtent tai, ko nenorite durims, kai už dviejų kambarių nuskaitymas yra įsipareigojimas. Išsaugokite UHF, kad galėtumėte sekti turtą ir identifikuoti vartus / transporto priemonę.

Jei sveriate bendras išlaidas, o ne lipduko kainą, šis 125 kHz ir 13,56 MHz prieigos kontrolės kredencialų kainos palyginimas yra naudingas pagalbininkas, kaip ir atidesnis žvilgsnis įpasirinkti tinkamą RFID raktų pakabukų dažnį.

Suderinamumo kontrolinis sąrašas Niekas neveikia, kol dar nevėlu

Dauguma nepavykusių užsakymų turi vieną pagrindinę priežastį: pirkėjas suderino dažnumą ir prisiėmė likusią dalį. Praktiškai keturi dalykai turi atitikti - dažnį, ryšio standartą, lustų šeimą ir kredencialų formatą (UID, įrenginio kodą arba patentuotą šifruotą programą). HID Prox skaitytuvas nepaisys bendrojo 125 kHz EM4100 fob, nors abu yra "125 kHz", nes formatas skiriasi. Prieš bet kokį masinį užsakymą atlikite šiuos veiksmus:

• Nustatykite skaitytojo modelį.Perskaitykite etiketę ant įdiegto skaitytuvo arba patikrinkite skydelio dokumentaciją. Tiek prekės ženklas, tiek programinės aparatinės įrangos versija yra svarbūs - kai kurie skaitytuvai DESFire aukštesnės-saugos programą priima tik po programinės aparatinės įrangos atnaujinimo.
• Patikrinkite esamą darbo kredencialą.Išspausdintos žymos arba greitas nuskaitymas diagnostikos skaitytuvu paprastai atskleidžia lusto tipą ir formatą.
• Patvirtinkite formatą, o ne tik lustą.Paklauskite, ar sistema autentifikuoja UID, įrenginio kodą arba šifruotą programą su konkrečiais raktais.
• Paprašykite pavyzdžio ir išbandykite jį savo tiesioginiuose skaitytojuose.Šis vienas veiksmas apsaugo nuo beveik visų{0}}stambių gedimų.
• Paaiškinkite rakto nuosavybės teisę.Jei naudojate DESFire ir kitas užšifruotas sistemas, nuspręskite, kas turi pagrindinius raktus ir kaip jie bus diversifikuoti prieš pradedant gamybą, o ne po to.

Kai diegdami sujungiate dvi skaitytojų kartas, advigubo{0}}dažnio klavišų pulteliskuris turi ir LF, ir HF lustą, leidžia vienu kredencialu vienu metu atidaryti senas ir naujas duris - dažnai skiriasi nuo savaitgalio pertraukos ir mėnesio lygiagrečių sistemų. Ši pastaba skirta konkrečiai HID aplinkaiHID Prox{0}}suderinamų kredencialų užsakymasapima formato detales, kurios pritraukia žmones.

RFID vs NFC: vienas yra kito pogrupis

NFC nėra RFID konkuruojanti technologija - tai specializuota 13,56 MHz HF RFID dalis, kuri prideda dvipusį-ryšį, o tai leidžia telefonui veikti kaip skaitytuvui arba kredencialui. Kiekvienas NFC įrenginys naudoja RFID principus; ne kiekviena RFID sistema kalba NFC.

Šis skirtumas lemia, ar telefonai gali pakeisti pultelius jūsų pastate. „Android“ pagrindinės kortelės emuliacija ir „Apple Wallet“{1}}pagrįsti kredencialai gali veikti kaip prieigos raktai, tačiau tik tada, kai tai palaiko skaitytuvas, prieigos-valdymo programinė įranga ir kredencialų-teikimo metodas. Senieji LF skaitytuvai iš viso negali naudotis telefonu. Tiesą sakant, dauguma organizacijų naudoja abu: šifruotus pultus darbuotojams ir rangovams, mobiliuosius kredencialus, išdėstytus viršuje, kur juos palaiko skaitytojų parkas. Visas suskirstymas pateikiamas šiame vadoveskirtumas tarp RFID ir NFC.

Klonavimas ir saugumas: ką iš tikrųjų galima nukopijuoti

– Ar galima jį klonuoti? turi tris sąžiningus atsakymus, priklausomai nuo lusto:

• Trivialiai klonuojamas- fiksuoti-UID LF lustai (EM4100, TK4100) ir bet kokia nešifruota UID-tik sistema. Rankinis kopijavimo aparatas tai padaro vienu praėjimu.
• Klonuojamas su pastangomis- Klasikinė MIFARE. „Crypto-1“ trūkumai yra vieši, todėl ryžtingas užpuolikas, turintis tinkamus įrankius, gali atkurti raktus.
• Sukurta atsispirti klonavimui- DESFire EV3 ir kiti AES-pagrįsti kredencialai, pagrįsti abipusiu autentifikavimu, dinaminiais seanso raktais ir pagal-kredencialų raktų įvairinimą, kad pažeidžiant vieną pultelį nebūtų pakenkta sistemai.

Paplitęs mitas, kad „bet kurį RFID galima nukopijuoti telefonu“, atviros NTAG žymos skaitymas painiojamas su kriptografinio autentifikavimo nugalėjimu. Telefonas gali imituoti paprastą NFC žymą; jis negali sukurti DESFire rankos paspaudimo. Norėdami gauti išsamesnės informacijos apie grėsmės modelį, žr. šią apžvalgąRFID duomenų saugumas.

Tačiau lusto pasirinkimas yra tik pusė saugaus diegimo. Sistemos konstrukcijoje yra visa kita:

• Pakeiskite senus Wiegand laidusOSDP, kuris palaiko šifruotą, prižiūrimą skaitytuvo{0}} ir-valdiklio ryšį.
• Naudokitepagrindinis diversifikavimastodėl kiekvienas kredencialas gauna unikalų raktą iš pagrindinio rakto.
• Taikytivaidmeniu-pagrįstus leidimus. NIST vaidmeniu{1}}pagrįstas prieigos valdymo modelis - ANSI/INCITS standartas - yra nuoroda, kuria vadovaujasi dauguma įmonių prieigos platformų, ir jis aiškiai parodo, kaip pastatai iš tikrųjų priskiria prieigą pagal darbo funkciją.
• Bėkreguliarūs auditai: peržiūrėti žurnalus, atšaukti nepanaudotus kredencialus, pasukti raktus ir nuolat atnaujinti skaitytuvo programinę įrangą.
•  

Tikra migracija, pradžia iki pabaigos

Toliau pateikta schema būdinga vidutinio{0}}dydžio biurui, perkeliančiam senstančias LF skaitytuvus, ir parodo, kodėl ankstesni sprendimai sudėtingi.

Pastatas, kuriame veikia 125 kHz EM4100 pultai, nusprendžia atnaujinti po to, kai nuomininkas praneša apie pasikartojančius kredencialus. Užuot sukeisę viską iš karto, jie montuoja DESFire EV3{4}}palaikančius skaitytuvus po aukšto ir išduoda dvigubo-dažnio pultus, kad darbuotojai išliktų vienas kredencialas. Pagrindinius raktus sugeneruoja ir laiko klientas, jie skirstomi kiekvienam FOB ir įšvirkščiami gamykloje prieš išsiunčiant. Skaitytojai pereina prie OSDP, nes kiekvienas aukštas yra perpjautas. Senos tik LF durys veikia su tuo pačiu pulteliu, kol pakeičiamas paskutinis skaitytuvas, o tada LF funkcija tiesiog išjungiama programinėje įrangoje. Jokių įgaliojimų pakartotinio išdavimo, jokios fojė eilės.

Toliau pateikta schema būdinga vidutinio{0}}dydžio biurui, perkeliančiam senstančias LF skaitytuvus, ir parodo, kodėl ankstesni sprendimai sudėtingi.

Pastatas, kuriame veikia 125 kHz EM4100 pultai, nusprendžia atnaujinti po to, kai nuomininkas praneša apie pasikartojančius kredencialus. Užuot sukeisę viską iš karto, jie montuoja DESFire EV3{4}}palaikančius skaitytuvus po aukšto ir išduoda dvigubo-dažnio pultus, kad darbuotojai išliktų vienas kredencialas. Pagrindinius raktus sugeneruoja ir laiko klientas, jie skirstomi kiekvienam FOB ir įšvirkščiami gamykloje prieš išsiunčiant. Skaitytojai pereina prie OSDP, nes kiekvienas aukštas yra perpjautas. Senos tik LF durys veikia su tuo pačiu pulteliu, kol pakeičiamas paskutinis skaitytuvas, o tada LF funkcija tiesiog išjungiama programinėje įrangoje. Jokių įgaliojimų pakartotinio išdavimo, jokios fojė eilės.

Esmė yra ne konkretus prekės ženklas -, o tai, kad etapinis, raktas-priklausomas dvigubo Toks planas įmanomas tik todėl, kad lustas (DESFire) ir formos faktorius (dvigubas-dažnis) buvo pasirinkti atsižvelgiant į perkėlimą.

Korpusas ir medžiagos: derinkite aplinką, o ne katalogą

Būstas retai pakeičia skaitymo diapazoną, tačiau jis nusprendžia, kiek laiko išgyvens FOB. Lusto ir antenos rinkinio veikimas; apvalkalas užtikrina ilgaamžiškumą.

Atšiaurioms sąlygoms nurodykite IP67/IP68 sandarumą, nuo –25 laipsnio iki +85 laipsnių įvertinimą ir atsparumą UV spinduliams bet kam, kas paliekama lauke. Jame aptinkami du dažniausiai pasitaikantys apvalkalai-greta-ABS ir epoksidinių raktų palyginimas. Kai išvaizda yra trumpo teksto dalis, aodinis RFID raktasarba amedinis ekologiškas{0}}raktų pakabukasturi daug geresnį logotipą nei suformuotas ABS.

Programavimas: trys FOB kodavimo būdai

„Programavimas“ reiškia tapatybės, raktų arba prieigos duomenų įrašymą į lustą. Tai, kaip tai darote, priklauso nuo masto ir saugumo:

1. Gamyklinė išankstinė{0}}koduotė.Tiekėjas prieš išsiųsdamas parašo UID arba kredencialus. Greičiausias dideliems diegimams ir viešbučių sistemoms; nereikia jokių-svetainės įrankių.
2. Svetainės-kodavimas.Kredencialus išduodate naudodami USB įrašymo įrenginį arba prieigos skydelio registravimo programinę įrangą. Geriausia, kai užduotys dažnai keičiasi ir norite tiesioginio valdymo.
3. Saugus rakto įpurškimas.DESFire ir AES sistemose šifravimo raktai ir programos pateikiami kontroliuojamomis sąlygomis, dažnai gamykloje, todėl kredencialų negalima kopijuoti be leidimo.

Dėl apimties užsakymų iš anksto susitarkite dėl praktinės informacijos: kodavimo pralaidumo, klaidų apdorojimo, UID unikalumo, duomenų bazės sinchronizavimo ir audito registravimo. Įmonės paprastai koduoja laidais į savo HR arba tapatybės sistemą, todėl prisijungimo ir išjungimo kredencialų būsena automatiškai nustatoma.

Įprasti diegimai

Biurai centralizuotai valdo įėjimus, liftus, grindis ir automobilių stovėjimo aikštelę, atnaujindami teises neliesdami techninės įrangos. Viešbučiai išduoda kredencialus, kurių galiojimo laikas baigiasi atsiskaitant - mechanika paaiškinta šiame skyriujekaip veikia viešbučio raktų kortelės. Ligoninės užrakina vaistines, laboratorijas ir įrašus su vaidmenimis{1}}pagrįstais leidimais, kad būtų laikomasi reikalavimų. Universitetai sujungia prieigą, biblioteką, lankomumą ir mokėjimą negrynaisiais į vieną kredencialą. Pramonės aikštelės apriboja pavojingas zonas ir įrangos patalpas pagal vaidmenį ir pamainą. Visais atvejais laimi tas pats žingsnis: pasirinkite lustą pagal grėsmės lygį, tada leiskite programinei įrangai sutvarkyti visa kita.

Pirkimas ir OEM tiekimas

Kaina yra paskutinis dalykas, kurį reikia optimizuoti, o ne pirmas. Vykdykite reikalavimus, tada lustas, tada pritaikymas, tada tiekėjas.

Lustų pasirinkimas pagal saugumo lygį

• Žemas(gyvenamasis, automobilių stovėjimo aikštelė): EM4100 / TK4100 / HID Prox.
• Vidutinis(biurai, mokyklos, sporto salės): MIFARE Classic 1K arba NTAG.
• Aukštas(finansų, sveikatos priežiūros, vyriausybės): DESFire EV3 su AES ir abipusiu autentifikavimu.
•  

Tinkinimas (OEM / ODM)

Didieji pirkėjai retai nori bendrųjų akcijų. Įprastos parinktys yra lazerinis arba šilkinis{1}}ekranis logotipų spausdinimas, UID kodavimas ir išankstinis-programavimas, serijos numeravimas, tinkintos spalvos ir formos bei QR / brūkšninio kodo integravimas - – visa tai palaiko prekės ženklą, išteklių stebėjimą ir kovos su-klastojimą. Palyginkite juos su tiekėjuOEM/ODM galimybėsprieš įsipareigojant.

MOQ, pristatymo laikas ir patikrinimas

Apytikslis rodiklis yra 100–500 vnt. atsarginių modelių, 500–3 000 standartinių OEM vnt., o visiškai pritaikytų formų – 5, 000+ vnt., vieneto kaina smarkiai mažėja dėl apimties. Atsargų pristatymo laikas yra maždaug 2–5 dienos, standartinių OĮG – 7–15 dienų ir pasirinktinių įrankių – 15–30+ dienų; sukurti buferį mėginio patvirtinimo ir kodavimo bandymams. Tikrindami tiekėją, prieš pradedant masinę gamybą patvirtinkite autentiškus lustus (NXP, HID), kodavimo ir suderinamumo{15}}testavimo palaikymą, ISO/CE/RoHS sertifikatą ir - ne{17}}nederimą - fizinį pavyzdį.

išvada

Pasirinkite lustą pagal savo tikrąjį grėsmės lygį, patikrinkite suderinamumą su tikrais skaitytojais prieš užsakydami dideliu mastu ir šifravimą, OSDP, raktų įvairinimą ir vaidmenimis{0}}pagrįstus leidimus vertinkite kaip vieną sistemą, o ne keturias parinktis. Didelio-saugumo svetainėms DESFire EV3 ir pagrindinis-priklausomas, laipsniškas perkėlimo kelias yra ilgalaikis sprendimas. Visa kita - būstas, spalva, prekės ženklas - priklauso nuo šių trijų sprendimų priėmimo.

Jei planuojate atnaujinimą arba masinį užsakymą, suderinamumo patikrinimas ir išbandytas pavyzdys prieš gamybą sutaupys daug daugiau, nei kainuoja. Prieš pradedant naudoti įrankius, galite paprašyti įvertinimo arba pasiūlymo pavyzdžio, kad įsitikintumėte, jog jūsų FOB atitinka jūsų sistemą.

DUK

Ar bet koks RFID raktų pakabukas gali veikti su bet kokiu skaitytuvu?

Ne. Dažnis, ryšio standartas, lustų šeima ir kredencialų formatas turi atitikti. Du „125 kHz“ pulteliai vis tiek gali būti nesuderinami, jei formatas skiriasi.

Kuris RFID raktų pakabukas yra saugiausias?

MIFARE DESFire EV3 su AES-128 ir abipusiu autentifikavimu yra dabartinis aukšto saugumo etalonas, turintis EAL5+ sertifikatą, panašų į banko lustus.

Ar galima klonuoti RFID raktų pakabukus?

Fiksuotas{0}}UID LF pultelis yra lengvai klonuojamas, MIFARE Classic galima klonuoti dedant pastangas, o DESFire / AES kredencialai yra specialiai sukurti taip, kad tam atsispirtų.

Ar RFID raktų pakabukams reikia baterijų?

Ne. Pasyvūs pultai semiasi energijos iš skaitytojo lauko ir paprastai trunka dešimtmetį ar ilgiau.

Ar išmanusis telefonas gali pakeisti raktų pakabuką?

Kartais. NFC telefonai gali veikti kaip kredencialai, kai skaitytuvas ir programinė įranga tai palaiko, tačiau senosios LF sistemos iš viso negali naudoti telefonų. Daugelis svetainių veikia abi.

Ką daryti, jei pametėte FOB?

Praneškite apie tai, nedelsdami išjunkite jį sistemoje - nereikia keisti užrakto - išduokite pakeitimą iš atsarginių atsargų ir peržiūrėkite paveikto laikotarpio prieigos žurnalus.

Koks yra įprastas MOQ ir pristatymo laikas individualiems FOB?

Standartiniai OEM užsakymai paprastai prasideda nuo 500–3 000 vnt., kurių pristatymo laikas yra 7–15 dienų; pritaikytoms formoms reikia didesnio tūrio ir ilgesnio įrankių apdorojimo laiko. Visada pirmiausia paprašykite pavyzdžio.