Una targeta RFID per al control d'accés i assistència: mapes d'ID/IC i llista de verificació de desplegament

Una empresa pot emetre una insígnia RFID a cada empleat i tot i així acabar amb dues identitats en conflicte: un número registrat a la porta i un altre número previst pel rellotge de temps. És possible que la insígnia funcioni a l'entrada però que no enregistri l'assistència, o que el rellotge l'accepti mentre el-sistema de control d'accés mostri una credencial desconeguda.

Per resoldre això, cal més que triar entre una "targeta d'identificació" i una "targeta IC". Definiu un registre de persona estable, identifiqueu el que produeix cada lector, assigneu totes les credencials autoritzades a aquesta persona i proveu l'accés i l'assistència com a esdeveniments empresarials separats.

Aquesta guia s'adreça a gestors d'instal·lacions, equips de recursos humans i informàtics, integradors i organitzacions que emeten targetes RFID tant per a portes com per a l'hora-i-assistència. Cobreix el mapatge d'identitat, les condicions de fallada habituals, les proves d'acceptació i les especificacions de compra en lloc d'una altra comparació general de targetes.

 

 

Una insígnia no significa automàticament un número de credencial

En alguns mercats,"DNI"significa una credencial de proximitat bàsica de 125 kHz, com ara certes targetes de la sèrie EM-d'identificador fix-, i"Targeta IC"significa una targeta intel·ligent sense contacte de 13,56 MHz. Es tracta d'etiquetes de mercat informals, no de classificacions tècniques universals. Tots dos productes contenen un circuit integrat. En altres contextos, una targeta IC també pot ser una targeta intel·ligent de contacte.

La pregunta rellevant per a la insígnia d'empleats és quines credencials admeten els lectors reals de la porta i el rellotge{0}}horari. Un lector només de 125 kHz-no pot llegir una credencial de només 13,56 MHz-només perquè tots dos utilitzen un cos de targeta de PVC. Un lector de-freqüència HF compatible pot detectar una targeta intel·ligent però encara no pot utilitzar l'aplicació o el format de credencial necessaris.

Per a la tecnologia més àmplia i la comparació de compres, Syntek'sGuia de targeta IC vs targeta d'identificaciógestiona aquesta decisió. Aquesta pàgina se centra a fer que una insígnia funcioni de manera coherent en dos sistemes operatius.

 

 

Separeu la persona, la targeta física i les credencials del sistema

Un sistema d'ús dual-viable conté diversos registres diferents. Tractar-los com a intercanviables provoca problemes quan algú canvia de departament o perd una insígnia.

Els identificadors de porta i d'assistència de vegades poden tenir el mateix valor tècnic. També poden diferir en la representació de bytes, la longitud, l'aplicació o fins i tot la tecnologia de RF. No s'ha d'assumir cap resultat a partir d'una imatge o d'un número imprès a la targeta.

A continuació, un disseny estableuna persona → una o més referències de credencials autoritzades → porta independent i permisos d'assistència. La substitució de la targeta no hauria de crear un segon registre d'empleat.

 

 

Inventari ambdues poblacions de lectors abans de demanar targetes

Molts edificis tenen lectors-de la porta principal més nous i terminals d'assistència més antics. Obteniu el fabricant, el model i la configuració rellevant de cada tipus de lector materialment diferent.

Utilitzeu una-targeta autoritzada bona coneguda en una unitat representativa de cada família de dispositius. Captureu el valor tal com es mostra a l'aplicació autoritzada, conserveu els zeros inicials i documenteu la representació decimal o hexadecimal. No assumeixis que el número de targeta imprès és el que emmagatzema el controlador.

 

 

Per què la mateixa insígnia pot mostrar dos números diferents

El microprogramari del lector pot extreure part d'un identificador de xip, aplicar un format de targeta, invertir l'ordre dels bytes o mostrar un número convertit. Una implementació moderna de-targeta intel·ligent pot autenticar i recuperar un valor de credencial d'una aplicació protegida.

Per exemple, un sistema de porta pot emmagatzemarDOOR_TOKEN_Ai es pot registrar un sistema d'assistènciaCLOCK_TOKEN_B. Ambdues referències simbòliques poden pertànyerPERSON_RECORD_1. Necessiten una associació controlada, no una regla inventada que els obligui a igualar el nombre de recursos humans de l'empleat.

Quan s'utilitzi un codi d'instal·lació i un interval{0}}de números de targeta, documenteu aquest disseny i valideu la sortida resultant. Dos sistemes que llisten suport de "26 bits" no estan necessàriament configurats per interpretar camps de credencials idèntics.

 

 

Trieu una arquitectura tecnològica que s'adapti als sistemes instal·lats

NXP MIFARE DESFire EV3té capacitats criptogràfiques i multi-aplicació, però aquestes funcions només estan disponibles quan el lector, les claus i l'aplicació compatibles estan configurats correctament. Llegir un UID públic en un xip capaç no és equivalent a autenticar dades de credencials protegides.

Per a les opcions d'obtenció i construcció de targetes, Syntek'sCategoria de la targeta RFIDés la destinació comercial. Aquesta guia no substitueix la tasca de compra de la pàgina del producte.

 

 

Creeu un registre de mapes aprovat abans de la inscripció massiva

La relació entre el personal i les insígnies necessita un propietari responsable i un historial d'auditoria. Un registre de credencials controlat pot viure en una plataforma-de gestió de credencials o en una integració aprovada. Eviteu confiar en un full de càlcul sense versions enviat per correu electrònic entre les instal·lacions i els recursos humans.

Mantingueu la informació personal dels empleats i els detalls de la nòmina en sistemes empresarials protegits en lloc de posar-los a la credencial simplement perquè un xip que es pot escriure ofereix memòria. Limiteu l'ús compartit de fitxers de mapatge-a administradors autoritzats.

 

 

Els esdeveniments d'accés no són esdeveniments d'assistència

L'obertura autoritzada de la porta no és necessàriament un cop d'hora-de treball vàlid. Algú pot entrar en un edifici per recollir equip, moure's entre llocs o acompanyar un visitant. Un cop de rellotge-hora pot ser vàlid sense l'activitat de la porta corresponent.

• Aplicació d'accés:determina si la credencial registrada té permís en una porta i hora.
• Sol·licitud d'assistència:rep esdeveniments-d'entrada, de final-de rellotge i d'excepció segons les polítiques de l'organització.
• Procés de RRHH / nòmina:valida els horaris, les correccions i els registres{0}}d'hores treballades de manera independent.

Si l'empresa vol que un toc generi els dos esdeveniments, la integració ha de crear i validar tots dos explícitament. Mai s'ha de suposar que l'entrada del registre d'un lector de la porta per si sola prova les hores treballades.

 

 

Utilitzeu targetes de tecnologia dual-només amb un estat final planificat

Un desplegament per fases pot tenir lectors antics de 125 kHz a les estacions d'assistència i lectors nous de 13,56 MHz a les portes, o al revés. Una insígnia física que conté dues tecnologies pot salvar la bretxa si els dos sistemes de credencials admeten la combinació de xips real.

Aquesta targeta pot exposar dos identificadors electrònics diferents. Cadascun d'ells ha d'estar vinculat a la mateixa persona autoritzada i verificat al dispositiu correcte. Ofertes HIDinformació de migració de-tecnologia multiCLASS; La compatibilitat pràctica encara depèn de la configuració del lector instal·lat i de la plataforma d'accés.

Estableix una data o una condició explícita per retirar l'acceptació heretada. Una targeta criptogràfica moderna té un valor de seguretat limitat si la seva part anterior d'identificació fixa- continua sent una credencial acceptada indefinidament sense una necessitat empresarial aprovada.

 

 

Proveu la connexió del lector-al-controlador com a capa separada

Diagnosticar les fallades en seqüència. Si el lector no detecta la insígnia, investigueu la freqüència, el protocol i la família de credencials compatibles. Si el lector reacciona però el programari d'accés denega l'entrada, inspeccioneu el seu format de sortida, la seva assignació, els permisos d'usuari i la política del controlador.

L'enllaç del lector-al-controlador és independent de la interfície de la targeta. ElLlista de verificació OSDP de la Security Industry Associationaborda el desplegament i la verificació de seguretat de connexions basades{0}}OSDP. OSDP i Wiegand heretat descriuen les comunicacions dels components; ni per si sol garanteix que un determinat identificador o targeta IC funcioni amb el lector.

L'adquisició de targetes no s'ha d'utilitzar com a abreviatura per a una actualització de seguretat del lector/controlador. Documenteu aquests canvis d'infraestructura com el seu propi projecte aprovat.

 

 

Les proves d'acceptació haurien de seguir tot el cicle de vida de l'empleat

Un cop de porta amb èxit i un rellotge{0}}encertat no poden demostrar una implementació completa. Proveu com es comporta cada sistema després d'esdeveniments laborals normals i excepcionals.

Algunes plataformes sincronitzen la identitat i l'estat de credencials. Altres requereixen accions administratives separades. Confirmeu el comportament a la documentació i un pilot controlat en lloc de prometre actualitzacions automàtiques.

 

 

Eviteu que les targetes de substitució creïn identitats actives paral·leles

La substitució genera un risc específic: l'administrador de la porta registra una insígnia nova mentre que l'administrador del rellotge-hora deixa activa l'antiga. Les dues targetes poden aparèixer vàlides en una o ambdues bases de dades.

1. Busqueu el registre de la plantilla autoritzada.
2. Enumereu les referències de credencials d'assistència i de porta actives per a aquesta persona.
3. Anoteu per què es va substituir la insígnia física i si es va retornar.
4. Inscriviu-vos i proveu les referències de la nova targeta mitjançant procediments aprovats.
5. Revoqueu les referències antigues en tots els sistemes rellevants.
6. Confirmeu que la credencial retirada es denega quan sigui necessari.
7. Mantenir el mapatge i l'historial de canvis; conservar els registres d'assistència prèvia de la persona.

La recuperació física i la revocació electrònica són estats diferents. Una insígnia que falta es pot desactivar; una insígnia retornada encara pot estar tècnicament autoritzada fins que s'eliminin realment els permisos d'accés.

 

 

Piloteu un torn complet, no només dues demostracions de lectors

Executeu el pilot amb els models de lector exactes i les aplicacions de fons que s'esperen en producció. Utilitzeu dades de prova no-sensibles aprovades i incloeu la seguretat, els recursos humans i l'integrador en el procés d'acceptació.

1. Línia de base:captura com es comporta una-insígnia bona coneguda a les portes i els rellotges de temps representatius.
2. Inscripcions:emetre una targeta de mostra i registrar-ne les identitats tècniques i el mapa de la plantilla.
3. Accés:verificar les transaccions de porta permeses i denegades intencionadament, inclosos diferents models de lectors.
4. Assistència:verificar que els esdeveniments d'entrada i de sortida-de rellotge apareixen sota el registre de la persona adequada.
5. Excepcions:prova números desconeguts, mapes conflictius, caducitat i una credencial revocada intencionadament.
6. Substitució:emet una nova mostra i assegureu-vos que ambdós sistemes retiren la identitat anterior.
7. Reconciliació:compareu els registres d'auditoria i les cues d'excepcions abans d'aprovar la producció per lots.

L'empresa ha de decidir els seus propis llindars d'acceptació, com ara quins esdeveniments fallits bloquegen el llançament i qui pot aprovar una excepció. La declaració d'un proveïdor que una targeta "es llegeix correctament" no és una prova que els registres d'assistència i els permisos de la porta siguin correctes.

 

 

Què s'ha d'especificar en una sol·licitud de compra de targeta ID/IC

Una cotització rarament necessita llistes d'empleats en brut, claus d'aplicació confidencials o credencials d'accés a la producció en directe. Comenceu amb les especificacions del lector i les mostres de proves autoritzades i, a continuació, establiu un procés d'intercanvi de dades controlat-si cal personalitzar.

 

 

Quan conservar les targetes d'identificació existents té sentit

Si la tasca és una reordenació de manteniment i ambdues aplicacions depenen d'un format de 125 kHz{0}}funcionant conegut, la continuïtat pot ser la prioritat immediata. Això no s'ha de tergiversar com una millora de seguretat. És possible que encara sigui necessari un pla separat per abordar els riscos de les credencials d'identificador fixes-.

Si l'organització necessita aplicacions autenticades o gestió consolidada en més sistemes, definiu lectors compatibles, claus de credencials i govern d'identitat abans de seleccionar un xip de-targeta intel·ligent. Per a la decisió més àmplia de costos i tecnologia, Syntek'sGuia de costos de credencials d'accés de 125 kHz enfront de 13,56 MHzés el recurs adjacent adequat.

 

 

L'entrega que fa que una targeta funcioni

Abans del llançament complet, hi hauria d'haver una regla de mapatge de credencials-a-aprovada, una matriu de compatibilitat de lector-, un procés d'emissió i revocació i registres de prova que mostrin que l'accés i l'assistència a la porta es resolen a la mateixa persona autoritzada.

La seqüència útil ésregistre de la persona → inventari del lector → arquitectura de credencials → mapatge d'identificadors → problema de mostra → prova de la porta → prova d'assistència → prova de substitució i revocació → especificació de lot aprovada → llançament.

Una targeta és un format físic convenient. Les identitats coherents i l'administració disciplinada són els que el converteixen en una credencial compartida fiable.