Claus RFID per al control d'accés: una guia del comprador sobre tipus, compatibilitat, seguretat i abastament OEM

Un clauer RFID és una petita credencial sense contacte que porta un xip i una antena i identifica un usuari amb un lector sense contacte físic. Això és senzill. El que ensopega la majoria dels compradors és tot el que hi ha a continuació: si el fob parlarà realment amb els lectors ja fixats a la paret, si el xip pot resistir un dispositiu de clonació de 30 euros i si un proveïdor pot codificar 5.000 unitats correctament abans d'enviar-los. Aquesta guia està escrita per als propietaris d'aquestes decisions - Responsables d'informàtica i d'instal·lacions que executen una actualització, i els equips d'adquisició que abasteixen clauers RFID en volum.

L'error més car d'aquesta categoria és ordenar només per freqüència. La freqüència és necessària però no suficient. A continuació, la compatibilitat, la seguretat i l'abastament es tracten com les tres decisions que realment determinen si una implementació funciona - i aproximadament en aquest ordre de risc.

Com funciona un clauer RFID (i per què és important comprar)

Un fob passiu no té bateria. Quan entra al camp d'un lector, l'antena recull energia d'aquest camp, desperta el xip i el xip respon. En un sistema bàsic la resposta és només un identificador fix; en un sistema segur, el fob i el lector executen una encaixada de mans criptogràfica abans que s'intercanviï res sensible. El controlador que hi ha darrere del lector comprova aquesta identitat amb les seves regles d'accés i desbloqueja la porta - o registra la denegació.

D'això se'n deriven dues conseqüències pràctiques. En primer lloc, com que els fob passius obtenen energia del lector, normalment duren més d'una dècada sense manteniment, per això gairebé tots els accessos a l'edifici els fan servir en lloc d'etiquetes actives alimentades per bateria-. En segon lloc, la diferència entre "el fob envia un número" i "el fob demostra qui és" és tota la història de seguretat - i es decideix a nivell de xip, abans de pensar mai en l'habitatge o la marca. Si voleu la física amb més profunditat, consulteu aquest desglossament decom funcionen els clauers RFID per al control d'accés.

Freqüència i tipus de xip: la decisió de compatibilitat

Hi ha tres bandes de freqüència i no s'interoperan. Un lector de 125 kHz no pot llegir un fob de 13,56 MHz, i viceversa. Dins de cada banda, la família de xips i l'estàndard de comunicació redueixen encara més la compatibilitat.

125 kHz (baixa freqüència)

LF és vell, barat i tolerant el soroll metàl·lic i elèctric. Xips comPorta claus EM4100 i TK4100transmetre un número fix-només de lectura. Aquesta fiabilitat també és el problema: un duplicador econòmic pot copiar un número fix sense xifratge en segons. Trieu LF només quan feu coincidir els lectors LF existents o quan la clonació simplement no forma part del vostre model d'amenaça - un vestidor de gimnàs, per exemple, no un centre de dades.

13,56 MHz (alta freqüència)

HF és el valor predeterminat per a qualsevol desplegament nou on la seguretat és important. Es regeix per l'estàndard ISO/IEC 14443 (amb ISO/IEC 15693 que cobreix xips de proximitat d'-abast més llarg), per això les credencials d'HF interaccionen de manera neta amb els lectors compatibles. Tres famílies de xips dominen:

MIFARE Classic 1K- enorme base instal·lada, baix cost i el motiu pel qual encara s'envia en volum. Però el seu xifrat Crypto-1 es va trencar públicament fa anys, per la qual cosa s'ha de tractar com una credencial de conveniència, no com una de seguretat. És una opció assenyada per a membres, càtering sense efectiu o portes internes on un clon és una molèstia en lloc d'una violació. APorta claus MIFARE 1K de 13,56 MHzcobreix la majoria d'aquests casos.

MIFARE DESFire EV3- la referència actual d'accés d'alta-seguretat. Segons la documentació DESFire de NXP, utilitza el xifratge de maquinari AES-128, l'autenticació mútua de tres-passes i la gestió de claus per-aplicació, i l'IC porta una certificació Common Criteria EAL5+ - de la mateixa classe que els xips bancaris i de passaport electrònic. És retrocompatible amb EV2 i EV1, cosa que fa que la migració gradual sigui realista. Si especifiqueu un edifici governamental, una farmàcia hospitalària o una seu corporativa, aquest és el punt de partida, no una actualització que cal tenir en compte més endavant.

NTAG (NFC)- dissenyat per a interaccions-llegibles per telèfon en lloc d'accés reforçat. Útil per a abonaments de visitants, autenticació de productes i màrqueting, menys per a una porta segura.

UHF

L'UHF es llegeix a metres, no centímetres, que és exactament el que vols per a palets i vehicles i exactament el que no vols per a una porta, on llegir algú a dues habitacions és una responsabilitat. Mantingueu UHF per al seguiment d'actius i la identificació de la porta/vehicle.

Si esteu pesant bandes en el cost total en lloc del preu de l'adhesiu, aquesta comparació del cost de les credencials de control d'accés de 125 kHz i de 13,56 MHz és un acompanyant útil, com és una mirada més detallada aescollint la freqüència adequada per als clauers RFID.

La llista de verificació de compatibilitat Ningú no s'executa fins que sigui massa tard

La majoria de les comandes fallides comparteixen una causa principal: el comprador va fer coincidir la freqüència i va assumir la resta. A la pràctica, quatre coses han d'alinear - freqüència, estàndard de comunicació, família de xips i format de credencial (UID, codi d'instal·lació o una aplicació encriptada propietat). Un lector HID Prox ignorarà un fob EM4100 genèric de 125 kHz encara que tots dos siguin "125 kHz", perquè el format és diferent. Abans de qualsevol comanda a granel, treballeu amb això:

• Identificar el model lector.Llegiu l'etiqueta d'un lector instal·lat o consulteu la documentació del panell. Tant la marca com la versió del microprogramari són importants - alguns lectors només accepten l'aplicació de seguretat-de major seguretat de DESFire després d'una actualització del microprogramari.
• Inspeccioneu una credencial de treball existent.Les marques impreses, o una exploració ràpida amb un lector de diagnòstic, normalment revelaran el tipus i el format del xip.
• Confirmeu el format, no només el xip.Pregunteu si el sistema s'autentica en l'UID, en un codi d'instal·lació o en una aplicació xifrada amb claus específiques.
• Sol·liciteu una mostra i proveu-la als vostres lectors en directe.Aquest únic pas evita gairebé tots els errors-a gran escala.
• Aclarir la propietat de la clau.Per a DESFire i altres sistemes xifrats, decidiu qui té les claus mestres i com es diversificaran abans de la producció, no després.

Quan uniu dues generacions de lectors durant un llançament, aclauer-dualque porta tant un xip LF com un HF permet que una credencial obre portes velles i noves alhora - sovint la diferència entre un canvi de cap de setmana i un mes de sistemes paral·lels. Per als entorns HID específicament, aquesta nota sobredemanant credencials compatibles-HID Proxcobreix els detalls del format que atrauen la gent.

RFID vs NFC: un és un subconjunt de l'altre

L'NFC no és una tecnologia rival amb la RFID - és una porció especialitzada de RFID HF de 13,56 MHz que afegeix una comunicació-bidireccional, que és el que permet que un telèfon actuï com a lector o com a credencial. Cada dispositiu NFC utilitza principis RFID; no tots els sistemes RFID parlen NFC.

Aquesta distinció decideix si els telèfons poden substituir els fobs al vostre edifici. Les credencials basades en l'emulació de targetes d'amfitrió d'Android i les credencials basades en-Wallet d'Apple poden funcionar com a claus d'accés, però només quan el lector, el programari de-control d'accés i el mètode d'aprovisionament-de credencials ho admeten. Els lectors LF heretats no poden utilitzar un telèfon en absolut. En realitat, la majoria de les organitzacions executen ambdós: fobs xifrats per al personal i els contractistes, credencials mòbils a la part superior on la flota de lectors els admet. El desglossament complet es troba en aquesta guiala diferència entre RFID i NFC.

Clonació i seguretat: què es pot copiar realment

"Es pot clonar?" té tres respostes honestes segons el xip:

• Trivialment clonable- Xips-UID LF fixos (EM4100, TK4100) i qualsevol sistema només UID-no xifrat. Una copiadora de mà ho fa en una sola passada.
• Clonable amb esforç- MIFARE clàssic. Les debilitats de Crypto-1 són públiques, de manera que un atacant determinat amb les eines adequades pot recuperar les claus.
• Dissenyat per resistir la clonació- DESFire EV3 i altres credencials basades en AES-, que es basen en l'autenticació mútua, les claus de sessió dinàmiques i la diversificació de clau per-credencial, de manera que comprometre un fob no comprometi el sistema.

El mite comú que "qualsevol RFID es pot copiar amb un telèfon" combina la lectura d'una etiqueta NTAG oberta amb la derrota de l'autenticació criptogràfica. Un telèfon pot emular una etiqueta NFC senzilla; no pot forjar una encaixada de mans DESFire. Per obtenir un tractament més complet del model d'amenaça, vegeu aquesta visió general deSeguretat de dades RFID.

Tanmateix, l'elecció del xip és només la meitat d'un desplegament segur. El disseny del sistema inclou la resta:

• Substituïu el cablejat Wiegand heretat perOSDP, que admet la comunicació encriptada i supervisada de lector-a-controlador.
• Úsdiversificació claude manera que cada credencial deriva una clau única d'una clau mestra.
• Aplicarpermisos basats{0}}funcions. El model de control d'accés basat en rols-NIST - un estàndard ANSI/INCITS - és la referència que segueixen la majoria de plataformes d'accés empresarial i s'assigna clarament a com els edificis assignen realment l'accés per funció de feina.
• Correauditories periòdiques: revisar els registres, revocar les credencials no utilitzades, girar les claus i mantenir actualitzat el microprogramari del lector.
•  

Una autèntica migració, de principi a fi

El patró següent és típic d'una oficina de mida mitjana-que abandona els lectors LF antics, i mostra per què les decisions anteriors s'agreugen.

Un edifici amb fobs EM4100 de 125 kHz decideix actualitzar-se després que un inquilí informi de credencials duplicades. En comptes d'intercanviar-ho tot alhora, instal·len lectors capaços de DESFire EV3-pis per pis i emeten tecles de doble-freqüència perquè el personal tingui una credencial durant tot el procés. Les claus mestres són generades i conservades pel client, diversificades per fob i injectades a la fàbrica abans de l'enviament. Els lectors passen a OSDP a mesura que es talla cada pis. Les antigues portes només LF continuen funcionant al mateix fob fins que es substitueix l'últim lector, moment en què la funció LF simplement es retira al programari. Sense reedició de credencials, sense cua de vestíbul.

El patró següent és típic d'una oficina de mida mitjana-que abandona els lectors LF antics, i mostra per què les decisions anteriors s'agreugen.

Un edifici amb fobs EM4100 de 125 kHz decideix actualitzar-se després que un inquilí informi de credencials duplicades. En comptes d'intercanviar-ho tot alhora, instal·len lectors capaços de DESFire EV3-pis per pis i emeten tecles de doble-freqüència perquè el personal tingui una credencial durant tot el procés. Les claus mestres són generades i conservades pel client, diversificades per fob i injectades a la fàbrica abans de l'enviament. Els lectors passen a OSDP a mesura que es talla cada pis. Les antigues portes només LF continuen funcionant al mateix fob fins que es substitueix l'últim lector, moment en què la funció LF simplement es retira al programari. Sense reedició de credencials, sense cua de vestíbul.

La qüestió no és la marca específica -, sinó que un enfocament de freqüència dual-de propietat clau, gradual i-convertiu un trencament disruptiu-i-substituït en una tasca de segon pla. Aquest pla només és possible perquè el xip (DESFire) i el factor de forma (freqüència-dual) es van triar tenint en compte la migració.

Habitatge i materials: coincideixen amb l'entorn, no amb el catàleg

L'habitatge rarament canvia molt el rang de lectura, però decideix quant de temps sobreviu un fob. El rendiment del xip i l'antena; la closca estableix la durabilitat.

Per a condicions dures, especifiqueu un segellat IP67/IP68, una classificació de -25 graus a +85 graus i resistència als raigs UV per a qualsevol cosa que es deixi a l'aire lliure. Un costat--de les dues intèrprets més habituals està cobert en aixòComparació de claus d'ABS i epoxi. Quan l'aparença forma part del resum, aclauer RFID de cuiro aclauer eco-de fustaporta un logotip molt millor que l'ABS modelat.

Programació: tres maneres de codificar un fob

"Programar" vol dir escriure la identitat, les claus o les dades d'accés al xip. Com ho feu depèn de l'escala i la seguretat:

1. Pre{0}}codificació de fàbrica.El proveïdor escriu UID o credencials abans de l'enviament. El més ràpid per a grans llançaments i sistemes hotelers; no cal-eines al lloc.
2. Al{0}}codificació del lloc.Emeteu credencials amb un escriptor USB o amb el programari d'inscripció del panell d'accés. Millor quan les tasques canvien sovint i voleu un control directe.
3. Injecció de clau segura.Per als sistemes DESFire i AES, les claus i aplicacions de xifratge es proporcionen en condicions controlades, sovint a la fàbrica, de manera que les credencials no es poden duplicar sense autorització.

Per a comandes de volum, acordeu els detalls pràctics per endavant: el rendiment de codificació, la gestió d'errors, la singularitat de l'UID, la sincronització de la base de dades i el registre d'auditoria. Les empreses solen connectar la codificació al seu sistema de recursos humans o d'identitat, de manera que la incorporació i l'exclusió condueixen l'estat de les credencials automàticament.

Desplegaments comuns

Les oficines gestionen les entrades, els ascensors, les plantes i els aparcaments de manera centralitzada, actualitzant els drets sense tocar el maquinari. Els hotels emeten credencials que caduquen en pagar - la mecànica s'explica en aquesta peça sobrecom funcionen les targetes clau de l'hotel. Els hospitals tanquen farmàcies, laboratoris i registres amb permisos basats en rols-per al compliment. Les universitats dobleguen l'accés, la biblioteca, l'assistència i el pagament sense efectiu en una sola credencial. Els llocs industrials tanquen zones perilloses i sales d'equips per rol i torn. En tots els casos, el moviment guanyador és el mateix: trieu el xip per al nivell d'amenaça i, a continuació, deixeu que el programari s'encarregui de la resta.

Compra i proveïment d'OEM

El preu és l'últim a optimitzar, no el primer. Seguiu els requisits, després el xip, després la personalització i després el proveïdor.

Selecció de xip per nivell de seguretat

• Baixa(residencial, aparcament): EM4100 / TK4100 / HID Prox.
• Mitjana(oficines, escoles, gimnasos): MIFARE Classic 1K o NTAG.
• Alt(finances, sanitat, govern): DESFire EV3 amb AES i autenticació mútua.
•  

Personalització (OEM/ODM)

Els compradors a granel poques vegades volen estoc genèric. Les opcions típiques inclouen la impressió de logotip de làser o de serigrafia-, codificació UID i pre-programació, numeració en sèrie, colors i motlles personalitzats i integració de codis de barres/QR -, tots els quals admeten la marca, el seguiment d'actius i la lluita contra-falsificació. Compartiu-los amb els d'un proveïdorCapacitats OEM/ODMabans de comprometre's.

MOQ, temps de lliurament i verificació

Com a guia aproximada, els models d'estoc funcionen de 100 a 500 unitats, OEM estàndard de 500 a 3.000 unitats i motlles totalment personalitzats de 5,000+ unitats, amb un cost unitari que baixa bruscament al volum. Els terminis de lliurament abasten aproximadament entre 2 i 5 dies per a estoc, de 7 a 15 dies per a OEM estàndard i de 15 a 30+ dies per a eines personalitzades; Buffer integrat per a proves d'aprovació i codificació de mostres. Quan reviseu un proveïdor, confirmeu xips genuïns (NXP, HID), compatibilitat-compatible amb proves, certificació ISO/CE/RoHS i una mostra física - no{-negociable- abans de la producció en massa.

conclusió

Trieu el xip per al vostre nivell d'amenaça real, verifiqueu la compatibilitat amb els vostres lectors reals abans de fer la comanda a gran escala i tracteu l'encriptació, OSDP, la diversificació de claus i els permisos basats en rols-com un sistema en lloc de quatre opcions. Per als llocs d'alta-seguretat, DESFire EV3 més una-ruta de migració per fases de propietat clau és la resposta duradora. Tota la resta de - habitatge, color, marca - està aigües avall d'encertar aquestes tres decisions.

Si teniu previst fer una actualització o una comanda a granel, una comprovació de compatibilitat i una mostra provada abans de la producció us permetran estalviar molt més del que costen. Podeu sol·licitar una mostra d'avaluació o pressupost per confirmar que els vostres fobs coincideixen amb el vostre sistema abans que qualsevol cosa entri en eines.

Preguntes freqüents

Pot funcionar qualsevol clauer RFID amb qualsevol lector?

No. La freqüència, l'estàndard de comunicació, la família de xips i el format de credencials han de coincidir. Dos llavis de "125 kHz" encara poden ser incompatibles si el format és diferent.

Quin clauer RFID és més segur?

MIFARE DESFire EV3 amb AES-128 i autenticació mútua és la referència actual d'alta seguretat, que porta una certificació EAL5+ comparable als xips bancaris.

Es poden clonar els clauers RFID?

-Fobs UID LF fixos es clonen fàcilment, MIFARE Classic es pot clonar amb esforç i les credencials DESFire/AES estan dissenyades específicament per resistir-ho.

Els clauers RFID necessiten piles?

No. Els fobs passius treuen poder del camp del lector i solen durar una dècada o més.

Pot un telèfon intel·ligent substituir un clauer?

De vegades. Els telèfons NFC poden actuar com a credencials on el lector i el programari ho admeten, però els sistemes LF heretats no poden utilitzar els telèfons en absolut. Molts llocs executen tots dos.

Què he de fer si es perd un fob?

Informeu-ho, desactiveu-lo immediatament al sistema - no calen canvis de bloqueig - emeteu un reemplaçament de l'estoc de recanvi i reviseu els registres d'accés per al període afectat.

Quin és un MOQ i un termini de lliurament típics per als fobs personalitzats?

Les comandes estàndard d'OEM solen començar entre 500 i 3.000 peces amb un termini de lliurament de 7 a 15 dies; Els motlles personalitzats necessiten volums més elevats i un temps d'eina més llarg. Demaneu sempre una mostra primer.