Zwiększanie bezpieczeństwa i dostosowywania dzięki-wysokiej jakości pustym kartom inteligentnym

 

 

Wybór chipów polega na tym, że większość projektów pustych kart inteligentnych albo zapewnia-długoterminowy sukces, albo po cichu przygotowuje się do ponownego zamówienia-sześć miesięcy później. Poniższa tabela przedstawia najczęściej pozyskiwane rodziny chipów z wymiarami, które faktycznie wpływają na decyzję o zakupie.

 

Rodzina Chipów	Częstotliwość / Standard	Typowe zastosowanie	Poziom bezpieczeństwa	Ograniczenie klucza
MIFARE Klasyczny 1K/4K	13,56 MHz / ISO 14443-A	Podstawowy dostęp do drzwi, karty lojalnościowe	Niski (Crypto-1, uszkodzony)	Znane luki; klonowalny
MIFARE DESFire EV2/EV3	13,56 MHz / ISO 14443-A	Bezpieczna kontrola dostępu, tranzyt, płatności	Wysoki (AES-128, EAL5+)	Wyższy koszt jednostkowy
MIFARE Plus	13,56 MHz / ISO 14443-A	Ścieżka aktualizacji z systemów klasycznych	Średnio-wysoki (tryb SL3)	Wymaga aktualizacji oprogramowania czytnika dla SL3
NTAG 213/215/216	13,56 MHz / ISO 14443-A	Interakcja mobilna NFC, oznaczanie zasobów	Niski–Średni	Ograniczona pamięć; nie do kontroli dostępu
SLE4442/SLE4428	Kontakt / ISO 7816	Karty-przechowywanej wartości, starsze systemy identyfikacji	Średni (chroniony kodem PIN-)	Tylko kontakt-; brak możliwości komunikacji bezdotykowej
T5577	125 kHz (LF)	Starszy dostęp zbliżeniowy, klonowanie	Bardzo niski	Brak szyfrowania; trywialnie powielone

 

Przed zamówieniem pustych kart MIFARE do systemów dostępu do drzwi należy pobrać numer modelu z zainstalowanych czytników. Jeśli integrator nie może potwierdzić obsługi protokołu w ciągu 48 godzin, potraktuj to jako zagrożenie dla kompatybilności, a nie niedogodność. Placówka obsługująca starsze, zastrzeżone czytniki zazwyczaj nie może używać kart DESFire bez zmian oprogramowania pośredniego lub wymiany sprzętu, a wykrycie tego po wysłaniu 2000 kart jest pięcio-cyfrowym problemem.

Jeśli pozyskujeszpuste karty NFC luzemw przypadku nowego wdrożenia częstotliwość i weryfikacja protokołu nie podlegają-negocjacjom. Ale tutaj jest część, którą większość przewodników po wyborze chipów pomija: nawet w tym samym paśmie częstotliwości ISO 14443-A (MIFARE, NTAG) i ISO 15693 (ICODE) korzystają z różnych protokołów komunikacyjnych. Czytnik skonfigurowany dla jednego nie wykryje drugiego. Jedynym niezawodnym sposobem potwierdzenia kompatybilności jest przetestowanie rzeczywistych kart przykładowych z faktycznie zainstalowanymi czytnikami, a nie porównywanie arkuszy danych. Syntek wysyła partie próbek w dokładnie określonym przez Ciebie wariancie chipa; Widziećdostępne konfiguracje pustych kart inteligentnychzanim zdecydujesz się na głośność.

 

Jeśli na potrzeby nowego wdrożenia kupujesz zbiorczo puste karty NFC, częstotliwość i weryfikacja protokołu nie podlegają-negocjacjom. Ale tutaj jest część, którą większość przewodników po wyborze chipów pomija: nawet w tym samym paśmie częstotliwości ISO 14443-A (MIFARE, NTAG) i ISO 15693 (ICODE) korzystają z różnych protokołów komunikacyjnych. Czytnik skonfigurowany dla jednego nie wykryje drugiego. Jedynym niezawodnym sposobem potwierdzenia kompatybilności jest przetestowanie rzeczywistych kart przykładowych z faktycznie zainstalowanymi czytnikami, a nie porównywanie arkuszy danych. Syntek wysyła partie próbek w dokładnie określonym przez Ciebie wariancie chipa; przed zatwierdzeniem wolumenu sprawdź dostępne konfiguracje pustych kart inteligentnych.

 

 

Oto stanowisko, którego większość dostawców czystych kart nie określi wyraźnie:Klasyka MIFAREnie jest już możliwym do obrony wyborem w przypadku jakichkolwiek zastosowań, w których klonowanie kart stanowi znaczące ryzyko.Obejmuje to dostęp do drzwi korporacyjnych, klucze do pokojów hotelowych, systemy parkingowe i zasadniczo każdy przypadek użycia, w którym zduplikowana karta umożliwia fizyczne wejście.

 

To nie jest kwestia teoretyczna. W 2024 r. badacze bezpieczeństwa w firmie Quarkslab odkryli sprzętowego backdoora w chipach FM11RF08S, szeroko stosowanym wariancie-produkowanym w Chinach i sprzedawanym jako „kompatybilny z MIFARE Classic”. Backdoor umożliwia pełne klonowanie kart w ciągu kilku minut, bez użycia specjalistycznego sprzętu poza dostępnym na rynku czytnikiem (Tydzień Bezpieczeństwa). Stwierdzono, że hotele w Stanach Zjednoczonych, Europie i Indiach używają tych chipów, nie zdając sobie sprawy, że ich karty nie są oryginalnymi układami scalonymi MIFARE Classic wyprodukowanymi przez firmę NXP. Zespoły zakupowe, które złożyły te zamówienia, oceniły cenę i stwierdziły zgodność, ale nie określiły faktycznego krzemu znajdującego się w karcie.

 

 

Wcześniejsze prace akademickie z University College London wykazały już, że nawet autentyczne karty MIFARE Classic można sklonować wyłącznie poprzez zbliżenie, bez konieczności dostępu czytnika, przy użyciu tego, co badacze określili jako „atak-tylko na kartę” (Odkrycie UCL). Ustalenia programu Quarkslab potwierdziły, że problem nie tylko utrzymywał się, ale pogłębił się w wyniku substytucji łańcucha dostaw.

 

Praktyczna ścieżka modernizacji dla organizacji, które nadal korzystają z pustych, zbliżeniowych kart inteligentnych- opartych na wersji klasycznej, zależy od istniejących inwestycji w infrastrukturę:

 

Scenariusz A - Sprzęt czytnika obsługuje MIFARE Plus.Przejdź na karty MIFARE Plus i skonfiguruj czytniki w trybie poziomu bezpieczeństwa 3 (SL3), który aktywuje szyfrowanie AES-128. Jest to najtańsza-ścieżka migracji, ponieważ wykorzystuje ponownie istniejące czytniki, ale wymaga aktualizacji oprogramowania sprzętowego i ponownej rejestracji wszystkich kart.

 

Scenariusz B - Czytelnicy są-wyłączeni-lub klasyczni-.Budżet na pełną wymianę czytnika i przejście bezpośrednio do MIFARE DESFire EV3. Koszt-karty jest wyższy, ale certyfikacja DESFire EAL5+ i elastyczna struktura aplikacji znacznie zmniejszają prawdopodobieństwo kolejnej wymuszonej migracji w porównaniu z infrastrukturą opartą na wersji-klasycznej.

 

Scenariusz C - Aplikacja o niskim-bezpieczeństwie,-niekrytyczna(karty stałego klienta kawiarni, identyfikatory gości). Klasyczny lub NTAG pozostaje akceptowalny, ale tylko wtedy, gdy karta nie przyznaje żadnych fizycznych praw dostępu. Jeśli Twoja strefa dla zwiedzających ma tę samą infrastrukturę dostępu do drzwi, co obszary dla pracowników, choćby częściowo, ten wyjątek nie ma zastosowania i powinieneś ocenić scenariusz A lub B.

 

Luka między scenariuszami A i B to miejsce, w którym większość budżetów zamówień stoi w miejscu. Różnica w kosztach między migracją Plus SL3 a pełnym wdrożeniem DESFire zależy od zmiennych specyficznych dla Twojej instalacji: pozostałych warunków dzierżawy czytnika, liczby personelu IT na potrzeby ponownej-rejestracji oraz tego, czy Twój zespół ds. bezpieczeństwa ma bezpośrednie uprawnienia budżetowe. Ale ramy decyzyjne są jasne. Jeśli Twoje czytniki zostały zainstalowane przed 2019 rokiem i masz jakiekolwiek wymagania dotyczące zgodności lub ubezpieczenia związane z kontrolą dostępu, koszt pozostania na Classic jest już wyższy niż migracja. Większość czytników wdrożonych przed 2019 rokiem jest dostarczana bez obsługi oprogramowania sprzętowego dla poziomu zabezpieczeń MIFARE Plus 3, co oznacza, że ​​migracja z wersji Classic-do-Plus nie wchodzi w grę, a jedyną ścieżką aktualizacji staje się pełna wymiana czytnika.

 

Od treści karty do zakodowanej plakietki: właściwa personalizacja

 

Pusta karta inteligentna to tylko połowa produktu. Druga połowa to to, co dzieje się po dostarczeniu: drukowanie, kodowanie, laminowanie i wydawanie. Specyfikacje zamówień, które ignorują tę drugą fazę, stwarzają problemy, które ujawniają się dopiero podczas produkcji.

 

Materiał korpusu karty i zgodność z drukarką są najczęstszymi źródłami niepowodzeń w dostosowywaniu. Mapowanie nie jest intuicyjne, a błędne wykonanie powoduje marnowanie kart i taśm drukarskich:

 

Materiał karty	Zgodny typ drukarki	Powszechne niedopasowanie
PCV (w standardzie)	Bezpośredni-na-karcie termotransfer,-sublimacja barwnikowa	Brak (większość drukarek stacjonarnych)
PET-G	Tylko drukarki retransferowe	Podawany bezpośrednio-do-drukarki kart → rozmazany wydruk
Poliwęglan (PC)	Retransfer lub grawer laserowy	Termotransfer → brak przyczepności w ciągu kilku tygodni

 

Obróbka powierzchni jest równie istotna dlapuste inteligentne karty chipowe do drukowania identyfikatorów. Karty dostarczane bez powłoki – cienkiej warstwy laminującej, która przyjmuje atrament i chroni drukowany obraz, powodują, że wydruki rozmazują się w ciągu kilku tygodni i odklejają się w ciągu kilku miesięcy. Jeśli specyfikacja zamówienia nie określa wyraźnie „powierzchni do druku z nakładką ochronną”, nie zakładaj, że jest ona uwzględniona. Drukowanie z pełnym-spadem na obszarze styku chipa lub obszarze cewki anteny wymaga kalibracji ciśnienia głowicy drukującej; niewielka nieregularność powierzchni osadzonych elementów powoduje powstawanie pasów lub ubytków atramentu, jeśli nie zostanie usunięta.

 

 

Puste,-drukowane offsetowo karty inteligentne ID dla pracowników wymagają dodatkowych 10–15 dni roboczych poza czasem realizacji zwykłych białych kart identyfikacyjnych, w zależności od złożoności projektu. Jest to odrębny etap produkcji od personalizacji-na miejscu: fabryka nakłada grafikę tła za pomocą druku offsetowego przed osadzeniem chipów, co wymaga zaangażowania producenta kartyUsługi dostosowywania OEM/ODMaby dopasować rejestrację grafiki do umiejscowienia chipa i anteny.

 

Kodowanie, czyli etap zapisywania danych dostępu lub danych posiadacza karty w chipie, to ostatni etap personalizacji. Większość wdrożeń w przedsiębiorstwach obsługuje kodowanie-w witrynie przy użyciu czytników stacjonarnych zintegrowanych z oprogramowaniem do zarządzania tożsamością. Przed wysyłką zamówienia karty upewnij się, że Twój koder obsługuje określony wariant chipa i protokół komunikacyjny. Z naszego doświadczenia wynika, że ​​wykrycie niezgodności podczas rejestracji zazwyczaj oznacza od 3 do 6 tygodni opóźnienia w pozyskiwaniu, testowaniu i ponownej wysyłce kart zastępczych. W przypadku hotelu oznacza to, że w szczycie sezonu recepcja nie może wydawać kluczy do pokoju.

 

Pięć błędów w zakupach, które kosztują więcej niż same karty

 

Niedopasowanie częstotliwości jest najczęstszą awarią, której można uniknąć. Karty niskiej częstotliwości (125 kHz) i wysokiej częstotliwości (13,56 MHz) są fizycznie identyczne: te same wymiary, ten sam wygląd białego PCV, ta sama waga. Są też całkowicie-niekompatybilne z protokołem. Placówka obsługująca czytniki 125 kHz i zamawiająca czyste karty RFID 13,56 MHz do kontroli dostępu wykryje problem dopiero wtedy, gdy karty nie zostaną zeskanowane. Główną przyczyną jest zwykle formularz zamówienia, w którym określono „karty dostępu RFID” bez określenia częstotliwości, oraz dostawca dostarczający najpopularniejszy kod SKU. Zawsze określaj dokładną częstotliwość i protokół.

 

Niedopasowanie protokołu w tym samym paśmie częstotliwości jest subtelniejsze.Obie normy ISO 14443-A (MIFARE, NTAG) i ISO 15693 (ICODE, Tag-it) działają z częstotliwością 13,56 MHz, ale korzystają z różnych-protokołów antykolizyjnych i komunikacyjnych. Czytnik skonfigurowany dla 14443-A nie wykryje karty 15693. To rozróżnienie często przykuwa uwagę zespoły zakupowe zaopatrujące się masowo w czyste karty NFC do projektów o różnym przeznaczeniu.

 

Pominięcie testów próbek przed zamówieniami zbiorczymi powoduje przeniesienie całego ryzyka na kupującego.Praktyka branżowa w zakresie produkcji kart RFID jest jednoznaczna: po potwierdzeniu typu chipa i rozpoczęciu produkcji za błędy w wyborze odpowiada klient. Renomowani producenci właśnie z tego powodu oferują partie próbne. Jeśli dostawca zniechęca lub pobiera nadmierne opłaty za próbki, należy to potraktować jako sygnał ostrzegawczy. Zanim zdecydujesz się na objętość,poproś o partię próbek zawierającą 10–20 karti przetestuj każdą kartę pod kątem zainstalowanych czytników i oprogramowania kodującego.

 

Ignorowanie wykończenia powierzchni karty prowadzi do pogorszenia jakości druku.Karty bez nakładek dają nierzetelne wydruki. Ten błąd jest szczególnie powszechny w przypadku hurtowego zakupu czystych bezstykowych kart inteligentnych od pośredników, którzy optymalizują cenę jednostkową, a nie użyteczność na dalszym etapie.

 

Zaopatrywanie się u pośredników niewidocznych w fabryce jest najdroższym i najtrudniejszym do wykrycia błędem.Kiedy między Tobą a faktycznym producentem znajduje się firma handlowa, tracisz wgląd w pozyskiwanie chipów. Luka w zabezpieczeniach karty hotelowej Quarkslab ma bezpośredni związek z nieprzejrzystością łańcucha dostaw: zespoły zakupowe zamówiły „MIFARE Classic” i otrzymały krzem FM11RF08S od innego producenta ze sprzętowym backdoorem, którego nie były w stanie wykryć poprzez kontrolę wizualną ani podstawowe testy funkcjonalne. Nie jest to ryzyko teoretyczne. Jest to udokumentowana przyczyna największego w ostatnich latach incydentu związanego z bezpieczeństwem kart dostępu RFID.

 

Ocena dostawcy pustej karty inteligentnej: czego nie pokazuje arkusz wyceny

 

Każda oferta dostawcy kart RFID zawiera cenę jednostkową, typ chipa i czas realizacji. Żaden z nich nie zawiera informacji o weryfikacji autentyczności na poziomie chipa, testowaniu wytrzymałości wiązania laminacyjnego ani o tym, co się dzieje, gdy pierwsza seria produkcyjna nie przejdzie kontroli zgodności. Te niewidoczne pozycje oddzielają producenta od sprzedawcy i decydują o tym, czy Twoje puste karty inteligentne z chipami MIFARE rzeczywiście zawierają określony krzem NXP.

 

 

Kilka pytań, które ujawniają różnicę: Czy dostawca posiada własny sprzęt do osadzania i laminowania chipów, czy też zleca produkcję anonimowym stronom trzecim? Czy mogą dostarczyć raport z testu-na poziomie chipa dla każdej partii, pokazujący faktycznego producenta układu scalonego i wersję matrycy, a nie tylko „kompatybilny z MIFARE Classic”? Czy oferują zakodowane przykładowe karty do testów funkcjonalnych z czytnikami, czy tylko puste próbki wizualne?

 

W Syntek zbudowaliśmy nasz proces weryfikacji wokół dokładnie opisanego powyżej trybu awarii. Kiedy grupa hotelowa z Azji Południowo-Wschodniej zgłosiła się do nas po odkryciu, że jej obecne karty zawierają kości FM11RF08, mimo że fakturowano je jako MIFARE Classic, przeprowadziliśmy-partyjną identyfikację układu scalonego na przychodzącej partii, potwierdziliśmy zastąpienie FM11RF08 w ciągu 48 godzin od pierwszego skanu karty testowej i w ciągu dwóch tygodni zastąpiliśmy całe zamówienie kartami DESFire EV3-zweryfikowanymi przez NXP. Ich poprzednim dostawcą była firma handlowa, która nie miała wglądu w warstwę produkcji chipów. Nasza-własna produkcja, obejmująca laminowanie CNC,-szybkie kodowanie i w 100% zautomatyzowaną weryfikację układów scalonych w zakładzie o powierzchni 4500 m², istnieje specjalnie po to, aby wysyłać czyste karty inteligentne z etykietą DESFire EV3, silikon znajdujący się wewnątrz pasował do etykiety. Produkujemy karty RFID od 2006 roku, a powodem, dla którego inwestujemy w kontrolę jakości-na poziomie chipa, jest to, że widzieliśmy, co się dzieje, gdy go brakuje. Poznaj pełnięlinia produktów z pustymi kartami chipowymiaby zobaczyć dostępne konfiguracje według rodziny układów i kształtu.

 

Certyfikat ISO 9001 jest punktem odniesienia, a nie wyróżnikiem; większość fabryk to trzyma. Sygnałem, który faktycznie ma znaczenie, jest to, czy dostawca może sporządzić raport z testu-na poziomie chipa, pokazujący producenta układu scalonego i wersję matrycy dla każdej partii produkcyjnej. Poza tym sprawdź gotowość do zapewnienia dostępu do audytu fabryki, opublikowaną elastyczność MOQ i udokumentowane czasy realizacji zarówno w przypadku zwykłego białego kartonu, jak i korpusów kart-z nadrukiem niestandardowym. Syntek realizuje zamówienia próbne już od 100 sztuk z czasem realizacji 3–5 dni, a koszty próbek są doliczane do pierwszego zamówienia zbiorczego.

Gotowy do sprawdzenia, która konfiguracja chipa pasuje do Twojego systemu, zanim zadecydujesz o wolumenie?Poproś o bezpłatną próbkęi przetestuj na zainstalowanych czytnikach.