Jedna karta RFID do kontroli dostępu i obecności: mapowanie identyfikatorów/IC i lista kontrolna wdrażania

Firma może wydać każdemu pracownikowi jeden identyfikator RFID, a mimo to mieć dwie sprzeczne tożsamości: jeden numer zarejestrowany przy drzwiach i drugi numer oczekiwany przez zegar. Identyfikator może działać przy wejściu, ale nie będzie rejestrował obecności lub zegar może go zaakceptować, mimo że system-kontroli dostępu wyświetla nieznane dane uwierzytelniające.

Rozwiązanie tego problemu wymaga czegoś więcej niż tylko wyboru między „dowodem osobistym” a „kartą IC”. Zdefiniuj stabilny rekord osoby, zidentyfikuj dane wyjściowe każdego czytnika, przypisz wszystkie autoryzowane dane uwierzytelniające do tej osoby oraz testuj dostęp i frekwencję jako osobne zdarzenia biznesowe.

Ten przewodnik jest przeznaczony dla menedżerów obiektów, zespołów HR i IT, integratorów oraz organizacji wydających karty RFID zarówno do drzwi, jak i do rejestracji czasu-i-obecności. Obejmuje mapowanie tożsamości, typowe warunki awarii, testy akceptacyjne i specyfikacje zakupu, a nie kolejne ogólne porównanie kart.

 

 

Jedna plakietka nie oznacza automatycznie jednego numeru uwierzytelniającego

Na niektórych rynkach„Dowód osobisty”oznacza podstawowy identyfikator zbliżeniowy 125 kHz, taki jak niektóre karty serii EM ze stałym-identyfikatorem-, oraz„Karta elektroniczna”oznacza bezstykową kartę inteligentną 13,56 MHz. Są to nieformalne etykiety rynkowe, a nie uniwersalne klasyfikacje techniczne. Obydwa produkty zawierają układ scalony. W innych kontekstach karta IC może być również kontaktową kartą inteligentną.

Istotną kwestią w przypadku identyfikatorów pracowników jest to, jakie dane uwierzytelniające obsługują rzeczywiste czytniki drzwi i-zegarów. Czytnik-tylko 125 kHz nie może odczytać danych uwierzytelniających 13,56 MHz-tylko dlatego, że oba korzystają z karty PVC. Zgodny czytnik-HF może wykryć kartę inteligentną, ale nadal nie będzie mógł użyć wymaganej aplikacji lub formatu danych uwierzytelniających.

Dla szerszego porównania technologii i zakupów firma SyntekPrzewodnik dotyczący kart IC i dowodów osobistychradzi sobie z tą decyzją. Na tej stronie skupiono się na zapewnieniu spójnego działania plakietki w dwóch systemach operacyjnych.

 

 

Oddziel osobę, kartę fizyczną i dane uwierzytelniające systemu

Działający system podwójnego-zastosowania zawiera kilka różnych rekordów. Traktowanie ich jako wymiennych powoduje problemy, gdy ktoś zmieni dział lub zgubi odznakę.

Identyfikatory drzwi i obecności mogą czasami mieć tę samą wartość techniczną. Mogą się również różnić reprezentacją bajtów, długością, zastosowaniem, a nawet technologią RF. Żadnego wyniku nie należy zakładać na podstawie obrazu lub wydrukowanego numeru na karcie.

Następuje stabilna konstrukcjajedna osoba → jedno lub więcej autoryzowanych referencji → niezależne uprawnienia do drzwi i obecności. Wymiana karty nie powinna powodować powstania drugiego rekordu pracownika.

 

 

Zinwentaryzuj obie populacje czytelników przed zamówieniem kart

Wiele budynków ma nowsze-czytniki przy głównych drzwiach i starsze terminale obecności. Uzyskaj producenta, model i odpowiednią konfigurację każdego zasadniczo innego typu czytnika.

Użyj znanej-dobrej, autoryzowanej karty w reprezentatywnej jednostce każdej rodziny urządzeń. Przechwyć wartość pokazaną w autoryzowanej aplikacji, zachowaj zera początkowe i udokumentuj reprezentację dziesiętną lub szesnastkową. Nie należy zakładać, że wydrukowany numer karty jest tym, co przechowuje kontroler.

 

 

Dlaczego ta sama plakietka może pokazywać dwie różne liczby

Oprogramowanie sprzętowe czytnika może wyodrębnić część identyfikatora chipa, zastosować format karty, odwróconą kolejność bajtów lub wyświetlić przekonwertowaną liczbę. Nowoczesna implementacja-karty inteligentnej może zamiast tego uwierzytelniać i pobierać wartość poświadczeń z chronionej aplikacji.

Na przykład system drzwi może przechowywaćDOOR_TOKEN_Ai system obecności może się zarejestrowaćZEGAR_TOKEN_B. Obydwa odniesienia symboliczne mogą należeć doPERSON_RECORD_1. Potrzebują kontrolowanego stowarzyszenia, a nie wymyślonej reguły, która zmusza ich do zrównania numeru HR pracownika.

W przypadku użycia kodu obiektu i zakresu-numerów kart należy udokumentować ten układ i sprawdzić wynik. Dwa systemy obsługujące technologię „26-bitową” niekoniecznie są skonfigurowane do interpretowania identycznych pól uwierzytelniających.

 

 

Wybierz architekturę technologiczną pasującą do zainstalowanych systemów

NXP MIFARE DESFire EV3ma możliwości kryptograficzne i obsługuje wiele-aplikacji, ale te funkcje są dostępne tylko wtedy, gdy obsługujący czytnik, klucze i aplikacja są prawidłowo skonfigurowane. Odczyt publicznego UID na odpowiednim chipie nie jest równoznaczny z uwierzytelnieniem chronionych danych uwierzytelniających.

Jeśli chodzi o pozyskiwanie kart i opcje konstrukcyjne, Syntek'sKategoria karty RFIDjest miejscem komercyjnym. Ten przewodnik nie zastępuje zadania zakupu na stronie produktu.

 

 

Utwórz zatwierdzony rejestr mapowania przed masową rejestracją

Relacja między personelem a identyfikatorami wymaga jednego odpowiedzialnego właściciela i historii audytów. Kontrolowany rejestr danych uwierzytelniających może działać na platformie-zarządzania danymi uwierzytelniającymi lub w zatwierdzonej integracji. Unikaj polegania na niewersjonowanych arkuszach kalkulacyjnych przesyłanych pocztą elektroniczną między placówkami a działem HR.

Przechowuj dane osobowe pracowników i szczegóły płac w chronionych systemach biznesowych, zamiast umieszczać je na poświadczeniach tylko dlatego, że zapisywalny chip oferuje pamięć. Ogranicz udostępnianie-plików mapowania autoryzowanym administratorom.

 

 

Zdarzenia dostępu nie są zdarzeniami obecności

Autoryzowane otwarcie drzwi niekoniecznie jest równoznaczne z-przekroczeniem czasu pracy. Ktoś może wejść do budynku, aby zabrać sprzęt, przemieszczać się między lokalizacjami lub eskortować gościa. Uderzenie zegara-może być ważne bez odpowiedniej aktywności drzwi.

• Aplikacja dostępu:określa, czy zarejestrowane dane uwierzytelniające mają pozwolenie na wejście do drzwi i o określonej godzinie.
• Zgłoszenie obecności:otrzymuje zdarzenia-zarejestrowania, wyrejestrowania-i wyjątki zgodnie z zasadami organizacji.
• Proces kadrowo-płacowy:niezależnie sprawdza harmonogramy, poprawki i dane dotyczące-przepracowanych godzin.

Jeśli firma chce, aby jedno dotknięcie wygenerowało oba zdarzenia, integracja musi jawnie utworzyć i zweryfikować oba. Nigdy nie należy zakładać, że sam wpis do dziennika czytnika drzwi stanowi dowód przepracowanych godzin.

 

 

Używaj kart z podwójną-technologią tylko z planowanym stanem końcowym

Wdrażanie etapowe może obejmować stare czytniki 125 kHz na stacjach obsługi i nowe czytniki 13,56 MHz przy drzwiach lub odwrotnie. Fizyczna plakietka zawierająca dwie technologie może wypełnić lukę, jeśli oba systemy danych uwierzytelniających obsługują rzeczywistą kombinację chipów.

Karta ta może ujawniać dwa różne identyfikatory elektroniczne. Każdy musi być powiązany z tą samą upoważnioną osobą i zweryfikowany na właściwym urządzeniu. oferty HIDinformacje o migracji technologii multiCLASS-; praktyczna kompatybilność nadal zależy od zainstalowanej konfiguracji czytnika i platformy dostępowej.

Ustaw datę lub wyraźny warunek wycofania akceptacji starszej wersji. Nowoczesna karta kryptograficzna ma ograniczoną wartość bezpieczeństwa, jeśli jej starsza strona ze stałym-identyfikatorem pozostaje akceptowanym poświadczeniem przez czas nieokreślony bez zatwierdzonej potrzeby biznesowej.

 

 

Przetestuj połączenie czytnika-z-kontrolerem jako osobną warstwę

Diagnozuj awarie po kolei. Jeśli czytnik nie wykryje identyfikatora, sprawdź częstotliwość, protokół i obsługiwaną rodzinę danych uwierzytelniających. Jeśli czytnik zareaguje, ale oprogramowanie dostępowe odmówi dostępu, sprawdź format wyjściowy, mapowanie, uprawnienia użytkownika i politykę kontrolera.

Połączenie czytnika-z-kontrolerem jest oddzielne od interfejsu karty. TheLista kontrolna OSDP stowarzyszenia Security Industry Associationdotyczy wdrażania i weryfikacji bezpieczeństwa połączeń opartych-OSDP. OSDP i starsze Wiegand opisują komunikację komponentową; samo w sobie nie gwarantuje współpracy danego identyfikatora lub karty IC z czytnikiem.

Zakupu karty nie należy używać jako skrótu dla aktualizacji zabezpieczeń czytnika/kontrolera. Dokumentuj takie zmiany w infrastrukturze jako własne zatwierdzone prace projektowe.

 

 

Testy akceptacyjne powinny obejmować cały cykl życia pracownika

Jedno udane otwarcie drzwi i jedno pomyślne-zalogowanie nie mogą świadczyć o kompletnej implementacji. Przetestuj, jak każdy system zachowuje się po normalnych i wyjątkowych zdarzeniach pracowniczych.

Niektóre platformy synchronizują tożsamość i status poświadczeń. Inne wymagają odrębnych działań administracyjnych. Potwierdź zachowanie w dokumentacji i kontrolowanym pilocie, zamiast obiecać automatyczne aktualizacje.

 

 

Zapobiegaj tworzeniu równoległych aktywnych tożsamości przez karty zamienne

Wymiana stwarza szczególne ryzyko: administrator drzwi rejestruje nową plakietkę, podczas gdy administrator-zegara pozostawia starą aktywną. Obie karty mogą wówczas okazać się ważne w jednej lub obu bazach danych.

1. Sprawdź wiarygodne dane dotyczące pracownika.
2. Wypisz aktywne referencje dotyczące drzwi i obecności dla tej osoby.
3. Zapisz, dlaczego fizyczna plakietka została wymieniona i czy została zwrócona.
4. Zarejestruj i przetestuj nowe referencje kart, korzystając z zatwierdzonych procedur.
5. Unieważnij stare odniesienia w każdym odpowiednim systemie.
6. Potwierdź, że wycofane poświadczenie zostało odrzucone, jeśli jest to wymagane.
7. Zachowaj mapowanie i historię zmian; zachować wcześniejszą listę obecności danej osoby.

Fizyczne odzyskanie i unieważnienie elektroniczne to różne stany. Brakującą odznakę można wyłączyć; zwrócony identyfikator może nadal być autoryzowany pod względem technicznym do czasu faktycznego usunięcia uprawnień dostępu.

 

 

Pilotuj całą zmianę, a nie tylko dwie demonstracje czytelników

Uruchom pilotaż na dokładnie tych modelach czytników i aplikacjach backendowych, których oczekuje się w środowisku produkcyjnym. Korzystaj z zatwierdzonych,-wrażliwych danych testowych i uwzględnij bezpieczeństwo, dział kadr i integratora w procesie akceptacji.

1. Wartość bazowa:uchwyć, jak znana-dobra plakietka zachowuje się przy reprezentacyjnych drzwiach i zegarach.
2. Zapisy:wydaje kartę wzorcową i zapisuje jej dane techniczne oraz mapowanie siły roboczej.
3. Dostęp:weryfikuj dozwolone i celowo zabronione transakcje drzwiowe, w tym różne modele czytników.
4. Frekwencja:sprawdź, czy zdarzenia-zarejestrowania i wyrejestrowania- pojawiają się pod rekordem właściwej osoby.
5. Wyjątki:przetestuj nieznane numery, sprzeczne mapowania, wygaśnięcie i celowo cofnięte dane uwierzytelniające.
6. Wymiana:wydać nową próbkę i upewnić się, że oba systemy wycofają poprzednią tożsamość.
7. Pojednanie:porównaj dzienniki audytu i kolejki wyjątków przed zatwierdzeniem produkcji seryjnej.

Firma musi określić własne progi akceptacji, np. które zdarzenia zakończone niepowodzeniem blokują wdrożenie i kto może zatwierdzić wyjątek. Oświadczenie dostawcy, że karta „odczytuje się pomyślnie” nie jest dowodem na to, że rejestry obecności i pozwolenia na wejście są prawidłowe.

 

 

Co określić we wniosku o zakup karty identyfikacyjnej/IC

Do wyceny rzadko potrzebne są surowe listy pracowników, poufne klucze aplikacji lub dane uwierzytelniające dostępu do produkcji na żywo. Zacznij od specyfikacji czytników i autoryzowanych próbek testowych, a następnie ustal kontrolowany proces-udostępniania danych, jeśli wymagana jest personalizacja.

 

 

Kiedy zachowanie istniejących dowodów osobistych ma sens

Jeśli zadanie dotyczy zmiany kolejności prac konserwacyjnych, a obie aplikacje zależą od-znanego, działającego formatu 125 kHz, natychmiastowym priorytetem może być ciągłość. Nie należy tego błędnie przedstawiać jako poprawę bezpieczeństwa. Nadal może być potrzebny oddzielny plan, aby zapobiec ryzyku związanemu ze stałymi-poświadczeniami identyfikacyjnymi.

Jeśli organizacja potrzebuje uwierzytelnionych aplikacji lub skonsolidowanego zarządzania w większej liczbie systemów, przed wybraniem chipa-karty inteligentnej zdefiniuj zgodne czytniki, klucze uwierzytelniające i zarządzanie tożsamością. Jeśli chodzi o szerszą decyzję dotyczącą kosztów i technologii, Syntek'sPrzewodnik po kosztach poświadczeń dostępu 125 kHz i 13,56 MHzjest odpowiednim sąsiadującym zasobem.

 

 

Przekazanie, które sprawia, że ​​jedna karta działa

Przed pełnym wdrożeniem powinna istnieć jedna zatwierdzona reguła mapowania-pracowników na-dane uwierzytelniające, jedna matryca zgodności-czytników, jeden proces wydawania i unieważniania oraz zapisy z testów pokazujące, że dostęp do drzwi i frekwencja przypisane są tej samej upoważnionej osobie.

Przydatna sekwencja torekord osoby → inwentarz czytników → architektura danych uwierzytelniających → mapowanie identyfikatorów → przykładowe wydanie → test drzwi → test obecności → test wymiany i unieważnienia → zatwierdzona specyfikacja partii → wdrożenie.

Jedna karta to wygodny format fizyczny. Spójna tożsamość i zdyscyplinowana administracja sprawiają, że jest to niezawodny wspólny certyfikat.