שלבי מפתח RFID לבקרת גישה: מדריך לקונים לסוגים, תאימות, אבטחה ומקור OEM

שלט מפתח RFID הוא אישור קטן ללא מגע הנושא שבב ואנטנה ומזהה משתמש לקורא ללא מגע פיזי. עד כדי כך פשוט. מה שמטריד את רוב הקונים הוא הכל במורד הזרם שלו: האם השלט באמת ידבר עם הקוראים שכבר נצמדו לקיר, האם השבב יכול לעמוד בפני מכשיר שיבוט של 30 אירו, והאם ספק יכול לקודד 5,000 יחידות בצורה נכונה לפני שהם שולחים. מדריך זה נכתב עבור האנשים שבבעלותם החלטות אלה - מנהלי IT ומתקנים המפעילים שדרוג, וצוותי רכש מקורות מפתחות RFID בנפח.

הטעות היחידה היקרה ביותר בקטגוריה זו היא הזמנה בתדירות בלבד. תדירות הכרחית אך אינה מספקת. להלן, תאימות, אבטחה ומקור מטופלים כשלוש ההחלטות שקובעות למעשה אם פריסה פועלת - ובערך בסדר הסיכון הזה.

כיצד פועל שלט RFID (ולמה זה חשוב לקנייה)

שלט פסיבי אין סוללה. כשהיא נכנסת לשדה של קורא, האנטנה קוטפת אנרגיה מהשדה הזה, מעירה את השבב, והשבב עונה בחזרה. במערכת בסיסית התשובה היא רק מזהה קבוע; במערכת מאובטחת ה-Fob והקורא מפעילים לחיצת יד קריפטוגרפית לפני החלפת כל דבר רגיש. הבקר שמאחורי הקורא בודק את הזהות הזו מול כללי הגישה שלו ופותח את הדלת - או רושם את ההכחשה.

שתי השלכות מעשיות נופלות מכך. ראשית, מכיוון שטלפונים פסיביים שואבים כוח מהקורא, הם בדרך כלל מחזיקים מעמד הרבה יותר מעשור ללא תחזוקה, וזו הסיבה שכמעט כל גישה לבניין משתמשת בהם ולא בתגיות אקטיביות המופעלות על -סוללה. שנית, ההבדל בין "הפוב שולח מספר" ל-"הפוב מוכיח מי זה" הוא כל סיפור האבטחה - והוא נקבע ברמת השבב, לפני שאתה חושב על דיור או מיתוג. אם אתה רוצה את הפיזיקה לעומק יותר, ראה פירוט זה שלכיצד פועלים שלבי מפתחות RFID עבור בקרת גישה.

תדירות וסוג שבב: החלטת התאימות

ישנם שלושה פסי תדרים, והם אינם פועלים זה בזה. קורא 125 קילו-הרץ לא יכול לקרוא פוב של 13.56 מגה-הרץ, ולהיפך. בתוך כל פס, משפחת השבבים ותקן התקשורת מצמצמים עוד יותר את התאימות.

125 קילו-הרץ (תדר נמוך)

LF הוא ישן, זול וסלחן סביב רעשי מתכת וחשמליים. צ'יפס כמושלבי מפתחות EM4100 ו-TK4100שדר מספר קבוע-לקריאה בלבד. האמינות הזו היא גם הבעיה: ניתן להעתיק מספר קבוע ללא הצפנה תוך שניות על ידי משכפל זול. בחר LF רק כאשר אתה תואם קוראי LF קיימים או כאשר שיבוט פשוט אינו חלק ממודל האיומים שלך - חדר הלבשה בחדר כושר, נניח, לא מרכז נתונים.

13.56 מגה-הרץ (תדר גבוה)

HF הוא ברירת המחדל עבור כל פריסה חדשה שבה חשובה האבטחה. הוא נשלט על ידי תקן ISO/IEC 14443 (כאשר ISO/IEC 15693 מכסה שבבי סביבה- מטווח ארוך יותר), וזו הסיבה שאישורי HF פועלים בצורה נקייה בין קוראים תואמים. שלוש משפחות שבבים שולטות:

MIFARE Classic 1K- בסיס מותקן עצום, עלות נמוכה, והסיבה שהוא עדיין נשלח בנפח. אבל צופן ה-Crypto-1 שלו נשבר בפומבי לפני שנים, אז יש להתייחס אליו כאל תעודת נוחות, לא כאל אבטחה. זוהי בחירה הגיונית לחברות, קייטרינג ללא מזומנים או דלתות פנימיות שבהן שיבוט מהווה מטרד ולא פריצה. אשלט מפתח MIFARE 1K 13.56 מגה-הרץמכסה את רוב המקרים הללו.

MIFARE DESFire EV3- המדד הנוכחי לגישה-מאבטחת גבוהה. לפי תיעוד DESFire של NXP, הוא משתמש בהצפנת חומרה AES-128, שלוש-אימות הדדי, וניהול מפתחות לכל-יישום, וה-IC נושא אישור Common Criteria EAL5+ - באותה כיתה הנדרשת משבבי בנקאות ו-e-passport. זה תואם לאחור עם EV2 ו-EV1, מה שהופך את ההגירה השלבית למציאותית. אם אתה מציין בניין ממשלתי, בית מרקחת של בית חולים או מטה תאגידי, זו נקודת ההתחלה, לא שדרוג שיש לשקול מאוחר יותר.

NTAG (NFC)- מיועד לאינטראקציות-ניתנות לקריאה בטלפון ולא לגישה מוקשה. שימושי עבור כרטיסי ביקור, אימות מוצר ושיווק, פחות עבור דלת מאובטחת.

UHF

UHF קורא במטרים, לא בסנטימטרים, וזה בדיוק מה שאתה רוצה עבור משטחים ורכבים ובדיוק מה שאתה לא רוצה עבור דלת, כאשר קריאת מישהו במרחק שני חדרים היא אחריות. שמור על UHF למעקב אחר נכסים וזיהוי שער/רכב.

אם אתה שוקל פסים על עלות כוללת ולא על מחיר מדבקה, ההשוואה הזו בין העלות של 125 קילו-הרץ לעומת אישורי בקרת גישה של 13.56 מגה-הרץ היא מלווה שימושי, וכך גם מבט מקרוב עלבחירת התדר הנכון עבור שלבי מפתחות RFID.

רשימת התאימות אף אחד לא רץ עד שיהיה מאוחר מדי

לרוב ההזמנות שנכשלו יש גורם שורש אחד: הקונה התאים את התדירות והניח את השאר. בפועל, ארבעה דברים צריכים להתאים את התדירות -, תקן התקשורת, משפחת השבבים ופורמט האישורים (UID, קוד מתקן או יישום מוצפן קנייני). קורא HID Prox יתעלם מ-125 kHz EM4100 fob גנרי למרות ששניהם הם "125 kHz", מכיוון שהפורמט שונה. לפני כל הזמנה בכמות גדולה, עבדו על זה:

• זהה את מודל הקורא.קרא את התווית על קורא מותקן או עיין בתיעוד הפאנל. למותג ולגרסת הקושחה יש חשיבות - חלק מהקוראים מקבלים את אפליקציית האבטחה הגבוהה יותר-של DESFire רק לאחר עדכון קושחה.
• בדוק אישור עבודה קיים.סימונים מודפסים, או סריקה מהירה עם קורא אבחון, יחשפו בדרך כלל את סוג השבב והפורמט.
• אשר את הפורמט, לא רק את השבב.שאל אם המערכת מאמתת על UID, על קוד מתקן, או על יישום מוצפן עם מפתחות ספציפיים.
• בקש דוגמה ובדוק אותה על הקוראים החיים שלך.שלב אחד זה מונע כמעט כל כשל-בקנה מידה גדול.
• הבהרת בעלות מפתח.עבור DESFire ומערכות מוצפנות אחרות, החליטו מי מחזיק במפתחות המאסטר וכיצד יגוונו לפני הייצור, לא לאחר מכן.

כאשר אתה מגשר בין שני דורות של קוראים במהלך השקה, אשלט תדר כפול-הנושא גם שבב LF וגם HF מאפשר אישור אחד לפתוח דלתות ישנות וחדשות בבת אחת -, לעתים קרובות ההבדל בין הפסקת סוף שבוע לחודש של מערכות מקבילות. עבור סביבות HID במיוחד, הערה זו עלהזמנת אישורים תואמי HID Prox-מכסה את פרטי הפורמט שמושכים אנשים.

RFID לעומת NFC: האחד הוא תת-קבוצה של השני

NFC היא לא טכנולוגיה מתחרה ל-RFID - זה נתח מיוחד של 13.56 מגה-הרץ HF RFID שמוסיף תקשורת דו--כיוונית, וזה מה שמאפשר לטלפון לפעול כקורא או כאישור. כל מכשיר NFC משתמש בעקרונות RFID; לא כל מערכת RFID מדברת NFC.

ההבחנה הזו מחליטה אם טלפונים יכולים להחליף שלבים בבניין שלך. אמולציית כרטיס מארח של Android ואישורים מבוססי ארנק-של אפל יכולים לפעול שניהם כמפתחות גישה, אבל רק כאשר הקורא, תוכנת בקרת הגישה- ושיטת הקצאת-האישורים כולם תומכים בכך. קוראי LF מדור קודם אינם יכולים להשתמש בטלפון כלל. במציאות רוב הארגונים מפעילים את שניהם: פובים מוצפנים לצוות וקבלנים, אישורים ניידים בשכבות למעלה היכן שצי הקוראים תומך בהם. הפירוט המלא חי במדריך זה לההבדל בין RFID ל-NFC.

שיבוט ואבטחה: מה בעצם ניתן להעתיק

"האם אפשר לשבט את זה?" יש שלוש תשובות כנות בהתאם לשבב:

• ניתן לשיבוט טריוויאלי- תיקנו-שבבי UID LF (EM4100, TK4100) וכל מערכת UID לא מוצפנת-בלבד. מכונת צילום כף יד עושה זאת במעבר אחד.
• ניתן לשיבוט במאמץ- MIFARE Classic. החולשות של Crypto-1 הן ציבוריות, כך שתוקף נחוש עם הכלים הנכונים יכול לשחזר מפתחות.
• תוכנן להתנגד לשיבוט- DESFire EV3 ואישורים אחרים המבוססים על AES-, המסתמכים על אימות הדדי, מפתחות הפעלה דינמיים וגיוון מפתח-לכל אחד, כך שפגיעה ב-fob אחד לא תפגע במערכת.

המיתוס הנפוץ לפיו "ניתן להעתיק כל RFID עם טלפון" משלב בין קריאת תג NTAG פתוח לבין אימות קריפטוגרפי מנצח. טלפון יכול לחקות תג NFC רגיל; זה לא יכול לזייף לחיצת יד של DESFire. לקבלת טיפול מלא יותר במודל האיום, ראה סקירה זו שלאבטחת מידע RFID.

עם זאת, בחירת השבבים היא רק חצי מפריסה מאובטחת. עיצוב המערכת נושא את השאר:

• החלף את חיווט Wigand מדור קודםOSDP, התומך בתקשורת מוצפנת ומפוקחת מקורא-ל-בקר.
• לְהִשְׁתַמֵשׁגיוון מפתחכך שכל אישור שואב מפתח ייחודי ממפתח ראשי.
• לִפְנוֹתהרשאות מבוססות תפקיד-. מודל NIST Role-Based Access Control - תקן ANSI/INCITS - הוא ההתייחסות שרוב פלטפורמות הגישה הארגוניות עוקבות אחריהם, והוא ממפה בצורה נקייה את האופן שבו בניינים מקצה גישה בפועל לפי תפקיד עבודה.
• לָרוּץביקורות קבועות: סקור יומנים, שלל אישורים שאינם בשימוש, סובב מפתחות ושמור על קושחת הקורא עדכנית.
•  

הגירה אמיתית, התחל עד סיום

הדפוס שלהלן אופייני למשרד-בינוני שיוצא מקוראי LF מזדקנים, והוא מראה מדוע ההחלטות הקודמות מתערבות.

בניין שפועל ב-125 kHz EM4100 fobs מחליט לשדרג לאחר שדייר מדווח על אישורים משוכפלים. במקום להחליף הכל בבת אחת, הם מתקינים קוראים בעלי יכולת DESFire EV3- קומה אחר קומה ומוציאים שלטי תדרים כפולים- כך שהצוות ישמור אישור אחד לאורך כל הדרך. מפתחות מאסטר נוצרים ומוחזקים על ידי הלקוח, מגוונים לכל שלט, ומוזרקים במפעל לפני המשלוח. הקוראים עוברים ל-OSDP כאשר כל קומה נחתכת. דלתות ישנות של LF בלבד ממשיכות לעבוד על אותו שלט עד להחלפת הקורא האחרון, ובשלב זה פונקציית LF פשוט מושבתת בתוכנה. אין הנפקה מחודשת של אישורים, אין תור בלובי.

הדפוס שלהלן אופייני למשרד-בינוני שיוצא מקוראי LF מזדקנים, והוא מראה מדוע ההחלטות הקודמות מתערבות.

בניין שפועל ב-125 kHz EM4100 fobs מחליט לשדרג לאחר שדייר מדווח על אישורים משוכפלים. במקום להחליף הכל בבת אחת, הם מתקינים קוראים בעלי יכולת DESFire EV3- קומה אחר קומה ומוציאים שלטי תדרים כפולים- כך שהצוות ישמור אישור אחד לאורך כל הדרך. מפתחות מאסטר נוצרים ומוחזקים על ידי הלקוח, מגוונים לכל שלט, ומוזרקים במפעל לפני המשלוח. הקוראים עוברים ל-OSDP כאשר כל קומה נחתכת. דלתות ישנות של LF בלבד ממשיכות לעבוד על אותו שלט עד להחלפת הקורא האחרון, ובשלב זה פונקציית LF פשוט מושבתת בתוכנה. אין הנפקה מחודשת של אישורים, אין תור בלובי.

הנקודה היא לא המותג הספציפי - זה שגישת תדרים מדורגת,-בבעלות-כפולה, הופכת קריעה משבשת-ו-משימת רקע. התוכנית הזו אפשרית רק בגלל שהשבב (DESFire) וגורם הצורה (תדר כפול-) נבחרו מתוך מחשבה על העברה.

דיור וחומרים: התאם את הסביבה, לא את הקטלוג

דיור רק לעתים רחוקות משנה את טווח הקריאה בהרבה, אבל הוא מחליט כמה זמן פוב ישרוד. ביצועי ערכת השבבים והאנטנות; המעטפת קובעת עמידות.

לתנאים קשים, ציין איטום IP67/IP68, דירוג של −25 מעלות עד +85 מעלות ועמידות בפני UV עבור כל דבר שנותר בחוץ. זה מכוסה זה-לצד-של שתי הקונכיות הנפוצות ביותרהשוואת מפתח ABS לעומת אפוקסי. כאשר המראה הוא חלק מהבריף, אשלט מפתח RFID מעוראו אשלט אקולוגי מעץ-ידידותינושא לוגו הרבה יותר טוב מאשר ABS יצוק.

תכנות: שלוש דרכים לקודד פוב

"תכנות" פירושו כתיבת הזהות, המפתחות או נתוני הגישה לתוך השבב. איך אתה עושה את זה תלוי בקנה מידה ובאבטחה:

1. קידוד מראש של-מפעל.הספק כותב מזהי UID או אישורים לפני המשלוח. המהיר ביותר עבור השקות גדולות ומערכות מלונות; אין צורך בכלים-באתר.
2. קידוד-באתר.אתה מנפיק אישורים עם סופר USB או תוכנת ההרשמה של לוח הגישה. הכי טוב כשהמשימות משתנות לעתים קרובות ואתה רוצה שליטה ישירה.
3. הזרקת מפתח מאובטח.עבור מערכות DESFire ו-AES, מפתחות הצפנה ויישומים מסופקים בתנאים מבוקרים, לעתים קרובות במפעל, כך שלא ניתן לשכפל אישורים ללא אישור.

עבור הזמנות נפח, הסכים את הפרטים המעשיים מראש: תפוקת קידוד, טיפול בשגיאות, ייחודיות UID, סנכרון מסד נתונים ורישום ביקורת. ארגונים בדרך כלל מחברים קידוד ל-HR או למערכת הזהות שלהם, כך שהכניסה והיציאה מהמטוס דוחפים את מצב האישורים באופן אוטומטי.

פריסות נפוצות

משרדים מנהלים כניסות, מעליות, קומות וחניה במרכז, תוך עדכון זכויות מבלי לגעת בחומרה. בתי מלון מנפיקים אישורים שפג תוקפם בקופה - המכניקה מוסברת בקטע זה עלכיצד פועלים כרטיסי מפתח למלון. בתי חולים נועלים בתי מרקחת, מעבדות ורשומות עם הרשאות מבוססות תפקיד- לעמידה בדרישות. אוניברסיטאות מקפלות גישה, ספרייה, נוכחות ותשלום ללא מזומן לאישור אחד. אתרי תעשייה משערים אזורים מסוכנים וחדרי ציוד לפי תפקיד ומשמרת. בכל מקרה המהלך המנצח זהה: בחר את השבב עבור רמת האיום, ואז תן לתוכנה לטפל בכל השאר.

קנייה ומקור OEM

המחיר הוא הדבר האחרון לאופטימיזציה, לא הראשון. עבדו על דרישות, ואז שבב, ואז התאמה אישית, ואז ספק.

בחירת שבבים לפי רמת אבטחה

• נָמוּך(מגורים, חניה): EM4100 / TK4100 / HID Prox.
• בֵּינוֹנִי(משרדים, בתי ספר, חדרי כושר): MIFARE Classic 1K או NTAG.
• גָבוֹהַ(פיננסים, בריאות, ממשלה): DESFire EV3 עם AES ואימות הדדי.
•  

התאמה אישית (OEM/ODM)

קונים בכמות גדולה רק לעתים רחוקות רוצים מניות גנריות. אפשרויות טיפוסיות כוללות הדפסת לוגו בלייזר או משי-, קידוד UID ותכנות- מראש, מספור סידורי, צבעים ותבניות מותאמות אישית, ושילוב QR/ברקוד -, כל אלה תומכים במיתוג, מעקב אחר נכסים ומניעת-זיופים. תחום אלה מול ספקיםיכולות OEM/ODMלפני ההתחייבות.

MOQ, זמן אספקה ​​ובדיקה

כמדריך גס, דגמי מלאי פועלים ב-100-500 יח', OEM סטנדרטי 500-3,000 יח', ותבניות בהתאמה אישית מלאה של 5,000+ יח', כאשר עלות היחידה יורדת בחדות בנפח. זמני ההובלה נמשכים בערך 2–5 ימים עבור מלאי, 7–15 ימים עבור OEM רגיל ו-15–30+ ימים עבור כלי עבודה מותאמים אישית; בניית מאגר לבדיקות אישור וקידוד לדוגמה. בעת בדיקת ספק, אשר שבבים מקוריים (NXP, HID), קידוד ותאימות-תמיכה בבדיקות, הסמכת ISO/CE/RoHS ודוגמה פיזית - בלתי-ניתנת לסחיר - לפני ייצור המוני.

מַסְקָנָה

בחר את השבב עבור רמת האיום האמיתית שלך, ודא תאימות מול הקוראים האמיתיים שלך לפני שאתה מזמין בקנה מידה, והתייחס להצפנה, OSDP, גיוון מפתחות והרשאות מבוססות תפקיד- כמערכת אחת ולא ארבע אפשרויות. עבור אתרי-אבטחה גבוהה, DESFire EV3 פלוס נתיב הגירה מדורג בבעלות- מפתח היא התשובה העמידה. כל השאר - דיור, צבע, מיתוג - נמצאים במורד הזרם של קבלת שלוש ההחלטות הנכונות.

אם אתה מתכנן שדרוג או הזמנה בכמות גדולה, בדיקת תאימות ודגימה בדוקה לפני הייצור יחסכו הרבה יותר ממה שעלותם. אתה יכול לבקש הערכה או הצעת מחיר לדוגמה כדי לאשר את התאמת הטלפונים שלך למערכת שלך לפני שמשהו נכנס לכלי עבודה.

שאלות נפוצות

האם כל שלט RFID יכול לעבוד עם כל קורא?

לא. התדר, תקן התקשורת, משפחת השבבים ופורמט האישורים כולם צריכים להתאים. שני פובים "125 kHz" עדיין יכולים להיות לא תואמים אם הפורמט שונה.

איזה שלט מפתח RFID הכי בטוח?

MIFARE DESFire EV3 עם AES-128 ואימות הדדי הוא רף האבטחה הגבוה הנוכחי, הנושא אישור EAL5+ הדומה לשבבי בנקאות.

האם ניתן לשכפל שלבי מפתח RFID?

תוקנו -UID LF fobs בקלות, ניתן לשבט את MIFARE Classic במאמץ, ואישורי DESFire/AES מתוכננים במיוחד כדי להתנגד לכך.

האם שלבי מפתחות RFID זקוקים לסוללות?

לא. פובים פסיביים שואבים כוח מתחום הקורא ובדרך כלל מחזיקים מעמד עשור או יותר.

האם סמארטפון יכול להחליף שלט מפתח?

לִפְעָמִים. טלפונים NFC יכולים לפעול כאישורים כאשר הקורא והתוכנה תומכים בכך, אך מערכות LF מדור קודם אינן יכולות להשתמש בטלפונים כלל. אתרים רבים מריצים את שניהם.

מה עליי לעשות אם שלט אבד?

דווח על כך, השבת אותו במערכת באופן מיידי - אין צורך בשינויי מנעול - הנפק החלפה ממלאי חילוף, ובדוק את יומני הגישה לתקופה המושפעת.

מהו MOQ וזמן אספקה ​​טיפוסי עבור פובים מותאמים אישית?

הזמנות OEM סטנדרטיות מתחילות בדרך כלל בסביבות 500–3,000 יחידות עם זמן אספקה ​​של 7–15 יום; תבניות מותאמות אישית זקוקות לנפחים גבוהים יותר וזמן עבודה ארוך יותר. בקש תמיד קודם דגימה.