Poboljšanje sigurnosti i prilagođavanja s-kvalitetnim praznim pametnim karticama

 

 

Odabir čipa je mjesto gdje većina praznih projekata pametnih kartica ili zaključava-dugoročni uspjeh ili se tiho postavlja za ponovni-narudžbu šest mjeseci kasnije. Tabela ispod mapira najčešće nabavljene porodice čipova na dimenzije koje zapravo dovode do odluke o nabavci.

 

Chip Family	Frekvencija / Standard	Tipična primjena	Sigurnosni nivo	Ključno ograničenje
MIFARE Classic 1K/4K	13,56 MHz / ISO 14443-A	Osnovni pristup vratima, kartice lojalnosti	Niska (Crypto-1, pokvarena)	Poznate ranjivosti; klonirati
MIFARE DESFire EV2/EV3	13,56 MHz / ISO 14443-A	Sigurna kontrola pristupa, tranzita, plaćanja	Visoka (AES-128, EAL5+)	Veći jedinični trošak
MIFARE Plus	13,56 MHz / ISO 14443-A	Putanja nadogradnje sa klasičnih sistema	Srednje – Visoko (SL3 način rada)	Zahtijeva ažuriranje firmvera čitača za SL3
NTAG 213/215/216	13,56 MHz / ISO 14443-A	NFC mobilna interakcija, označavanje imovine	Nisko–srednje	Ograničena memorija; nije za kontrolu pristupa
SLE4442/SLE4428	Kontakt / ISO 7816	Kartice pohranjenih{0}}vrijednosti, naslijeđeni ID sistemi	Srednji (PIN{0}}zaštićen)	Samo kontakt{0}}; nema beskontaktne mogućnosti
T5577	125 kHz (LF)	Naslijeđeni pristup u blizini, kloniranje	Veoma niska	Bez enkripcije; trivijalno duplicirano

 

Skinite broj modela sa svojih instaliranih čitača prije nego naručite bilo koju MIFARE praznu karticu za sisteme za pristup vratima. Ako vaš integrator ne može potvrditi podršku protokola u roku od 48 sati, tretirajte to kao rizik kompatibilnosti, a ne kao neugodnost. Objekat koji pokreće naslijeđene vlasničke čitače obično ne može koristiti DESFire kartice bez promjene međuvera ili zamjene hardvera, a otkriti ovo nakon isporuke 2.000 kartica je pet-problem.

Ako ste izvorprazne NFC kartice na velikoza novu implementaciju, verifikacija učestalosti i protokola se ne-ne pregovara. Ali evo dijela koji većina vodiča za odabir čipova izostavlja: čak i unutar istog frekvencijskog opsega, ISO 14443-A (MIFARE, NTAG) i ISO 15693 (ICODE) koriste različite komunikacijske protokole. Čitač konfiguriran za jedno neće otkriti drugi. Jedini pouzdan način da se potvrdi kompatibilnost je da testirate stvarne uzorke kartica sa vašim stvarno instaliranim čitačima, a ne da uporedite tablice sa podacima. Syntek isporučuje serije uzoraka u tačno varijanti čipa koju navedete; vididostupne prazne konfiguracije pametnih karticaprije nego što se posvetite volumenu.

 

Ako nabavljate prazne NFC kartice na veliko za novu implementaciju, o učestalosti i verifikaciji protokola nije -pregovarati. Ali evo dijela koji većina vodiča za odabir čipova izostavlja: čak i unutar istog frekvencijskog opsega, ISO 14443-A (MIFARE, NTAG) i ISO 15693 (ICODE) koriste različite komunikacijske protokole. Čitač konfiguriran za jedno neće otkriti drugi. Jedini pouzdan način da se potvrdi kompatibilnost je da testirate stvarne uzorke kartica sa vašim stvarno instaliranim čitačima, a ne da uporedite tablice sa podacima. Syntek isporučuje serije uzoraka u tačno varijanti čipa koju navedete; pogledajte dostupne konfiguracije prazne pametne kartice prije nego što se posvetite volumenu.

 

 

Evo pozicije koju većina dobavljača praznih kartica neće jasno navesti:MIFARE Classicviše nije odbranjiv izbor za bilo koju aplikaciju u kojoj kloniranje kartice predstavlja značajan rizik.To uključuje pristup korporativnim vratima, ključeve hotelskih soba, parking sisteme i u suštini svaki slučaj upotrebe u kojem duplirana kartica omogućava fizički ulazak.

 

Ovo nije teorijska briga. 2024. istraživači sigurnosti u Quarkslab-u su otkrili hardverska pozadinska vrata u čipovima FM11RF08S, široko korištenoj varijanti kineske{4}}proizvodnje koja se prodaje kao "MIFARE Classic kompatibilna". Zadnja vrata omogućava potpuno kloniranje kartice za nekoliko minuta, bez ikakve specijalizirane opreme osim komercijalno dostupnog čitača (SecurityWeek). Utvrđeno je da hoteli širom Sjedinjenih Država, Evrope i Indije koriste ove čipove a da nisu znali da njihove kartice nisu originalne MIFARE Classic IC-ove koje proizvodi NXP{1}}. Timovi nabavke koji su dali te porudžbine procijenili su cijenu i naveli kompatibilnost, ali ne i stvarni silicijum unutar kartice.

 

 

Raniji akademski rad na Univerzitetskom koledžu u Londonu je već pokazao da se čak i autentične MIFARE Classic kartice mogu klonirati samo blizinom, bez potrebe za pristupom čitaču, koristeći ono što su istraživači nazvali "-napad samo kartica" (UCL Discovery). Nalazi Quarkslaba potvrdili su da problem ne samo da je opstao već se i pogoršao zamjenom lanca nabavke.

 

Praktičan put nadogradnje za organizacije koje još uvijek koriste klasične-bazirane prazne beskontaktne pametne kartice zavisi od postojeće investicije u infrastrukturu:

 

Scenario A - Hardver čitača podržava MIFARE Plus.Prebacite se na MIFARE Plus kartice i konfigurišite čitače za nivo sigurnosti 3 (SL3) način rada, koji aktivira AES-128 enkripciju. Ovo je najjeftiniji-put migracije jer ponovo koristi postojeće čitače, ali zahtijeva ažuriranje firmvera i ponovnu registraciju svih kartica.

 

Scenarij B - Čitači su samo na kraju-života-ili klasični-.Budžet za punu zamjenu čitača i prijeđite direktno na MIFARE DESFire EV3. Cijena po-kartici je veća, ali DESFire-ov EAL5+ certifikat i fleksibilna struktura aplikacije značajno smanjuju vjerovatnoću još jedne prisilne migracije u poređenju sa klasičnom-baziranom infrastrukturom.

 

Scenarij C - Niska-sigurnost, ne{2}}kritična aplikacija(kartice lojalnosti kafeterije, bedževi za posetioce). Classic ili NTAG ostaje prihvatljiv, ali samo kada kartica ne daje nikakva prava fizička pristupa. Ako vaša zona za posjetitelje dijeli istu infrastrukturu za pristup vratima kao i područja za zaposlene, čak i djelomično, ovaj izuzetak se ne primjenjuje i trebali biste procijeniti scenario A ili B.

 

Jaz između scenarija A i B je ono što većina budžeta za nabavke koči. Razlika u troškovima između Plus SL3 migracije i potpunog DESFire uvođenja zavisi od varijabli specifičnih za vašu instalaciju: preostalih uslova zakupa čitača, broja IT osoblja za ponovno-upisivanje i da li vaš sigurnosni tim ima direktna budžetska ovlaštenja. Ali okvir odluke je jasan. Ako su vaši čitači instalirani prije 2019. i imate bilo kakve zahtjeve usklađenosti ili osiguranja vezane za kontrolu pristupa, trošak boravka na Classicu već je veći od migracije. Većina čitača koji su raspoređeni prije 2019. godine se isporučuju bez podrške firmvera za MIFARE Plus sigurnosni nivo 3, što znači da migracija Classic-na-Plus nije opcija i potpuna zamjena čitača postaje jedini put za nadogradnju.

 

Od tijela kartice do kodirane značke: Pravo prilagođavanje

 

Prazna pametna kartica je samo pola proizvoda. Druga polovina je ono što se dešava nakon što stigne: štampanje, kodiranje, kaširanje i izdavanje. Specifikacije nabavke koje zanemaruju ovu drugu fazu stvaraju probleme koji se pojavljuju samo tokom proizvodnje.

 

Materijal kućišta kartice i kompatibilnost sa štampačem najčešći su izvor grešaka u prilagođavanju. Mapiranje nije intuitivno, a ako ga pogrešite, gubite kartice i trake za ispis:

 

Materijal kartice	Kompatibilni tip štampača	Common Mismatch
PVC (standard)	Direktan-na-termalni prijenos kartice,{2}}sublimacija boje	Ništa (većina desktop štampača)
PET{0}}G	Retransfer samo štampače	Napaja se direktno-na-štampač kartica → razmazani izlaz
Polikarbonat (PC)	Retransfer ili lasersko graviranje	Toplotni transfer → kvar prianjanja u roku od nekoliko sedmica

 

Površinska obrada je podjednako kritična zaprazne smart chip kartice za štampanje ID-a. Kartice se isporučuju bez preklapanja, tankog sloja laminacije koji prihvata mastilo i štiti odštampanu sliku, daju otiske koji se razmazuju u roku od nekoliko nedelja i gule u roku od nekoliko meseci. Ako vaša specifikacija nabavke ne navodi eksplicitno "površinu za ispis sa zaštitnim slojem", nemojte pretpostavljati da je uključena. Puno-štampanje preko kontaktne površine čipa ili područja zavojnice antene zahtijeva kalibraciju pritiska glave štampača; mala neravnina površine na ugrađenim komponentama uzrokuje pojavu traka ili praznina od mastila ako se ne riješe.

 

 

Offset-štampane prazne pametne lične karte za zaposlene zahtijevaju dodatnih 10–15 radnih dana nakon vremena isporuke za obične bijele zalihe, u zavisnosti od složenosti dizajna. Ovo je odvojen proizvodni korak od-personalizacije na licu mjesta: fabrika primjenjuje pozadinu putem ofset štampe prije ugradnje čipa, što zahtijeva angažovanje proizvođača karticeOEM/ODM usluge prilagođavanjada uskladi registraciju umetničkog dela sa postavljanjem čipa i antene.

 

Kodiranje, korak u kojem se akreditivi za pristup ili podaci o korisniku kartice upisuju na čip, je posljednja faza personalizacije. Većina korporativnih implementacija rukuje kodiranjem na-lokaciji koristeći desktop čitače integrirane s njihovim softverom za upravljanje identitetom. Potvrdite da vaš enkoder podržava određenu varijantu čipa i komunikacijski protokol prije nego što vaša kartica bude isporučena. Prema našem iskustvu, otkrivanje nekompatibilnosti tokom upisa obično znači 3 do 6 sedmica kašnjenja dok se zamjenske kartice nabave, testiraju i ponovo -isporučuju. Za hotel, to znači da recepcija ne može izdati ključeve sobe tokom špice sezone.

 

Pet grešaka u nabavci koje koštaju više od samih kartica

 

Neusklađenost frekvencija je najčešći kvar koji se može spriječiti. Kartice niske frekvencije (125 kHz) i visoke frekvencije (13,56 MHz) su fizički identične: iste dimenzije, isti bijeli PVC izgled, ista težina. Također su potpuno{1}}nekompatibilni sa protokolom. Postrojenje koje koristi čitače od 125 kHz i naručuje prazne RFID kartice od 13,56 MHz za kontrolu pristupa otkriće problem tek kada kartice ne budu skenirane. Osnovni uzrok je obično obrazac nabavke koji navodi "RFID pristupne kartice" bez navođenja učestalosti i dobavljač koji isporučuje njihov najpopularniji SKU. Uvijek navedite tačnu frekvenciju i protokol.

 

Neusklađenost protokola unutar istog frekvencijskog opsega je suptilnija.ISO 14443-A (MIFARE, NTAG) i ISO 15693 (ICODE, Tag-it) oba rade na 13,56 MHz, ali koriste različite-protokole protiv sudara i komunikacije. Čitač konfiguriran za 14443-A neće otkriti 15693 karticu. Ova razlika često hvata timove za nabavku koji nabavljaju prazne NFC kartice na veliko za projekte mješovite namjene.

 

Preskakanje testiranja uzoraka prije masovnih narudžbi prebacuje sav rizik na kupca.Industrijska praksa u proizvodnji RFID kartica je nedvosmislena: kada se potvrdi tip čipa i počne proizvodnja, greške pri odabiru su odgovornost kupca. Renomirani proizvođači nude uzorke upravo iz tog razloga. Ako dobavljač obeshrabruje ili previše naplaćuje uzorke, tretirajte to kao crvenu zastavicu. Prije nego što se posvetite jačini zvuka,zatražite 10-20 uzoraka karticai testirajte svaku karticu u odnosu na instalirane čitače i softver za kodiranje.

 

Ignoriranje završne obrade kartice dovodi do kvarova u kvaliteti štampe.Kartice bez preklapanja proizvode nepouzdane otiske. Ova greška je posebno česta kada se prazne beskontaktne pametne kartice nabavljaju na veliko od posrednika koji optimiziraju za jediničnu cijenu, a ne za daljnju upotrebljivost.

 

Nabavka od posrednika bez fabričke vidljivosti je najskuplja greška i najteže je otkriti.Kada trgovačka kompanija sjedi između vas i stvarnog proizvođača, gubite vidljivost u nabavci čipova. Ranjivost Quarkslab hotelske kartice je direktno povezana sa ovom neprozirnošću lanca snabdevanja: timovi za nabavku naručili su "MIFARE Classic" i dobili FM11RF08S silicij od drugog proizvođača, sa hardverskim backdoorom koji nisu imali načina da otkriju vizuelnom inspekcijom ili osnovnim funkcionalnim testiranjem. Ovo nije teoretski rizik. To je dokumentovani uzrok najvećeg sigurnosnog incidenta RFID pristupne kartice u posljednjih nekoliko godina.

 

Procjena dobavljača prazne pametne kartice: šta list s citatima ne prikazuje

 

Ponuda svakog dobavljača RFID kartica navodi jediničnu cijenu, tip čipa i vrijeme isporuke. Nijedna od njih ne navodi provjeru autentičnosti-nivoa čipa, testiranje čvrstoće veze laminacije ili ono što se događa kada vaša prva proizvodnja ne prođe provjere kompatibilnosti. Te nevidljive stavke su ono što razlikuje proizvođača od preprodavača i ono što određuje da li vaše prazne pametne kartice sa MIFARE čipovima zaista sadrže NXP silicij koji ste naveli.

 

 

Nekoliko pitanja koja otkrivaju razliku: Da li dobavljač upravlja vlastitom opremom za ugradnju čipova i laminiranjem ili prebacuje proizvodnju neimenovanim trećim stranama? Mogu li dati izvještaj o-testiranju nivoa čipa za svaku seriju, koji pokazuje stvarnog proizvođača IC-a i reviziju matrice, a ne samo "kompatibilan s MIFARE Classicom"? Da li nude kodirane uzorke kartica za funkcionalno testiranje na vašim čitačima ili samo prazne vizuelne uzorke?

 

U Syntek-u smo izgradili naš proces verifikacije oko tačnog načina kvara koji je gore opisan. Kada je grupa ugostitelja iz jugoistočne Azije došla do nas nakon što je otkrila da njihove postojeće kartice sadrže FM11RF08 matrice uprkos tome što su fakturisane kao MIFARE Classic, izvršili smo grupnu identifikaciju-nivoa IC-a na ulaznoj seriji, potvrdili zamjenu FM11RF08 u roku od 48 sati od prvog skeniranja testne kartice i zamijenili punu narudžbu DESF-a sa NXver{3EV{7} sedmice. Njihov prethodni dobavljač bila je trgovačka kompanija bez vidljivosti sloja proizvodnje čipova. Naša-kućna proizvodnja, uključujući CNC laminaciju,-brzo kodiranje i 100% automatiziranu IC verifikaciju u objektu od 4500 m², postoji posebno tako da kada šaljemo prazne pametne kartice s oznakom DESFire EV3, silicij unutra odgovara naljepnici. Proizvodimo RFID kartice od 2006. godine, a razlog zašto ulažemo u QC na-nivou čipa je taj što smo vidjeli šta se dešava kada nedostaje. Istražite u potpunostilinija proizvoda za prazne čip karticeda vidite dostupne konfiguracije prema familiji čipova i faktoru oblika.

 

Certifikacija ISO 9001 je osnova, a ne razlika; većina fabrika ga drži. Signal koji je zapravo bitan je da li dobavljač može proizvesti izvještaj o testiranju-na nivou čipa koji pokazuje proizvođača IC-a i reviziju matrice za svaku proizvodnu seriju. Osim toga, provjerite spremnost da se omogući pristup fabričkoj reviziji, objavljena fleksibilnost MOQ i dokumentirana vremena isporuke i za obične bijele dionice i za prilagođeno{4}}štampano kućište kartica. Syntek prihvaća narudžbe uzoraka od samo 100 komada sa rokom od 3 do 5 dana, a troškovi uzorka se uračunavaju u prvu narudžbu na veliko.

Jeste li spremni provjeriti koja konfiguracija čipa odgovara vašem sistemu prije nego što se posvetite volumenu?Zatražite besplatni uzoraki testirajte na vašim instaliranim čitačima.