Cartes de proximité MIFARE Vs : sécurité, compatibilité et migration

Dans ce guide,carte de proximitédésigne l'ancien identifiant 125 kHz communément appelé carte prox dans le contrôle d'accès physique. Le portefeuille Proximity actuel de HID, par exemple, est explicitement positionné comme une famille d'identifiants d'accès physique à basse fréquence-à basse fréquence-de 125 kHz.Informations sur le produit de proximité HIDfournit un exemple actuel de l’industrie. :contentReference[oaicite:13]{index=13}

MIFARE est différent. Il s'agit de la famille de produits de cartes à puce sans contact-de NXP, basée sur la technologie ISO/IEC 14443 et utilisée dans des applications telles que la gestion des accès. Le nom MIFARE couvre plusieurs familles de produits plutôt qu'une seule puce ou un seul niveau de sécurité.Le portefeuille MIFARE de NXPcomprend actuellement les plates-formes Classic, Plus, DESFire et MIFARE supplémentaires. :contentReference[oaicite:14]{index=14}

Pour une comparaison plus large des deux catégories de fréquences de fonctionnement-, le guide de Syntek surAccès 125 kHz contre 13,56 MHz-informations d'identification de contrôlefournit un contexte supplémentaire.

Un ordre de sélection pratique est le suivant : lecteur installé → technologie d'identification exacte → identifiant ou données d'application → méthode d'authentification → modèle de sécurité → plan de migration → spécification de production.

MIFARE vs cartes de proximité : comparaison rapide

La ligne de sécurité est la plus susceptible d’être simpliste à l’extrême. MIFARE ne doit pas être traité comme une seule « carte de haute-sécurité ». Classic, Plus et DESFire ont des architectures et des capacités différentes, et la manière dont le système d'accès utilise ces capacités compte autant que le nom de la puce.

Que signifie « carte de proximité » dans le contrôle d'accès ?

Dans un langage technique plus large, la proximité peut décrire une interaction sans contact à courte portée. Cependant, lors de l'achat d'un accès physique-, la « carte prox » fait généralement référence à un identifiant traditionnel de 125 kHz.

Un chemin d'accès hérité simplifié peut ressembler à ceci :

Identifiant 125 kHz → lecteur compatible → numéro ou format d'identifiant → contrôleur → décision d'accès

Le détail important de l'acquisition est que « 125 kHz » ne décrit pas complètement l'accréditation. Le contrôleur peut également s'attendre à une structure de numéro de carte-, un code d'installation/site, un format de bits ou une sortie de lecteur spécifique.

Syntek répertorie les deuxCartes à clapet de proximité 125 kHzet plus largeCartes de contrôle d'accès RFID-, mais la sélection de remplacement doit toujours commencer par les spécifications du lecteur et du contrôleur installés plutôt que par l'apparence de la carte.

Qu'est-ce qu'une carte MIFARE ?

MIFARE est une famille de produits sans contact NXP, et non une spécification d'identification universelle. Cette distinction est importante en matière de contrôle d'accès, car deux cartes portant le nom MIFARE peuvent différer en termes d'organisation de la mémoire, de mécanismes de sécurité, d'authentification et de modèle d'application. :contentReference[oaicite:15]{index=15}

Les acheteurs peuvent consulter l'aperçu de Syntek d'unCarte à puce RFIDet il est disponibleCartes d'accès MIFAREpour le contexte au niveau du produit-, mais une spécification d'accès doit identifier la famille de puces exacte et le comportement du système requis.

La compatibilité du lecteur passe avant la préférence de la carte

Un lecteur 125 kHz-uniquement ne devient pas compatible avec un identifiant MIFARE 13,56 MHz car les cartes ont les mêmes dimensions de style ISO-.

Avant de modifier les informations d'identification, inventoriez les lecteurs installés et enregistrez :

• fabricant et modèle du lecteur ;
• fréquence(s) prise(s) en charge ;
• familles de titres de compétences prises en charge ;
• firmware ou configuration, le cas échéant ;
• lecteur-vers-interface du contrôleur ;
• le code actuel de l'installation/du site et le format de la carte, le cas échéant ;
• longueur de l'identifiant et représentation attendue par la plateforme d'accès ;
• si le système utilise un identifiant public ou des données d'application authentifiées.

SyntekLecteur de contrôle d'accès RFID-page etLignes directrices sur la fréquence de fonctionnement RFIDfournir un contexte supplémentaire sur le produit et la fréquence.

La fréquence n'est pas la même que le format des informations d'identification

Les migrations de contrôle d'accès-échouent souvent car deux couches de données différentes sont traitées comme si elles étaient identiques.

La première couche est l'interaction RF entre les informations d'identification-et-le lecteur. Une carte 125 kHz et une carte MIFARE 13,56 MHz utilisent des technologies radio différentes.

La deuxième couche est ce que le lecteur fournit au contrôleur ou à la plateforme d'accès. Cette valeur peut être normalisée, reformatée ou mappée en fonction de la configuration du lecteur et du contrôle d'accès-.

Deux cartes peuvent donc sembler produire des nombres-similaires dans le logiciel tout en étant totalement incompatibles au niveau de la couche RF. A l’inverse, un nouveau lecteur peut réussir à détecter une carte MIFARE tout en présentant son identifiant au contrôleur dans un format différent de celui attendu par la base de données existante.

Geler le mappage des identifiants avant la réédition en masse

« Conserver le même numéro de carte » ne constitue pas une spécification de migration complète.

Avant d'importer ou de fabriquer de nouveaux identifiants, documentez la manière dont la plateforme d'accès s'attend à ce que les identifiants soient représentés. Selon le système, les questions pertinentes peuvent inclure :

• La valeur source est-elle un UID, un ID d'identification d'application ou un autre champ ?
• Quelle longueur d’identifiant est acceptée ?
• La valeur est-elle stockée sous forme hexadécimale, décimale ou autre ?
• L'application applique-t-elle un ordre d'octet particulier ?
• Les zéros non significatifs sont-ils conservés ?
• Le contrôleur s'attend-il à une répartition du code d'établissement/site et du numéro de carte- ?
• Une carte à double-technologie expose-t-elle deux identités distinctes qui doivent être mappées au même enregistrement utilisateur ?

Ces détails doivent être tirés de la plate-forme d'accès réelle et des spécifications de migration approuvées. Ils ne doivent pas être devinés à partir du numéro imprimé sur un ancien badge.

La sécurité dépend de ce que le système authentifie réellement

La comparaison "La proximité n'est pas sécurisée ; MIFARE est sécurisé" est trop large pour justifier une décision sérieuse en matière de contrôle d'accès-.

Accès aux identifiants statiques

De nombreux déploiements Prox existants utilisent principalement un identifiant d'identification. Le lecteur reconnaît l'identifiant et transmet un identifiant au système de contrôle d'accès-.

La posture globale de sécurité ne dépend alors pas uniquement de la carte : la gestion des identifiants, la conception du lecteur/contrôleur, la révocation, la surveillance, la sécurité physique et les contrôles administratifs sont tous importants.

MIFARE utilisé uniquement comme identifiant

Un CI de carte à puce-plus performant peut toujours être déployé dans une architecture simple à identifiant-uniquement.

Si un lecteur d'accès lit simplement un identifiant exposé et n'effectue jamais les opérations d'authentification ou d'application protégées prises en charge par l'identifiant sélectionné, le projet n'obtient pas automatiquement toute la capacité de sécurité disponible à partir de cette puce.

Application de carte à puce-authentifiée

Une application MIFARE correctement conçue peut utiliser des données d'application protégées, une authentification, des clés cryptographiques et une messagerie sécurisée lorsque le produit choisi le prend en charge.

La documentation actuelle de MIFARE DESFire EV3 de NXP répertorie la prise en charge AES, l'authentification au niveau de l'application-, plusieurs clés et plusieurs jeux de clés parmi ses capacités de sécurité. Ces fonctionnalités dépendent toujours du lecteur, du modèle de gestion des clés-et de la configuration de l'application.Informations techniques sur NXP MIFARE DESFire EV3documente les capacités IC disponibles. :contentReference[oaicite:16]{index=16}

La sécurité est une propriété du système, pas une étiquette de puce

Le NIST SP 800-98 traite la sécurité RFID comme un problème de conception et de fonctionnement au niveau du système- plutôt que comme un problème de balise uniquement. LeDirective de sécurité RFID du NISTcouvre la planification, la mise en œuvre et l’exploitation des systèmes RFID. :contentReference[oaicite:17]{index=17}

Pour la couche lecteur-à-contrôleur, la Security Industry AssociationProtocole de périphérique supervisé ouvertprend en charge les communications supervisées et la protection Secure Channel entre les-appareils de contrôle d'accès. Les directives de mise en œuvre actuelles de SIA recommandent spécifiquement Secure Channel lorsque OSDP est utilisé. :contentReference[oaicite:18]{index=18}

Le guide de Syntek pourSécurité des données RFIDpeut soutenir le débat plus large sur la sécurité intérieure.

Questions de gestion clés que les acheteurs devraient poser

Une fois qu'un projet dépasse l'accès UID-uniquement, la gestion des clés devient partie intégrante des spécifications d'achat.

L'architecture DESFire EV3 de NXP prend en charge plusieurs clés d'application et plusieurs jeux de clés, ce qui illustre pourquoi « la carte prend en charge AES » ne constitue pas une information suffisante pour définir le déploiement. :contentReference[oaicite:19]{index=19}

Avant la personnalisation ou la production en série, clarifiez :

• À qui appartiennent les clés de production et d’application ?
• Qui est autorisé à personnaliser les identifiants ?
• La personnalisation-contrôlée par le fournisseur,-contrôlée par le client ou gérée conjointement sera-t-elle utilisée ?
• Les cartes sont-elles livrées dans un état d'initialisation connu ?
• Comment les identifiants de remplacement sont-ils fournis ?
• Les clés peuvent-elles être modifiées lorsque les responsabilités ou les systèmes changent ?
• Comment les versions clés et la configuration des applications sont-elles documentées ?
• Comment les environnements de production, de test et de direct sont-ils séparés ?
• Qui peut récupérer le programme d’identification si le fournisseur de personnalisation d’origine n’est plus disponible ?

La réponse dépend de la-plate-forme de contrôle d'accès et de l'architecture de sécurité. Les acheteurs ne doivent pas demander, échanger ou stocker des clés de production sensibles dans des feuilles de calcul d'illustrations ordinaires ou dans des fils de discussion informels.

MIFARE Classic, Plus et DESFire sont des décisions d'achat différentes

MIFARE Classique EV1

Actuel de NXPPage produit MIFARE Classique EV1répertorie le produit comme actif mais « non recommandé pour les nouvelles conceptions » et oriente les concepteurs vers un remplacement plus récent. Cela ne signifie pas que tous les systèmes Classic installés doivent immédiatement cesser de fonctionner ; cela signifie qu'un nouveau projet ne doit pas sélectionner Classic simplement parce que "MIFARE" sonne plus récent que 125 kHz Prox. :contentReference[oaicite:20]{index=20}

MIFARE Plus EV2

Postes NXPMIFARE Plus EV2comme chemin de mise à niveau pour les déploiements existants. Sa spécification actuelle inclut un concept de niveau de sécurité pour la migration, l'authentification AES-128 et la messagerie sécurisée à des niveaux de sécurité plus élevés. :contentReference[oaicite:21]{index=21}

MIFARE DESFire EV3

DESFire EV3 est conçu pour une utilisation sécurisée multi-applications et offre des fonctionnalités telles que AES-128, l'authentification mutuelle et des structures d'application/clés flexibles. La présence de ces capacités ne prouve pas qu’un système d’accès particulier les utilise ; le support des lecteurs et des applications reste obligatoire. :contentReference[oaicite:22]{index=22}

Quand devez-vous conserver une proximité de 125 kHz et quand devez-vous déménager ?

Garder la proximité peut être rationnel

Un identifiant traditionnel de 125 kHz peut rester raisonnable sur le plan opérationnel lorsque la base de lecteurs installés est vaste et stable, que l'environnement protégé présente un modèle de risque accepté, que la compatibilité est la priorité commerciale immédiate ou que la migration du site est planifiée ultérieurement.

Continuer sciemment une technologie existante n'est pas la même chose que de supposer qu'elle fournit le même modèle de sécurité qu'un système de carte à puce moderne authentifié-.

Passer à MIFARE peut avoir du sens

Un identifiant de famille MIFARE-approprié devient plus pertinent lorsque le projet nécessite des données d'application protégées, une interaction avec un lecteur de carte authentifié-, une capacité multi-application, une gestion moderne des identifiants ou un chemin défini pour s'éloigner de l'infrastructure existante d'identifiant-uniquement.

La décision nécessite encore une famille de produits exacte et une application prise en charge. "MIFARE" en soi reste trop large pour une demande d'offre.

Planifiez la migration en cinq phases contrôlées

Lorsqu'une technologie mixte est requise pendant la transition, Syntek répertorie unlecteur RFID double-fréquenceet uncarte RFID double-fréquenceparmi les produits de son site associés.

Les doubles-informations d'identification technologiques peuvent réduire les perturbations

Un identifiant à double-technologie peut placer une technologie héritée de 125 kHz et une technologie de carte à puce HF-plus récente dans la même carte physique.

Courant de HIDMIFARE DESFire EV3 + Identifiant Proxest un véritable exemple d’industrie. HID le positionne comme un moyen de maintenir l'interopérabilité avec les anciens lecteurs 125 kHz lors de la migration vers une infrastructure basée sur DESFire-. :contentReference[oaicite:23]{index=23}

Cela ne signifie pas que les deux technologies exposent nécessairement le même identifiant ou utilisent le même processus de sécurité. La base de données de contrôle d'accès-doit explicitement mapper les identités d'identification à l'enregistrement utilisateur prévu.

La double technologie est plus utile lorsqu’elle dispose d’un plan de sortie. Une fois qu'un site ne nécessite plus la prise en charge héritée de 125 kHz, l'équipe de migration doit décider si cette ancienne voie d'acceptation doit rester activée.

Scénario de migration illustratif : trois immeubles de bureaux

Le scénario suivant est illustratif et n’est pas présenté comme un cas client.

Une entreprise exploite trois immeubles de bureaux. Le bâtiment A dispose toujours de lecteurs 125 kHz-uniquement. Le bâtiment B dispose de lecteurs capables de prendre en charge à la fois les anciens identifiants et la nouvelle technologie de carte à puce-. Le bâtiment C a déjà été mis à niveau vers l'environnement cible MIFARE.

Au lieu de changer chaque porte et chaque badge en un week-end, l'entreprise enregistre d'abord chaque lecteur et chaque porte. Un groupe limité d'employés reçoit des informations d'identification à double technologie-. Au cours du projet pilote, la base de données d'accès mappe les deux technologies d'identification au même compte d'employé, tandis que l'équipe vérifie quel composant est accepté dans chaque bâtiment.

Le pilote n’est pas considéré comme réussi simplement parce que le nouveau badge ouvre le bâtiment C. L’équipe vérifie également que :

• Les anciennes portes fonctionnent toujours pendant la période de transition approuvée ;
• les nouvelles informations d'identification s'authentifient comme prévu aux portes améliorées ;
• les informations d'identification révoquées sont refusées ;
• les cartes de remplacement ne laissent pas l'ancien identifiant actif ;
• Le mappage des identifiants ne crée pas d'enregistrements d'utilisateur en double ;
• le personnel d'assistance peut déterminer si un problème concerne la carte, le lecteur, la cartographie ou l'autorisation d'accès.

Une fois le bâtiment A mis à niveau et tous les utilisateurs requis ont migré, l'acceptation héritée peut être revue en vue de sa mise hors service plutôt que de rester activée indéfiniment.

Définir les critères d'acceptation de la migration avant le déploiement

Pour un cadre de validation plus large, consultez le guide de Syntek pourTest du système RFID.

Approuver un échantillon d'informations d'identification équivalentes à une production-

Un projet pilote de migration ne doit pas s'appuyer uniquement sur une carte de développement non imprimée.

L'échantillon équivalent en production-doit représenter l'ordre prévu dans :

• famille exacte de puces ;
• facteur de forme des informations d'identification ;
• état de personnalisation ;
• configuration de l'identifiant/de l'application ;
• impression et données variables ;
• compatibilité des lecteurs ;
• cartographie back-end ;
• comportement de remplacement et de révocation.

Si une impression variable, des numéros d'employé, des codes QR ou d'autres données visibles sont requis, le guide de Syntek pourImpression RFIDpeut prendre en charge la planification des illustrations et des fichiers-de données.

Pour l'inspection par lots, l'aperçu de Syntek suréquipement d'inspection de qualitéfournit un contexte de contrôle qualité-de fabrication supplémentaire.

Quoi envoyer à votre fournisseur de cartes avant de commander

Les projets nécessitant une construction, une impression, une personnalisation ou une production contrôlée de cartes personnalisées peuvent continuer chez Syntek.Production OEM et ODMinformations une fois la spécification technique définie.

Erreurs d'achat courantes

Traiter chaque carte 13,56 MHz comme compatible MIFARE-

La fréquence ne définit pas le protocole complet, la famille de puces ou l'application. Confirmez le lecteur exact et la prise en charge des informations d'identification.

Traiter chaque carte MIFARE comme étant également sécurisée

Classic, Plus et DESFire ont des architectures de sécurité et des modèles de déploiement différents. NXP marque actuellement Classic EV1 comme non recommandé pour les nouvelles conceptions, tandis que Plus EV2 et DESFire EV3 offrent des capacités de migration et de sécurité différentes. :contentReference[oaicite:24]{index=24}

Remplacement des cartes sans geler le mappage des identifiants

Une carte lisible peut toujours échouer en production si le lecteur et le backend ne sont pas d'accord sur la représentation UID, le format de la carte ou le mappage utilisateur.

Acheter une puce sécurisée mais utiliser uniquement un identifiant public

La capacité de la puce sélectionnée et le modèle d'authentification mis en œuvre sont des questions distinctes.

Utiliser la double technologie sans héritage-Plan de retraite

Les lecteurs à double-fréquence et les cartes à double-technologie peuvent réduire les perturbations, mais la migration doit toujours définir le moment où l'ancienne technologie ne sera plus nécessaire.

Recommandation finale

La différence pratique entre MIFARE et les cartes de proximité est supérieure à 13,56 MHz contre 125 kHz.

Une décision fiable-en matière de contrôle d'accès doit répondre :

• Quels lecteurs sont réellement installés ?
• Quelles familles de titres prennent-ils en charge ?
• Quel identifiant ou données protégées l'application utilise-t-elle ?
• Le lecteur effectue-t-il une véritable authentification ou lit-il uniquement un identifiant ?
• Qui contrôle les clés de la carte à puce et la personnalisation ?
• Comment la communication entre le lecteur-et-le contrôleur est-elle protégée ?
• Comment les anciens et les nouveaux identifiants coexisteront-ils pendant la migration ?
• Quelles preuves doivent être transmises avant que l'accès hérité ne soit retiré ?

Pour un déploiement existant à faible risque-avec une large base installée de 125 kHz, le maintien des anciens identifiants Prox pendant une période définie peut être une décision opérationnelle plutôt qu'une erreur.

Pour un nouveau déploiement ou une mise à niveau de sécurité, un identifiant de famille MIFARE moderne- correctement mis en œuvre peut prendre en charge l'authentification, la protection des données d'application et une gestion plus flexible des identifiants. La valeur provient de la conception complète et non du nom MIFARE imprimé sur la spécification.

Lecteur installé → informations d'identification exactes → identifiant/données d'application → authentification → clés → sécurité du système → architecture de migration → échantillon de production → test d'acceptation.

Une fois que les modèles de lecteurs, les informations d'identification cibles, les règles d'identification, l'approche d'authentification, le plan de migration, les illustrations, la quantité et les exigences d'acceptation sont définis, les acheteurs peuventdemander un échantillon ou un devispour une évaluation spécifique au projet-.