Carduri RFID de acces: 125 kHz, MIFARE și cum afli ce card ai

Cardurile de 125 kHz și cele de 13,56 MHz

Cardurile de 125 kHz (joasă frecvență) păstrează doar un număr de identificare, citit fără nicio verificare. Cardurile de 13,56 MHz (înaltă frecvență) au memorie, pot face autentificare cu chei secrete și pot ține mai multe aplicații pe același cip.

Un cip EM4100 are, după fișa producătorului EM Microelectronic, o memorie de 64 de biți, dintre care 40 sunt numărul cardului; restul sunt antet și biți de paritate. Numărul e scris din fabrică și nu se schimbă. HID Prox lucrează tot pe 125 kHz, cu formatele proprii HID, dintre care cel mai răspândit are 26 de biți: un cod de amplasament (facility code) și numărul cardului.

Pe 13,56 MHz, standardul de bază pentru cardurile de acces este ISO/IEC 14443, cu tipurile A și B. Aici intră MIFARE Classic, MIFARE Plus și MIFARE DESFire. NXP dă pentru DESFire EV3 o distanță de lucru de până la 100 mm, în funcție de puterea și antena cititorului. Tot pe 13,56 MHz lucrează și ISO/IEC 15693, standardul cardurilor de vecinătate, folosit de exemplu de familia HID iCLASS. Telefoanele cu NFC lucrează pe aceeași frecvență de 13,56 MHz.

Tipurile de carduri de acces din firme

În clădirile de birouri și în fabricile din România se întâlnesc de obicei cinci tehnologii. Tabelul arată ce protecție oferă fiecare și unde mai are sens.

Coloana „Protecție” descrie cardul, nu instalația. Un sistem DESFire configurat să citească doar numărul de serie al cardului are, în practică, protecția unui card de 125 kHz.

De ce MIFARE Classic nu mai e sigur

Pentru că algoritmul lui de criptare, Crypto1, a fost spart în 2008. Cercetătorii au aflat cheile de 48 de biți din puține date interceptate de la un cititor real, iar unul dintre atacuri calculează cheia în mai puțin de o secundă.

Grupul de securitate digitală al Universității Radboud din Nijmegen a anunțat vulnerabilitatea în martie 2008 și a prezentat atacurile la conferința ESORICS din același an. Echipa a demonstrat atacul pe sistemul de control al accesului din propria clădire a universității. Riscul e cel mai mare acolo unde toate cardurile și cititoarele folosesc aceeași cheie, situație des întâlnită la controlul accesului în clădiri.

Producătorul cipului spune același lucru. Pe pagina NXP pentru MIFARE Classic, NXP trimite aplicațiile cu cerințe de securitate către familiile MIFARE DESFire și MIFARE Plus. Asta nu face cardurile Classic inutile: la cantină, la un program de fidelizare sau la un abonament de sală, o copie aduce o pagubă mică. La ușa unui depozit cu marfă scumpă sau a unei camere de servere, alege altă tehnologie.

Ce aduce MIFARE DESFire EV3

DESFire EV3 folosește criptare AES cu chei de 128 de biți, are certificare Common Criteria EAL5+ pentru hardware și software și ține mai multe aplicații separate pe același card, fiecare cu cheile ei.

Conform fișei NXP pentru DESFire EV3, cipul are 2, 4, 8 sau 16 KB de memorie, respectă ISO/IEC 14443 tip A și are un mod de compatibilitate cu generațiile EV2, EV1 și D40. Asta te lasă să adaugi carduri EV3 într-un sistem DESFire existent fără să schimbi toate cardurile deodată.

Avantajul practic pentru o firmă e un singur card pentru mai multe lucruri: ușa, cantina, imprimanta multifuncțională din birou, parcarea. Fiecare furnizor primește doar cheile aplicației lui. Securitatea depinde însă de configurare. După ISO/IEC 14443-3, cardul își trimite numărul unic (UID) la selecție, înainte de orice autentificare. Un cititor care se uită doar la UID nu folosește criptarea AES deloc. Întreabă integratorul sistemului dacă cititoarele autentifică aplicația DESFire sau citesc doar numărul de serie.

Cum afli ce card ai în firmă

Începe cu inscripțiile de pe card, apoi testează-l cu un telefon cu NFC și cu un cititor de birou. Dacă telefonul nu îl vede deloc, aproape sigur e un card de 125 kHz.

1. Citește cardul. Caută sigle și denumiri: HID, ProxCard, iCLASS, Seos, MIFARE, DESFire, EM. Notează numerele tipărite pe card; la cardurile HID Prox apar de obicei codul de amplasament și numărul cardului.
2. Măsoară grosimea. Un card gros, de tip carcasă (clamshell), e de obicei de 125 kHz: HID dă pentru ProxCard II 0,075 inch, adică circa 1,9 mm, față de 0,76 mm la un card subțire ISO.
3. Apropie cardul de un telefon Android cu NFC și deschide aplicația gratuită NFC TagInfo by NXP. Aplicația arată producătorul și tipul cipului, de exemplu MIFARE Classic 1K sau DESFire EV3, fără să citească datele protejate.
4. Testează cu un cititor de birou într-un editor de text. Promag PCR-330A scrie numărul unui card EM, iar Promag PCR-330M numărul unui card MIFARE; numărul apare ca tastat de la tastatură.
5. Întreabă firma care a instalat sistemul ce format, ce cod de amplasament și ce chei folosește. Fără aceste date, cardurile noi nu deschid ușile vechi, chiar dacă au aceeași frecvență.

Compatibilitatea cu cititoarele existente

Merg doar dacă au aceeași frecvență, același tip de cip și același format de date ca cele vechi. Frecvența e condiția de pornire, nu garanția.

La 125 kHz, un card EM nou cere doar înregistrarea numărului în centrala de acces. Comandă cardurile HID Prox noi cu același format și cu același cod de amplasament ca restul. La MIFARE Classic, dacă sistemul citește sectoare, codează cardul nou cu cheile sistemului; Promag PCR-310 scrie și citește sectoarele MIFARE Classic cu cheile definite de tine. La DESFire, aplicația și cheile le creează integratorul.

Pentru migrare, există carduri cu două tehnologii, de exemplu 125 kHz și 13,56 MHz în același card, și cititoare care citesc ambele frecvențe. Ele te lasă să schimbi cititoarele treptat, ușă cu ușă. Toate modelele de birou sunt în categoria de cititoare de carduri RFID.

Tipărirea cardurilor de acces

Da, dacă au grosimea ISO de 0,76 mm și suprafață de PVC. Cardurile groase de tip carcasă (clamshell) nu intră în imprimantă; pe ele lipește o etichetă PVC adezivă tipărită separat.

Limitele vin din fișele imprimantelor: Zebra ZC300 primește carduri de 0,25–1,02 mm, Evolis Primacy 2 de 0,25–1,25 mm, iar Zenius 2 de 0,25–0,76 mm. Un ProxCard II de 1,9 mm depășește toate aceste valori. ZC300 acceptă și carduri cu spate adeziv, care se tipăresc și apoi se lipesc pe cardul gros.

Un card cu cip sau cu antenă nu e perfect plan, așa că tipărirea direct pe card dă uneori zone mai palide deasupra cipului. Pentru loturi mari cu grafică până la margine, imprimantele cu retransfer se descurcă mai bine. Cardurile PVC albe de pe site, Evolis C4001 și Zebra Premier, nu au cip; pentru carduri cu cip compatibile cu sistemul tău, scrie-ne prin pagina de contact ce tehnologie ai. Imprimantele sunt în categoria de imprimante de carduri.

Brățările și breloacele RFID

Da, dacă au același cip și aceeași frecvență ca sistemul tău. Brățările, breloacele și autocolantele RFID conțin aceleași cipuri EM sau MIFARE ca și cardurile, doar în altă carcasă.

• Brățările din silicon rezistă la apă și se potrivesc la piscine, săli de sport, spa-uri și evenimente, unde un card ar sta în buzunarul unui costum de baie.
• Breloacele de chei merg pentru oamenii care nu poartă ecuson: șoferi, personal de întreținere, chiriași.
• Autocolantele NFC le lipești pe telefon, pe cască sau pe un echipament.

Regula de compatibilitate rămâne aceeași: frecvența, tipul cipului și formatul. Pe o brățară sau pe un breloc nu se poate tipări poza angajatului, deci pentru identificare vizuală păstrează legitimația. Brățările de identificare din magazin sunt altceva: brățări de pacient Zebra Z-Band, tipărite termic, cu nume și cod de bare, fără cip RFID.

Greșeli frecvente la alegerea cardurilor RFID

Majoritatea greșelilor vin din comenzi fără specificații: „carduri RFID” spune doar că au antenă, nu și dacă merg la ușa ta.

• Comanda fără frecvență și fără tip de cip: un card MIFARE nu e citit de un cititor EM, iar un card EM nu e citit de un cititor MIFARE.
• MIFARE Classic într-un sistem nou de acces: pentru uși cu risc real, NXP trimite către DESFire sau MIFARE Plus.
• Cititoare DESFire configurate doar pe UID: cardul plătit pentru criptarea AES ajunge folosit doar pentru numărul lui public.
• Perforarea prin antenă: fanta pentru șnur poate tăia bobina, iar cardul nu mai funcționează. Folosește un suport sau zona indicată de producător.
• Carduri groase pentru legitimații cu poză: cardurile de tip carcasă (clamshell) nu trec prin imprimanta de carduri.