MIFARE vs. Proximity-Karten: Sicherheit, Kompatibilität und Migration

In diesem LeitfadenProximity-Kartebezeichnet den alten 125-kHz-Ausweis, der in der physischen Zugangskontrolle üblicherweise als Prox-Karte bezeichnet wird. Das aktuelle Proximity-Portfolio von HID ist beispielsweise explizit als 125-kHz-Zugangsberechtigungsnachweisfamilie mit niedriger-Frequenz für den physischen-Zugang positioniert.Produktinformationen zu HID Proximityliefert ein aktuelles Branchenbeispiel. :contentReference[oaicite:13]{index=13}

MIFARE ist anders. Dabei handelt es sich um NXPs Familie kontaktloser Smartcard-Produkte, die auf der ISO/IEC 14443-Technologie basieren und in Anwendungen wie der Zugangsverwaltung eingesetzt werden. Der Name MIFARE umfasst mehrere Produktfamilien und nicht einen Chip oder eine Sicherheitsstufe.Das MIFARE-Portfolio von NXPumfasst derzeit Classic, Plus, DESFire und weitere MIFARE-Plattformen. :contentReference[oaicite:14]{index=14}

Einen breiteren Vergleich der beiden Betriebsfrequenzkategorien finden Sie im Leitfaden von Syntek125-kHz- vs. 13,56-MHz-ZugangsberechtigungsnachweiseBietet zusätzlichen Kontext.

Eine praktische Auswahlreihenfolge ist: installiertes Lesegerät → genaue Ausweistechnologie → Identifikator- oder Anwendungsdaten → Authentifizierungsmethode → Sicherheitsmodell → Migrationsplan → Produktionsspezifikation.

MIFARE vs. Proximity-Karten: Schneller Vergleich

Die Sicherheitszeile ist diejenige, die am ehesten zu stark vereinfacht wird. MIFARE sollte nicht als einzelne „Hochsicherheitskarte“ behandelt werden. Classic, Plus und DESFire verfügen über unterschiedliche Architekturen und Funktionen, und die Art und Weise, wie das Zugangssystem diese Funktionen nutzt, ist ebenso wichtig wie der Chipname.

Was bedeutet „Proximity-Karte“ bei der Zugangskontrolle?

In einer breiteren technischen Sprache kann Nähe die kontaktlose Interaktion über kurze{0}}Reichweiten beschreiben. Beim Kauf von physischem-Zugang bezieht sich „Prox-Karte“ jedoch üblicherweise auf einen herkömmlichen 125-kHz-Ausweis.

Ein vereinfachter Legacy-Zugriffspfad könnte wie folgt aussehen:

125-kHz-Zugangsdaten → kompatibles Lesegerät → Zugangsdatennummer oder -format → Controller → Zugangsentscheidung

Das wichtige Beschaffungsdetail ist, dass „125 kHz“ den Berechtigungsnachweis nicht vollständig beschreibt. Der Controller erwartet möglicherweise auch eine bestimmte Kartennummernstruktur, einen Einrichtungs-/Standortcode, ein bestimmtes Bitformat oder eine bestimmte Leserausgabe.

Syntek listet beide auf125-kHz-Proximity-Clamshell-Kartenund breiterRFID-Zugangskontrollkarten-, aber die Auswahl des Ersatzes sollte immer noch von der Spezifikation des installierten Lesegeräts und Controllers ausgehen und nicht vom Aussehen der Karte.

Was ist eine MIFARE-Karte?

MIFARE ist eine kontaktlose Produktfamilie von NXP und keine universelle Ausweisspezifikation. Diese Unterscheidung ist bei der Zugangskontrolle wichtig, da sich zwei Karten mit dem Namen MIFARE in der Speicherorganisation, den Sicherheitsmechanismen, der Authentifizierung und dem Anwendungsmodell unterscheiden können. :contentReference[oaicite:15]{index=15}

Käufer können Synteks Übersicht über ein lesenRFID-Smartcardund es ist verfügbarMIFARE-Zugangskartenfür den Kontext auf Produktebene-, aber eine Zugriffsspezifikation sollte die genaue Chipfamilie und das erforderliche Systemverhalten identifizieren.

Die Kompatibilität des Lesegeräts steht vor der Kartenpräferenz

Ein reines 125-kHz---Lesegerät ist nicht mit einem 13,56-MHz-MIFARE-Ausweis kompatibel, da die Karten die gleichen Abmessungen im ISO---Stil haben.

Führen Sie vor dem Ändern der Anmeldeinformationen eine Bestandsaufnahme der installierten Lesegeräte durch und notieren Sie Folgendes:

• Hersteller und Modell des Lesegeräts;
• unterstützte Frequenz(en);
• unterstützte Berechtigungsfamilien;
• Firmware oder Konfiguration, sofern relevant;
• Leser-zu-Controller-Schnittstelle;
• aktueller Einrichtungs-/Standortcode und Kartenformat, sofern zutreffend;
• Länge und Darstellung der Kennung, die von der Zugangsplattform erwartet werden;
• ob das System eine öffentliche Kennung oder authentifizierte Anwendungsdaten verwendet.

SynteksRFID-Zugangskontrollleser-Seite undRichtlinien zur RFID-BetriebsfrequenzBereitstellung zusätzlicher Produkt- und Frequenzkontexte.

Häufigkeit ist nicht dasselbe wie Anmeldeinformationsformat

Migrationen der Zugriffskontrolle schlagen oft fehl, weil zwei unterschiedliche Datenschichten so behandelt werden, als wären sie gleich.

Die erste Ebene ist die RF-Interaktion von Anmeldeinformationen-zu-Lesern. Eine 125-kHz-Karte und eine 13,56-MHz-MIFARE-Karte nutzen unterschiedliche Funktechnologien.

Die zweite Schicht ist das, was das Lesegerät an den Controller oder die Zugangsplattform liefert. Dieser Wert kann je nach Leser- und Zugriffskontrollkonfiguration normalisiert, neu formatiert oder zugeordnet werden.

Daher kann es so aussehen, als würden zwei Karten in der Software ähnlich aussehende Zahlen erzeugen, während sie auf der RF-Ebene völlig inkompatibel sind. Umgekehrt kann es sein, dass ein neues Lesegerät eine MIFARE-Karte erfolgreich erkennt, deren Kennung dem Controller aber dennoch in einem anderen Format als dem von der vorhandenen Datenbank erwarteten Format vorlegt.

Kennungszuordnung vor Massenneuausgabe einfrieren

„Die gleiche Kartennummer beibehalten“ ist keine vollständige Migrationsvorgabe.

Bevor Sie neue Anmeldeinformationen importieren oder erstellen, dokumentieren Sie, wie die Zugriffsplattform die Darstellung von Identifikatoren erwartet. Je nach System können relevante Fragen sein:

• Handelt es sich bei dem Quellwert um eine UID, eine Anwendungsanmeldeinformations-ID oder ein anderes Feld?
• Welche Kennungslänge wird akzeptiert?
• Wird der Wert hexadezimal, dezimal oder in einer anderen Darstellung gespeichert?
• Wendet die Anwendung eine bestimmte Bytereihenfolge an?
• Werden führende Nullen beibehalten?
• Erwartet der Verantwortliche eine Aufteilung von Einrichtungs-/Standortcode und Kartennummer?
• Stellt eine Dual-{0}}-Technologiekarte zwei separate Identitäten offen, die demselben Benutzerdatensatz zugeordnet werden müssen?

Diese Details sollten der tatsächlichen Zugangsplattform und der genehmigten Migrationsspezifikation entnommen werden. Sie sollten nicht anhand der aufgedruckten Nummer auf einem alten Abzeichen erraten werden.

Die Sicherheit hängt davon ab, was das System tatsächlich authentifiziert

Der Vergleich „Nähe ist unsicher; MIFARE ist sicher“ ist zu weit gefasst, um eine ernsthafte Entscheidung zur Zugriffskontrolle zu stützen.

Zugriff auf statische Kennungen

Viele ältere Prox-Bereitstellungen verwenden hauptsächlich eine Anmeldeinformations-ID. Der Leser erkennt die Anmeldeinformationen und übergibt eine Kennung an das Zugriffskontrollsystem.

Die allgemeine Sicherheitslage hängt dann von mehr als der Karte ab: Zugangsdatenverwaltung, Leser-/Controller-Design, Sperrung, Überwachung, physische Sicherheit und administrative Kontrollen.

MIFARE wird nur als Kennung verwendet

Ein leistungsfähigerer Smartcard-IC kann weiterhin in einer einfachen Identifikator--Architektur eingesetzt werden.

Wenn ein Zugangsleser lediglich einen offengelegten Identifikator liest und niemals die geschützten Authentifizierungs- oder Anwendungsvorgänge ausführt, die durch den ausgewählten Berechtigungsnachweis unterstützt werden, erhält das Projekt nicht automatisch die volle Sicherheitsfunktion dieses Chips.

Authentifizierter Smartcard-Antrag

Eine ordnungsgemäß konzipierte MIFARE-Anwendung kann geschützte Anwendungsdaten, Authentifizierung, kryptografische Schlüssel und sichere Nachrichten verwenden, sofern dies vom ausgewählten Produkt unterstützt wird.

In der aktuellen MIFARE DESFire EV3-Dokumentation von NXP werden AES-Unterstützung, Authentifizierung auf Anwendungsebene-, mehrere Schlüssel und mehrere Schlüsselsätze als Sicherheitsfunktionen aufgeführt. Diese Funktionen hängen immer noch vom Leser, dem Schlüsselverwaltungsmodell und der Anwendungskonfiguration ab.Technische Informationen zu NXP MIFARE DESFire EV3dokumentiert die verfügbaren IC-Funktionen. :contentReference[oaicite:16]{index=16}

Sicherheit ist eine Systemeigenschaft, kein Chip-Label

NIST SP 800-98 behandelt RFID-Sicherheit als ein Design- und Betriebsproblem auf Systemebene-und nicht als reines Tag-Problem. DerNIST-RFID-Sicherheitsrichtlinieumfasst die Planung, Implementierung und den Betrieb von RFID-Systemen. :contentReference[oaicite:17]{index=17}

Für die Leser-{0}}zu-Controller-Ebene: die Security Industry AssociationÖffnen Sie das Supervised Device Protocolunterstützt überwachte Kommunikation und Secure Channel-Schutz zwischen Zugriffskontrollgeräten. Die aktuellen Implementierungsrichtlinien von SIA empfehlen ausdrücklich Secure Channel, wenn OSDP verwendet wird. :contentReference[oaicite:18]{index=18}

Synteks Leitfaden zuRFID-Datensicherheitkann die umfassendere interne Sicherheitsdiskussion unterstützen.

Wichtige Managementfragen, die Käufer stellen sollten

Sobald ein Projekt über den reinen UID--Zugriff hinausgeht, wird die Schlüsselverwaltung Teil der Kaufspezifikation.

Die DESFire EV3-Architektur von NXP unterstützt mehrere Anwendungsschlüssel und mehrere Schlüsselsätze, was verdeutlicht, warum „die Karte unterstützt AES“ keine ausreichende Information ist, um die Bereitstellung zu definieren. :contentReference[oaicite:19]{index=19}

Klären Sie vor der Personalisierung oder Massenproduktion Folgendes:

• Wem gehören die Produktions- und Anwendungsschlüssel?
• Wer ist berechtigt, Ausweise zu personalisieren?
• Wird vom Lieferanten-kontrollierte, vom Kunden-kontrollierte oder gemeinsam verwaltete Personalisierung verwendet?
• Werden Karten in einem bekannten Initialisierungszustand geliefert?
• Wie werden Ersatzanmeldeinformationen bereitgestellt?
• Können Schlüssel geändert werden, wenn sich Verantwortlichkeiten oder Systeme ändern?
• Wie werden Schlüsselversionen und Anwendungskonfiguration dokumentiert?
• Wie werden Produktions-, Test- und Live-Umgebung getrennt?
• Wer kann das Anmeldeinformationsprogramm wiederherstellen, wenn der ursprüngliche Personalisierungsanbieter nicht mehr verfügbar ist?

Die Antwort hängt von der Zugriffskontrollplattform und der Sicherheitsarchitektur ab. Käufer sollten keine vertraulichen Produktionsschlüssel anfordern, austauschen oder in gewöhnlichen Grafiktabellen oder informellen E-Mail-Threads speichern.

MIFARE Classic, Plus und DESFire sind unterschiedliche Kaufentscheidungen

MIFARE Classic EV1

NXP ist aktuellMIFARE Classic EV1 Produktseitelistet das Produkt als aktiv, aber „nicht empfohlen für neue Designs“ auf und weist Designer auf einen neueren Ersatz hin. Das bedeutet nicht, dass jedes installierte Classic-System sofort den Betrieb einstellen muss; Das bedeutet, dass ein neues Projekt nicht „Classic“ auswählen sollte, nur weil „MIFARE“ neuer klingt als 125 kHz Prox. :contentReference[oaicite:20]{index=20}

MIFARE Plus EV2

NXP-PositionenMIFARE Plus EV2als Upgrade-Pfad für bestehende Bereitstellungen. Die aktuelle Spezifikation umfasst ein Sicherheitsstufenkonzept für Migration und AES-128-Authentifizierung sowie sicheres Messaging auf höheren Sicherheitsstufen. :contentReference[oaicite:21]{index=21}

MIFARE DESFire EV3

DESFire EV3 ist für den sicheren Einsatz in mehreren{1}Anwendungen konzipiert und bietet Funktionen wie AES-128, gegenseitige Authentifizierung und flexible Anwendungs-/Schlüsselstrukturen. Das Vorhandensein dieser Fähigkeiten beweist nicht, dass ein bestimmtes Zugangssystem sie nutzt; Leser- und Anwendungsunterstützung bleiben obligatorisch. :contentReference[oaicite:22]{index=22}

Wann sollten Sie die 125-kHz-Nähe beibehalten und wann sollten Sie umziehen?

Die Wahrung der Nähe kann rational sein

Ein herkömmlicher 125-kHz-Ausweis kann betrieblich sinnvoll bleiben, wenn die installierte Leserbasis groß und stabil ist, die geschützte Umgebung über ein akzeptiertes Risikomodell verfügt, Kompatibilität die unmittelbare Geschäftspriorität ist oder der Standort für eine spätere Migration geplant ist.

Die bewusste Fortführung einer Legacy-Technologie unterscheidet sich von der Annahme, dass sie das gleiche Sicherheitsmodell bietet wie ein authentifiziertes modernes Smartcard-System.

Der Umstieg auf MIFARE kann sinnvoll sein

Ein geeigneter Berechtigungsnachweis für die MIFARE-Familie wird relevanter, wenn das Projekt geschützte Anwendungsdaten, authentifizierte Kartenleser-Interaktion, Multi-{2}Anwendungsfähigkeit, moderne Berechtigungsverwaltung oder einen definierten Weg weg von der veralteten Infrastruktur, die nur aus Identifikatoren besteht, erfordert.

Für die Entscheidung bedarf es noch einer genauen Produktfamilie und unterstützten Anwendung. „MIFARE“ allein bleibt für eine Ausschreibung zu weit gefasst.

Planen Sie die Migration in fünf kontrollierten Phasen

Wenn während des Übergangs eine gemischte Technologie erforderlich ist, listet Syntek Folgendes auf:Dual--Frequenz-RFID-Leserund aDual--Frequenz-RFID-Kartezu den verwandten Site-Produkten.

Duale-Technologie-Anmeldeinformationen können Unterbrechungen reduzieren

Mit einem Dual-{0}Technologie-Berechtigungsnachweis können eine ältere 125-kHz-Technologie und eine neuere HF-Smartcard-Technologie in derselben physischen Karte untergebracht werden.

HID ist aktuellMIFARE DESFire EV3 + Prox-Anmeldeinformationenist ein echtes Branchenbeispiel. HID positioniert es als eine Möglichkeit, die Interoperabilität mit älteren 125-kHz-Lesegeräten während der Migration auf eine DESFire-basierte Infrastruktur aufrechtzuerhalten. :contentReference[oaicite:23]{index=23}

Das bedeutet nicht, dass die beiden Technologien notwendigerweise dieselbe Kennung offenlegen oder denselben Sicherheitsprozess verwenden. Die Zugriffskontrolldatenbank sollte die Anmeldeinformationsidentitäten explizit dem vorgesehenen Benutzerdatensatz zuordnen.

Duale Technologie ist am nützlichsten, wenn es einen Ausstiegsplan gibt. Sobald ein Standort keine veraltete 125-kHz-Unterstützung mehr benötigt, sollte das Migrationsteam entscheiden, ob dieser ältere Akzeptanzpfad weiterhin aktiviert bleiben soll.

Illustratives Migrationsszenario: Drei Bürogebäude

Das folgende Szenario dient der Veranschaulichung und wird nicht als Kundenfall dargestellt.

Ein Unternehmen betreibt drei Bürogebäude. Gebäude A verfügt weiterhin nur über 125-kHz--Lesegeräte. Gebäude B verfügt über Lesegeräte, die sowohl die alten Berechtigungsnachweise als auch die neue Smartcard-Technologie unterstützen können. Gebäude C wurde bereits auf die Ziel-MIFARE-Umgebung aktualisiert.

Anstatt jede Tür und jeden Ausweis an einem Wochenende auszutauschen, erfasst das Unternehmen zunächst jeden Leser und jede Tür. Eine begrenzte Mitarbeitergruppe erhält doppelte -Technologie-Zertifizierungen. Während des Pilotprojekts ordnet die Zugangsdatenbank beide Anmeldetechnologien demselben Mitarbeiterkonto zu, während das Team überprüft, welche Komponente in jedem Gebäude akzeptiert wird.

Das Pilotprojekt gilt nicht allein deshalb als erfolgreich, weil der neue Ausweis Gebäude C öffnet. Das Team überprüft außerdem Folgendes:

• Ältere Türen funktionieren während der genehmigten Übergangsfrist weiterhin;
• neue Anmeldeinformationen werden an modernisierten Türen wie vorgesehen authentifiziert;
• widerrufene Anmeldeinformationen werden abgelehnt;
• Bei Ersatzkarten bleibt der alte Berechtigungsnachweis nicht aktiv.
• Durch die Identifikatorzuordnung werden keine doppelten Benutzerdatensätze erstellt.
• Support-Mitarbeiter können erkennen, ob ein Problem mit der Karte, dem Lesegerät, der Kartierung oder der Zutrittsberechtigung zusammenhängt.

Nachdem Gebäude A aktualisiert wurde und alle erforderlichen Benutzer migriert wurden, kann die Legacy-Akzeptanz für die Außerbetriebnahme überprüft werden, anstatt auf unbestimmte Zeit aktiviert zu bleiben.

Definieren Sie Akzeptanzkriterien für die Migration vor der Einführung

Ein breiteres Validierungs-Framework finden Sie im Syntek-Leitfaden zuPrüfung von RFID-Systemen.

Genehmigen Sie ein für die Produktion-äquivalentes Anmeldeinformationsmuster

Ein Migrationspilot sollte sich nicht nur auf eine unbedruckte Entwicklungskarte verlassen.

Das der Produktion-äquivalente Muster sollte die beabsichtigte Reihenfolge darstellen in:

• genaue Chipfamilie;
• Formfaktor des Ausweises;
• Personalisierungsstatus;
• Identifikator/Anwendungskonfiguration;
• Drucken und variable Daten;
• Leserkompatibilität;
• Backend-Mapping;
• Umtausch- und Widerrufsverhalten.

Wenn variabler Druck, Mitarbeiternummern, QR-Codes oder andere sichtbare Daten erforderlich sind, finden Sie hier den Leitfaden von SyntekRFID-Druckkann die Planung von Grafiken und Daten-dateien unterstützen.

Für die Chargeninspektion bietet Syntek einen Überblick überQualitätsprüfgeräteBietet zusätzlichen Fertigungs--QC-Kontext.

Was Sie Ihrem Kartenlieferanten vor der Bestellung mitteilen sollten

Projekte, die eine individuelle Kartenkonstruktion, einen Druck, eine Personalisierung oder eine kontrollierte Produktion erfordern, können bei Syntek weitergeführt werdenOEM- und ODM-ProduktionInformationen, sobald die technische Spezifikation definiert ist.

Häufige Kauffehler

Behandeln Sie jede 13,56-MHz-Karte als MIFARE-kompatibel

Die Frequenz definiert nicht das vollständige Protokoll, die Chipfamilie oder die Anwendung. Bestätigen Sie die genaue Leser- und Anmeldeinformationsunterstützung.

Wir behandeln jede MIFARE-Karte als gleich sicher

Classic, Plus und DESFire verfügen über unterschiedliche Sicherheitsarchitekturen und Bereitstellungsmodelle. NXP markiert Classic EV1 derzeit als nicht für neue Designs empfohlen, während Plus EV2 und DESFire EV3 unterschiedliche Migrations- und Sicherheitsfunktionen bieten. :contentReference[oaicite:24]{index=24}

Ersetzen von Karten ohne Einfrieren der Kennungszuordnung

Eine lesbare Karte kann in der Produktion immer noch scheitern, wenn Leser und Backend sich über die UID-Darstellung, das Kartenformat oder die Benutzerzuordnung nicht einig sind.

Kauf eines sicheren Chips, aber Verwendung nur einer öffentlichen Kennung

Die Leistungsfähigkeit des ausgewählten Chips und das implementierte Authentifizierungsmodell sind separate Fragen.

Nutzung dualer Technologie ohne alten-Rentenplan

Dual-{0}Frequenz-Lesegeräte und Dual-{1}Technologiekarten können Unterbrechungen reduzieren, aber die Migration sollte dennoch festlegen, wann alte Technologie nicht mehr benötigt wird.

Abschließende Empfehlung

Der praktische Unterschied zwischen MIFARE und Proximity-Karten ist größer als 13,56 MHz gegenüber 125 kHz.

Eine zuverlässige Entscheidung zur Zugriffskontrolle-sollte Folgendes beantworten:

• Welche Lesegeräte sind eigentlich verbaut?
• Welche Berechtigungsfamilien werden unterstützt?
• Welche Kennung oder geschützten Daten verwendet die Anwendung?
• Führt das Lesegerät eine echte Authentifizierung durch oder liest es nur eine Kennung?
• Wer kontrolliert die Smartcard-Schlüssel und die Personalisierung?
• Wie wird die Leser-{0}}zu-Kommunikation geschützt?
• Wie werden alte und neue Anmeldeinformationen während der Migration nebeneinander bestehen?
• Welche Beweise müssen bestanden werden, bevor der Legacy-Zugriff eingestellt wird?

Bei einer bestehenden Bereitstellung mit geringem Risiko und einer großen 125-kHz-Installationsbasis kann die Beibehaltung der alten Prox-Anmeldeinformationen für einen definierten Zeitraum eher eine betriebliche Entscheidung als ein Fehler sein.

Bei einer neuen Bereitstellung oder einem Sicherheitsupgrade können ordnungsgemäß implementierte Anmeldeinformationen der modernen MIFARE--Familie Authentifizierung, geschützte Anwendungsdaten und eine flexiblere Verwaltung der Anmeldeinformationen unterstützen. Der Wert ergibt sich aus dem vollständigen Design und nicht aus dem auf der Spezifikation aufgedruckten MIFARE-Namen.

Installiertes Lesegerät → genaue Zugangsdaten → Ident-/Anwendungsdaten → Authentifizierung → Schlüssel → Systemsicherheit → Migrationsarchitektur → Produktionsmuster → Abnahmetest.

Sobald die Lesermodelle, die Zielanmeldeinformationen, die Identifikatorregeln, der Authentifizierungsansatz, der Migrationsplan, die Grafik, die Menge und die Akzeptanzanforderungen definiert sind, können Käufer dies tunFordern Sie ein Muster oder Angebot anfür projektspezifische-Bewertungen.