Eine RFID-Karte für Zugangskontrolle und Anwesenheit: Checkliste für ID/IC-Zuordnung und Rollout

Ein Unternehmen kann jedem Mitarbeiter einen RFID-Ausweis ausstellen und erhält dennoch zwei widersprüchliche Identitäten: eine Nummer, die an der Tür registriert wird, und eine andere Nummer, die von der Stechuhr erwartet wird. Der Ausweis funktioniert möglicherweise am Eingang, erfasst aber die Anwesenheit nicht, oder die Uhr akzeptiert ihn, während das Zugangskontrollsystem einen unbekannten Ausweis anzeigt.

Die Lösung dieses Problems erfordert mehr als die Wahl zwischen einer „ID-Karte“ und einer „IC-Karte“. Definieren Sie einen stabilen Personendatensatz, identifizieren Sie, was jeder Leser ausgibt, ordnen Sie alle autorisierten Anmeldeinformationen dieser Person zu und testen Sie Zugriff und Anwesenheit als separate Geschäftsereignisse.

Dieser Leitfaden richtet sich an Facility Manager, HR- und IT-Teams, Integratoren und Organisationen, die RFID-Karten sowohl für Türen als auch für die Zeit- und Anwesenheitskontrolle ausstellen. Es umfasst Identitätszuordnung, häufige Fehlerbedingungen, Akzeptanztests und Kaufspezifikationen und nicht einen weiteren allgemeinen Kartenvergleich.

 

 

Ein Badge bedeutet nicht automatisch eine Ausweisnummer

In einigen Märkten"Ausweis"bezeichnet einen einfachen 125-kHz-Proximity-Ausweis, wie z. B. bestimmte Karten der EM-Serie mit fester -Kennung-, und„IC-Karte“bedeutet eine kontaktlose 13,56-MHz-Smartcard. Hierbei handelt es sich um informelle Marktbezeichnungen, nicht um allgemeingültige technische Klassifizierungen. Beide Produkte enthalten einen integrierten Schaltkreis. In anderen Zusammenhängen kann eine IC-Karte auch eine kontaktbehaftete Smartcard sein.

Die relevante Frage für die Mitarbeiterausweise ist, welche Anmeldeinformationen die tatsächlichen Tür- und Stechuhrleser unterstützen. Ein Nur-125-kHz--Lesegerät kann einen Nur-13,56-MHz--Ausweis nicht lesen, nur weil beide ein PVC-Kartengehäuse verwenden. Ein kompatibler -Frequenz-HF-Leser erkennt möglicherweise eine Smartcard, kann aber trotzdem nicht die erforderliche Anwendung oder das Anmeldeinformationsformat verwenden.

Für den umfassenderen Technologie- und Kaufvergleich bietet Syntek'sLeitfaden IC-Karte vs. ID-Kartekümmert sich um diese Entscheidung. Auf dieser Seite geht es darum, dafür zu sorgen, dass ein Badge auf zwei Betriebssystemen konsistent funktioniert.

 

 

Trennen Sie die Person, die physische Karte und die Systemzugangsdaten

Ein funktionsfähiges Dual-Use-System enthält mehrere unterschiedliche Datensätze. Sie als austauschbar zu behandeln, führt zu Problemen, wenn jemand die Abteilung wechselt oder einen Ausweis verliert.

Tür- und Anwesenheitskennungen können manchmal den gleichen technischen Wert haben. Sie können sich auch in Byte-Darstellung, Länge, Anwendung oder sogar HF-Technologie unterscheiden. Aus einem Bild oder einer aufgedruckten Zahl auf der Karte sollte kein Ergebnis abgeleitet werden.

Es folgt eine stabile Konstruktioneine Person → eine oder mehrere autorisierte Referenzen → unabhängige Tür- und Anwesenheitsberechtigungen. Durch den Austausch der Karte sollte kein zweiter Mitarbeiterdatensatz entstehen.

 

 

Inventarisieren Sie beide Leserpopulationen, bevor Sie Karten bestellen

Viele Gebäude verfügen über neuere Haupteingangsleser und ältere Anwesenheitsterminals. Erhalten Sie den Hersteller, das Modell und die relevante Konfiguration jedes wesentlich unterschiedlichen Lesertyps.

Verwenden Sie eine nachweislich-gut autorisierte Karte für eine repräsentative Einheit jeder Gerätefamilie. Erfassen Sie den Wert wie in der autorisierten Anwendung angezeigt, behalten Sie führende Nullen bei und dokumentieren Sie die dezimale oder hexadezimale Darstellung. Gehen Sie nicht davon aus, dass die aufgedruckte Kartennummer vom Controller gespeichert wird.

 

 

Warum das gleiche Abzeichen zwei verschiedene Zahlen anzeigen kann

Die Firmware des Lesegeräts kann einen Teil einer Chip-ID extrahieren, ein Kartenformat anwenden, die Bytereihenfolge umkehren oder eine konvertierte Zahl anzeigen. Eine moderne Smartcard-Implementierung kann stattdessen eine Authentifizierung durchführen und einen Anmeldeinformationswert von einer geschützten Anwendung abrufen.

Beispielsweise kann eine Türanlage speichernDOOR_TOKEN_Aund ein Anwesenheitssystem kann sich registrierenCLOCK_TOKEN_B. Beide symbolischen Referenzen können dazu gehörenPERSON_RECORD_1. Sie brauchen eine kontrollierte Verbindung, keine erfundene Regel, die sie dazu zwingt, der HR-Nummer des Mitarbeiters zu entsprechen.

Wenn ein Einrichtungscode und ein Kartennummernbereich verwendet werden, dokumentieren Sie dieses Layout und validieren Sie die resultierende Ausgabe. Zwei Systeme, die „26-Bit“-Unterstützung anbieten, sind nicht unbedingt für die Interpretation identischer Anmeldeinformationsfelder konfiguriert.

 

 

Wählen Sie eine Technologiearchitektur, die zu den installierten Systemen passt

NXP MIFARE DESFire EV3verfügt über kryptografische und Multianwendungsfunktionen, diese Funktionen sind jedoch nur verfügbar, wenn das unterstützende Lesegerät, die Schlüssel und die Anwendung korrekt konfiguriert sind. Das Lesen einer öffentlichen UID auf einem leistungsfähigen Chip ist nicht gleichbedeutend mit der Authentifizierung geschützter Anmeldedaten.

Für Kartenbeschaffung und Konstruktionsoptionen bietet Syntek'sKategorie der RFID-Karteist das kommerzielle Ziel. Dieser Leitfaden ersetzt nicht die Kaufaufgabe auf der Produktseite.

 

 

Erstellen Sie vor der Massenregistrierung ein genehmigtes Mapping-Register

Die Beziehung zwischen Personal und Ausweisen erfordert einen verantwortlichen Eigentümer und eine Prüfhistorie. Eine kontrollierte Anmeldeinformationsregistrierung kann in einer Anmeldeinformationsverwaltungsplattform oder einer genehmigten Integration vorhanden sein. Vermeiden Sie es, sich auf eine unversionierte Tabelle zu verlassen, die per E-Mail zwischen den Einrichtungen und der Personalabteilung verschickt wird.

Bewahren Sie die persönlichen Daten und Gehaltsdaten Ihrer Mitarbeiter in geschützten Geschäftssystemen auf, anstatt sie auf den Ausweisen abzulegen, nur weil ein beschreibbarer Chip Speicher bietet. Beschränken Sie die Zuordnung-Dateifreigabe auf autorisierte Administratoren.

 

 

Zutrittsveranstaltungen sind keine Anwesenheitsveranstaltungen

Eine autorisierte Türöffnung ist nicht unbedingt ein gültiger Arbeitszeitstempel. Jemand kann ein Gebäude betreten, um Ausrüstung abzuholen, sich zwischen Standorten zu bewegen oder einen Besucher zu begleiten. Ein Stechuhr-Stempel kann ohne entsprechende Türaktivität gültig sein.

• Zugangsantrag:Bestimmt, ob der registrierte Ausweis an einer Tür und zu einem bestimmten Zeitpunkt berechtigt ist.
• Teilnahmeantrag:empfängt Stempel--Stempel--Stempel--Stempel- und Ausnahmeereignisse gemäß den Richtlinien der Organisation.
• HR-/Lohnabrechnungsprozess:validiert Zeitpläne, Korrekturen und Arbeitsstunden -unabhängig.

Wenn das Unternehmen möchte, dass mit einem Fingertipp beide Ereignisse generiert werden, muss die Integration beide Ereignisse explizit erstellen und validieren. Es sollte niemals davon ausgegangen werden, dass der Protokolleintrag eines Türlesers allein die geleisteten Arbeitsstunden beweist.

 

 

Verwenden Sie Dual-Technologiekarten nur mit einem geplanten Endzustand

Bei einem schrittweisen Einsatz können alte 125-kHz-Lesegeräte an den Anwesenheitsstationen und neue 13,56-MHz-Lesegeräte an den Türen vorhanden sein oder umgekehrt. Ein physischer Ausweis mit zwei Technologien kann die Lücke schließen, wenn beide Ausweissysteme die tatsächliche Chipkombination unterstützen.

Diese Karte kann zwei verschiedene elektronische Identifikatoren enthalten. Jeder muss mit derselben autorisierten Person verknüpft und auf dem richtigen Gerät verifiziert sein. HID-AngebotemultiCLASS-Technologie-Migrationsinformationen; Die praktische Kompatibilität hängt immer noch von der installierten Leserkonfiguration und der Zugangsplattform ab.

Legen Sie ein Datum oder eine explizite Bedingung für die Einstellung der Legacy-Akzeptanz fest. Eine moderne kryptografische Karte hat einen begrenzten Sicherheitswert, wenn ihre ältere Seite mit fester-ID auf unbestimmte Zeit ein akzeptierter Ausweis bleibt, ohne dass eine genehmigte geschäftliche Notwendigkeit vorliegt.

 

 

Testen Sie die Verbindung zwischen Reader- und-Controller als separate Ebene

Diagnostizieren Sie Fehler nacheinander. Wenn das Lesegerät den Ausweis nicht erkennt, überprüfen Sie die Häufigkeit, das Protokoll und die unterstützte Anmeldeinformationsfamilie. Wenn der Leser reagiert, die Zugriffssoftware jedoch den Zutritt verweigert, überprüfen Sie dessen Ausgabeformat, Zuordnung, Benutzerberechtigungen und Controller-Richtlinie.

Die Verbindung zwischen Lesegerät und Controller ist von der Kartenschnittstelle getrennt. DerOSDP-Checkliste der Security Industry Associationbefasst sich mit der Bereitstellung und Sicherheitsüberprüfung von OSDP{0}}basierten Verbindungen. OSDP und Legacy Wiegand beschreiben Komponentenkommunikation; Beides allein garantiert nicht, dass ein bestimmter Ausweis oder eine IC-Karte mit dem Lesegerät funktioniert.

„Kartenbeschaffung“ sollte nicht als Abkürzung für ein Upgrade der Lese-/Controller-Sicherheit verwendet werden. Dokumentieren Sie solche Infrastrukturänderungen als eigene genehmigte Projektarbeit.

 

 

Akzeptanztests sollten den gesamten Mitarbeiterlebenszyklus verfolgen

Ein erfolgreicher Türöffner und ein erfolgreiches Einstempeln können nicht als Beweis für eine vollständige Implementierung dienen. Testen Sie, wie sich jedes System nach normalen und außergewöhnlichen Personalereignissen verhält.

Einige Plattformen synchronisieren Identität und Anmeldeinformationsstatus. Andere erfordern separate Verwaltungsmaßnahmen. Bestätigen Sie das Verhalten in der Dokumentation und einem kontrollierten Piloten, anstatt automatische Updates zu versprechen.

 

 

Verhindern Sie, dass durch Ersatzkarten parallele aktive Identitäten entstehen

Durch den Austausch entsteht ein besonderes Risiko: Der Türadministrator registriert einen neuen Ausweis, während der Stechuhr-Administrator den alten aktiv lässt. Beide Karten können dann in einer oder beiden Datenbanken als gültig erscheinen.

1. Suchen Sie nach dem maßgeblichen Mitarbeiterdatensatz.
2. Listen Sie aktive Tür- und Anwesenheitsnachweisreferenzen für diese Person auf.
3. Notieren Sie, warum der physische Ausweis ersetzt wurde und ob er zurückgegeben wurde.
4. Registrieren und testen Sie die neuen Kartenreferenzen mithilfe genehmigter Verfahren.
5. Entfernen Sie die alten Referenzen in allen relevanten Systemen.
6. Bestätigen Sie, dass der zurückgezogene Berechtigungsnachweis ggf. verweigert wird.
7. Behalten Sie die Zuordnung und den Änderungsverlauf bei; Bewahren Sie die vorherigen Anwesenheitslisten der Person auf.

Physische Wiederherstellung und elektronischer Widerruf sind unterschiedliche Zustände. Ein fehlender Ausweis kann deaktiviert werden; Ein zurückgegebener Ausweis kann technisch noch berechtigt sein, bis die Zugangsberechtigung tatsächlich entzogen wird.

 

 

Steuern Sie eine komplette Schicht, nicht nur zwei Leserdemonstrationen

Führen Sie das Pilotprojekt genau auf den Lesermodellen und Backend-Anwendungen aus, die in der Produktion erwartet werden. Verwenden Sie genehmigte, nicht-sensible Testdaten und beziehen Sie die Sicherheit, die Personalabteilung und den Integrator in den Abnahmeprozess ein.

1. Grundlinie:Erfassen Sie, wie sich ein bekanntermaßen guter Ausweis an repräsentativen Türen und Stechuhren verhält.
2. Einschreibung:Stellen Sie eine Musterkarte aus und erfassen Sie deren technische Identitäten und Belegschaftszuordnung.
3. Zugang:Überprüfen Sie erlaubte und absichtlich verweigerte Türtransaktionen, einschließlich verschiedener Lesermodelle.
4. Teilnahme:Vergewissern Sie sich, dass Ein- und Ausstempel-Ein- und Ausstempelereignisse unter dem richtigen Personendatensatz angezeigt werden.
5. Ausnahmen:Testen Sie unbekannte Nummern, widersprüchliche Zuordnungen, Ablaufdatum und einen absichtlich widerrufenen Berechtigungsnachweis.
6. Ersatz:Geben Sie eine neue Probe aus und stellen Sie sicher, dass beide Systeme die vorherige Identität zurückziehen.
7. Versöhnung:Vergleichen Sie Prüfprotokolle und Ausnahmewarteschlangen, bevor Sie die Batch-Produktion genehmigen.

Das Unternehmen muss seine eigenen Akzeptanzschwellen festlegen, z. B. welche fehlgeschlagenen Ereignisse die Einführung blockieren und wer eine Ausnahme genehmigen kann. Die Aussage eines Lieferanten, dass eine Karte „erfolgreich gelesen“ wurde, ist kein Beweis dafür, dass Anwesenheitslisten und Türberechtigungen korrekt sind.

 

 

Was in einer ID-/IC-Karten-Kaufanfrage anzugeben ist

Für ein Angebot sind selten rohe Mitarbeiterlisten, vertrauliche Anwendungsschlüssel oder Zugangsdaten für die Live-Produktion erforderlich. Beginnen Sie mit Leserspezifikationen und autorisierten Testmustern und richten Sie dann einen kontrollierten Datenaustauschprozess ein, wenn eine Personalisierung erforderlich ist.

 

 

Wenn die Beibehaltung bestehender Ausweise sinnvoll ist

Wenn es sich bei dem Auftrag um eine Wartungsnachbestellung handelt und beide Anwendungen auf ein bekanntermaßen funktionierendes 125-kHz-Format angewiesen sind, hat möglicherweise die Kontinuität unmittelbare Priorität. Dies sollte nicht als Sicherheitsverbesserung missverstanden werden. Möglicherweise ist noch ein separater Plan erforderlich, um den Risiken fester -Identifikator-Anmeldeinformationen zu begegnen.

Wenn die Organisation authentifizierte Anwendungen oder eine konsolidierte Verwaltung über mehrere Systeme hinweg benötigt, definieren Sie kompatible Lesegeräte, Anmeldeinformationsschlüssel und Identitätsverwaltung, bevor Sie einen Smartcard-Chip auswählen. Für die umfassendere Kosten- und Technologieentscheidung ist Syntek'sKostenführer für 125-kHz- oder 13,56-MHz-Zugangsberechtigungenist die entsprechende angrenzende Ressource.

 

 

Die Übergabe, die dafür sorgt, dass eine Karte funktioniert

Vor der vollständigen Einführung sollte es eine genehmigte Regel für die Zuweisung von Berechtigungsnachweisen von Mitarbeitern{0}}zu-, eine Kompatibilitätsmatrix für Leser{2}, einen Ausstellungs- und Widerrufsprozess sowie Testaufzeichnungen geben, aus denen hervorgeht, dass der Türzugang und die Anwesenheitskontrolle derselben autorisierten Person zuzuordnen sind.

Die nützliche Reihenfolge istPersonendatensatz → Leserbestand → Berechtigungsarchitektur → Identifier-Mapping → Musterausgabe → Türtest → Anwesenheitstest → Austausch- und Widerrufstest → genehmigte Chargenspezifikation → Rollout.

Eine Karte ist ein praktisches physisches Format. Konsistente Identitäten und eine disziplinierte Verwaltung machen es zu einem zuverlässigen gemeinsamen Ausweis.