Wybór standardu kart zbliżeniowych to decyzja, która rzutuje na bezpieczeństwo systemu kontroli dostępu przez cały okres jego eksploatacji. W praktyce sprowadza się ona najczęściej do pytania: pozostać przy sprawdzonym Mifare Classic, czy od razu postawić na DESFire z szyfrowaniem AES. Różnica nie dotyczy wygody codziennego użytkowania, bo karta przyłożona do czytnika działa tak samo, lecz odporności identyfikatora na skopiowanie i podszycie się pod uprawnionego użytkownika. Poniżej wyjaśniamy, czym różnią się poszczególne standardy z rodziny Mifare, jak zachowują się wobec nich czytniki ICT i kiedy warto wybrać wyższy poziom zabezpieczeń.
Mifare Classic – popularny standard z odsłoniętym zabezpieczeniem
Mifare Classic pracuje w paśmie 13,56 MHz i przez lata był domyślnym wyborem w kontroli dostępu ze względu na niską cenę kart oraz szeroką dostępność. Problem w tym, że zastosowany w nim autorski algorytm szyfrujący Crypto1 został złamany już kilkanaście lat temu. Dziś skopiowanie karty Mifare Classic nie wymaga specjalistycznej wiedzy ani drogiego sprzętu, bo wystarczy powszechnie dostępny czytnik-programator i darmowe oprogramowanie, aby odczytać zawartość karty i wykonać jej działający klon.
W praktyce oznacza to, że identyfikator oparty na Mifare Classic należy traktować jak łatwy do podrobienia. Dla obiektu o niskim ryzyku, gdzie karta pełni głównie funkcję porządkową, może to być akceptowalne. Tam jednak, gdzie kontrola dostępu chroni realne wartości, czyli serwerownię, magazyn, strefę produkcyjną czy dane osobowe, poleganie na Classic jest ryzykiem, które trudno uzasadnić.
Mifare Plus i DESFire – co daje szyfrowanie AES
Odpowiedzią producentów na słabości Classic są nowsze standardy oparte na sprawdzonym, publicznie zweryfikowanym szyfrowaniu AES. Mifare Plus pozwala zachować kompatybilność z istniejącą infrastrukturą i stopniowo podnosić poziom bezpieczeństwa, aż do pełnego trybu AES. To rozsądny etap pośredni dla obiektów, które chcą odejść od Crypto1 bez rewolucji w całym systemie.
Najwyższy poziom w tej rodzinie zapewnia DESFire, obecnie w wersjach EV2 i EV3. Karty te używają szyfrowania AES z kluczami dywersyfikowanymi (diversified keys), co oznacza, że każda karta posługuje się unikalnym kluczem wyprowadzonym z klucza głównego i numeru karty. Nawet gdyby udało się skompromitować pojedynczy identyfikator, nie otwiera to drogi do pozostałych kart w systemie. DESFire wspiera też wzajemne uwierzytelnianie karty i czytnika oraz szyfrowaną transmisję, co skutecznie zamyka scenariusze klonowania i podsłuchu, które trywializują Classic.
Kompatybilność czytników ICT z oboma standardami
Istotna dla planowania jest wielostandardowość czytników. Czytniki z platformy ICT obsługują różne technologie kart w ramach jednego urządzenia, co pozwala prowadzić spójną politykę identyfikacji niezależnie od tego, jaki nośnik jest aktualnie w użyciu. Dzięki temu ten sam czytnik może odczytać zarówno starsze karty w okresie przejściowym, jak i nowe identyfikatory DESFire po migracji.
Ta elastyczność ma praktyczne znaczenie, bo inwestor nie jest zmuszony do jednoczesnej wymiany wszystkich kart i wszystkich czytników. Może rozłożyć proces w czasie, a warstwa sprzętowa pozostaje ta sama niezależnie od wybranego oprogramowania zarządzającego. Czytniki i identyfikatory dobierzesz w kategorii Kontrola dostępu i SSWiN, a kontrolery oraz czytniki platformy znajdziesz w linii Protege GX.
Migracja z Mifare Classic do DESFire bez wymiany całej infrastruktury
Przejście z Classic na DESFire nie musi oznaczać jednorazowej, kosztownej wymiany. Typowy scenariusz migracji zakłada kilka kroków:
- Konfiguracja czytników tak, by w okresie przejściowym akceptowały jednocześnie stary i nowy standard.
- Stopniowe wydawanie nowych kart DESFire przy okazji rotacji pracowników i wymiany zniszczonych identyfikatorów.
- Wyznaczenie daty granicznej, po której czytniki przestają akceptować karty Classic.
- Dezaktywacja starego standardu w konfiguracji systemu i wycofanie ostatnich kart Classic.
Taki model pozwala rozłożyć koszt na kilka miesięcy i uniknąć przestoju, a jednocześnie realnie podnieść poziom bezpieczeństwa, gdy tylko ostatnia karta Classic zostanie wycofana.
Koszt kart a realny poziom bezpieczeństwa
Karty DESFire są droższe od Mifare Classic, jednak różnica w cenie jednostkowej identyfikatora jest niewielka w zestawieniu z wartością chronionego mienia i kosztem ewentualnego incydentu. Przy większych zamówieniach koszt kart rozkłada się na lata użytkowania, a wybór wyższego standardu na starcie jest tańszy niż późniejsza migracja pod presją wykrytej podatności. Kalkulując budżet, warto patrzeć nie na cenę pojedynczej karty, lecz na całkowity koszt posiadania systemu oraz na to, ile realnie kosztowałoby naruszenie kontroli dostępu.
Rekomendacja według typu obiektu
Dobór standardu warto powiązać z profilem ryzyka obiektu:
- Obiekty o podwyższonym ryzyku, czyli serwerownie, banki, laboratoria, zakłady przemysłowe i infrastruktura krytyczna: DESFire EV2 lub EV3 jako standard bez kompromisów.
- Biura i budynki komercyjne o średnim ryzyku: DESFire dla stref wrażliwych, dopuszczalny Mifare Plus jako etap pośredni.
- Obiekty niskiego ryzyka, gdzie karta pełni funkcję porządkową: Mifare Plus jako rozsądne minimum, z odejściem od Classic.
W żadnym nowym wdrożeniu nie ma dziś dobrego uzasadnienia dla projektowania systemu wokół Mifare Classic. Skoro sprzęt i tak obsługuje AES, warto od razu wykorzystać jego możliwości.
Nie masz pewności, który standard kart dobrać do swojego obiektu i jak zaplanować ewentualną migrację? Skontaktuj się z nami – pomożemy dopasować czytniki i identyfikatory do profilu ryzyka i skali instalacji.