MIFARE와 근접 카드 비교: 보안, 호환성 및 마이그레이션

이 가이드에서는근접 카드물리적 액세스 제어에서 일반적으로 prox 카드라고 불리는 레거시 125kHz 자격 증명을 의미합니다. 예를 들어 HID의 현재 Proximity 포트폴리오는 명시적으로 125kHz 저주파-주파수 물리적-액세스 자격 증명 제품군으로 포지셔닝되어 있습니다.HID 근접식 제품 정보현재 업계 사례를 제공합니다. :contentReference[oaicite:13]{색인=13}

MIFARE는 다릅니다. 이는 ISO/IEC 14443 기술을 기반으로 하며 액세스 관리를 포함한 애플리케이션에 사용되는 NXP의 비접촉식 스마트{1}}카드 제품군입니다. MIFARE 이름은 하나의 칩이나 하나의 보안 수준이 아닌 여러 제품군을 포괄합니다.NXP의 MIFARE 포트폴리오현재 Classic, Plus, DESFire 및 추가 MIFARE 플랫폼이 포함되어 있습니다. :contentReference[oaicite:14]{색인=14}

두 가지 작동-주파수 범주를 더 폭넓게 비교하려면 Syntek의 가이드를 참조하세요.125kHz 대 13.56MHz 액세스-제어 자격 증명추가 컨텍스트를 제공합니다.

실질적인 선택 순서는 리더기 설치 → 정확한 크리덴셜 기술 → 식별자 또는 애플리케이션 데이터 → 인증 방식 → 보안 모델 → 마이그레이션 계획 → 생산 사양 순이다.

MIFARE 대 근접 카드: 빠른 비교

보안 행은 지나치게 단순화될 가능성이 가장 높은 행입니다. MIFARE는 하나의 "고급-보안 카드"로 취급되어서는 안 됩니다. Classic, Plus 및 DESFire는 아키텍처와 기능이 다르며 액세스 시스템이 이러한 기능을 사용하는 방식은 칩 이름만큼 중요합니다.

출입 통제에서 "근접 카드"는 무엇을 의미합니까?

더 넓은 기술 용어로 근접성은 단거리-비접촉식 상호작용을 의미할 수 있습니다. 그러나 물리적-액세스 구매에서 '프록스 카드'는 일반적으로 기존 125kHz 자격 증명을 나타냅니다.

단순화된 레거시 액세스 경로는 다음과 같습니다.

125kHz 자격증명 → 호환 리더 → 자격증명 번호 또는 형식 → 컨트롤러 → 액세스 결정

중요한 조달 세부 사항은 "125kHz"가 자격 증명을 완전히 설명하지 않는다는 것입니다. 컨트롤러는 특정 카드-번호 구조, 시설/사이트 코드, 비트 형식 또는 리더 출력을 기대할 수도 있습니다.

Syntek은 두 가지를 모두 나열합니다.125kHz 근접식 클램셸 카드그리고 더 넓게RFID 액세스-제어 카드그러나 교체 선택은 여전히 ​​카드 외관보다는 설치된 리더 및 컨트롤러 사양에서 시작되어야 합니다.

MIFARE 카드란 무엇입니까?

MIFARE는 단일 범용 자격 증명 사양이 아닌 NXP 비접촉식 제품군입니다. MIFARE 이름을 지닌 두 카드는 메모리 구성, 보안 메커니즘, 인증 및 애플리케이션 모델이 다를 수 있으므로 액세스 제어에서는 이러한 구별이 중요합니다. :contentReference[oaicite:15]{색인=15}

구매자는 Syntek의 개요를 검토할 수 있습니다.RFID 스마트 카드그리고 이용 가능해요MIFARE 액세스 카드제품-수준의 상황에 따라 다르지만 액세스 사양은 필요한 정확한 칩 제품군과 시스템 동작을 식별해야 합니다.

리더 호환성은 카드 기본 설정보다 우선합니다.

125kHz-전용 리더는 카드의 ISO-스타일 크기가 동일하므로 13.56MHz MIFARE 자격 증명과 호환되지 않습니다.

자격 증명을 변경하기 전에 설치된 리더기의 목록을 작성하고 다음을 기록하십시오.

• 리더 제조업체 및 모델;
• 지원되는 주파수 또는 주파수;
• 지원되는 자격 증명 계열;
• 해당하는 경우 펌웨어 또는 구성
• 리더---컨트롤러 인터페이스;
• 해당하는 경우 현재 시설/현장 코드 및 카드 형식
• 액세스 플랫폼에서 예상되는 식별자 길이 및 표현
• 시스템이 공개 식별자를 사용하는지 아니면 인증된 애플리케이션 데이터를 사용하는지 여부.

신텍의RFID 액세스-제어 리더페이지와RFID 작동 주파수 지침추가 제품 및 주파수 컨텍스트를 제공합니다.

빈도는 자격 증명 형식과 동일하지 않습니다.

두 개의 서로 다른 데이터 계층이 동일한 것처럼 처리되기 때문에 액세스 제어 마이그레이션이 실패하는 경우가 많습니다.

첫 번째 계층은 판독기 RF 상호작용에 대한-인증서입니다.- 125kHz 카드와 13.56MHz MIFARE 카드는 서로 다른 무선 기술을 사용합니다.

두 번째 계층은 리더기가 컨트롤러나 액세스 플랫폼에 전달하는 것입니다. 해당 값은 리더 및 액세스{1}}제어 구성에 따라 정규화되거나 형식이 다시 지정되거나 매핑될 수 있습니다.

따라서 두 개의 카드가 소프트웨어에서는 비슷하게 보이는 숫자를 생성하는 것처럼 보일 수 있지만 RF 계층에서는 완전히 호환되지 않습니다. 반대로, 새로운 리더는 MIFARE 카드를 성공적으로 감지할 수 있지만 여전히 기존 데이터베이스에서 예상하는 것과 다른 형식으로 해당 식별자를 컨트롤러에 제공할 수 있습니다.

대량 재발행 전 식별자 매핑 동결

"동일한 카드 번호 유지"는 완전한 마이그레이션 사양이 아닙니다.

새 자격 증명을 가져오거나 제조하기 전에 액세스 플랫폼에서 식별자가 어떻게 표시될 것으로 예상하는지 문서화하세요. 시스템에 따라 관련 질문은 다음과 같습니다.

• 소스 값이 UID, 애플리케이션 자격 증명 ID 또는 다른 필드입니까?
• 허용되는 식별자 길이는 얼마입니까?
• 값이 16진수, 10진수 또는 다른 표현으로 저장되어 있습니까?
• 애플리케이션이 특정 바이트 순서를 적용합니까?
• 선행 0이 유지됩니까?
• 관제사는 시설/현장 코드와 카드-번호 분할을 기대합니까?
• 이중-기술 카드는 동일한 사용자 기록에 매핑되어야 하는 두 개의 별도 ID를 노출합니까?

이러한 세부 정보는 실제 액세스 플랫폼과 승인된 마이그레이션 사양에서 가져와야 합니다. 오래된 배지에 인쇄된 숫자로 추측해서는 안 됩니다.

보안은 시스템이 실제로 인증하는 내용에 따라 달라집니다.

"근접성은 안전하지 않습니다. MIFARE는 안전합니다"라는 비교는 너무 광범위하여 심각한 액세스 제어 결정을 뒷받침할 수 없습니다.{0}}

정적 식별자 액세스

많은 레거시 Prox 배포에서는 주로 자격 증명 식별자를 사용합니다. 리더는 자격 증명을 인식하고 식별자를 액세스 제어 시스템에 전달합니다.-

그러면 전반적인 보안 상태는 카드 그 이상, 즉 자격 증명 관리, 리더/컨트롤러 설계, 해지, 모니터링, 물리적 보안 및 관리 제어에 따라 달라집니다.

MIFARE는 식별자로만 사용됩니다.

더 많은 기능을 갖춘 스마트{0}}카드 IC를 단순한 식별자 전용 아키텍처에 배포할 수 있습니다.-

액세스 리더가 노출된 식별자를 읽기만 하고 보호된 인증이나 선택한 자격 증명이 지원하는 애플리케이션 작업을 수행하지 않는 경우 프로젝트는 해당 칩에서 사용할 수 있는 전체 보안 기능을 자동으로 얻지 못합니다.

인증된 스마트-카드 신청

적절하게 설계된 MIFARE 애플리케이션은 선택한 제품이 지원하는 경우 보호된 애플리케이션 데이터, 인증, 암호화 키 및 보안 메시징을 사용할 수 있습니다.

NXP의 최신 MIFARE DESFire EV3 문서에는 보안 기능 중 AES 지원, 애플리케이션{1}}수준 인증, 다중 키 및 다중 키 세트가 나열되어 있습니다. 이러한 기능은 여전히 ​​리더, 키{3}}관리 모델 및 애플리케이션 구성에 따라 달라집니다.NXP MIFARE DESFire EV3 기술 정보사용 가능한 IC 기능을 문서화합니다. :contentReference[oaicite:16]{색인=16}

보안은 칩 라벨이 아닌 시스템 속성입니다.

NIST SP 800-98은 RFID 보안을 태그만의 문제가 아닌 시스템{2}}수준 설계 및 운영 문제로 취급합니다. 그만큼NIST RFID 보안 지침RFID 시스템의 계획, 구현 및 운영을 다룹니다. :contentReference[oaicite:17]{색인=17}

리더{0}}부터-컨트롤러 레이어까지 보안 산업 협회의개방형 감독 장치 프로토콜액세스 제어 기기 간 감독 통신 및 보안 채널 보호를 지원합니다-. SIA의 현재 구현 지침에서는 특히 OSDP를 사용할 때 보안 채널을 권장합니다. :contentReference[oaicite:18]{색인=18}

Syntek의 가이드RFID 데이터 보안더 광범위한 내부 보안 논의를 지원할 수 있습니다.

구매자가 물어봐야 할 주요 관리 질문

프로젝트가 UID-전용 액세스 수준을 넘어서면 키 관리가 구매 사양의 일부가 됩니다.

NXP의 DESFire EV3 아키텍처는 여러 애플리케이션 키와 여러 키 세트를 지원합니다. 이는 "카드가 AES를 지원합니다"가 배포를 정의하는 데 정보가 충분하지 않은 이유를 보여줍니다. :contentReference[oaicite:19]{색인=19}

개인화 또는 대량 생산 전에 다음 사항을 명확히 하십시오.

• 프로덕션 및 애플리케이션 키는 누가 소유합니까?
• 자격 증명을 개인화할 권한이 있는 사람은 누구입니까?
• 공급업체가 통제하거나, 고객이 통제하거나, 공동으로 관리하는- 개인화 기능이 사용됩니까?
• 카드는 알려진 초기화 상태로 제공됩니까?
• 대체 자격 증명은 어떻게 프로비저닝되나요?
• 책임이나 시스템이 변경되면 키도 변경될 수 있나요?
• 키 버전과 애플리케이션 구성은 어떻게 문서화되나요?
• 프로덕션, 테스트 및 라이브 환경은 어떻게 분리됩니까?
• 원래 개인화 제공업체를 더 이상 이용할 수 없는 경우 누가 자격 증명 프로그램을 복구할 수 있습니까?

대답은 액세스 제어 플랫폼과 보안 아키텍처에 따라 다릅니다.- 구매자는 일반 작품 스프레드시트나 비공식 이메일 스레드에서 민감한 제작 키를 요청, 교환 또는 저장해서는 안 됩니다.

MIFARE Classic, Plus 및 DESFire는 구매 결정이 다릅니다

MIFARE 클래식 EV1

NXP의 현재MIFARE Classic EV1 제품 페이지제품을 활성 상태로 표시하지만 "새로운 디자인에는 권장되지 않음"을 표시하고 디자이너에게 새로운 교체품을 제시합니다. 그렇다고 해서 설치된 모든 Classic 시스템이 즉시 작동을 중단해야 한다는 의미는 아닙니다. 이는 단순히 "MIFARE"가 125kHz Prox보다 최신으로 들린다는 이유만으로 새 프로젝트에서 클래식을 선택해서는 안 된다는 의미입니다. :contentReference[oaicite:20]{색인=20}

MIFARE 플러스 EV2

NXP 포지션MIFARE 플러스 EV2기존 배포에 대한 업그레이드 경로로 사용됩니다. 현재 사양에는 마이그레이션을 위한 보안 수준 개념과 AES-128 인증, 더 높은 보안 수준의 보안 메시징이 포함되어 있습니다. :contentReference[oaicite:21]{색인=21}

MIFARE DESFire EV3

DESFire EV3는 안전한 다중 애플리케이션 사용을 위해 설계되었으며 AES-128, 상호 인증 및 유연한 애플리케이션/키 구조를 포함한 기능을 제공합니다. 이러한 기능이 있다고 해서 특정 액세스 시스템이 해당 기능을 사용한다는 것을 증명하는 것은 아닙니다. 리더 및 애플리케이션 지원은 여전히 ​​필수입니다. :contentReference[oaicite:22]{색인=22}

언제 125kHz 근접성을 유지해야 하며 언제 이동해야 합니까?

근접성을 유지하는 것이 합리적일 수 있습니다.

기존 125kHz 자격 증명은 설치된 리더 기반이 크고 안정적이고, 보호되는 환경에 위험 모델이 허용되고, 호환성이 즉각적인 비즈니스 우선순위이거나, 사이트가 나중에 마이그레이션될 예정인 경우 운영상 합리적인 상태를 유지할 수 있습니다.

기존 기술을 고의로 계속 사용하는 것은 인증된 최신 스마트 카드 시스템과 동일한 보안 모델을 제공한다고 가정하는 것과 다릅니다.{0}}

MIFARE로 전환하는 것이 합리적입니다

프로젝트에 보호된 애플리케이션 데이터, 인증된 카드 리더기 상호 작용, 다중-애플리케이션 기능, 최신 자격증명 관리 또는 기존 식별자-전용 인프라에서 벗어나 정의된 경로가 필요한 경우 적합한 MIFARE- 제품군 자격증명의 관련성이 더욱 높아집니다.

결정에는 여전히 정확한 제품군과 지원되는 애플리케이션이 필요합니다. "MIFARE" 자체는 RFQ에 비해 너무 광범위합니다.

5가지 제어 단계로 마이그레이션 계획

전환 중에 혼합 기술이 필요한 경우 Syntek은 다음을 나열합니다.이중-주파수 RFID 리더그리고이중-주파수 RFID 카드관련 사이트 제품 중

이중-기술 자격 증명으로 중단을 줄일 수 있음

이중{0}}기술 자격 증명은 기존 125kHz 기술과 최신 HF 스마트{2}}카드 기술을 동일한 물리적 카드에 배치할 수 있습니다.

HID의 현재MIFARE DESFire EV3 + Prox 자격 증명실제 업계 사례 중 하나입니다. HID는 이를 DESFire- 기반 인프라로 마이그레이션하는 동안 레거시 125kHz 리더와의 상호 운용성을 유지하는 방법으로 포지셔닝합니다. :contentReference[oaicite:23]{색인=23}

이는 두 기술이 반드시 동일한 식별자를 노출하거나 동일한 보안 프로세스를 사용한다는 의미는 아닙니다. 액세스{1}제어 데이터베이스는 자격 증명 ID를 의도된 사용자 기록에 명시적으로 매핑해야 합니다.

이중 기술은 출구 계획이 있을 때 가장 유용합니다. 사이트에 더 이상 레거시 125kHz 지원이 필요하지 않으면 마이그레이션 팀은 이전 수용 경로를 계속 활성화해야 하는지 여부를 결정해야 합니다.

예시적인 마이그레이션 시나리오: 사무실 건물 3개

다음 시나리오는 설명을 위한 것이며 고객 사례로 제시되지 않습니다.

한 회사가 3개의 사무실 건물을 운영하고 있습니다. 건물 A에는 여전히 125kHz-리더만 있습니다. B 건물에는 기존 자격증명과 새로운 스마트{4}}카드 기술을 모두 지원할 수 있는 리더가 있습니다. C 건물은 이미 대상 MIFARE 환경으로 업그레이드되었습니다.

주말에 모든 문과 모든 배지를 바꾸는 대신 회사는 먼저 각 판독기와 문을 기록합니다. 제한된 직원 그룹은 이중-기술 자격 증명을 받습니다. 파일럿 기간 동안 액세스 데이터베이스는 두 자격 증명 기술을 동일한 직원 계정에 매핑하는 반면 팀은 각 건물에서 어떤 구성 요소가 허용되는지 확인합니다.

단순히 새 배지가 건물 C를 열었다는 이유만으로 파일럿이 성공한 것으로 간주되지는 않습니다. 팀에서는 다음 사항도 확인합니다.

• 기존 문은 승인된 전환 기간 동안 계속 작동합니다.
• 새로운 자격 증명은 업그레이드된 문에서 의도한 대로 인증됩니다.
• 취소된 자격 증명은 거부됩니다.
• 교체 카드는 이전 자격 증명을 활성 상태로 유지하지 않습니다.
• 식별자 매핑은 중복된 사용자 기록을 생성하지 않습니다.
• 지원 담당자는 문제가 카드, 리더, 매핑 또는 액세스 권한에 속하는지 여부를 알 수 있습니다.

건물 A가 업그레이드되고 필요한 모든 사용자가 마이그레이션된 후에는 무기한 활성화된 상태로 유지되지 않고 폐기를 위해 레거시 승인을 검토할 수 있습니다.

롤아웃 전 마이그레이션 허용 기준 정의

더 광범위한 검증 프레임워크를 보려면 Syntek의 가이드를 참조하세요.RFID 시스템 테스트.

프로덕션-동등한 자격증명 샘플 승인

마이그레이션 파일럿은 인쇄되지 않은 개발 카드에만 의존해서는 안 됩니다.

프로덕션에 해당하는-샘플은 다음과 같은 의도된 순서를 나타내야 합니다.

• 정확한 칩 제품군;
• 자격 증명 폼 팩터;
• 개인화 상태;
• 식별자/애플리케이션 구성
• 인쇄 및 가변 데이터;
• 독자 호환성;
• 백엔드 매핑;
• 교체 및 해지 동작.

가변 인쇄, 직원 번호, QR 코드 또는 기타 시각적 데이터가 필요한 경우 Syntek의 가이드RFID 인쇄예술작품과 데이터{0}}파일 계획을 지원할 수 있습니다.

일괄 검사를 위해 Syntek의 개요는 다음과 같습니다.품질 검사 장비추가적인 제조-QC 컨텍스트를 제공합니다.

주문하기 전에 카드 공급업체에 보낼 내용

맞춤형 카드 구성, 인쇄, 개인화 또는 생산 관리가 필요한 프로젝트는 Syntek에서 계속할 수 있습니다.OEM 및 ODM 생산기술 사양이 정의되면 정보를 제공합니다.

일반적인 구매 실수

모든 13.56MHz 카드를 MIFARE-호환 가능으로 처리

주파수는 전체 프로토콜, 칩 제품군 또는 애플리케이션을 정의하지 않습니다. 정확한 리더와 자격 증명 지원을 확인하세요.

모든 MIFARE 카드를 동등하게 안전하게 취급

Classic, Plus 및 DESFire는 서로 다른 보안 아키텍처와 배포 모델을 가지고 있습니다. NXP는 현재 Classic EV1을 새로운 설계에 권장되지 않는 것으로 표시하고 있으며 Plus EV2와 DESFire EV3는 다른 마이그레이션 및 보안 기능을 제공합니다. :contentReference[oaicite:24]{색인=24}

식별자 매핑을 동결하지 않고 카드 교체

리더와 백엔드가 UID 표현, 카드 형식 또는 사용자 매핑에 대해 동의하지 않으면 읽기 가능한 카드가 프로덕션에서 실패할 수 있습니다.

보안 칩을 구입했지만 공개 식별자만 사용

선택한 칩의 기능과 구현된 인증 모델은 별개의 질문입니다.

기존-은퇴 계획 없이 이중 기술 사용

이중-주파수 판독기와 이중{1}}기술 카드는 중단을 줄일 수 있지만 이전 기술이 더 이상 필요하지 않은 시기는 마이그레이션을 통해 정의해야 합니다.

최종 권고사항

MIFARE와 근접식 카드의 실질적인 차이는 13.56MHz 대 125kHz보다 큽니다.

신뢰할 수 있는 액세스{0}}제어 결정은 다음 사항에 답해야 합니다.

• 실제로 어떤 리더가 설치되어 있나요?
• 어떤 자격증 계열을 지원합니까?
• 애플리케이션은 어떤 식별자 또는 보호된 데이터를 사용합니까?
• 리더가 실제 인증을 수행합니까, 아니면 식별자만 읽습니까?
• 스마트 카드 키와 맞춤 설정은 누가 관리하나요?
• 리더{0}}와-컨트롤러 간 통신은 어떻게 보호되나요?
• 마이그레이션 중에 이전 자격 증명과 새 자격 증명이 어떻게 공존합니까?
• 레거시 액세스가 중단되기 전에 어떤 증거를 통과해야 합니까?

대규모 125kHz 설치 기반을 갖춘 기존 저위험 배포의 경우{0}}정해진 기간 동안 레거시 Prox 사용자 인증 정보를 계속 유지하는 것은 오류가 아니라 운영상의 결정일 수 있습니다.

새로운 배포 또는 보안 업그레이드의 경우 적절하게 구현된 최신 MIFARE{0}} 제품군 자격 증명은 인증, 보호된 애플리케이션 데이터 및 보다 유연한 자격 증명 관리를 지원할 수 있습니다. 그 가치는 사양에 인쇄된 MIFARE 이름이 아닌 전체 설계에서 비롯됩니다.

설치된 리더 → 정확한 자격 증명 → 식별자/애플리케이션 데이터 → 인증 → 키 → 시스템 보안 → 마이그레이션 아키텍처 → 프로덕션 샘플 → 승인 테스트.

독자 모델, 대상 자격 증명, 식별자 규칙, 인증 접근 방식, 마이그레이션 계획, 아트워크, 수량 및 승인 요구 사항이 정의되면 구매자는 다음을 수행할 수 있습니다.샘플이나 견적을 요청하세요프로젝트별-평가용입니다.