근접 카드와 스마트 카드: 주요 차이점, 보안 위험 및 선택 방법

이 가이드에서는 각 카드의 작동 방식, 보안이 부족한 Prox 카드의 위치, 현재 실행 중인 유형을 식별하는 방법, 현실적인 업그레이드 비용, 어떤 기술이 어떤 환경에 적합한지 다룹니다.

근접 카드 작동 방식

근접 카드는 다음과 같이 작동하는 수동적, 비접촉식 자격 증명입니다.125kHz(낮은 주파수). 호환되는 리더 근처에 하나를 대면 리더의 전자기장이 카드의 내부 안테나 코일에 전력을 공급합니다. 칩이 깨어나 고정 식별 번호 -(일반적으로 26-비트 Wiegand 형식으로 인코딩된 시설 코드 및 카드 번호)를 브로드캐스팅한 후 조용해집니다. 배터리도 없고, 접촉도 없고, 단일 방송을 넘어서는 상호작용도 없습니다.

 

카드에는 매우 적은 양의 데이터가 저장됩니다. 대략 64비트의 데이터로 두 식별자에 충분하며 그 외에는 아무것도 저장되지 않습니다. 처리 기능도 없고 암호화도 없습니다. 공격자가 생성한 필드를 포함하여 카드가 125kHz 필드 -에 들어갈 때마다 동일한 ID가 전송됩니다. 리더-와-컨트롤러 통신 링크(Wiegand 프로토콜)도 암호화되지 않습니다.

 

125kHz 근접 카드일반적으로 신용-카드-크기의 PVC 카드 또는 소형 전자열쇠로 제공됩니다. 저렴하고 설치가 간단합니다. -단일-리더 설정에는 카드측 소프트웨어 구성이 필요하지 않습니다-. 이러한 단순성은 보안 한계가 무시하기 어려워졌음에도 불구하고 시장에서 오랫동안 지속된 이유이기도 합니다.

 

일반적인 응용 분야: 건물 입구, 주차 장벽, 개찰구 및 암호로 신원을 확인하는 대신 출입문을 기록하는 것이 목표인 모든 환경.

 

스마트 카드의 작동 방식 - 및 근본적으로 다른 이유

스마트 카드는 다음에서 작동합니다.13.56MHz(고주파) 코일과 패시브 칩뿐만 아니라 내장형 마이크로프로세서 -를 포함합니다. 호환되는 판독기에 표시되면 자격 증명 데이터가 변경되기 전에 두 장치는 암호화 핸드셰이크를 실행합니다. 카드는 리더의 요청에 대한 응답을 계산하고, 리더는 그에 대한 대가로 동일한 작업을 수행하며, 어느 쪽도 나중에 재생할 수 있는 고정 ID를 전송하지 않습니다.

 

카드 자체에서 계산이 이루어지기 때문에 민감한 자격 증명 데이터는 읽을 수 있는 형식으로 남길 필요가 없습니다. 독자는 암호화된 신원 증명을 받습니다. Prox 카드 시스템에는 전혀 없는 이러한 상호 인증이 스마트 카드 보안의 기초입니다.

또한 스마트 카드는 프록시 카드보다 훨씬 더 많은 용량을 저장하며 - 일반적으로 칩에 따라 2KB ~ 72KB를 저장하고 - 여러 동시 애플리케이션을 지원합니다. 싱글ISO 14443A 스마트 카드건물 출입 증명서, 워크스테이션 로그인 증명서, 식당 결제 프로필, 시간-및-출석 기록을 휴대할 수 있습니다. Prox 카드에는 그 어떤 것도 담을 수 없습니다.

 

출입 통제 스마트 카드의 주요 표준은 다음과 같습니다.ISO/IEC 14443- 비접촉 결제 카드에 사용되는 것과 동일한 사양입니다. 일반적인 칩 제품군에는 MIFARE Classic, MIFARE DESFire EV2/EV3 및 HID iCLASS가 포함됩니다. MIFARE Classic에 대한 참고 사항: Radboud University의 연구원들은 2008년에 MIFARE Classic의 독점 Crypto-1 암호가 키 복구 공격에 취약하다는 것을 입증했습니다.- DESFire EV2 및 EV3는 AES 암호화를 사용하며 새로운 배포를 위한 최신 세대의 보안 옵션입니다.

 

스마트 카드는 표준 PVC 카드, 전자열쇠, 의료 및 이벤트 환경에서 - - 손목 밴드로 사용할 수 있습니다.RFID 손목밴드13.56MHz 스마트 카드 칩을 기반으로 하는 이 제품은 병원, 테마파크, 여름 캠프에서 어린이용 손목 밴드로 사용됩니다. 직원들은 비접촉식 편리함과 카드를 관리할 수 없는 미성년자를 위한 안정적인 신원 확인이 필요합니다.

 

주요 차이점 요약

해당 테이블의 두 항목은 좀 더 자세한 내용을 알 필요가 있습니다.OSDP(개방형 감독 장치 프로토콜)리더-에서-컨트롤러 링크에 대한 Wiegand의 최신 대체품입니다. 대부분의 프록시 카드 시스템은 1980년대의 암호화되지 않은 직렬 프로토콜인 Wiegand -를 사용합니다. OSDP는 이를 AES-128로 암호화된 양방향 통신으로 대체합니다. OSDP를 지원하는 스마트 카드 리더는 카드 복제 위험뿐만 아니라 Wiegand 가로채기 취약점을 완전히 차단합니다.원격 해지또 다른 과소평가된 이점은 스마트 카드를 분실하거나 직원이 퇴사하는 경우 카드 관리 시스템이 모든 문에서 동시에 자격 증명을 무효화할 수 있다는 것입니다. 프록시 카드 자격 증명은 각 컨트롤러 데이터베이스 -에서 수동으로 제거해야 하며 해당 단계가 지연되는 경우 자격 증명은 활성 상태로 유지됩니다.

보안 격차: 위험의 실제 모습

근접 카드의 근본적인 문제는 구조적 문제입니다. 그들은 공격자가 생성한 것을 포함하여 모든 125kHz 전자기장 -에 고정된 암호화되지 않은 ID를 브로드캐스팅합니다. 세 가지 실제 공격 벡터는 해당 설계에서 직접적으로 따릅니다.

 

카드 복제.125kHz 읽기/쓰기 장치는 시중에서 구입할 수 있으며 사용하기 쉽습니다. Prox 카드 자격 증명을 읽는 데는 몇 초가 걸립니다. 빈 카드에 쓰려면 몇 가지가 더 필요합니다. 생성된 복제본은 원본과 전기적으로 구별할 수 없습니다. 카드 소지자에게는 이러한 일이 발생했다는 표시가 없으며 액세스 로그에는 정상적인 스캔이 표시됩니다.

 

Wiegand 차단.카드 복제가 어떻게든 방지되더라도 리더와 컨트롤러 사이의 Wiegand 링크는 일반 텍스트로 전송됩니다. 판독기 인클로저 - 내부 또는 뒤, 벽과 판독기 - 사이에 설치된 소형 장치는 통과하는 모든 자격 증명을 자동으로 기록할 수 있습니다. 눈에 보이는 조작이나 시스템 경고가 없습니다.

 

자동 취소가 되지 않습니다.위에서 언급한 바와 같이, 전직 직원의 프록시 카드 자격증명은 누군가가 모든 관련 컨트롤러에서 수동으로 제거할 때까지 유효한 상태로 유지됩니다. 실제로 이러한 격차는 며칠 또는 몇 주 만에 측정되는 경우가 많습니다.

 

근접 카드 공격은 작동상 조용합니다. 복제된 자격 증명은 합법적인 사용자와 동일한 액세스 로그 항목을 생성합니다. 다른 사항이 검토를 트리거할 때까지 변칙 사항이나 경고가 발생하지 않으며 조사도 이루어지지 않는 경우가 많습니다. 스펙시트에는 나오지 않는 부분입니다.

지갑에 저장된 Prox 카드에 대한 즉각적인 수동적 보호를 원하는 조직의 경우RFID 차단 카드리더 측에서 Wiegand 가로채기 문제를 해결하는 데는 아무런 영향을 미치지 않지만 기회주의적 검색 -에 대해 일부 완화 기능을 제공합니다.

 

현재 어떤 카드를 가지고 있는지 확인하는 방법

업그레이드를 계획하기 전에 시설에서 실제로 어떤 기술이 실행되고 있는지 알아야 합니다.

1 - 단계 스마트폰 검사.NFC 도구(무료, Android)를 설치하고 카드를 휴대폰 뒷면에 평평하게 대세요. 앱이 칩 데이터를 읽는다면 이는 13.56MHz 스마트 카드입니다. 아무 일도 일어나지 않으면 Android NFC가 읽을 수 없는 125kHz 프록시 카드인 것이 거의 확실합니다.

2 - 단계 실제 검사.강한 빛 아래에서 카드를 잡으세요. 스마트 카드는 안테나 코일과 칩 레이어의 그림자인 희미한 내부 윤곽선-을 표시하는 경우가 많습니다. Prox 카드는 균일해 보입니다. 앞면에 보이는 금색 또는 은색 접촉 패드는 정부 PIV 카드에서 흔히 볼 수 있는 접촉{4}}모드 스마트 카드 기능을 나타냅니다.

3 - 단계 리더 사양 시트.설치된 리더기의 모델 번호를 찾아보세요. 데이터 시트에는 지원되는 주파수가 나열되어 있습니다. "125kHz", "HID Prox", "EM4100" 또는 "TK4100"은 프록시를 의미합니다. "13.56MHz", "MIFARE", "ISO 14443" 또는 "iCLASS"는 스마트 카드를 의미합니다. 둘 다 나타나면 이미 이중-주파수 하드웨어가 있는 것입니다.

 

비용: 현실적인 관점

모든 수치는 2024~2025년 기준의 대략적인 수치입니다. 예산을 책정하기 전에 공급업체와 현재 가격을 확인하세요.

• 125kHz 근접 카드: 카드당 $1~$5
• MIFARE Classic 스마트 카드: 카드당 $2~$6
• MIFARE DESFire EV3 / iCLASS SEOS: 카드당 $6–$20+
• 근접식 카드 리더기: 문당 $50~$200
• 스마트 카드 리더기: 문당 $80~$300
• 이중-주파수 판독기(두 가지 카드 유형 모두 읽기): 문당 $100–$400

 

프록시 카드와 보급형 스마트 카드 사이의-카드당 비용 격차는-대부분의 사람들이 기대하는 것보다 작습니다. - 자격 증명당 약 $1~$3입니다. 더 큰 초기 비용은 리더 하드웨어입니다. 이것이 바로 듀얼-주파수 판독기가 대부분의 마이그레이션에 대한 실질적인 시작점이 되는 이유입니다. 스마트 카드가 병렬로 발급되는 동안 기존 프록스 카드는 계속 작동하여 일일 액세스 중단을 방지합니다.

총 비용 계산에는 프록시 카드 보안 사고로 인해 실제로 - 자격 증명 교체, 조사 및 규제 보고에 드는 비용도 포함되어야 합니다. 이 수치는 수년간의 스마트 카드 인프라 투자를 초과할 수 있습니다.

어떤 기술이 어떤 환경에 적합합니까?

건강 관리. Smart cards are the practical choice. Clinical environments need physical access control (medication rooms, restricted areas) and logical access control (EHR workstation login) on the same credential. HIPAA audit requirements align with smart card access logging. 액세스 제어 리더두 기능을 모두 지원하는 것은 현대 병원 건물의 표준입니다. 소아과 및 산부인과 병동에서는 스마트 카드 칩을 사용하는 RFID 어린이 손목 밴드를 사용하여 직원이 환자를 추적하고 무단 퇴실을 방지할 수 있습니다. - 동일한 자격 증명 인프라를 직접 운영하는 것입니다.

정부.PIV(개인 신원 확인) 카드, 아래에 필요함FIPS 201정부 시스템에 액세스하는 연방 직원을 위한 스마트 카드입니다. 근접 카드는 HSPD-12 또는 그 후속 프레임워크를 충족하지 않습니다. 유사한 규정 준수 요건에 따라 운영되는 비연방 기관도 동일한 방향을 따라야 합니다.

고등 교육.대학에서는 기숙사 출입, 도서관 서비스, 대중교통 이용권, 식사 계획에 하나의 카드를 사용하는 경우가 많습니다. 싱글MIFARE 1K 스마트 카드여러 가지를 동시에 처리할 수 있습니다. Prox 카드는 불가능합니다.

기업.SOC 2 Type II 또는 ISO 27001에 따른 조직은 기본적으로 스마트 카드를 사용해야 합니다. Wiegand- 기반 프록시 시스템은 보안 감사에서 규제 대상 데이터를 처리하는 환경에 적합하지 않은 것으로 점점 더 많이 지적되고 있습니다.

위험도가 낮은-광고.소규모 사무실, 단일 창고 또는 문 뒤에 민감한 데이터가 없는 저장 시설 - 프록시 카드는 여기에서 비용 효율적으로 유지됩니다-. 위협 모델은 이 규모의 스마트 카드 인프라 비용을 정당화하지 않습니다.

 

마이그레이션 계획: 효과적인 5단계

전체를{0}}완전히 교체하고-교체할 필요는 거의 없습니다. 대부분의 조직은 새로운 자격 증명이 도입되는 동안 기존 자격 증명을 유효하게 유지하는 이중{3}}주파수 인프라를 사용하여 점진적으로 마이그레이션합니다.

 

1. 시스템을 감사하십시오.시설의 모든 리더에 대한 사양 시트를 가져옵니다. 어떤 도어 컨트롤러가 Wiegand와 OSDP를 사용하는지, 그리고 어떤 리더가 펌웨어-업그레이드가 가능한지 확인하세요. 현재 사용 중인 모든 카드 형식을 나열합니다.

2. 먼저 리더를 교체하십시오.각 문에 이중{0}}주파수 모델을 배포합니다.이중-주파수 자격 증명리더는 전환 기간 동안 프록시 카드가 계속 작동하도록 허용합니다. - 롤아웃 기간 동안 액세스가 중단되지 않습니다.

3. 고위험 사용자에게 먼저 스마트 카드를 발급합니다.-임원, IT 관리자, 서버실 및 데이터 센터 액세스 권한 보유자 -는 1차 웨이브에서 마이그레이션되어야 합니다. 에이13.56MHz 전자열쇠선호하는 사용자를 위한 카드 형식으로도 작동합니다.

4. 프록시 카드 종료 날짜를 설정하세요.특정 날짜 - 일반적으로 90~180일 - 이후에 125kHz 자격 증명이 더 이상 허용되지 않음을 전달합니다. 안등록 독자나머지 사용자 집단에 대한 대량 발급을 단순화합니다.

5. 이중-주파수 리더에서 125kHz를 비활성화합니다.모든 사용자가 스마트 카드를 갖게 되면 저주파 사용자 인증 정보를 거부하도록 리더기를 구성하세요-. 이렇게 하면 프록시 카드 공격 표면이 영구적으로 닫힙니다.

 

규제된 환경에 있는 조직의 경우,NIST SP 800-116 개정판. 1PIV-준수 물리적 및 논리적 액세스 자격 증명 프로그램에 대한 자세한 구현 지침을 제공합니다.

 

모바일 자격 증명은 어떻습니까?

NFC 또는 저전력 블루투스-를 통해 스마트폰에 액세스 자격 증명을 저장하는 모바일 자격 증명-이 기업 환경에서 주목을 받고 있습니다. 운영 사례는 실제입니다. 물리적 카드를 건드리지 않고도 자격 증명을 원격으로 발급, 수정 및 취소할 수 있으며 이는 대규모 또는 분산된 인력을 관리하는 조직에 중요합니다.

 

절충안도 현실입니다. 모바일 자격 증명은 장치 배터리 상태, OS 호환성 및 MDM 인프라에 따라 달라집니다. 규제된 환경이나 높은-보안 경계에는 아직 보편적으로 적합하지 않습니다. 현재 대부분의 조직에서 스마트 카드는 검증된 중간 지점으로 남아 있습니다. - prox 카드보다 더 안전하고, 모바일 전용 배포보다 더 광범위하게 호환되며- 성숙한 리더 및 관리 소프트웨어 생태계의 지원을 받습니다.

 

결론

근접 카드는 디자인되었을 때 의미가 있었습니다. 간단하고 내구성이 뛰어나며 저렴하며 - 위험도가 낮은 환경에서는 여전히 그렇습니다. 주변의 보안 환경이 바뀌었습니다. Prox 카드를 복제하는 데는 이제 수십 달러의 비용이 들고 몇 분이 걸립니다. 이러한 비대칭성은 중요한 자산을 보호하는 시설에 대해 정당화하기 어렵습니다.

스마트 카드는 기업 예산용으로 예약된 업그레이드가 아닙니다. 보급형-레벨 MIFARE 스마트 카드는 기본 prox 카드보다 단위당 비용이 약간 높을 뿐이며 리더 비용 격차는 마이그레이션을 중단 없이 유지하는 이중-주파수 하드웨어로 메울 수 있습니다.- 가장 먼저 취할 가치가 있는 단계는 실제로 문 뒤에 무엇이 있는지에 대한 정직한 평가와 - 복도에서 자동으로 복사할 수 있는 자격 증명이 이를 보호하는 데 적합한 도구인지 여부를 평가하는 것입니다.

표준 카드,RFID 열쇠 고리, 또는실리콘 팔찌의료 및 이벤트 애플리케이션용 - Syntek은 모든 주요 칩 제품군에 걸쳐 125kHz 및 13.56MHz 형식을 모두 제공합니다. 특정 자격 증명 요구 사항에 대해 논의하려면 팀에 문의하세요.