Kontrola dostępu MIFARE

Czym jest technologia MIFARE w kontroli dostępu?

MIFARE to nazwa rodziny zbliżeniowych układów identyfikacyjnych rozwijanych przez NXP. W systemach kontroli dostępu wykorzystuje się ją do rozpoznawania użytkowników na podstawie kompatybilnej karty, breloka lub innego nośnika. Odczyt odbywa się w paśmie 13,56 MHz, ale sama częstotliwość nie określa jeszcze sposobu komunikacji, organizacji pamięci ani poziomu ochrony danych.

W zależności od projektu system może rozpoznawać jedynie numer seryjny nośnika albo korzystać z informacji zapisanych w pamięci i mechanizmów uwierzytelniania dostępnych w danej rodzinie. To zasadnicza różnica: karta wyposażona w zaawansowane funkcje nie podnosi automatycznie bezpieczeństwa, jeśli czytnik i kontroler wykorzystują tylko łatwo dostępny identyfikator.

MIFARE Classic, Plus, Ultralight i DESFire — czym się różnią?

Rodziny MIFARE różnią się przeznaczeniem, organizacją danych, obsługiwanymi funkcjami i mechanizmami bezpieczeństwa. MIFARE Classic jest spotykany w starszych oraz prostszych instalacjach. NXP wskazuje, że do zastosowań o wyższych wymaganiach bezpieczeństwa należy rozważać rodziny MIFARE Plus lub MIFARE DESFire.

DESFire oferuje w wybranych generacjach i konfiguracjach bardziej rozbudowane zarządzanie aplikacjami, kluczami oraz ochroną komunikacji. Nie oznacza to jednak, że każdy czytnik obsługujący „MIFARE” odczyta DESFire w wymaganym trybie. Urządzenie może rozpoznać wyłącznie numer seryjny, nie mieć dostępu do aplikacji na karcie albo wymagać konfiguracji właściwych kluczy.

Ultralight ma inne zastosowania i możliwości niż Classic czy DESFire, dlatego również nie powinien być traktowany jako uniwersalny zamiennik. Przy zakupie trzeba sprawdzić dokładne oznaczenie rodziny i generacji nośnika oraz listę kart obsługiwanych przez czytnik. Jedna nazwa handlowa nie rozstrzyga, które funkcje będą działać w konkretnym systemie.

Jak dobrać czytnik MIFARE i identyfikatory?

Punktem wyjścia są zgodne czytniki kart i breloków. W dokumentacji należy odszukać rodziny obsługiwanych kart, sposób odczytu, interfejs komunikacyjny i wymagania oprogramowania. Niektóre urządzenia obsługują kilka technologii, inne wyłącznie MIFARE Classic lub określone wersje DESFire.

Dobierając karty, breloki i identyfikatory MIFARE, trzeba porównać rodzaj układu z wymaganiami czytnika. W modernizowanym obiekcie warto ustalić, czy obecne karty są identyfikowane po UID/CSN, czy po danych zapisanych w chronionej pamięci. W drugim przypadku mogą być potrzebne klucze, odpowiedni format danych i właściwe narzędzia do personalizacji.

Kolejnym elementem są kontrolery dostępu, które muszą interpretować dane przekazane przez czytnik. Nawet jeśli karta została prawidłowo odczytana, niewłaściwy format numeru, protokół albo konfiguracja kontrolera może uniemożliwić przyznanie dostępu. W wielodrzwiowych instalacjach trzeba sprawdzić także harmonogramy, grupy użytkowników, historię zdarzeń i ewentualne licencje.

Interfejs komunikacyjny i rzeczywiste bezpieczeństwo

Czytniki MIFARE mogą komunikować się z kontrolerem przez Wiegand, RS-485 albo rozwiązanie właściwe dla producenta. Samo złącze RS-485 nie gwarantuje wspólnego protokołu. Jeżeli projekt wymaga zabezpieczonej komunikacji między czytnikiem i kontrolerem, należy sprawdzić obsługę OSDP oraz poprawną konfigurację Secure Channel po obu stronach.

O bezpieczeństwie systemu decyduje cały łańcuch: rodzina karty, używana metoda odczytu, zarządzanie kluczami, komunikacja z kontrolerem, lokalizacja elementu decyzyjnego oraz procedury administracyjne. Nie należy przedstawiać każdej karty MIFARE jako szyfrowanej w jednakowym stopniu ani zakładać, że sama obecność DESFire oznacza pełne wykorzystanie kryptografii.

Budowa kompletnego przejścia MIFARE

Oprócz czytnika, karty i kontrolera potrzebny jest właściwy element wykonawczy. Elektrozaczepy i zwory elektromagnetyczne należy dobierać do drzwi, wymaganego sposobu otwarcia, napięcia zasilania i poboru prądu. Często potrzebne są również przyciski wyjścia, czujnik stanu drzwi, okablowanie i odpowiednie akcesoria systemów kontroli dostępu.

Jeżeli system powinien pracować podczas zaniku zasilania, projekt może wymagać zasilacza buforowego i właściwie dobranego akumulatora. W obiekcie wielostrefowym należy określić, kto nadaje uprawnienia, jak blokuje zgubione karty oraz w jaki sposób odbywa się migracja identyfikatorów między czytnikami. Drzwi ewakuacyjne i przejścia objęte szczególnymi wymaganiami powinny zostać ocenione przez projektanta lub instalatora.

Najczęściej zadawane pytania o kontrolę dostępu MIFARE

Czy każda karta 13,56 MHz będzie działać z czytnikiem MIFARE?

Nie. Częstotliwość 13,56 MHz jest tylko jednym z warunków współpracy. Czytnik musi obsługiwać konkretną rodzinę i, w razie potrzeby, generację karty oraz wymagany sposób odczytu. MIFARE Classic, DESFire, Plus i Ultralight nie są automatycznie zamienne. Dodatkowo kontroler powinien prawidłowo interpretować format identyfikatora, a przy pracy z chronionymi danymi konieczna może być konfiguracja kluczy.

Czy MIFARE Classic i MIFARE DESFire to ten sam standard?

Nie. To różne rodziny układów należące do ekosystemu MIFARE. Mogą pracować w tym samym paśmie, ale różnią się organizacją danych i dostępnymi mechanizmami ochrony. Czytnik przeznaczony do Classic nie musi obsłużyć DESFire w trybie wymaganym przez system. Nawet odczyt numeru seryjnego obu kart nie oznacza, że urządzenie potrafi korzystać z aplikacji lub chronionych danych na nośniku.

Czy DESFire zawsze oznacza szyfrowaną kontrolę dostępu?

Nie. Wybrane układy DESFire oferują zaawansowane mechanizmy bezpieczeństwa, ale system musi je rzeczywiście wykorzystywać. Jeśli czytnik odczytuje tylko UID/CSN, możliwości chronionej pamięci i uwierzytelniania mogą pozostać niewykorzystane. Trzeba sprawdzić model czytnika, konfigurację kluczy, sposób personalizacji kart oraz zabezpieczenie komunikacji z kontrolerem. Ochrona zależy od całego projektu, a nie od samej nazwy nośnika.

Czy czytnik MIFARE może obsługiwać również karty 125 kHz?

Tak, ale wyłącznie wtedy, gdy producent wyraźnie określa urządzenie jako dwutechnologiczne lub wskazuje obsługę obu częstotliwości. Standardowy czytnik przeznaczony tylko do 13,56 MHz nie odczyta automatycznie identyfikatorów 125 kHz. Podczas migracji systemu należy sprawdzić, jakie rodziny kart są obsługiwane w każdym paśmie i jak kontroler rozróżnia przekazywane identyfikatory.

Jak dodać nową kartę MIFARE do systemu?

Najpierw trzeba potwierdzić, że karta jest zgodna z czytnikiem oraz sposobem identyfikacji w danym systemie. Następnie rejestruje się ją w kontrolerze, terminalu albo aplikacji administracyjnej i przypisuje użytkownikowi odpowiednie przejścia oraz harmonogramy. W bardziej zaawansowanej konfiguracji może być potrzebne zaprogramowanie danych i kluczy. Sam zakup karty nie nadaje jeszcze żadnych uprawnień dostępu.

Czy system MIFARE nadaje się do rejestracji czasu pracy?

Może, jeżeli kontroler, terminal i oprogramowanie oferują funkcję rejestracji czasu pracy oraz odpowiednie raporty. Sama technologia karty nie jest systemem RCP. Należy sprawdzić sposób rejestrowania wejść i wyjść, liczbę użytkowników, możliwość eksportu danych oraz wymagane licencje. W instalacji z wieloma przejściami ważne jest również przypisanie terminali do właściwych zdarzeń i harmonogramów.