IC カードと ID カード: システムに適切なアクセス カードを選択する方法

この記事では、IC カードと ID カードの実際の違いを詳しく説明します。仕様書のバージョンだけでなく、調達の決定、システムのセキュリティ、総所有コストに実際に影響を与える違いについても説明します。

 

ICカードとIDカード：30秒でわかる大きな違い

IDカード

 

(125 kHz、例: EM4100/TK4100): 固定のシリアル番号のみを格納します。カードはこの番号を範囲内のリーダーにブロードキャストします。暗号化も書き込み機能も認証ハンドシェイクもありません。リーダーは、その番号がデータベース エントリと一致するかどうかを確認するだけです。

ICカード

 

(13.56 MHz、MIFARE Classic/DESFire など): 独立したセクターに分割された読み取りおよび書き込み可能なメモリを備えたマイクロプロセッサ チップが含まれています。暗号化、カードとリーダー間の相互認証、および 1 枚のカードでのマルチアプリケーションの使用をサポートしています。{4}}

それが教科書的な答えです。しかし、実際の導入に向けてこれらを評価する場合、教科書には、実際に何が問題になるのか、あるいは予算にとって実際に何が重要なのかはわかりません。

 

 

調達仕様書では分からない 5 つの違い

 

1

アクセス カードのセキュリティはバイナリではありません - それはスペクトルです

 

アクセス カードの購入で最もよくある間違いは、「IC カード=は安全だが、ID カード=は安全ではない」という思い込みです。現実はそれよりもさらに階層的です。

 

ID カードには暗号化がありません。 125 kHz リーダー、または 15 ドルのハンドヘルド クローン作成ツールは、シリアル番号を読み取り、複製します。カードには認証メカニズムがないため、これをカード レベルで防ぐ方法はありません。

 

IC カードはより安全ですが、どの程度安全かは選択するチップによって決まります。世界中で最も広く導入されている IC チップである MIFARE Classic は、2008 年にラドボウド大学の研究者によって完全にリバース エンジニアリングされた CRYPTO1 と呼ばれる暗号化スキームを使用しています。{2}現在、Flipper Zero などのツールを使用して、特殊な機器を使用せずに MIFARE Classic キーを復元し、カードのクローンを作成できます。

 

2024 年 8 月、状況はさらに悪化しました。Quarkslab の研究者は、上海復丹マイクロエレクトロニクスの広く使用されている MIFARE Classic- 互換チップである Fudan FM11RF08S チップにハードウェア バックドアを発見しました。このバックドアにより、単一のユニバーサル キーの知識を持つ人は誰でも、数分以内にこれらのカード上のすべてのユーザー定義キーを侵害できるようになります。{5}}影響を受けるチップは、米国、ヨーロッパ、中国、インドのホテル、オフィス、交通システムに導入されています。

セキュリティレベル	チップ例	暗号化	に適しています
なし	EM4100、TK4100（IDカード）	なし	駐車場、入場者一時パス
レガシー (侵害された)	MIFARE クラシック 1K/4K	CRYPTO1 (壊れた)	警備時間の出席が少ない-
中レベル-	MIFARE Plus（SL3モード）	AES-128	オフィスアクセス、キャンパスカード
高い	MIFARE DESFire EV2/EV3 (EAL5+ 認定)	AES-128、相互認証	データセンター、金融施設
最高	CPUカード（Javaカード）	PKI-対応	政府、軍

 

表には示されていない詳細が 1 つあります。MIFARE Plus には 3 つのセキュリティ レベル (SL1、SL2、SL3) がありますが、多くのインテグレータは、既存のクラシック リーダーとの下位互換性を確保するために Plus カードを SL1 モードで導入しています。 SL1 モードでは、カードのセキュリティは標準の MIFARE Classic と基本的に同じです。これは、「机上では仕様がアップグレードされるが、実際にはアップグレードされない」という一般的なシナリオです。注文確認書にどのチップ モデルが印刷されているかだけでなく、実際にどのセキュリティ レベルが有効になっているかを常に確認してください。

 

Syntek は、上記の 5 つの階層すべてにわたってアクセス カードを提供しています。EM4100/TK4100 IDカードMIFARE DESFire EV2/EV3 を通じて、高度なセキュリティのアクセス制御を実現する CPU カード-。すべての IC カードは納品書にチップ モデルが印刷されて出荷されます。チップ仕様が文書化されていないカードは検証できないためです。

 

 

 

EM4100 ID カードの場合は 1 枚あたり 0.08 ～ 0.15 ドル、MIFARE DESFire の場合は 0.30 ～ 0.60 ドルであり、5,000 枚のカードを注文した場合のカード 1 枚あたりの節約額は現実のものと言えます。{{9}ただし、カードごとの価格は総コストシートの 1 行にすぎません。

 

ID カード システムは、カード自体にデータを保存しません。アクセスを決定するたびに、リーダーが中央データベースにリアルタイムでクエリを実行する必要があります。つまり、すべてのリーダーにはネットワーク接続が必要であり (より多くのケーブル配線、より多くの障害点)、システム拡張には新しいリーダーをサーバーに配線し直す必要があり、オフライン操作はありません。ネットワークがダウンした場合、ドアはロックされたままになるか、デフォルトで開いたままになります。

 

IC カード システムは、許可をカードに保存します。読者はローカルでアクセスの決定を行うことができます。システムを拡張するには、リーダーを導入してカード セクターを構成する必要があり、サーバーへの新たなケーブル接続は必要ありません。

 

深センの不動産管理会社は、自社の駐車場がシステムの記録を上回る月次パスを発行していることが内部監査で指摘されたことを受けて、このことを発見した。調査の結果、従業員がタオバオの空白のカードを使用して 125 kHz の ID カードを複製したことが原因であることが判明しました。カードには暗号化がなかったので、技術的な障壁はありませんでした。15 ドルのクローン作成ツールを持っていれば、誰でも作業用コピーを作成できました。同社は ID カード システム全体を廃止し、暗号化された IC カードを再導入し、1 回で済むことを 2 回支払うことになりました。-

 

 

16 の独立したセクター。これが標準の MIFARE Classic 1K IC カードが提供するもので、各セクターは独自の暗号化キーを使用して異なるアプリケーションを提供できます。セクター 1 ではアクセス制御、セクター 2 では勤怠管理、セクター 3 ではカフェテリアでの支払いなどです。

 

ID カードではこれはできません。 1 枚のカード、1 つのシリアル番号、1 つの機能。アクセス システムにカフェテリアの支払いを追加する場合は、2 番目のカードを発行するか、インフラストラクチャ全体を交換する必要があります。

 

キャンパスや工業団地の展開の場合、「1 枚の-カード-ですべてに対応-" が目標であり、これだけで 125 kHz ID カードは除外されます。Syntek は、単一のカード本体に 125 kHz チップと 13.56 MHz チップを組み合わせたマルチアプリケーション IC カードとデュアル周波数複合カードを製造しています。-これは、ほとんどの段階的な移行の仕組みでもあります。

 

 

 

従業員のスマートフォンは、IC カードと同じ周波数である 13.56 MHz で NFC を動作させます。これは、IC カードの認証情報を電話機にプロビジョニングできる可能性があり、物理カードなしで NFC- ベースのモバイル アクセスが可能になることを意味します。

 

125 kHz の ID カードは、電話機の NFC ハードウェアからは完全に認識されません。回避策はありません。施設のロードマップに今後 3 ～ 5 年以内のモバイル アクセスが含まれている場合、125 kHz ID カード システムは行き止まりになります。アクセス制御エコシステム内で NFC がどのように機能するかについて詳しくは、Syntek の記事を参照してください。RFIDアクセス制御システムの紹介.

 

 

現在 125 kHz ID カード システムを実行していて、セキュリティのギャップが懸念される場合、システムを完全に交換することが唯一の選択肢ではありません。デュアル周波数リーダー-は、125 kHz と 13.56 MHz の両方のカードを同時に処理できます。デュアル周波数複合カード（1 枚のカードに ID と IC チップの両方が埋め込まれている）と組み合わせると、ユーザーを段階的に移行できます。1 日の切り替えやサービスの中断はありません。-

 

デュアル周波数の移行に実際にかかる時間は、アクセス ポイントの数、従業員の離職率、バックエンド ソフトウェアの更新が必要かどうかによって異なります。- 20-ドアのオフィスビルは 3 か月で完成する可能性があります。複数の建物があり、外注スタッフがいて離職率が高い工業団地では、古いカードの最後のバッチを廃棄するだけでも 1 年以上かかる場合があります。共通点は、デュアル周波数アプローチにより、設備投資を一括で吸収するのではなく、予算サイクル全体に分散できるということです。

実際に得られるものを確認する方法

 

一括アクセス カードを注文する前に、サプライヤーに次の 3 つのことを確認してください。