アクセス制御用の RFID キー フォブ: 種類、互換性、セキュリティ、OEM 調達に関するバイヤーズ ガイド

RFID キー フォブは、チップとアンテナを備えた小型の非接触認証情報であり、物理的接触なしにリーダーに対してユーザーを識別します。それくらい簡単です。ほとんどの購入者がつまずくのは、その下流のすべてです。フォブがすでに壁にボルトで固定されているリーダーと実際に通信するかどうか、チップが 30 ユーロのクローン作成デバイスに耐えられるかどうか、サプライヤーが出荷前に 5,000 ユニットを正しくエンコードできるかどうかです。このガイドは、アップグレードを実行している IT および施設管理者、RFID キー フォブを大量に調達している調達チームなど、これらの決定を下す人々を対象に書かれています。{6}}

このカテゴリで最も大きな間違いは、頻度だけを基準にして注文することです。頻度は必要ですが十分ではありません。以下では、互換性、セキュリティ、調達が、デプロイメントが機能するかどうかを実際に決定する 3 つの決定事項として扱われます -。おおよそリスクの順に扱われます。

RFID キーフォブの仕組み (および購入にそれが重要な理由)

パッシブフォブにはバッテリーがありません。リーダーのフィールドに入ると、アンテナがそのフィールドからエネルギーを収集し、チップを起動し、チップが応答します。基本的なシステムでは、答えは単なる固定識別子です。安全なシステムでは、機密性の高いものが交換される前に、フォブとリーダーが暗号化ハンドシェイクを実行します。次に、リーダーの背後にあるコントローラーがその ID をアクセス ルールと照合してドアのロックを解除するか、- または拒否を記録します。

ここから 2 つの実際的な結果が導き出されます。まず、パッシブ フォブはリーダーから電力を供給するため、通常はメンテナンスなしで 10 年以上持続します。そのため、ほぼすべての建物へのアクセスでは、バッテリー駆動のアクティブ タグではなくパッシブ フォブが使用されます。-第二に、「フォブが番号を送信する」と「フォブがそれが誰であるかを証明する」の違いは、セキュリティ全体の話 - であり、ハウジングやブランドについて考える前に、チップ レベルで決定されます。物理学をさらに詳しく知りたい場合は、この内訳を参照してください。RFID キーフォブがアクセス制御にどのように機能するか.

周波数とチップタイプ: 互換性の決定

周波数帯域は 3 つありますが、相互運用はできません。 125 kHz リーダーは 13.56 MHz フォブを読み取ることができず、その逆も同様です。各帯域内では、チップ ファミリと通信規格によって互換性がさらに狭まります。

125kHz（低周波）

LF は古くて安価で、金属ノイズや電気ノイズに対して寛容です。チップのようなEM4100 および TK4100 キーホルダー固定の読み取り専用番号をブロードキャストします。-その信頼性も問題です。暗号化されていない固定番号は、安価な複製器によって数秒でコピーできます。 LF を選択するのは、既存の LF リーダーと一致する場合、またはクローン作成が単純に脅威モデルの一部ではない場合 (データ センターではなく、ジムのロッカー ルームなど) - のみです。

13.56MHz（高周波）

HF は、セキュリティが重要な新しい展開のデフォルトです。これは ISO/IEC 14443 標準（長距離近傍チップをカバーする ISO/IEC 15693 を含む）によって管理されているため、HF 認証情報は準拠するリーダー間できれいに相互運用できます。- 3 つのチップ ファミリが優勢です:

MIFARE クラシック 1K- の巨大な設置ベース、低コスト、そして今でも大量に出荷されている理由。しかし、その Crypto-1 暗号は何年も前に公に解読されたため、セキュリティではなく利便性の高い認証情報として扱う必要があります。これは、メンバーシップ、キャッシュレス ケータリング、またはクローンが侵害ではなく迷惑となる内部ドアに適した選択です。あ13.56 MHz MIFARE 1K キーホルダーそれらのケースのほとんどをカバーします。

ミファーレ デスファイア EV3- は、高セキュリティ アクセスの現在のベンチマークです。- NXP の DESFire ドキュメントによると、AES-128 ハードウェア暗号化、3- パス相互認証、-アプリケーションごとのキー管理が使用されており、IC は銀行や電子パスポート チップに求められるのと同じクラスの Common Criteria EAL5+ 認証 - を備えています。 EV2 および EV1 との下位互換性があるため、段階的な移行が現実的になります。政府の建物、病院の薬局、または企業の本社を指定している場合、これは出発点であり、後で検討するアップグレードではありません。

NTAG (NFC)- は、強化されたアクセスではなく、スマートフォンで読み取り可能な操作を目的として設計されています。{1}{1}訪問者パス、製品認証、マーケティングには役立ちますが、安全なドアにはあまり役立ちません。

UHF

UHF はセンチメートルではなくメートルで読み取ります。これはパレットや車両にとってはまさに望ましいことであり、ドアではまったく望ましくないことです。2 部屋離れた場所にいる人を読み取るのは困難です。資産追跡とゲート/車両の識別のために UHF を保管してください。

ステッカー価格ではなく総コストで帯域を比較検討している場合は、125 kHz と 13.56 MHz のアクセス コントロール クレデンシャルのコストの比較が便利です。RFID キーフォブに適切な周波数を選択する.

手遅れになるまで誰も実行しない互換性チェックリスト

失敗した注文のほとんどには根本原因が 1 つあります。それは、購入者が頻度を一致させ、残りを想定したことです。実際には、- 周波数、通信規格、チップ ファミリ、資格情報形式 (UID、施設コード、または独自の暗号化アプリケーション) の 4 つを揃える必要があります。 HID Prox リーダーは、形式が異なるため、両方が「125 kHz」であっても、汎用の 125 kHz EM4100 フォブを無視します。大量注文の前に、次の作業を行ってください。

• リーダーのモデルを特定します。設置されているリーダーのラベルを読むか、パネルのマニュアルを確認してください。ブランドとファームウェアのバージョンは両方とも重要です -一部のリーダーは、ファームウェアのアップデート後に DESFire のより高度なセキュリティ アプリケーションのみを受け入れます。-
• 既存の有効な認証情報を検査します。通常、印刷されたマーキング、または診断リーダーによるクイック スキャンにより、チップのタイプとフォーマットが明らかになります。
• チップだけでなくフォーマットも確認​​してください。システムが UID で認証するのか、施設コードで認証するのか、または特定のキーを使用して暗号化されたアプリケーションで認証するのかを尋ねます。
• サンプルをリクエストして、ライブ リーダーでテストしてください。この 1 つのステップで、ほぼすべての大規模な障害を防ぐことができます。{0}}
• キーの所有権を明確にする。DESFire およびその他の暗号化システムの場合、誰がマスター キーを保持するか、およびマスター キーをどのように多様化するかを、後ではなく運用前に決定します。

展開中に 2 世代の読者の橋渡しをする場合、デュアル-周波数キーフォブLF チップと HF チップの両方を搭載したこの製品では、1 つの認証情報で古い扉と新しい扉を同時に開くことができます。- 多くの場合、週末の切り替えと 1 か月の並列システムの違いに相当します。特に HID 環境については、この注意事項を参照してください。HID Prox-互換認証情報の注文人々を惹きつけるフォーマットの詳細について説明します。

RFID と NFC: 一方は他方のサブセットである

NFC は RFID のライバル技術ではありません。- NFC は、双方向通信を追加する 13.56 MHz HF RFID の特殊なスライスであり、これにより携帯電話がリーダーまたは認証情報として機能できるようになります。-すべての NFC デバイスは RFID 原理を使用します。すべての RFID システムが NFC を通信できるわけではありません。

この違いによって、建物内で携帯電話を携帯電話に置き換えることができるかどうかが決まります。 Android のホスト カード エミュレーションと Apple のウォレット-ベースの認証情報はどちらもアクセス キーとして機能しますが、これはリーダー、アクセス制御ソフトウェア、認証情報のプロビジョニング方法がすべてサポートされている場合に限られます。-従来の LF リーダーは電話をまったく使用できません。実際には、ほとんどの組織は、スタッフと請負業者用の暗号化されたフォブと、リーダー フリートがサポートするその上に重ねられたモバイル認証情報の両方を実行しています。完全な内訳はこのガイドに記載されています。RFIDとNFCの違い.

クローン作成とセキュリティ: 実際にコピーできるもの

「クローンは作れますか？」チップに応じて、次の 3 つの正直な答えがあります。

• 簡単に複製可能- 個の固定-UID LF チップ（EM4100、TK4100）および暗号化されていない UID- のみのシステム。ハンドヘルドコピー機はこれを 1 回のパスで実行します。
• 努力すれば複製可能- MIFARE クラシック。 Crypto-1 の弱点は公開されているため、適切なツールを備えた決意の強い攻撃者はキーを回復できます。
• クローン作成に耐えられるように設計されています- DESFire EV3 およびその他の AES{2}} ベースの認証情報は、相互認証、動的セッション キー、および認証情報キーごとの多様化に依存しているため、1 つの FOB が侵害されてもシステムが侵害されることはありません。-

「あらゆる RFID は電話機でコピーできる」という一般的な通説は、開いた NTAG タグの読み取りと暗号化認証の無効化を混同しています。電話機はプレーンな NFC タグをエミュレートできます。 DESFire ハンドシェイクを偽造することはできません。脅威モデルの詳細については、この概要を参照してください。RFIDデータのセキュリティ.

ただし、チップの選択は安全な導入の半分にすぎません。残りはシステム設計によって決まります。

• 従来のウィーガンド配線を次のものに置き換えますOSDP暗号化された監視付きリーダーと-対-の通信をサポートします。
• 使用鍵の多様化したがって、すべての資格情報はマスター キーから一意のキーを派生します。
• 適用する役割-ベースの権限。 NIST のロールベースのアクセス制御モデル - ANSI/INCITS 標準 - は、ほとんどのエンタープライズ アクセス プラットフォームが準拠するリファレンスであり、建物が実際に職務ごとにアクセスを割り当てる方法に明確に対応しています。
• 走る定期監査: ログを確認し、未使用の認証情報を取り消し、キーをローテーションし、リーダーのファームウェアを最新の状態に保ちます。
•  

本当の移行の始まりから終わりまで

以下のパターンは、中規模オフィスが老朽化した LF リーダーを廃止する典型的なパターンであり、以前の決定が複雑になる理由を示しています。{0}}

125 kHz EM4100 フォブを実行している建物は、テナントが重複した認証情報を報告したため、アップグレードすることを決定しました。すべてを一度に交換するのではなく、フロアごとに DESFire EV3- 対応リーダーを設置し、デュアル周波数フォブを発行しているため、スタッフは常に 1 つの認証情報を保持しています。-マスター キーはクライアントによって生成および保持され、フォブごとに多様化され、出荷前に工場で注入されます。各フロアがカットオーバーされると、リーダーは OSDP に移動します。古い LF 専用ドアは、最後のリーダーが交換されるまで同じフォブで動作し続けます。交換された時点で、LF 機能はソフトウェアで単に廃止されます。資格情報の再発行やロビーの待ち行列はありません。

以下のパターンは、中規模オフィスが老朽化した LF リーダーを廃止する典型的なパターンであり、以前の決定が複雑になる理由を示しています。{0}}

125 kHz EM4100 フォブを実行している建物は、テナントが重複した認証情報を報告したため、アップグレードすることを決定しました。すべてを一度に交換するのではなく、フロアごとに DESFire EV3- 対応リーダーを設置し、デュアル周波数フォブを発行しているため、スタッフは常に 1 つの認証情報を保持しています。-マスター キーはクライアントによって生成および保持され、フォブごとに多様化され、出荷前に工場で注入されます。各フロアがカットオーバーされると、リーダーは OSDP に移動します。古い LF 専用ドアは、最後のリーダーが交換されるまで同じフォブで動作し続けます。交換された時点で、LF 機能はソフトウェアで単に廃止されます。資格情報の再発行やロビーの待ち行列はありません。

重要なのは特定のブランドではありません。-、段階的にキーを所有し、デュアル-アプローチにより、破壊的なリップ-と-をバックグラウンド タスクに変えるということです。この計画は、チップ (DESFire) とフォーム ファクター (デュアル周波数) が移行を念頭に置いて選択されているためにのみ可能です。-

ハウジングと材料: カタログではなく環境に合わせてください

ハウジングによって読み取り範囲が大きく変わることはほとんどありませんが、フォブの寿命が決まります。チップとアンテナセットのパフォーマンス。シェルは耐久性を設定します。

過酷な条件の場合は、屋外に放置されるものに対して IP67/IP68 シーリング、-25 度から +85 度の定格、および耐紫外線性を指定してください。このセクションでは、最も一般的な 2 つのシェルを並べて説明します。--ABS とエポキシ キーホルダーの比較。外見が要旨の一部である場合、レザーRFIDキーホルダーまたは環境に優しい木製キーホルダー-成型 ABS よりもはるかに優れたロゴを保持します。

プログラミング: Fob をエンコードする 3 つの方法

「プログラミング」とは、ID、キー、またはアクセス データをチップに書き込むことを意味します。その方法は規模とセキュリティによって異なります。

1. 工場出荷時の事前エンコード。-サプライヤーは出荷前に UID または資格情報を書き込みます。大規模な展開やホテル システムでは最速。オンサイトツールは必要ありません。-
2. -サイトでのエンコード。資格情報は、USB ライターまたはアクセス パネルの登録ソフトウェアを使用して発行します。割り当てが頻繁に変更され、直接制御したい場合に最適です。
3. 安全なキーのインジェクション。DESFire および AES システムの場合、暗号化キーとアプリケーションは制御された条件下 (多くの場合工場) でプロビジョニングされるため、認証情報を許可なく複製することはできません。

大量注文の場合は、エンコード スループット、エラー処理、UID の一意性、データベース同期、監査ログなどの実際的な詳細について事前に同意してください。企業は通常、エンコーディングを人事システムまたはアイデンティティ システムに接続するため、オンボーディングとオフボーディングによって資格情報ステータスが自動的に駆動されます。

一般的な展開

オフィスは入り口、エレベーター、フロア、駐車場を一元管理し、ハードウェアに触れることなく権利を更新します。ホテルはチェックアウト時に有効期限が切れる認証情報を発行します - 仕組みについては、この記事で説明されていますホテルのキーカードの仕組み。病院は、コンプライアンスを確保するための役割ベースの権限を使用して、薬局、検査機関、記録をロックダウンします。-大学は、アクセス、図書館、出席、キャッシュレス決済を 1 つの資格情報にまとめています。工業用地では、役割とシフトに応じて危険ゾーンと機器室をゲートします。どの場合でも、勝ち手は同じです。脅威レベルに応じてチップを選択し、残りはソフトウェアに処理させます。

購入とOEM調達

価格は最初に最適化するものではなく、最後に最適化するものです。要件を検討し、次にチップ、カスタマイズ、サプライヤーの順に検討します。

セキュリティレベルによるチップの選択

• 低い(住宅、駐車場): EM4100 / TK4100 / HID Prox.
• 中くらい(オフィス、学校、ジム): MIFARE Classic 1K または NTAG。
• 高い(金融、医療、政府): AES および相互認証を備えた DESFire EV3。
•  

カスタマイズ（OEM/ODM）

大量購入者がジェネリック在庫を欲しがることはほとんどありません。一般的なオプションには、レーザーまたはシルク スクリーンのロゴ印刷、UID エンコードと事前プログラミング、シリアル番号付け、カスタム カラーと型、QR/バーコードの統合などが含まれます。{{3}これらはすべて、ブランディング、資産追跡、偽造防止をサポートします。-これらの範囲をサプライヤーの基準に照らし合わせて検討するOEM/ODM 機能コミットする前に。

MOQ、リードタイム、および審査

大まかな目安として、在庫モデルは 100 ～ 500 個、標準 OEM は 500 ～ 3,000 個、完全カスタム金型は 5,000+ 個で、量が増えると単価が急激に下がります。リードタイムは、在庫品の場合はおよそ 2 ～ 5 日、標準 OEM の場合は 7 ～ 15 日、カスタム ツールの場合は 15 ～ 30+ 日です。サンプルの承認とエンコードテスト用のバッファを構築します。サプライヤーを精査する際は、本物のチップ（NXP、HID）、エンコードと互換性テストのサポート、ISO/CE/RoHS 認証、量産前の物理サンプルを確認してください。--交渉不可-。

結論

実際の脅威レベルに合わせてチップを選択し、大規模に注文する前に実際のリーダーとの互換性を検証し、暗号化、OSDP、鍵の多様化、ロールベースの権限を 4 つのオプションではなく 1 つのシステムとして扱います。{0}}セキュリティの高いサイトの場合、DESFire EV3 とキーが所有する段階的な移行パスが永続的な解決策となります。-他のすべて - ハウジング、色、ブランディング - は、これら 3 つの決定を正しく行うことの下流にあります。

アップグレードや大量注文を計画している場合は、製造前に互換性チェックとテスト済みサンプルを利用すると、コストよりもはるかに節約できます。ツールの作成に入る前に、サンプル評価または見積もりをリクエストして、フォブがシステムに適合することを確認できます。

よくある質問

どの RFID キーフォブもどのリーダーでも動作しますか?

いいえ。周波数、通信規格、チップ ファミリ、および認証情報の形式がすべて一致している必要があります。フォーマットが異なる場合、2 つの「125 kHz」フォブでも互換性がない可能性があります。

どの RFID キーフォブが最も安全ですか?

AES-128 と相互認証を備えた MIFARE DESFire EV3 は、現在の高セキュリティ ベンチマークであり、銀行用チップに匹敵する EAL5+ 認証を取得しています。

RFID キーフォブは複製できますか?

固定-UID LF フォブは簡単にクローンできますが、MIFARE Classic は手間をかければクローンできます。また、DESFire/AES 認証情報はそれに耐えるように特別に設計されています。

RFID キーホルダーには電池が必要ですか?

いいえ。パッシブフォブはリーダーのフィールドから電力を供給し、通常は 10 年以上持続します。

スマートフォンはキーホルダーの代わりになるのでしょうか？

時々。 NFC 電話は、リーダーとソフトウェアがそれをサポートしている場合は認証情報として機能しますが、従来の LF システムでは電話をまったく使用できません。多くのサイトでは両方を実行しています。

フォブを紛失した場合はどうすればよいですか?

報告し、すぐにシステムで無効化します - ロックの変更は必要ありません - 予備在庫から交換品を発行し、影響を受ける期間のアクセス ログを確認してください。

カスタムフォブの一般的なMOQとリードタイムはどれくらいですか?

標準的な OEM 注文は通常、約 500 ～ 3,000 個から始まり、リードタイムは 7 ～ 15 日です。カスタム金型には、より多くの量とより長いツーリング時間が必要です。必ず最初にサンプルをリクエストしてください。