Fra MIFARE Classic til MIFARE DESFire: en trygg overgang i to steg

Mange adgangssystemer leser fortsatt bare serienummeret (UID) på MIFARE Classic-kort. Overgangen til MIFARE DESFire kan gjøres enkelt og gradvis, men den krever testing. Gjør dere den riktig, er kortene klare for høyere sikkerhet fra dag én.

MIFARE Classic har vært standardkortet i norsk adgangskontroll i mange år. I mange anlegg leser leserne bare kortets UID, altså det unike serienummeret som ligger åpent på kortet. Det er enkelt og fungerer, men det gir lite sikkerhet. UID kan leses av hvem som helst, og kort med kopiert UID er lett tilgjengelige. MIFARE Classic har i tillegg kjente svakheter i krypteringen.

MIFARE DESFire, i dag som MIFARE DESFire EV3, er et langt sikrere kort. Mange vegrer seg likevel for overgangen fordi de tror den krever at alle lesere og hele systemet byttes samtidig. Det gjør den ikke alltid.

Steg 1: Fra UID på Classic til UID på DESFire

Det enkleste første steget er å gå over til DESFire-kort, men fortsette å lese UID slik som i dag. Da kan dere ta i bruk nye kort uten store endringer i adgangssystemet. Det går som regel greit, men det er noen ting som må testes:

  • Leserne. De må kunne lese MIFARE DESFire. Mange eldre lesere støtter bare MIFARE Classic.

  • Lengden på UID. DESFire har et lengre UID (7 byte) enn de fleste Classic-kort (4 byte). Sjekk hvordan leseren sender nummeret videre, og om adgangssystemet tar imot hele nummeret eller kutter det. Hvis nummeret kuttes, kan to kort i verste fall få samme nummer.

  • Byte-rekkefølge og format. Samme kort kan gi forskjellig nummer avhengig av hvordan leser og system tolker det. Nummeret som registreres ved utstedelse, må være identisk med nummeret leseren sender.

  • Tilfeldig UID må være slått av. DESFire kan settes opp med tilfeldig UID av personvernhensyn. Leses UID, må kortene ha fast UID.

Vår anbefaling er å teste et utvalg kort mot alle typer lesere i anlegget før dere bestiller i stort volum.

Steg 2: Kortet er klart for sikker lesing fra starten av

Her ligger den store gevinsten. Når nye DESFire-kort først skal produseres, bør de samtidig settes opp med virksomhetens eget DESFire-format. Det vil si én eller flere applikasjoner som er beskyttet med deres egne nøkler.

Kortene brukes fortsatt på UID i første omgang. Når dere senere er klare, kan leserne konfigureres til å lese den sikre applikasjonen i stedet, uten at et eneste kort må byttes ut. Applikasjonene kan også brukes til andre formål som sikker utskrift, kantine eller tilkomstkontroll for flere bygg.

Gjør dere ikke dette nå, må alle kortene byttes på nytt når dere vil opp i sikkerhet. Kostnaden ved å forberede kortene ved produksjon er liten sammenlignet med en ny utskifting.

Husk nøklene

Et eget DESFire-format betyr egne kryptografiske nøkler. Det må være tydelig hvem som eier og forvalter dem, og hvem som kan få dem utlevert. Les mer i saken vår «Hvem eier nøklene til adgangskortene deres?».

Vi hjelper dere i gang

Sotera hjelper dere med testkort, kontroll av lesere og utforming av et DESFire-format som passer anlegget deres. Kortene produseres hos oss, med UID klart til dagens system og applikasjoner klare for morgendagens. Ta kontakt for en prat om hvordan overgangen kan gjøres i deres anlegg.

Sotera_