Как да изтриете и презапишете DESFire EV2 карта без излишни главоболия

DESFire EV2 карта не е типът RFID карта, към която трябва да се подхожда като към евтин презаписваем хотелски ключ. Именно оттук започва разочарованието при много екипи. Те поставят картата върху настолен RFID енкодер, натискат няколко бутона, очакват тя да се държи като обикновена UID карта и после се чудят защо софтуерът показва достъп denied, автентикация failed или file not found. Картата не „упорства“, за да ви затрудни. MIFARE DESFire EV2 е създадена за защитени приложения, затова изтриването и презаписването ѝ зависят от ключове, приложения, файлови структури, права за достъп и начина, по който първоначалната система е била проектирана. Когато разберете това, процесът става много по-малко загадъчен.

Започнете с оторизация, преди да изтривате DESFire EV2 карта

Преди да продължите, има едно практично правило, което спестява много проблеми: изтривайте и презаписвайте само DESFire EV2 карти, които имате право да управлявате. Това звучи очевидно, но е изключително важно. DESFire EV2 карта за контрол на достъп може да бъде свързана със сградна сигурност, идентичност на служители, права на посетители, безкасови плащания, шкафчета, транспорт или членски записи. Ако не контролирате ключовете или системата за издаване на карти, обикновено не можете и не бива да я изтривате. В правилно конфигурирана система картата няма да позволи произволно презаписване. Това не е дефект. Това е основната причина да се използва сигурна DESFire технология вместо базова карта с памет.

Фасилити мениджър в Прага се сблъска с това по време на ремонт на хотел. Хотелът разполагаше с няколко хиляди DESFire EV2 карти за стаи от стар доставчик на система за контрол на достъп. Новият екип искаше да ги използва повторно, за да намали разходите, затова купи онлайн RFID четец и записвач за карти и се опита да ги нулира. UID можеше да бъде разчетен, но приложенията не можеха да бъдат изтрити. Софтуерът показваше грешки при автентикация отново и отново. Картите не бяха повредени. Старият доставчик беше променил master key на картата и ключовете на приложенията, така че хотелът нямаше нужните права за форматиране. След няколко дълги разговора и доста документация доставчикът предостави контролиран план за миграция. Урокът беше ясен: преди да питате как да изтриете DESFire EV2 карта, попитайте кой притежава ключовете.

Защо презаписването на DESFire EV2 е различно от базовите RFID карти

Това е най-голямата разлика между DESFire EV2 карта и много нискобюджетни RFID карти. Обикновената RFID карта може да има само UID или малка отворена зона памет. DESFire EV2 карта може да съдържа множество приложения. Всяко приложение може да има няколко файла, а всеки файл може да има различни права за четене, запис, промяна и комуникация. Част от данните може да изискват обикновена комуникация, докато други данни може да изискват MACed или криптирана комуникация. Картата може да използва AES ключове, 2K3DES ключове или други конфигурирани типове ключове според системата. Когато хората казват, че искат да презапишат DESFire EV2 карта, те често имат предвид много различни неща. Може да искат да обновят един файл, да изтрият едно приложение, да издадат наново един идентификатор за достъп или да форматират целия PICC.

Университет в Сингапур премина през този процес много по-гладко, защото IT екипът беше документирал структурата на картата още от самото начало. Студентските карти използваха едно приложение за контрол на достъп, друго за библиотечно обслужване и трето за хранене. Когато кампусът премина към по-нова платформа за контрол на достъп, екипът не изтри всички карти. Той обнови само приложението за достъп, като остави библиотечната и столовата част непокътнати. Софтуерът за RFID енкодиране на карти разполагаше с правилните ключове и скриптове, така че служителите можеха да презапишат нужния файл, без да засягат останалата част от картата. Това е добрата страна на DESFire EV2 програмирането. Когато е планирано правилно, една физическа карта може да поддържа няколко услуги, без всичко да се изгражда отново при всяка промяна.

Направете карта на структурата, преди да презапишете каквото и да било

Ако управлявате легитимен проект с карти, най-добрата отправна точка не е бутонът erase. Това е картата на структурата. Трябва да знаете дали картата има само PICC master application или няколко персонализирани приложения. Необходими са идентификатори на приложения, номера на ключове, ID на файлове, типове файлове, права за достъп и communication modes. Трябва също да знаете дали картата е персонализирана от вашата организация, от интегратор или от предишен доставчик. Много неуспешни задачи по DESFire EV2 енкодиране се случват, защото някой се опитва да запише нови данни, без да провери старата структура. Това е като ремонт на офис без електрически план. Може да имате късмет, но може и да прекъснете грешния кабел.

Верига фитнес клубове в Остин купи празни DESFire EV2 карти от RFID производител на карти и ги използва за достъп на членове. В началото веригата съхраняваше само членски номер в един файл. По-късно маркетинговият екип поиска да добави статус за наем на шкафче и информация за пакети с групови занимания. Първата партида карти не беше проектирана с мисъл за бъдещо разширение, затова софтуерният екип трябваше да създаде нова структура на приложенията за бъдещите карти и да мигрира старите членове при регистрация на рецепция. Данни не бяха загубени, но процесът се оказа по-бавен от очакваното. След това компанията започна да изисква от доставчика ясен шаблон за DESFire EV2 енкодиране преди всяка поръчка на карти. Този малък документ спести много главоболия при следващи обновявания.

Разберете различните нива на DESFire EV2 презаписване

Обновяване на данни в съществуващ файл

Има няколко нива на презаписване. Най-малко рисковият вариант е обновяване на данни в съществуващ файл. Например оторизиран оператор може да промени номер на служител, дата на изтичане, референция към група за достъп или съхранена стойност. За това са нужни правилният application key и право за запис в съответния файл. Структурата на картата остава същата.

Изтриване на файлове, приложения или форматиране на PICC

Следващото ниво е изтриване и повторно създаване на файл в рамките на приложение. Това може да е необходимо, когато се променят размерът на файла, типът файл или правилата за достъп. По-голяма промяна е изтриването на цяло приложение и създаването на ново. Най-пълното нулиране е форматиране на PICC, което премахва приложенията и връща картата в по-чисто състояние. Форматирането обикновено изисква автентикация с карта master key, така че не е действие, което може да се извърши небрежно върху неизвестна карта.

Интегратор по сигурността във Варшава се научи да разделя тези нива, докато обслужваше корпоративна офис кула. Клиентът постоянно казваше: „Трябва да изтрием картите.“ След кратък одит интеграторът разбра, че клиентът изобщо не трябва да изтрива цялата DESFire EV2 карта. Нужно беше само да се презапише един файл за достъп, защото номерата на служителските пропуски се променяха. Ако картите бяха форматирани, щеше да бъде премахнато приложение за столова, управлявано от друг доставчик. Правилната задача отне по-малко време, запази другото приложение и предотврати вътрешен конфликт между отдели. В DESFire проектите точната терминология не е академична подробност. Тя предотвратява реални оперативни грешки.

Изберете правилна доставка на DESFire EV2 карти и процес на енкодиране

За компании, които купуват DESFire EV2 карти, е разумно персонализацията да се обсъди още преди печата. Празна бяла DESFire EV2 карта дава гъвкавост, но това означава, че вашият екип или интегратор трябва да поеме енкодирането. Предварително енкодирана DESFire EV2 карта за достъп може да намали работата, ако доставчикът получи правилните данни и изисквания за сигурност. Някои купувачи се нуждаят от персонализирано отпечатани RFID карти с DESFire EV2 чипове, енкодирани UID списъци, създаване на приложения, конфигуриране на AES ключове и сигурно предаване на производствени данни. Други се нуждаят само от празни DESFire EV2 карти за вътрешно програмиране. И двата подхода могат да работят, но отделът по доставки не бива да ги разглежда като един и същ продукт.

Оператор на склад в Монреал поръча персонализирано отпечатани DESFire EV2 служителски карти, без да поиска предварително енкодиране. Картите изглеждаха отлично, с ясна графика и снимки на служителите. Когато екипът по контрол на достъп се опита да ги издаде, стана ясно, че всяка карта трябва да се инициализира ръчно на бюрото за сигурност. По време на активен сезон за наемане на персонал опашката стана абсурдно дълга. Следващата поръчка включваше предварително създадени приложения и контролиран файл за енкодиране, така че службата по сигурността трябваше само да активира всяка карта в софтуера. Цената на картата беше малко по-висока, но процесът на издаване стана значително по-лесен. Затова купувачите на RFID карти трябва да сравняват целия работен процес, а не само цената на пластмасовата карта.

Разчитането на UID не е същото като презаписване на картата

Често срещан източник на объркване е UID. Много хора могат да разчетат UID на DESFire EV2 карта с базов NFC четец или мобилен телефон. Това не означава, че могат да изтрият или презапишат защитената памет. UID е само идентификатор, използван при анти-колизия и избор на карта. Реалните данни на приложенията са защитени чрез автентикация и права за достъп. Ако доставчик или софтуерен инструмент обещава да презапише всяка DESFire EV2 карта само защото вижда UID, бъдете внимателни. В професионалния контрол на достъп възможността да се открие карта не е същото като правото тя да бъде управлявана.

Офис в Дубай имаше купчина стари служителски карти и искаше да ги използва повторно за временни изпълнители. Рецепционистът все още можеше да сканира картите с телефон и да види, че са NFC карти, затова екипът предположи, че могат да се използват отново. Доставчикът на системата за контрол на достъп обясни, че телефонът само открива картата. Старите приложения върху картите бяха заключени с ключове, които компанията вече не притежаваше. В крайна сметка офисът купи нови DESFire EV2 карти с правилна политика за управление на ключове. Скъпата част не бяха новите карти. Скъпото беше загубеното време заради предположението, че „разчита се“ означава „може да се презапише“.

Планирайте управлението на ключове, преди да се превърне в проблем

Доброто управление на ключове е темата, за която никой не иска да говори, докато не стане болезнено важна. Един DESFire EV2 проект трябва да дефинира кой генерира ключовете, кой ги съхранява, кой може да ги използва, как се ротират и какво се случва при смяна на интегратора. Ако един доставчик държи всички ключове и не осигури escrow или договорен процес за предаване, клиентът може да се окаже заключен към този доставчик. От друга страна, ключовете не трябва да се изпращат небрежно по имейл в електронни таблици. Балансът е в контролирания достъп, документираната отговорност и защитения процес за персонализация на карти. За купувач, който търси доставчик на DESFire EV2 карти, това може да е по-важно от дебелината на картата, повърхностното покритие или метода на печат.

Верига частни клиники в Мадрид се справи добре с този въпрос. Клиниките използваха DESFire EV2 карти за служителски достъп, записи към шкафове за лекарства и защитено освобождаване на печат. RFID производителят на карти изработваше физическите карти, но групата клиники контролираше собствената си политика за ключове с помощта на интегратор. Когато групата смени софтуерния доставчик, старите карти не трябваше да бъдат изхвърлени. Новият доставчик получи само правата, нужни за миграцията, а не неконтролиран достъп до всичко. Проектът за презаписване изискваше планиране, но не се превърна в криза. Така трябва да изглежда професионалното DESFire EV2 програмиране на карти.

Тествайте DESFire EV2 презаписването първо върху мостри

Когато реално се подготвяте да изтривате или презаписвате карти, не започвайте с цялата производствена партида. Вземете няколко мостри, които представят реалната ситуация. Включете празна карта, новоиздадена карта, стара активна карта, изтекла карта и карта, която преди е дала грешка, ако имате такава. Използвайте същия RFID четец и записвач, същия софтуер за издаване на карти и същия скрипт за енкодиране, които ще се използват в продукционната среда. Записвайте всяка стъпка. Проверете дали картата може да се автентикира, дали може да се избере правилното приложение, дали файлът може да бъде променен, дали картата все още работи на четеца на вратата и дали бекенд системата вижда правилния статус. Звучи бавно, но е по-бързо от поправяне на стотици карти след прибързано презаписване.

Бранд за споделено работно пространство пространства в Сеул пренебрегна това и плати цената. Оперативният екип обнови скрипт за енкодиране на карти в петък вечер, очаквайки да издава нови членски карти в понеделник. Скриптът записваше новите членски данни правилно, но случайно промени комуникационна настройка, която един по-стар контролер на врата не поддържаше. Новите карти отваряха повечето врати, но не и помещението за велосипеди в сутерена. Членовете бяха раздразнени, а екипът по поддръжка прекара седмицата в подмяна на карти, които физически не бяха дефектни. Малък пилотен тест на реални врати щеше да открие проблема за един час. DESFire EV2 картите са мощни, но не прощават небрежно тестване.

Поддържайте проектни записи, вместо да се опитвате да клонирате защитени карти

Процесът на презаписване трябва да включва и мислене за резервиране на данни. Не винаги можете да „архивирате“ защитена DESFire EV2 карта така, както копирате файл от USB памет, защото защитените ключове и права са проектирани да предотвратяват неконтролирано клониране. Но можете да архивирате проектните данни, необходими за правилно пресъздаване на картата. Това включва идентификатори на картодържатели, дизайн на приложенията, записи за версии на ключове, дефиниции на файлове, логове от енкодиране, номера на партиди карти и софтуерна конфигурация. Ако карта трябва да бъде заменена, вашата система трябва да може да издаде нова оторизирана карта, без да гадае какво е имало върху старата. В защитените картови системи базата данни често е по-важна от физическата карта.

Компания за интелигентни шкафчета в Милано използваше DESFire EV2 карти за помещения за получаване на пратки. В началото компанията съхраняваше картовите записи само в локален лаптоп за издаване. Когато този лаптоп се повреди, екипът все още имаше карти в обращение, но не можеше лесно да потвърди коя версия на енкодиране е използвана за всяка партида. По-късно процесът беше изграден наново с централизирани записи, отчети по партиди и контролирана работа с ключове. Презаписването на карти стана много по-малко напрегнато, защото екипът знаеше точно коя структура използва всеки обект. Хардуерът не се промени съществено. Документацията промени всичко.

Мислете за повторната употреба на карти и жизнения цикъл на данните

Струва си да се мисли и за жизнения цикъл на картите. Изтриването и презаписването може да бъде част от нормалната работа, когато служители напускат, посетители връщат карти, наематели се изнасят или членства изтичат. Но някои организации не бива да използват повторно карти между различни потребители без ясна политика за поверителност. Картата може да не съхранява лични данни директно, но системната история, свързана с тази карта, все пак има значение. Ако посетителска карта се използва повторно, бекенд системата трябва чисто да преназначи карта ID, да обнови правата и да отдели старите логове от новата активност. Презаписването на паметта на картата е само една част от отговорната повторна употреба.

Бизнес парк в Амстердам използваше повторно DESFire EV2 посетителски карти всеки ден. Самите карти съхраняваха само защитена референция към идентификатор, а не лични данни. Реалното почистване се извършваше в софтуера за управление на посетители, където старите права изтичаха автоматично, а новите посещения създаваха свежи записи за достъп. Екипът по сигурността можеше да форматира карти при нужда, но рядко се налагаше. Те използваха контролирано преиздаване вместо постоянно пълно изтриване. Този подход намали износването, избегна грешки и запази чисти одитните записи. Понякога най-добрият начин оперативно да „изтриете“ карта е да я деактивирате и преназначите правилно в системата, а не всеки път да изтривате чипа.

Опишете ясно изискванията за DESFire EV2 при покупка на карти

За доставки най-сигурната заявка е конкретната заявка. Вместо да поискате „презаписваеми RFID карти“, поискайте DESFire EV2 карти, съвместими с вашата система за контрол на достъп, нужния размер памет, предпочитания тип ключ, метод на печат, услуга за енкодиране, изисквания към UID формата и формат на доставка. Ако доставчикът трябва да създаде приложения, кажете го ясно. Ако ви трябват празни DESFire EV2 карти за вътрешно енкодиране, потвърдете, че картите са нови, оригинални и не са заключени от предишен проект. Ако картите трябва да работят със съществуващи четци, изпратете модела на четеца и софтуерните изисквания. Добър доставчик на RFID карти ще зададе уточняващи въпроси преди оферта, защото DESFire EV2 не е универсален продукт за всяка система.

Спортна арена в Чикаго почти поръча неподходящи карти, защото купувачът търсеше „DESFire EV2 карта rewrite“ и намери евтина партида, описана като съвместима с много системи. Екипът по контрол на достъп провери детайлите преди плащане и установи, че картите не са подготвени според изискваната структура на приложенията. Доставчикът можеше да осигури правилния чип и печат, но енкодирането изискваше отделна спецификация. След като екипът изпрати нужната структура, доставчикът произведе тестова партида, която работеше с турникетите на стадиона и служителските входове. По-късно купувачът призна, че най-ниската онлайн цена би създала скъпо забавяне.

Финални насоки за изтриване и презаписване на DESFire EV2 карти

Спокойният начин да изтриете и презапишете DESFire EV2 карта е да я третирате като защитен идентификатор, а не като празен стикер. Потвърдете оторизацията. Идентифицирайте структурата на картата. Знайте кои ключове са необходими. Решете дали обновявате данни, заменяте приложение или форматирате цялата карта. Тествайте върху мостри. Поддържайте проектни записи. Използвайте надежден RFID енкодер за карти и софтуер, които съответстват на вашата система. Работете с производител на DESFire EV2 карти или интегратор, който разбира защитената персонализация, а не само печата и доставката. Когато тези елементи са налице, процесът не е страшен. Той е просто контролиран технически работен поток.

Причината хората да губят търпение с DESFire EV2 картите обикновено не е чипът. Причината е липсваща информация. Никой не знае ключовете. Никой не е документирал идентификатори на приложения. Никой не е тествал четците на вратите. Никой не е изяснил дали картата трябва да се изтрие напълно, или само да се обнови. Тогава картата се превръща в обекта, който всички обвиняват, защото лежи на бюрото. В действителност DESFire EV2 прави точно това, за което е проектирана: защитава сигурните данни от небрежно презаписване. Когато уважите тази архитектура, изтриването и презаписването вече не е борба с картата, а управление на системата около нея.