Защо монтажниците не харесват Wiegand и какво го заменя

Попитайте монтажник на системи за сигурност какво мисли за протокола Wiegand и вероятно първо ще чуете уморен смях, преди да получите технически отговор. Wiegand се използва от десетилетия и, честно казано, има важна роля в развитието на съвременния контрол на достъпа. Той даде на инсталаторите лесен начин да свързват карта четци към контролери за достъп чрез два проводника за данни, които пренасят информацията от идентификатора от четеца към контролера. Дълго време това беше достатъчно. Потребителят доближаваше проксимити карта, четецът изпращаше битове, контролерът вземаше решение и вратата се отключваше или оставаше заключена.

Проблемът е, че сградите се промениха. Заплахите се промениха. Идентификаторите също се промениха. Клиентите вече очакват криптирани RFID карти, мобилни идентификатори за достъп, дистанционна диагностика, наблюдение на състоянието на четците, актуализации на фърмуер и чиста интеграция със съвременни системи за контрол на достъпа. Wiegand никога не е бил проектиран за тази среда. Той е създаден за по-просто време, когато повечето хора се интересуваха повече дали вратата се отваря, отколкото дали данните от идентификатора могат да бъдат прихванати, повторени или тихо копирани. Затова много монтажници на системи за сигурност не просто не харесват Wiegand. Те са уморени да защитават стари решения за окабеляване, които правят модерната сигурност по-трудна, отколкото трябва да бъде.

Защо Wiegand се превърна в проблем за сигурността

Най-голямото оплакване е сигурността. Традиционната комуникация Wiegand от четеца към контролера обикновено е еднопосочна и некриптирана. Четецът изпраща данните от картата по линиите данни 0 и данни 1. Контролерът ги получава. Това звучи безобидно, докато не осъзнаете, че всеки с достъп до трасето на кабела може потенциално да прихване сигнала. В много по-стари инсталации кабелите на четците минават през стени, тавани, каси на врати, колони на паркинг бариери или открити кабелни канали. Ако комуникацията не е криптирана или удостоверена, системата за контрол на достъпа се доверява на всеки битов модел, който пристигне в контролера. За съвременните монтажници това е неудобно, особено когато клиентът иска по-високо ниво на сигурност при достъпа.

Търговски инсталатор в Денвър се сблъска с това при обновяване на офис на фирма за правни услуги. Клиентът имаше скъпи smart cards на рецепцията и модерен софтуерен интерфейс в помещението за сигурност, но четците все още изпращаха данните от идентификаторите чрез Wiegand към стар контролер. IT мениджърът попита дали комуникацията между четеца и контролера е криптирана. Инсталаторът трябваше да обясни, че технологията на картите е по-сигурна от кабелния път на четеца. Клиентът не беше доволен. Той беше платил за сигурни идентификатори, но най-слабото място се намираше зад стената.

Това е странното при Wiegand. Системата може да изглежда модерна отвън, докато под повърхността остава стар слаб пункт. Една сграда може да използва елегантни RFID достъп четци, стилни черни корпуси и cloud управляван софтуер за достъп, но ако изходът на четеца е обикновен Wiegand, моделът на сигурност все още зависи от наследена връзка. Много крайни потребители не знаят това, защото Wiegand не се вижда. Те виждат четеца и приложението, не протокола. Монтажниците обаче са тези, които трябва да отговарят на трудните въпроси, когато одитор, консултант или екип по IT сигурност започне да проверява детайлите.

Еднопосочната комуникация оставя монтажниците без видимост

Друга причина монтажниците да не харесват Wiegand е липсата на реална двупосочна комуникация. Wiegand четецът изпраща данни към контролера, но контролерът не води пълноценен диалог с четеца. Обикновено той не може да поиска подробен статус от четеца, да потвърди състоянието на защитения канал, да съобщи structured tamper събития, да изпрати конфигурация по чист начин или да управлява разширено поведение на множество устройства. В старите проекти за контрол на достъпа това ограничение беше приемливо. В модерните проекти то изглежда като работа на сляпо. Ако четец спре да работи, инсталаторът може да се наложи физически да проверява окабеляване, захранване, заземяване, състояние на четеца, входове на контролера и формат на идентификатора, преди да открие проблема.

Болница в Сингапур преживя това с няколко четеца на входове за персонал. Вратите се използваха интензивно от медицински сестри и подизпълнители, а периодичните откази предизвикваха дълги оплаквания. Контролерът за достъп показваше събития, когато картите се четяха, но не казваше на екипа по поддръжка дали конкретен четец е в добро състояние, дали линията има шум или дали проблемът идва от несъответствие във формата на идентификатора. Техниците прекарваха късни вечери в смяна на четци и проверка на кабелни връзки. Когато по-късно болницата премести новите врати към OSDP четци с supervised RS-485 комуникация, екипът по поддръжка можеше по-ясно да вижда статуса на четците и да диагностицира проблемите с по-малко догадки.

Полеви проблеми при монтаж, скрити зад старо окабеляване

Поведението на кабелите е още едно практическо главоболие. Wiegand инсталациите могат да работят на дълги разстояния, но са чувствителни към качеството на окабеляването, заземяването, смущенията, трасето на кабелите и пада на напрежение. На терен монтажниците наследяват сложни и неясни сгради. Те намират стари кабели, снадени над окачени тавани, проводници на четци, споделящи трасета с шумно оборудване, неизвестни дължини на кабели, различни практики за екраниране и контролери, местени при предишни ремонти. Wiegand не дава много обратна връзка, когато качеството на сигнала е гранично. Той или работи, или отказва, или се държи достатъчно непостоянно, за да провали следобеда на техника.

Университетски кампус в Манчестър имаше старо окабеляване за контрол на достъпа, разпределено в няколко сгради. Когато на лабораторните врати бяха монтирани нови RFID четци за карти, някои заработиха веднага, а други генерираха случайни откази. Четците не бяха дефектни. Идентификаторите на картите бяха правилни. Проблемът беше старо кабелно трасе близо до електрическо оборудване и лошо завършване на екранировката на няколко места. Тъй като Wiegand връзката предлагаше ограничена диагностична видимост, инсталаторът трябваше да отстранява проблема като детектив. В крайна сметка кампусът реши бъдещите обновявания на сградите да използват OSDP access control readers през RS-485, защото топологията на окабеляването и наблюдението правеха дългосрочната поддръжка по-предвидима.

Форматите на идентификаторите създават още наследени капани

Проблемите с формата на идентификаторите са още един източник на неудовлетворение. Wiegand не е само кабелен интерфейс; хората говорят и за Wiegand формати като 26-bit, 34-bit, 37-bit и много персонализиран структури. Facility codes, номера на карти, дължини в битове, parity правила и proprietary формати могат да превърнат простата смяна на четец в малко разследване. Клиентът може да каже: „Трябва ни само нов четец за карти“, но монтажникът пак трябва да потвърди дали контролерът очаква конкретен Wiegand формат и дали новият четец извежда точно това, което панелът изисква. Ако форматът не съвпада, картите може да се четат, но да не получават разрешение, или системата да показва странни номера.

Фирма за управление на имоти в Мадрид смени стари проксимити четци на няколко входа на жилищни сгради. Новите четци поддържаха същите low frequency RFID карти и всички очакваха миграцията да бъде лесна. Но старият контролер използваше персонализиран Wiegand формат от предишен доставчик, а новите четци по подразбиране извеждаха различна структура. Жителите започнаха да съобщават, че валидни карти се отказват. Инсталаторът реши проблема, но едва след като изтегли настройките на контролера, сравни raw карта outputs и препрограмира поведението на четците. Клиентът видя забавянето като лош монтаж. Инсталаторът го видя като поредно напомняне, че наследените Wiegand проекти крият малки капани навсякъде.

Индустрията за сигурност също отдавна е надхвърлила простите номера на карти. Съвременният контрол на достъпа може да включва криптирани смарт карти, DESFire EV2 или EV3 удостоверения, удостоверения за мобилен портфейл, Bluetooth мобилен достъп, NFC контрол на достъпа, биометрична проверка, многофакторни правила, контрол на асансьори, управление на посетители и cloud базирани разрешения. Wiegand все още може да пренесе номер, но не може да представи по-богатата връзка на доверие, която модерните системи изискват. Ако четецът валидира сигурна смарт карта, но след това изпрати обикновен номер по Wiegand, част от стойността на сигурността се губи между четеца и контролера.

Защо OSDP заменя Wiegand в модерния контрол на достъпа

Именно затова OSDP се превърна в основната алтернатива, за която индустрията говори. OSDP означава Open Supervised Device Protocol. Той използва RS-485 комуникация и поддържа двупосочна връзка между контролера за достъп и периферни устройства като четци за карти. Още по-важно, OSDP v2 може да поддържа Secure Channel, който осигурява криптирана комуникация между четеца и контролера, когато е внедрен правилно. За инсталатори и консултанти по сигурността това е голяма крачка напред. Това означава, че четецът вече не просто „извиква“ данните от картата по два проводника. Той участва в управлявана, наблюдавана и криптирана връзка.

Офис на компания за финансови услуги в Торонто премина през строг преглед на физическата сигурност, преди да се премести в обновена сграда. Консултантът отхвърли първоначалния проект, защото low-voltage планът на архитекта все още използваше Wiegand четци на периметърните врати. Инсталаторът предложи OSDP secure четци с encrypted смарт карта удостоверения вместо това. Цената беше малко по-висока и конфигурацията на контролера изискваше повече внимание, но клиентът я прие, защото проектът отговаряше по-добре на очакванията на IT сигурността. По-късно инсталаторът каза, че най-трудната част не е била инсталирането на OSDP. Трудното е било да обясни защо старото „винаги е работило“ вече не е достатъчно.

Наблюдението и диагностиката на четците подобряват поддръжката

OSDP помага и при наблюдението на четците. В Wiegand система прекъсната линия, повреден четец или tamper състояние невинаги се съобщават ясно, освен ако не се добави отделно окабеляване и мониторинг. С OSDP контролерът може да комуникира с четеца и да открива определени проблеми във връзката по-интелигентно. Това не означава, че OSDP автоматично решава всеки монтажен проблем. Лошото окабеляване си остава лошо окабеляване. Лошата конфигурация си остава лоша конфигурация. Но OSDP дава на системата по-добър език, за да разбере какво се случва в периферията.

За монтажници, които управляват множество четци, друго предимство е multi-drop окабеляването. OSDP през RS-485 може да поддържа няколко четеца на една bus линия при подходящи конфигурации, в зависимост от контролера и системния дизайн. Wiegand обикновено е point-to-point връзка от всеки четец към входа на контролера. В по-големи проекти това може да означава повече кабелни трасета и повече планиране на входове в панела. OSDP не премахва нуждата от внимателен дизайн, но дава на интеграторите повече гъвкавост, когато хардуерът за контрол на достъпа го поддържа.

Логистичен склад в Полша обнови едновременно турникетите за служители и достъпа през портали за превозни средства. Старата система имаше отделни Wiegand трасета за няколко четеца, а кабелните скари вече бяха претоварени с други low-voltage системи. Интеграторът избра OSDP-compatible RFID четци за новите зони и използва RS-485 топология там, където беше подходящо. Проектът все още изискваше дисциплинирано адресиране, терминиране и документация, но крайното окабеляване беше по-чисто. Първоначално складовият мениджър не се интересуваше какво означава OSDP. Той започна да се интересува, когато бъдещото отстраняване на проблеми с четците започна да отнема по-малко време.

Монтажниците също оценяват, че OSDP може да поддържа по-разширено управление на четците. В зависимост от системата контролерът може по-ефективно да управлява LEDs, buzzers, поведение на текстови дисплеи, клавиатура input, комуникация с биометрични устройства и други периферни функции в сравнение с базов Wiegand интерфейс. За клиентите това може да създаде по-последователно преживяване при вратата. За монтажниците намалява странните заобиколни решения. Вместо да се полагат допълнителни проводници за всяка малка функция, контролерът и четецът могат да обменят повече информация чрез протокола.

OSDP все пак изисква правилен дизайн

Въпреки това OSDP не е магия. Лошо внедрена OSDP система все пак може да разочарова. Secure Channel трябва да бъде конфигуриран правилно. Адресите на устройствата трябва да се управляват. Качеството на кабелите и терминирането все още имат значение. Монтажниците трябва да разбират RS-485 окабеляване, а не просто да заменят двата Wiegand проводника за данни и да се надяват на най-доброто. Някои по-стари контролери твърдят, че поддържат OSDP, но реално поддържат само ограничени функции. Някои четци поддържат OSDP, но се доставят с Wiegand като изход по подразбиране. Правилната миграция изисква планиране, тестване и документация.

Фабрика във Виетнам научи това по време на поетапно обновяване на контрол на достъпа. Екипът по покупки поръча OSDP четци, но монтажната група окабели няколко врати като Wiegand четци, защото старите чертежи бяха копирани без актуализация. Четците се включиха, но не комуникираха правилно с новия контролер. След като интеграторът коригира bus окабеляването, адресирането и настройките на протокола, системата заработи както трябва. Урокът не беше, че OSDP е труден. Урокът беше, че модерният протокол също се проваля, когато проектният екип го третира като стар хардуер с нов етикет.

Други технологии, които променят връзката между четец и контролер

Друг път за замяна е IP-based контрол на достъпа, при който интелигентни четци или контролери на врати комуникират през мрежова инфраструктура. В някои системи четецът може да бъде част от смарт краен устройство, а door controller се намира по-близо до отвора. IP контрол на достъпа може да предложи силна интеграция, централизирано управление и по-лесна връзка с cloud платформи. Но той носи и отговорности за мрежова сигурност. Монтажниците трябва да работят с IT екипите по VLANs, PoE бюджети, firewall rules, устройство certificates, управление на фърмуера и политики за cybersecurity. В много проекти OSDP между четеца и контролера плюс сигурна IP комуникация от контролера към сървъра предлага практичен баланс.

Мобилният достъп също променя разговора. Купувачите, които търсят модерни четци за контрол на достъпа, често питат за удостоверения за Apple Wallet, поддръжка на Google Wallet, Bluetooth мобилни удостоверения, NFC мобилен достъп или app-based door opening. Тези технологии могат да намалят зависимостта от пластмасови карти, но все пак се нуждаят от сигурен път между четеца и контролера. Ако мобилен идентификатор се валидира от четеца и после се преобразува в обикновен Wiegand изход, системата може да не получи пълната полза от модерната сигурност. Затова проектите с мобилни идентификатори често се комбинират по-добре с OSDP secure четци или специфична за производителя криптирана комуникация.

Корпоративна офис кула в Дубай въведе мобилни идентификатори за ръководители и мениджъри на наематели. Първото предложение запазваше съществуващото Wiegand окабеляване, защото щеше да бъде по-евтино. Консултантът по сигурността възрази, като посочи, че premium преживяване с мобилен достъп не трябва да разчита на некриптиран наследен изход от четеца. Финалният проект използва mobile-ready четци с OSDP Secure Channel към контролерите за достъп. Наемателят не забеляза промяната на протокола в ежедневната употреба, но екипът по сигурност беше по-спокоен, знаейки че краен комуникацията не е най-слабото звено.

Криптираните смарт идентификатори се нуждаят от сигурен изходен път

Криптираните смарт идентификатори заменят старите проксимити карти по същата причина. Low frequency 125 kHz проксимити карти все още са често срещани, но много от тях се копират лесно с евтини инструменти. Модерните RFID контрол на достъпа системи все по-често използват 13.56 MHz смарт карта технология с mutual автентикация и криптирани данни на приложението. Идентификационните данни MIFARE DESFire например могат да бъдат конфигурирани по много по-сигурен начин от старите prox карти. Но отново изходът на четеца има значение. Сигурната карта не трябва да се свежда до открит номер по некриптирана Wiegand линия, ако сградата наистина се стреми към по-висока реална сигурност.

Общинска сграда в Охайо замени старите prox карти, след като одит по сигурността установи, че няколко типа badges могат да бъдат клонирани. Градската администрация избра криптирани smart cards и съвместими четци. По време на проектния преглед инсталаторът препоръча Wiegand да бъде заменен с OSDP, вместо да се използват повторно старите входове на четците. Първоначално градът постави под въпрос допълнителната работа, защото вратите вече функционираха. Инсталаторът обясни, че обновяването на картата при запазване на наследения изход на четеца е като да сложиш по-здрава брава и да оставиш ключа под изтривалката. Това обяснение най-накрая направи проблема с протокола разбираем за нетехническите заинтересовани страни.

Как монтажниците трябва да подхождат към миграцията от Wiegand

За монтажниците преминаването от Wiegand е и въпрос на отговорност и професионална надеждност. Когато клиентите искат сигурен контрол на достъпа, интеграторът трябва да достави система, която може да издържи базова проверка. Ако по-късно възникне пробив, провал на одит или инцидент с клониране на идентификатори, никой не иска да обяснява защо десетилетен некриптиран интерфейс е оставен на място без обсъждане. Добрият монтажник не трябва да премахва всяка Wiegand система за една нощ, но трябва да идентифицира къде рискът е неприемлив и къде миграцията има смисъл.

Наследените системи няма да изчезнат веднага. Wiegand е широко инсталиран в офис сгради, училища, фабрики, жилищни комплекси, болници и паркинг системи. Той е познат, широко поддържан и понякога все още приемлив за нискорискови врати, когато бюджетните ограничения са реални. Много контролери все още включват Wiegand входове, защото клиентите се нуждаят от backward compatibility. Честната позиция не е, че всеки Wiegand четец трябва да бъде премахнат утре. Честната позиция е, че Wiegand вече не трябва да бъде изборът по подразбиране за нови проекти, ориентирани към сигурността.

Най-добрата стратегия за миграция обикновено е поетапна. Започнете с периметърни врати, сървърни помещения, executive areas, лаборатории, складове за медикаменти, зони за работа с пари, данни centers и други високорискови отвори. Използвайте OSDP-съвместими четци за контрол на достъпа, криптирани смарт карти, сигурни мобилни удостоверения и контролери, които правилно поддържат модерни протоколи. Оставете по-старите Wiegand четци само там, където рискът е нисък и подмяната все още не е практична. Документирайте ясно разликата, за да знае клиентът кои врати са модернизирани и кои все още са legacy.

Регионална здравна група в Нова Зеландия приложи именно този подход. Те не смениха всеки четец в рамките на един бюджетен цикъл. Вместо това приоритизираха аптечни зони, maternity wards, IT помещения и входове за персонал извън работно време. Изпълнителят на системата за контрол на достъпа използва OSDP четци със сигурни удостоверения в тези зони и остави някои нискорискови вътрешни врати на Wiegand до следващата фаза. Проектът успя, защото беше реалистичен. Инсталаторът не се престори, че бюджетът няма значение, но също така не се престори, че всички врати носят еднакъв риск.

Въпроси, които купувачите трябва да зададат преди одобрение на хардуера

За купувачите въпросите са ясни. Поддържа ли четецът OSDP? Поддържа ли контролерът правилно OSDP Secure Channel? Идентификаторите криптирани smart cards ли са, или стари проксимити карти? Криптирана ли е комуникацията между четеца и контролера? Може ли системата да наблюдава статуса на четеца? Може ли инсталаторът да предостави стандарти за окабеляване и конфигурационни записи? Какво се случва при четец tamper събитие? Могат ли фърмуер и конфигурацията на четеца да се управляват безопасно? Тези въпроси помагат да се отдели модерното предложение за контрол на достъпа от наследена система, облечена в нов хардуер.

За производителите на RFID четци тази промяна също е важна. Купувачите на контрол на достъпа вече не се впечатляват само от „Wiegand output“. Те очакват multi-protocol support, включително Wiegand за legacy compatibility и OSDP за модерни инсталации. Искат четци, които поддържат сигурни удостоверения, mobile достъп options, ясно поведение на LED и buzzer, стабилна RS-485 комуникация, tamper detection и чиста документация. Четец, който предлага само стар Wiegand output, може все още да се продава за подменни проекти, но ще среща трудности в проекти, където участват консултанти по сигурността и IT екипи.

Практичното бъдеще на Wiegand и OSDP

Монтажниците на системи за сигурност не харесват Wiegand не защото той никога не е работил, а защото работеше толкова дълго, че хората спряха да го поставят под въпрос. Той се превърна в навик по подразбиране. А навиците се сменят трудно, дори когато техническите причини са очевидни. Wiegand е прост, но простотата без криптиране, наблюдение и двупосочна комуникация не е достатъчна за много съвременни врати. Замяната не е един-единствен продукт. Тя е комбинация от OSDP Secure Channel, encrypted смарт удостоверения, mobile достъп, по-добри контролери, IP-connected системи и по-сериозен проектен дизайн.

Практичното бъдеще е ясно. Wiegand ще остане в legacy сгради още години, но новите проекти за контрол на достъпа трябва от самото начало да се проектират със сигурна комуникация. Монтажниците, които разбират OSDP, смарт карта security, поведението на mobile удостоверения и IT-friendly deployment, ще имат предимство. Купувачите, които питат за протоколите на четците преди одобрение на хардуера, ще избегнат скъпи retrofit дейности по-късно. И следващия път, когато някой каже „Това е просто четец за карти“, добрият монтажник ще знае точно как да отговори: доверието започва от четеца, а протоколът зад него има много по-голямо значение, отколкото повечето хора предполагат.