HID iCLASS, iCLASS SE & Seos: Cosa può essere sostituito

I tre livelli HID 13.56 MHz spiegati

La gamma di smart card HID Global da 13.56 MHz non è un singolo prodotto ma una famiglia di tre livelli architettonicamente distinti, ognuno con il proprio modello di sicurezza, design del chip e storia di sostituzione pratica. Raggrupparli insieme è la fonte più comune di confusione quando i team delle strutture cercano un portachiavi compatibile HID iCLASS o una tessera per sostituire un supporto di accesso obsoleto.

I tre livelli sono: (1) iCLASS legacy, chiamato anche Picopass, che è alla base dei lettori iCLASS di prima generazione; (2) iCLASS SE e iCLASS Elite, che sovrappongono una diversificazione applicativa aggiuntiva sulla base Picopass; e (3) Seos, la piattaforma di generazione attuale di HID costruita attorno alla crittografia AES su un elemento sicuro dedicato. Ogni livello presenta una diversa questione di compatibilità, quindi il resto di questa guida li tratta a turno.

Tutti e tre i livelli condividono la banda di frequenza 13.56 MHz ISO 15693 / ISO 14443 e attiveranno fisicamente un lettore compatibile. La compatibilità di frequenza è dove la somiglianza finisce. Le architetture di autenticazione, diversificazione delle chiavi e archiviazione dei supporti di accesso sono sostanzialmente diverse tra i tre, e quell'architettura — non la radiofrequenza — governa se un supporto di accesso compatibile può trasportare un'applicazione funzionante.

iCLASS legacy (Picopass) e il suo percorso compatibile

I supporti di accesso iCLASS legacy utilizzano il protocollo Picopass con un'applicazione memorizzata in un layout di memoria definito. Quando un sito utilizza iCLASS legacy con configurazione standard — la distribuzione più comune nelle installazioni aziendali e governative più vecchie — le tessere vergini compatibili programmate nello stesso formato di supporto di accesso si autenticheranno con i lettori esistenti senza alcuna modifica del firmware o dell'hardware.

Questo è il caso compatibile chiaro nel mondo iCLASS. Se il log di audit del pannello del lettore mostra supporti di accesso iCLASS 2K o 16K, e il sito non ha abilitato la diversificazione delle chiavi a livello Elite, siete quasi certamente nel territorio della configurazione standard. Una carta formato HID iCLASS Legacy (2K/16K Picopass) proveniente da un fornitore specializzato può essere codificata con il codice del sito e il numero di carta esistenti e rilasciata agli utenti tramite il normale flusso di lavoro di programmazione.

Il requisito pratico è che è necessario un supporto di accesso di esempio o i dati del codice del sito per programmare correttamente le sostituzioni. Gli strumenti di lettura-scrittura ordinari disponibili per qualsiasi installatore certificato possono leggere i dati del supporto di accesso da una tessera di esempio e registrarli per programmare nuovi supporti vergini. Non sono necessari o appropriati strumenti di attacco specialistici — questo è un processo di manutenzione di routine per qualsiasi integratore familiare con iCLASS legacy.

Gli utenti di fob hanno le stesse opzioni. La stessa applicazione Picopass funziona in fattori di forma fob a conchiglia, quindi un portachiavi compatibile HID iCLASS che trasporta lo stesso formato si codifica e si autentica in modo identico all'equivalente della carta. Il formato e la configurazione della memoria contano; l'involucro fisico è intercambiabile nella maggior parte delle installazioni di lettori.

Se non siete sicuri se il vostro sito è in configurazione standard o Elite, il passo più sicuro è testare un blank compatibile con il vostro lettore prima di effettuare un ordine all'ingrosso. Un lettore in configurazione standard genuina accetterà immediatamente un blank correttamente codificato. Un lettore Elite lo rifiuterà, il che vi dice chiaramente che siete nella categoria di livello protetto trattata nella sezione successiva.

Per programmi iCLASS legacy su larga scala — data center, server room e campus che non sono ancora migrati a SE o Seos — manteniamo scorte di portachiavi compatibile HID iCLASS e formati di carte nelle configurazioni standard 2K e 16K Picopass. La nostra guida iCLASS, iCLASS SE e Seos: Opzioni di schede compatibili per livello copre i dettagli specifici dell'ordinazione.

iCLASS SE / Elite: protetto per design

iCLASS SE ha introdotto un'architettura di sicurezza fondamentalmente diversa. Laddove iCLASS legacy utilizza una chiave applicativa a livello di sito che è la stessa su tutte le tessere in una distribuzione, iCLASS SE e lo schema di diversificazione delle chiavi Elite derivano una chiave unica per supporto di accesso da una chiave radice detenuta dall'operatore. Un lettore programmato con chiavi Elite rifiuterà qualsiasi tessera che non presenta una risposta correttamente diversificata — inclusa una tessera standard iCLASS legacy presentata a un lettore SE in modalità multi-classe.

Questa architettura è intenzionale. È il motivo per cui iCLASS SE ha un premium price nelle installazioni enterprise e governative: il vincolo al lettore installato, creato dalle chiavi diversificate detenute dal gestore, è una proprietà di sicurezza reale, non un inconveniente commerciale. Un'eventuale scheda sostitutiva non può semplicemente riutilizzare i dati applicativi di un campione, perché la fase di verifica richiede la chiave diversificata che solo la scheda corretta produrrebbe durante uno scambio di autenticazione legittimo.

Ciò che forniamo per le distribuzioni iCLASS SE ed Elite è quindi un supporto di accesso vergine compatibile: una carta compatibile HID iCLASS SE costruita sulla piattaforma chip corretta con la struttura applicativa corretta, ma senza chiavi precaricate. Il processo di registrazione del vostro sistema — tipicamente eseguito tramite lo stesso software di gestione del controllo accessi che già utilizzate — scrive le chiavi diversificate del vostro sito e i dati della tessera sul blank durante l'emissione.

Questo è identico al processo di emissione di una tessera nuova di zecca dal vostro fornitore attuale, con due differenze: voi acquistate il blank da noi anziché da HID, e il costo unitario è inferiore. Le proprietà di sicurezza della tessera di accesso emessa sono determinate dalle chiavi che il vostro sistema carica, non da chi ha prodotto il supporto blank.

Allo stesso modo, il carta compatibile HID iCLASS Elite formato che abbiamo in magazzino è costruito per accettare la diversificazione delle chiavi dello schema Elite tramite la vostra infrastruttura di registrazione. Se il vostro installatore o integratore di sistema ha configurato i vostri lettori per Elite, si applica lo stesso flusso di lavoro di registrazione.

Per le strutture che mescolano livelli iCLASS — una realtà comune durante i programmi di migrazione pluriennali — sono disponibili anche tessere multi-tecnologia che trasportano sia un'applicazione Picopass legacy che un livello applicativo SE. Queste vi consentono di eliminare gradualmente i lettori legacy edificio per edificio senza dover emettere doppie tessere di accesso a ogni titolare di tessera.

Seos: AES su un elemento sicuro

Seos è l'attuale piattaforma di punta di HID e rappresenta l'architettura di supporti di accesso più sofisticata della famiglia iCLASS. L'applicazione viene eseguita all'interno di un elemento sicuro dedicato — un'enclave hardware antimanomissione — e tutte le operazioni del supporto di accesso sono protette dalla crittografia AES-128 o AES-256 con chiavi che non lasciano mai l'elemento sicuro in chiaro.

The practical consequence for replacement purchasing is the same as for iCLASS SE, but even more clearly defined: there is no compatible path that writes a working Seos application from the outside. The AES keys that authenticate a Seos credential to a Seos reader reside inside the secure element and are loaded exclusively through HID's Trusted Identity Platform or a the enrolment infrastructure. A HID Seos supporto vergine che forniamo è esattamente questo: un supporto di accesso vergine con il chip dell'elemento sicuro corretto e il contenitore dell'applicazione Seos corretto, pronto a ricevere le chiavi del vostro sistema tramite il vostro normale processo di emissione.

Questo è importante per i team di approvvigionamento che sostituiscono tessere Seos perse o danneggiate. Non è necessario acquistare le sostituzioni tramite il vostro integratore di sistema originale al prezzo di listino. Potete procurarvi il supporto di accesso vergine da un fornitore di tessere compatibili, farlo passare attraverso la vostra stazione di registrazione esistente e rilasciarlo al titolare della tessera. Il lettore non sa né si preoccupa di chi ha prodotto il supporto vergine; si preoccupa solo che il supporto di accesso presenti una risposta AES valida utilizzando le chiavi caricate dal vostro sistema.

Seos è anche la piattaforma alla base dell'ecosistema di supporti di accesso mobili e indossabili di HID, ma questa è una questione di licenze software separata dalla fornitura di tessere fisiche. Le tessere e i portachiavi Seos fisici per il personale che preferisce o richiede un supporto di accesso fisico rimangono semplici da procurare come supporti vergini compatibili.

Per ambienti ad alta sicurezza come data center, strutture di ricerca e sale operative finanziarie — i tipi di implementazioni nel nostro Supporti di accesso ad alta sicurezza per Data Center e Sale Server set di soluzioni — i supporti di accesso vergini Seos forniscono un percorso di emissione conveniente senza compromettere le proprietà di sicurezza AES che la piattaforma è stata progettata per offrire.

Gli operatori che utilizzano Seos insieme ad altre tecnologie a 13.56 MHz potrebbero anche trovare la nostra The 13.56 MHz Smart Card Family Explained: Classic, Plus, Secure, Memory guide useful for understanding the parallel smart-card landscape, since mixed-reader panels reading both Seos and AES-secured 13.56 MHz smart cards are increasingly common in enterprise access programmes.

Cosa forniamo effettivamente per ogni livello

Per rimuovere qualsiasi ambiguità, ecco esattamente cosa Security ID Systems immagazzina e spedisce per ogni livello della famiglia HID iCLASS.

Per iCLASS (Picopass) legacy in configurazione standard: forniamo schede e portachiavi bianchi completamente compatibili nei formati 2K e 16K. Questi possono essere ordinati pre-codificati con il vostro codice sito e intervallo di numeri di carta, oppure ordinati come schede bianche per la codifica tramite la vostra toolchain di installazione. Il scheda compatibile con passthrough iclass csn il formato è disponibile anche per implementazioni che si basano sulla modalità di sola lettura CSN piuttosto che su un'applicazione completa.

Per iCLASS SE ed Elite: forniamo supporti di accesso vergini compatibili sulla piattaforma chip corretta, pronti per la registrazione tramite il vostro sistema di gestione del controllo accessi. Non forniamo supporti di accesso SE o Elite precaricati perché le chiavi appartengono al vostro sistema, non a noi — questo è il modello di sicurezza che funziona correttamente.

Per Seos: stesso modello. Supporti di accesso Seos vergini compatibili, chip dell'elemento sicuro corretto, contenitore dell'applicazione corretto, zero chiavi precaricate. La registrazione tramite la vostra infrastruttura carica le vostre chiavi e i vostri dati del supporto di accesso.

Disponiamo anche di una gamma di formati multi-tecnologia che abbinano applicazioni iCLASS con altri protocolli — utili durante le migrazioni. Ad esempio, i siti che passano dalla prossimità legacy a 125 kHz a iCLASS o Seos spesso necessitano di schede che supportino entrambe le tecnologie contemporaneamente durante il periodo di transizione. Il nostro Smart card HF 13.56 MHz catalogo e Alta sicurezza & Formati personalizzati la sezione coprono l'intera gamma multi-tecnologia.

Gli acquirenti che si riforniscono per sistemi Bosch, TESA, Mul-T-Lock o altri sistemi OEM che incorporano lettori iCLASS troveranno che si applica la stessa logica di livello. Una scheda di controllo accessi bosch compatibile, scheda chiave hotel tesa compatibile, o scheda compatibile smartair che utilizza un livello di supporti di accesso iCLASS segue la stessa divisione tra configurazione standard e livello protetto. Verificare quale livello iCLASS sta eseguendo il lettore OEM prima di ordinare.

Se state migrando contemporaneamente un vecchio sistema Wiegand a 125 kHz, il scheda di prossimità compatibile HID la gamma fornisce il lato a 125 kHz di qualsiasi abbinamento multi-tecnologia.

La nostra più ampia Carte di accesso compatibili vs originali: una guida onesta per l'acquirente copre l'argomento dell'approvvigionamento in modo completo — quando le schede bianche compatibili hanno senso commerciale, cosa verificare prima di ordinare in volume e come gestire il processo di registrazione tramite la vostra infrastruttura esistente.

Security ID Systems è un fornitore indipendente di supporti di accesso compatibili. Non siamo affiliati, approvati o in alcuna relazione commerciale con HID Global. HID, iCLASS, iCLASS SE, Seos e Picopass sono marchi dei rispettivi proprietari.