Srovnání čipů pro studentské průkazy: MIFARE DESFire EV3 vs. iCLASS vs. SEOS

Výběr správné čipové technologie pro váš program studentských průkazů je jedním z nejzásadnějších rozhodnutí, které univerzita musí učinit. Čip určuje nejen to, co karta dokáže dnes, ale také jak snadno se instituce v příštím desetiletí přizpůsobí mobilním přihlašovacím údajům, přísnějším bezpečnostním standardům a novým aplikacím. V oblasti zavádění studentských průkazů po celém světě dominují tři platformy: MIFARE DESFire EV3 od společnosti NXP, starší iCLASS od společnosti HID a SEOS nové generace od společnosti HID. Každá z nich přináší specifické přednosti, omezení a dlouhodobé důsledky.

MIFARE DESFire EV3: Tažný kůň na bázi otevřeného standardu

MIFARE DESFire EV3, vyráběný společností NXP Semiconductors, funguje na standardu ISO 14443A na frekvenci 13,56 MHz. Jedná se o nejrozšířenější bezkontaktní čip pro chytré karty ve vysokém školství mimo Severní Ameriku, který si však získává významnou pozici i na trhu v USA.

Bezpečnostní architektura

DESFire EV3 využívá šifrování AES-128 s oboustranným ověřením identity mezi kartou a čtečkou. Čip je certifikován podle Common Criteria na úrovni EAL5+, což je nejvyšší úroveň hodnocení, s jakou se lze u studentských průkazů běžně setkat. Každá aplikace na kartě může mít vlastní sadu kryptografických klíčů, což znamená, že aplikace pro řízení přístupu, stravovací systém v menze a knihovna fungují v izolovaných bezpečnostních doménách. I kdyby došlo ke kompromitaci klíčů jedné aplikace, ostatní zůstávají chráněny.

Čip podporuje transakční MAC (Message Authentication Code), který poskytuje kryptografický důkaz o tom, že transakce skutečně proběhla – což je klíčové pro bezhotovostní platební aplikace, kde může dojít ke sporům. EV3 také představil technologii Secure Dynamic Messaging (SDM), která umožňuje zabezpečenou komunikaci s chytrými telefony s technologií NFC bez nutnosti instalace specializované aplikace.

Paměť a aplikace

DESFire EV3 je k dispozici v paměťových konfiguracích 2KB, 4KB a 8KB. Varianta 4KB je při zavádění na univerzitách nejběžnější a nabízí dostatek prostoru pro 8–12 samostatných aplikací. Každá aplikace může ukládat více souborů s nezávislými přístupovými právy. Typický studentský průkaz tak může na jediném 4KB čipu sdružovat aplikace pro přístup do dveří, zůstatek stravovacího konta v menze, služby v knihovně, tiskové kredity, přístup na parkoviště a nákupy v prodejních automatech.

Ekosystém a kompatibilita

Vzhledem k tomu, že MIFARE DESFire vychází z otevřených standardů ISO, spolupracuje se čtečkami od stovek výrobců. Tím se předchází závislosti na jediném dodavateli a vytváří se konkurenční prostředí pro tvorbu cen infrastruktury. Univerzity mohou kombinovat čtečky od různých dodavatelů a přitom si zachovat jednotný kartový program. DESFire EV3 je zpětně kompatibilní se čtečkami EV1 a EV2, což usnadňuje postupnou modernizaci.

HID iCLASS: Starší platforma, která je postupně vyřazována

Platforma iCLASS od společnosti HID byla v Severní Americe dominantní technologií studentských průkazů po celá léta 2000 až 2010. Karty iCLASS, fungující na frekvenci 13,56 MHz s proprietárním protokolem, nabízely výrazné zvýšení bezpečnosti oproti 125 kHz bezkontaktním kartám (Prox), které nahradily.

Proč se iCLASS vyřazuje z provozu

Původní systém iCLASS využívá proprietární šifrovací schéma, které bylo v roce 2010 veřejně prolomeno. Výzkumníci prokázali, že karty iCLASS lze klonovat pomocí běžně dostupného vybavení, což narušilo bezpečnostní předpoklady celé platformy. Společnost HID reagovala verzí iCLASS SE (Secure Element), která přidala další úroveň zabezpečení, avšak základní architektura zůstala proprietární a omezená.

Karty iCLASS obvykle nabízejí pouze 2KB paměti s omezenou segmentací aplikací. Proprietární protokol znamená, že univerzity jsou v oblasti čteček, softwaru a správy karet vázány na ekosystém společnosti HID – což snižuje konkurenční tlak na cenu a omezuje možnosti integrace.

Společnost HID oficiálně označila SEOS za nástupce iCLASS a doporučuje zákazníkům migraci. Nové instalace využívající výhradně iCLASS jsou již vzácné, ačkoli mnoho univerzit během přechodného období stále provozuje smíšená prostředí.

HID SEOS: Platforma nové generace od společnosti HID

SEOS (vyslovováno „SÍ-os“) je moderní platforma pro přihlašovací údaje od společnosti HID Global, která byla od základu navržena tak, aby podporovala jak fyzické karty, tak mobilní přihlašovací údaje. Funguje na proprietárním protokolu, ale s výrazně lepším zabezpečením ve srovnání se starší technologií iCLASS.

Zabezpečení a připravenost na mobilní technologie

SEOS využívá šifrování AES-128/256 s vrstvenou bezpečnostní architekturou, kterou společnost HID nazývá „Trusted Identity Platform“ (TIP). Platforma podporuje technologii Secure Identity Object (SIO), která vytváří kryptografickou vazbu mezi přihlašovacími údaji a jejich nosičem – ať už je tímto nosičem plastová karta, nebo chytrý telefon. Tato architektura činí SEOS přirozeně připraveným pro mobilní zařízení a pohání řešení HID Mobile Access pro nasazení v peněženkách Apple Wallet a Google Wallet.

Daň za proprietární řešení

Přihlašovací údaje SEOS fungují pouze se čtečkami HID a platformou pro mobilní přístup od společnosti HID. Pro univerzity, které již investovaly do infrastruktury HID, to představuje bezproblémovou cestu k upgradu. Pro instituce, které své možnosti teprve vyhodnocují, to znamená závazek vůči jedinému dodavateli pro dohlednou budoucnost. Čtečky HID bývají ve srovnání s širším ekosystémem MIFARE cenově náročnější a integrace se systémy třetích stran vyžaduje součinnost a licencování ze strany společnosti HID.

Přímé srovnání

Zabezpečení

Všechny tři moderní platformy (DESFire EV3, iCLASS SE, SEOS) nabízejí šifrování AES-128. DESFire EV3 má navrch díky certifikaci Common Criteria EAL5+ – nezávisle ověřenému bezpečnostnímu hodnocení, kterého iCLASS SE ani SEOS na stejné úrovni nedosáhly. Pro univerzity, které podléhají vládním bezpečnostním požadavkům (výzkumné instituce, programy přidružené k armádě), může být tato certifikace rozhodujícím faktorem.

Náklady

Karty DESFire EV3 obvykle stojí při větších objemech 1,50–3,00 USD za kus v závislosti na velikosti paměti a specifikaci potisku. Karty HID SEOS se kvůli proprietárnímu licencování pohybují v rozmezí 3,00–6,00 USD za kus. Karty iCLASS se nacházejí uprostřed. Náklady na samotné karty však tvoří pouze zlomek celkových nákladů na systém – infrastruktura čteček, licencování softwaru a práce spojená s integrací obvykle představují 10 až 20násobek výdajů za karty.

Větší rozdíl v nákladech se projevuje v infrastruktuře čteček. Čtečky kompatibilní s technologií DESFire jsou k dispozici od desítek výrobců (HID, STid, Nedap, Feig, Elatec), což vytváří cenovou konkurenci. Čtečky SEOS dodává výhradně společnost HID, což omezuje prostor pro vyjednávání o ceně.

Podpora mobilních přihlašovacích údajů

Jak DESFire EV3, tak SEOS podporují mobilní přihlašovací údaje, avšak prostřednictvím odlišných mechanismů. SEOS nativně pohání HID Mobile Access a nabízí vyladěnou integraci s Apple Wallet a Google Wallet prostřednictvím platforem jako Transact a Atrium. DESFire EV3 podporuje mobilní zařízení prostřednictvím NFC a Secure Dynamic Messaging a několik platforem pro studentské průkazy (včetně Transact) podporuje mobilní přihlašovací údaje založené na technologii DESFire.

Cesty migrace

Univerzity, které provozují starší systém iCLASS, mají dvě hlavní možnosti migrace: přechod na SEOS v rámci ekosystému HID, nebo migraci na DESFire EV3 na platformě s otevřeným standardem. Cesta k SEOS je jednodušší, pokud ji podporuje stávající infrastruktura čteček – u mnoha novějších čteček HID lze aktualizovat firmware tak, aby podporovaly SEOS souběžně s iCLASS. Cesta k DESFire obvykle vyžaduje výměnu čteček, ale nabízí dlouhodobou nezávislost na dodavateli.

K dispozici jsou vícetechnologické karty, které kombinují iCLASS, SEOS a DESFire na jednom nosiči, a běžně se používají během přechodných období. Tyto karty s duální nebo trojitou technologií umožňují univerzitám migrovat budovu po budově nebo systém po systému bez narušení každodenního provozu.

Který čip by měla vaše univerzita zvolit?

Volba závisí na prioritách instituce. Univerzity, které oceňují nezávislost na dodavateli, konkurenceschopné ceny infrastruktury a nejširší ekosystém kompatibilních produktů, by měly zvážit DESFire EV3. Instituce, které již investovaly do infrastruktury HID a upřednostňují bezproblémovou migraci z iCLASS, by měly uvažovat o SEOS. V obou případech představuje setrvání na starší technologii iCLASS nebo – což je ještě horší – na 125 kHz bezkontaktních kartách (Prox) nepřijatelné bezpečnostní riziko, které je třeba urychleně řešit.

Ve společnosti CampusRFID vyrábíme studentské průkazy s jakoukoli čipovou technologií, kterou naši klienti požadují – DESFire EV2, DESFire EV3, SEOS, iCLASS SE nebo v kombinaci více technologií. Naší rolí je poskytovat nestranné poradenství na základě konkrétní infrastruktury, rozpočtu a dlouhodobého plánu vaší instituce.

Pro širší pohled na nákup, který zahrnuje platformovou vrstvu (Transact, CBORD, Atrium, Heartland) vedle výběru čipu, navštivte našeho průvodce nákupem systémů a služeb pro studentské průkazy.

Pokud se chystáte specifikovat novou objednávku, naše vysoce zabezpečené přístupové karty (AES-128, diverzifikované klíče, laminát proti klonování) a karty s duálními přihlašovacími údaji (kontaktní čip + bezkontaktní 13,56 MHz v jednom těle pro migraci smíšeného fondu zařízení) představují dva pilíře pro výše popsané scénáře. Náš RFID slovník pojmů definuje každý termín týkající se čipů a frekvencí srozumitelným jazykem.

*Potřebujete pomoci s výběrem správné čipové technologie pro váš program studentských průkazů? Kontaktujte náš tým pro konzultaci přizpůsobenou potřebám vaší instituce.*