Warum RFID-Zugangskarten trotz einwandfreier Funktion abgelehnt werden

Ein Zutrittskontrollsystem kann eine einwandfreie RFID-Karte aus Gründen ablehnen, die nichts mit der Kartenqualität zu tun haben. Das ist der Teil, den viele Käufer schwer zu akzeptieren finden. Die Karte kann sauber, neu, korrekt laminiert und auf einem Desktop-Encoder lesbar sein. Es kann sogar in einem anderen Gebäude funktionieren. Doch an einer Tür, einem Aufzug, einem Drehkreuz oder einem Parktor tut sie nichts. Der Leser piept anders, der Controller zeichnet einen unbekannten Anmeldenachweis auf, oder die Software sagt einfach, dass der Zugriff verweigert wird.

Dies führt normalerweise zu einem falschen Argument. Der Nutzer beschuldigt den Kartenlieferanten. Der Kartenlieferant sagt, dass die Karte gut liest. Der Installateur sagt, dass der Leser arbeitet. Das Software-Team sagt, dass die Person nicht autorisiert ist. Jeder kann teilweise recht haben, und die Karte kann immer noch abgelehnt werden. Die Zugriffskontrolle ist kein einfaches Ja- oder Nein-Objekt. Es ist eine Kette aus Kartenfrequenz, Chiptyp, Antennenverhalten, codierten Daten, Leseausgabeformat, Controllerkonfiguration, Türberechtigungsregeln, Datenbankstatus und manchmal Verschlüsselungsschlüsseln. Wenn ein Link nicht übereinstimmt, wird eine gute Karte an der Tür nutzlos.

Häufigkeit und Chip-Typ Mismatches

Das erste, was zu verstehen ist, ist, dass RFID Zugangskontrollkarten nicht universell sind, nur weil sie gleich aussehen. Eine weiße PVC-Karte kann einen 125 kHz LF-Chip, einen 13,56 MHz HF-Chip, einen MIFARE Classic-Chip, einen MIFARE DESFire-Chip, einen NFC-Chip, ein UHF-Inlay oder eine Dual-Frequenz-Kombination enthalten. Zwei Karten können identisch aussehen, das gleiche gedruckte Logo tragen und eine völlig andere interne Technologie haben. Ein für 125 kHz-Näherungskarten gebautes Lesegerät liest normalerweise keine 13,56 MHz-Smartcard. Ein Lesegerät, das für eine verschlüsselte DESFire-Anwendung entwickelt wurde, kann eine andere DESFire-Karte mit dem falschen Anwendungsschlüssel ignorieren. Der Plastikkörper ist nicht das Credential. Der Chip und seine Daten sind die Berechtigung.

Melbourne Büroturm Fall

Eine Hausverwaltungsgesellschaft in Melbourne bestellte Ersatzzugangskontrollkarten RFID für einen gemischten Büroturm. Die Karten sahen genauso aus wie die alte Charge und trugen die gleichen Mitarbeiterzahlen. Auf dem vom Lieferanten verwendeten Desktop-Reader produzierte jede Karte eine stabile Zahl. Aber am Gebäudeeingang ignorierten die Leser sie. Das Problem war einfach, als jemand das ursprüngliche System überprüfte: Das Gebäude verwendete 125 kHz Näherungsdaten, während die neuen Karten 13,56 MHz-Karten ausgewählt wurden, weil der Käufer nach "RFID-Zugangskarte" gesucht hatte und annahm, dass alle RFID-Karten austauschbar waren. Mit den neuen Karten war nichts falsch. Sie sprachen nur auf der falschen Radiofrequenz.

Ein ähnlicher Fehler passiert, wenn Käufer die Frequenz kennen, aber die Chip-Familie verpassen. Eine 13,56-MHz-Karte ist nicht automatisch mit jedem 13,56-MHz-Lesegerät kompatibel. MIFARE Classic, MIFARE Ultralight, MIFARE DESFire, NTAG, iCLASS-artige Anmeldeinformationen und andere HF-Karten können alle im gleichen allgemeinen Frequenzbereich sitzen, während sie verschiedene Speicherstrukturen, Sicherheitsmodelle und Lesererwartungen verwenden. Wenn der Zugangskontrollleser einen bestimmten Kartentyp oder eine bestimmte Anwendung erwartet, kann er eine Karte ablehnen, die technisch lesbar, aber nicht akzeptabel ist.

Berlin Hotel Key Card Case

Eine Hotelgruppe in Berlin änderte ihr Schlüsselkartendesign von glänzend weiß auf mattschwarz und bat um die gleichen RFID Hotelschlüsselkarten , die einfach besser aussehen. Die Fabrik produzierte saubere 13,56 MHz-Karten, und der Druck war ausgezeichnet. Aber die Hotelschlösser lehnten den größten Teil der Charge ab. Die alten Karten verwendeten ein sperrkompatibles Chipprofil mit Sektordaten, die auf eine bestimmte Weise geschrieben wurden. Die neue Bestellung erwähnte nur Häufigkeit und Kartengröße, nicht das erforderliche Chipmodell und die Codierungsmethode. Die Karten waren nicht defekt. Sie waren einfach nicht mit der Datenstruktur vorbereitet, die das Hotelschlosssystem erwartete.

Codierungsformat und Facility Code Fehler

Das Kodierungsformat ist ein weiterer Hauptgrund, warum gute Karten abgelehnt werden. In vielen Zugangskontrollsystemen sendet der Leser nicht den vollen Chipspeicher an den Controller. Es sendet eine Anmeldenummer in einem bestimmten Format. Dieses Format kann einen Einrichtungscode, einen Standortcode, eine Kartennummer, Paritätsbits, eine Bitlänge oder ein benutzerdefiniertes Datenlayout enthalten. Wiegand 26-Bit, 34-Bit, 37-Bit, 40-Bit und andere Formate können unterschiedliche Ausgaben aus ähnlichen Kartendaten erzeugen. Wenn der Controller ein Format erwartet und der Leser oder die Karte ein anderes erzeugt, sieht das System möglicherweise eine Zahl, die in der Datenbank nicht vorhanden ist.

Toronto Warehouse Case

Ein Logistiklager in Toronto hatte Tausende von Mitarbeiterabzeichen, die mit einem 34-Bit-Format codiert waren. Beim Hinzufügen eines neuen Gatters verwendete das Installationsprogramm Lesegeräte, die für eine gemeinsame 26-Bit-Ausgabe konfiguriert waren. Das neue Tor lehnte perfekt gute Mitarbeiterkarten ab, während die gleichen Karten am Hauptbüroeingang funktionierten. Das Troubleshooting-Team vermutete zunächst einen schlechten Stapel von Karten. Das eigentliche Problem war das Reader Output Format. Sobald die Reader-Konfiguration an die bestehende 34-Bit-Anmeldestruktur angepasst wurde, begannen die abgelehnten Karten sofort zu arbeiten.

Facility-Code-Mismatch ist besonders häufig bei Ersatzaufträgen. Ein Käufer kann eine sichtbare Kartennummer senden und den Lieferanten bitten, die gleiche Sequenz zu machen. Der Lieferant druckt die richtigen Zahlen und codiert, was wie der richtige Zahlenbereich aussieht, aber der versteckte Anlagencode ist anders. Aus Sicht des Benutzers ist die Kartennummer 10237 die Kartennummer 10237. Aus Sicht des Controllers ist die Einrichtungskennung 118 mit der Kartennummer 10237 nicht dieselbe Kennung wie die Einrichtungskennung 214 mit der Kartennummer 10237. Die Tür ist nicht stur. Sie folgt der Datenbank.

Texas Schulbezirk Fall

Ein Schulbezirk in Texas bestellte benutzerdefinierte gedruckte RFID-Mitarbeiter ID-Karten mit den richtigen Namen, Fotos und gedruckten ID-Nummern. Die Karten sahen professionell aus und waren vom Lieferanten lesbar. Aber mehrere Schulen lehnten sie an Flügeltüren im Klassenzimmer ab. Der Distrikt entdeckte später, dass die alten Karten einen ortsspezifischen Einrichtungscode verwendeten, der Jahre zuvor vom ursprünglichen Integrator zugewiesen wurde. Der neue Lieferant hatte nur die sichtbaren Mitarbeiter ID-Nummern codiert. Sobald der korrekte Einrichtungscode zur Kodierungsdatei hinzugefügt wurde, wurden die gleichen Kartennummern gültige Anmeldeinformationen in der Zugangskontrollsoftware.

Kartennummernverwechslung kann auch von Dezimal-, Hexadezimal-, Byte-Reihenfolge und UID-Interpretation kommen. Ein System kann einen Chip UID dezimal anzeigen. Ein anderer zeigt möglicherweise das gleiche UID in hexadezimaler Form an. Ein Leser kann die Byte-Order umkehren. Eine Datenbank kann nur einen Teil des UID speichern. Ein Anbieter kann eine EPC kodieren, während die Zugangsplattform eine Kartenseriennummer erwartet. Der Käufer denkt, dass jeder über die Kartennummer spricht, aber drei verschiedene Systeme können drei verschiedene Versionen davon zeigen.

Dubai Gym Chain Fall

Eine Fitness-Kette in Dubai verwendet NFC Mitgliedskarten an Schließfächern und Eingangstoren. Das mobile App-Team speicherte den Chip UID in hexadezimal, weil er so vom NFC-Testtelefon angezeigt wurde. Das Zugriffssteuerungsfeld zeigte den gleichen Anmeldenachweis in Dezimalzahl nach dem Reversieren der Bytereihenfolge an. Neue Karten sahen ungültig aus, weil die Zahlen nicht mit der Mitgliederdatenbank übereinstimmten. Die Karten waren in Ordnung. Die Dateninterpretation war es nicht. Die Kette löste es, indem sie genau dokumentierte, welche Kennung verwendet wurde, wie sie konvertiert wurde und wie sie in der Zugangskontrollsoftware erscheinen sollte.

Verschlüsselung und Secure Credentials

Verschlüsselung schafft eine tiefere Schicht der Ablehnung. Moderne Zugangssysteme verwenden häufig sichere Anmeldeinformationen, bei denen der Leser die Karte authentifizieren muss, bevor er Daten extrahiert. MIFARE DESFire-Karten, verschlüsselte Smartcards und einige proprietäre Anmeldeinformationen können Anwendungsschlüssel, Dateieinstellungen, Schlüsseldiversifikation oder sichere Nachrichten erfordern. Wenn die Karte den richtigen Chip, aber den falschen Schlüssel oder keine Anwendung hat, kann der Leser eine Karte physisch vorhanden sehen, aber sich weigern, sie als gültige Anmeldeinformationen zu behandeln. Für den Benutzer fühlt es sich an, als wäre die Karte tot. Für den Leser ist die Authentifizierung fehlgeschlagen.

Amsterdam Corporate Campus Fall

Ein Firmencampus in Amsterdam wurde von älteren Näherungskarten auf verschlüsselte DESFire-Zugangskarten aufgerüstet. Eine Abteilung bestellte zusätzliche Karten von einem Lieferanten, der echte DESFire-Karten zur Verfügung stellte, aber nicht über die Campus-Anwendungsschlüssel verfügte. Die Karten konnten als leere Chipkarten gelesen werden, aber die sicheren Leser lehnten sie an jeder Tür ab. Das Problem war nicht die Chip-Authentizität. Es fehlte die personalisierung der zugangsanwendungen. Nachdem der Sicherheitsintegrator die richtige Anwendung und diversifizierte Schlüssel geladen hatte, wurden die Karten gültig. Aus diesem Grund sollten sichere Zugangskarten niemals nur nach Chipnamen bestellt werden.

Datenbank, Berechtigungen und Controller-Probleme

Einige Karten werden abgelehnt, weil sie nicht registriert sind, falsch registriert sind oder durch Softwareregeln blockiert werden. Das klingt offensichtlich, aber es ist überraschend häufig. Die Karte kann an der Tür richtig gelesen werden, aber der Controller überprüft die Datenbank und findet keine übereinstimmende Person, falsche Zugriffsgruppe, abgelaufenes Gültigkeitsdatum, deaktivierten Status, Anti-Passback-Verletzung, Blacklist mit verlorener Karte oder Zeitplanbeschränkung. In dieser Situation lehnt der Leser die Karte nicht ab. Das Zugangskontrollsystem lehnt die Berechtigungsanforderung ab.

Manchester Hospital Fall

Ein Krankenhaus in Manchester ausgestellt Ersatz RFID Abzeichen an Krankenschwestern nach einer Abteilung Umzug. Die Karten funktionierten am Haupteingang des Personals, scheiterten jedoch an Medikamentenlagerräumen. Der Kartenlieferant wurde gebeten, dies zu untersuchen, aber die Zugangsprotokolle zeigten, dass die Karten korrekt gelesen wurden. Das Problem war die Zugriffsgruppenzuweisung. Die neuen Abteilungstüren hatten eine separate Berechtigungsregel, und die neuen Abzeichen waren dieser Gruppe nicht hinzugefügt worden. Die Karten waren gut. Die Datenbankberechtigungen waren unvollständig.

Der Controller-Speicher kann eine weitere verwirrende Situation verursachen. In einigen Systemen werden Anmeldeinformationen vom Server an lokale Controller weitergeleitet. Wenn der Controller das letzte Update nicht erhalten hat, kann eine neu angemeldete Karte an einer Tür funktionieren und an einer anderen ausfallen. Netzwerkverzögerungen, Offline-Panels, Synchronisationsfehler oder voller Controller-Speicher können gute Karten schlecht erscheinen lassen. Ein Käufer kann die Karte an einem Lobby-Leser testen, der mit einem aktualisierten Controller verbunden ist, und davon ausgehen, dass das gesamte Gebäude bereit ist, nur um festzustellen, dass entfernte Türen immer noch den gleichen Ausweis ablehnen.

Slowakei Herstellungsbetrieb Fall

Eine Produktionsstätte in der Slowakei hat eine Nachtschicht hinzugefügt und am Freitagnachmittag neue Mitarbeiterkarten von RFID ausgestellt. Das Hauptdrehkreuz akzeptierte sie, aber mehrere Produktionsraumtüren lehnten sie am Wochenende ab. Der Sicherheitsmanager vermutete ein Problem mit der Kartencodierung. Am Montag stellte der Integrator fest, dass zwei Controller während des Credential-Downloads offline waren. Nach der Synchronisation funktionierten die gleichen Karten ohne erneute Kodierung. Dies ist eine Erinnerung daran, dass die Fehlerbehebung bei der Zugriffskontrolle den Controllerstatus enthalten sollte, nicht nur Kartentests.

Reader-Konfiguration und physikalische Faktoren

Die Reader-Konfiguration kann genauso wichtig sein wie die Kartenkodierung. Multi-Technologie-Lesegeräte können mehrere Kartentypen unterstützen, aber nicht alle Modi sind aktiviert. Einige Leser können so konfiguriert werden, dass sie UID, Sektordaten, sichere Anwendungsdaten oder eine benutzerdefinierte Nummer ausgeben. Einige können sowohl 125 kHz als auch 13,56 MHz-Anmeldeinformationen lesen, aber der Installateur kann eine Technologie deaktivieren, um Lärm zu reduzieren oder die Sicherheit zu verbessern. Wenn der leser einen kartentyp ignorieren soll, kann die karte perfekt und immer noch unsichtbar an der tür sein.

Singapur Coworking Operator Fall

Ein Coworking-Betreiber in Singapur wechselte von einfachen Näherungskarten zu Dual-Frequenz-Zugangskarten, so dass ältere Türen und neue intelligente Lesegeräte während eines schrittweisen Upgrades unterstützt werden konnten. Die Karten wurden sowohl mit LF als auch mit HF Chips korrekt hergestellt. Die neuen Aufzugsleser lehnten jedoch die HF-Anmeldeinformationen ab, da der Installateur die Lesegeräte während des Testens im alten LF-Ausgabemodus belassen hatte. Sobald der HF-Modus und die korrekte Ausgabeabbildung aktiviert waren, funktionierten die Karten wie geplant. Die Dualfrequenzkarte war nicht der Schwachpunkt. Die Reader-Konfiguration war.

Physische Leseprobleme können auch wie eine Ablehnung der Anmeldeinformationen aussehen. Wenn die Antenne in der Karte beschädigt ist, wenn die Karte zu weit weg gehalten wird, wenn sich die Karte in einer Metallmappe befindet, wenn ein Telefongehäuse stört oder wenn der Leser in der Nähe von Metall montiert ist, erhält der Leser möglicherweise kein stabiles Signal. Das Zugangssystem lehnt möglicherweise die Berechtigung überhaupt nicht ab, weil es niemals eine erhält. Aus diesem Grund sollte ein fehlgeschlagener Tap auf der RF-Ebene überprüft werden, bevor Software oder Kodierung beschuldigt werden.

Vancouver Luxury Apartment Case

Ein Luxus-Apartmentgebäude in Vancouver installierte neue Metallrahmenglastüren mit kompakten Zugangslesern, die direkt auf einer Edelstahlplatte montiert sind. Die Bewohner beschwerten sich, dass ihre RFID-Schlüsselkarten nur funktionierten, wenn sie in einem seltsamen Winkel angetippt wurden. Die Karten funktionierten normal auf einem Desktop-Reader, so dass der Lieferant zunächst beschuldigt wurde. Das eigentliche Problem war die Installation des Lesers. Die metallische Montagefläche reduzierte das effektive Lesefeld. Eine Abstandsplatte und eine angepasste Leseposition behebten das Problem. Die Karten waren die ganze Zeit gut gewesen.

Kartenkonstruktion kann auch eine Rolle spielen. Dickschale RFID-Karten, dünne ISO-Karten, Schlüsselanhänger, -Armbänder , Holz-RFID-Karten , Epoxy-Tags, und druckbare PVC-Karten können den gleichen Chip enthalten, verhalten sich jedoch aufgrund der Antennengröße, des Materials, der Ausrichtung und des Abstands unterschiedlich. Ein Leser, der auf Standardkarten abgestimmt ist, mag nicht jeden Formfaktor lieben. Wenn ein Käufer von Karten zu Schlüsselanhängern oder von PVC-Karten zu Holzkarten wechselt, sollte vor der Massenproduktion mit dem tatsächlichen Leser getestet werden.

Es gibt auch das Problem der doppelten Anmeldeinformationen. Eine Karte kann abgelehnt oder gekennzeichnet werden, wenn ihre Nummer bereits im System vorhanden ist, einem anderen Benutzer gehört oder zuvor als verloren markiert wurde. Dies kann passieren, wenn Lieferanten Testnummern wiederverwenden, wenn Käufer unvollständige Nummernbereiche senden oder wenn mehrere Standorte überlappende Betriebscodes verwenden. Eine gute Zugangskartenbestellung sollte eine kontrollierte Nummerierung, keine doppelte EPC- oder Kartennummer und eine Datendatei enthalten, die jede gedruckte Nummer mit dem codierten Ausweis übereinstimmt.

Käufer geraten auch in Schwierigkeiten, wenn sie kompatible Karten bestellen, ohne zu verstehen, was Kompatibilität bedeutet. Kompatibel kann bedeuten, gleiche Chip-Familie. Es kann die gleiche Frequenz bedeuten. Es kann gleiche gedruckte Größe bedeuten. Es kann bedeuten, dass es vom gleichen Encoder lesbar ist. Es bedeutet nicht automatisch, dass die Karte jede Tür im System öffnet. Echte Kompatibilität umfasst Chip, Speicherstruktur, Codierungsformat, Sicherheitsschlüssel, Leseausgabe, Facility Code, Datenlänge und Registrierungsprozess. Wenn die Zugriffskontrolle RFID-Karten für den Gebäudebetrieb von entscheidender Bedeutung sind, sollte die Kompatibilität mit Proben nachgewiesen werden.

Die klügste Methode zur Fehlerbehebung besteht darin, der Kette Schritt für Schritt zu folgen. Bestätigen Sie die Kartenfrequenz. Bestätigen Sie den Chip-Typ. Bestätigen Sie, ob der Leser die Karte überhaupt erkennt. Bestätigen Sie die vom Leser ausgegebene Zahl. Vergleichen Sie diese Ausgabe mit dem Datenbankeintrag. Prüfen Sie den Anlagencode und das Bitformat. Prüfen Sie, ob die Karte registriert, aktiv und der richtigen Zugangsgruppe zugewiesen ist. Kontrollieren Sie die Synchronisation des Controllers. Überprüfen Sie die Reader-Konfiguration. Prüfen Sie die Montagebedingungen und den Leseabstand. Erst nach diesen Schritten sollte jemand die Karte für defekt erklären.

Für Käufer, die Ersatzkarten von RFID bestellen, sollte die Kaufspezifikation detaillierter sein als zuvor. Senden Sie physische alte Karten an den Lieferanten, wenn möglich. Geben Sie den Chiptyp, die Frequenz, die Speicheranforderungen, das Kodierungsformat, den Einrichtungscode, den Kartennummernbereich, die Druckanforderungen, die Sicherheitsschlüssel bei Bedarf durch den autorisierten Integrator und das Mustertestverfahren an. Wenn das System verschlüsselte Anmeldeinformationen verwendet, beziehen Sie den Zugriffskontrollintegrator frühzeitig ein. Eine Kartenfabrik kann den Kartenkörper herstellen und viele Datenformate kodieren, aber sie kann keinen sicheren Anwendungsschlüssel erraten, den nur der Systembesitzer oder Integrator kontrolliert.

Für Installateure und Facility Manager sind Access Logs dein Freund. Eine abgelehnte Karte, die im Ereignisprotokoll als unbekannte Nummer erscheint, ist ein anderes Problem als eine Karte, die überhaupt nicht im Protokoll erscheint. Eine unbekannte Nummer schlägt Datenformat, Registrierung oder Berechtigungsprobleme vor. Kein Ereignis deutet auf Leseerkennung, Frequenz, Chipkompatibilität, Feldstärke, Verdrahtung, Stromversorgung oder Lesekonfiguration hin. Wenn Sie das Protokoll sorgfältig lesen, können Sie Tage der falschen Fehlerbehebung sparen.

Ein guter Anbieter von Zugangskontrollkarten sollte Fragen stellen, die sich zunächst ärgerlich anfühlen können. Welches Reader-Modell wird verwendet? Welcher Kartentyp funktioniert derzeit? Benötigen Sie 125 kHz, 13,56 MHz oder Dual-Frequenzkarten? Verwendet das System MIFARE Classic, DESFire oder einen anderen sicheren Nachweis? Welches Ausgabeformat erwartet der Controller? Sind Betriebscodes erforderlich? Stimmt die gedruckte Zahl mit der codierten Zahl überein? Benötigen Sie eine Probe, die am eigentlichen Türleser getestet wurde? Diese Fragen sind keine Verzögerungen. Sie sind der Grund, warum die fertigen Karten funktionieren werden.

Die Wahrheit ist, dass die meisten abgelehnten RFID-Zugangskarten keine schlechten Karten sind. Sie sind nicht übereinstimmende Anmeldeinformationen, falsch konfigurierte Leser, unvollständige Datenbankeinträge, unsynchronisierte Controller oder missverstandene Zahlenformate. Sobald Sie die volle Kette sehen, verschwindet das Geheimnis. Eine vollkommen gute RFID-Karte kann abgelehnt werden, weil sie die falsche Frequenz, der falsche Chip, die falsche Anwendung, der falsche Schlüssel, der falsche Einrichtungscode, das falsche Bitformat, die falsche Byte-Reihenfolge, die falsche Berechtigungsgruppe oder einfach noch nicht in den Controller geladen ist.

Bevor Sie also die Karte beschuldigen, verlangsamen Sie und fragen Sie, was die Tür tatsächlich sieht. Erkennt der Leser die Karte? Welche Nummer wird gesendet? Kennt der Controller diese Nummer? Ist der Benutzer zu diesem Zeitpunkt an dieser Tür erlaubt? Ist der Leser für diesen Kartentyp konfiguriert? Sind die Anmeldedaten genauso aufgebaut wie die alten Arbeitskarten? Wenn sich diese Antworten richten, sollte eine gute Zugangskontrolle RFID-Karte funktionieren. Wenn eine Antwort falsch ist, wird sogar eine perfekt hergestellte Karte mit allen anderen vor der Tür stehen und darauf warten, dass das System sie erkennt.