Hur säkra är RFID-hotellnyckelkort och nyckelpaketen de skickas i?

 

Nyckelpaket, nyckelkortshållare eller nyckelkuvert - Vilket köper du egentligen?

 

Termen är lite överbelastad, värt att reda ut innan du specificerar något. När det gäller gästfrihet är ett nyckelpaket (även kallat nyckelkortskuvert, nyckelkortfodral eller nyckelkortsmapp) det tryckta papper eller kort-förråd som en rumsnyckel glider in i vid incheckning-. Det skyddar kortet från böjning och avmagnetisering, ger receptionen en plats att skriva rumsnummer på och bär fastighetens varumärke. På egen hand har den ingen elektronisk funktion.

 

Två icke-relaterade produkter har liknande namn och dyker upp ibland i samma sökresultat: fysiska nyckeluppsättningar som används vid-fastighetsinspektioner (ibland "inspektörsnyckelpaket") och läkemedelsförpackningar för blister- som säljs under namn som Key-Pak. Om en kortlista med leverantörer innehåller någon av dessa, löser de ett helt annat problem, värt att flagga tidigt så att en RFP-ansökan för ett bulknyckelkortskuvert inte blir rörigt.

 

För allt som följer menar vi gästfrihetsversionen: pappersfodralet och, ännu viktigare, RFID-kortet eller det magnetiska-remskortet som sitter inuti det.

 

Två beslut som faktiskt avgör säkerheten: Chip Grade och Lock Kompatibilitet

 

När paketet är borta från bordet som en säkerhetsfaktor kommer köpet ner på två variabler: vilket chip som finns inuti kortet och om det chipets kodning matchar din låsplattform. Saflok, Onity, Dormakaba och liknande system förväntar sig var och en något olika datastrukturer på kortet.

 

 

Det ser trivialt ut på ett specifikationsblad. Här slutade det vara trivialt för en fastighet. En sats med 500 kort på väg till en sydostasiatisk resortkedja läser perfekt på demoläsaren på vår bänk: grönt ljus, giltig läsning, varje kort. På plats kastade varje kort "ogiltigt kort" på dörren. Två dagars fjärrdiagnos spårade det till en firmwareuppdatering som låstillverkaren hade drivit omkring tre månader tidigare som ändrade hur en sektorkontrollsumma validerades; kodningsprofilen vi hade fått föregick den. Kartongen och utskriften var felfri. Dörrarna öppnades fortfarande inte. Det där gapet mellan "läser på bänken" och "öppnar dörren" är precis där beställningar av anti-hotellnyckelkort tyst går fel.

 

Hållbarhet berättar en liknande historia, och du behöver inte ta den på tro; det visas i omordningscykeln. Som ett grovt industririktmärke behöver magnetiska-randkort vanligtvis bytas ut inom 6–12 månader av tung gästtrafik, medan korrekt kodade RFID-kort vanligtvis körs 2–3 år under samma belastning. Ett pris per-kort som måste upprepas tre gånger så ofta är inte billigare; det är ett kassa-beslut som bär en-kostnadskostym.

 

Hur hotellnyckelkort klonas på fältet

 

Det är värt att förstå mekanismen, eftersom "RFID-kort kan klonas" anges som ett platt faktum utanvarför, ochvarförär det som talar om för dig vilka kort som faktiskt är i riskzonen.

 

Den äldsta och mest utbredda frågan spårar till MIFARE Classics Crypto-1-chiffer, som akademiska forskare vid Radboud University omvända konstruerade så långt tillbaka som 2008 (IACR ePrint-arkiv). Kort på den chipfamiljen autentiseras med ett system som har brutits offentligt i över ett decennium, men eftersom så mycket installerad hårdvara beror på det, är det fortfarande i omlopp på fastigheter som aldrig har uppgraderats.

 

Ett nyare och främmare fall dök upp 2024: ett chip som släpptes specifikt för att täppa till äldre kloningsluckor (FM11RF08S) visade sig ha sina egna hårdvaru-fel, vilket gjorde att en angripare med några minuters fysisk åtkomst till ett kort kunde extrahera fastighetens hela anpassade nyckeluppsättning (Hacker News). Takeaway är inte "undvik det ena chipet." Det är att ett chips marknadsföringsetikett ("uppgraderad", "krypterad", "nästa-generation") inte är något substitut för att kontrollera dess faktiska autentiseringsmetod. Kort som inte förlitar sig på något annat än ett statiskt kort-ID, utan kryptografiskt utbyte mellan kort och lås, är de enklaste av allt att duplicera med billig råvaruhårdvara, oavsett vad förpackningen säger. Om skumning vid dörren är en del av din hotmodell, är det en separat spec-linje. En avskärmadRFID-blockerande kortfodraltar upp avlyssning, inte kloning, och de två blir hela tiden förvirrade.

 

Ange ett säkert kort: AES, MIFARE Plus SL3 och ömsesidig autentisering

 

Korrigeringen är inte komplicerad när chiplandskapet väl är klart, och det har ingenting att göra med nyckelpaketet som kortet levereras i. Branschen går bort från UID-enbart och Crypto-1-kort mot chips som använder AES-128-kryptering med ömsesidig autentisering: kortet och läsaren verifierar varandra innan någon åtkomstläser byter innehavare av ett kort-ID, snarare än kortet.

 

Chip typ	Autentiseringsmetod	Kloningsmotstånd	Typiskt användningsfall idag
Endast UID-/grundläggande närhet	Endast statiskt ID	Mycket låg	Arv, fasas ut
MIFARE Classic (Crypto-1)	Proprietärt chiffer, trasigt sedan 2008	Låg	Stor installerad bas, uppgraderingskandidat
MIFARE Plus SL3	AES-128, ömsesidig autentisering	Hög	Praktisk uppgraderingsväg för de flesta fastigheter
DESFire EV-serien	AES-128 / 3DES, ömsesidig autentisering	Hög	Högre-säkerhet eller fler-applikationer

 

AES-128 behandlas för närvarande i åtkomst-branschen som beräkningsmässigt omöjlig för brute-force med befintlig konsument- eller kommersiell hårdvara, vilket är anledningen till att MIFARE Plus SL3 har blivit den praktiska mellanvägen för fastigheter som migrerar från en klassisk-baserad flotta istället för att hoppa direkt till full DESFire. Men den rekommendationen innehåller ett villkor som de flesta leverantörer inte kommer att ta upp å dina vägnar: SL3 hjälper bara om dina installerade låss firmware faktiskt stöder att läsa den på den säkerhetsnivå du betalar för. Sättet att bekräfta det är att inte acceptera ett chipdatablad; det är att begära låsets skriftliga versionsnummer för den fasta programvaran och få ett provkort testat mot den exakta firmwaren innan du loggar ut. Att beställa SL3-kort mot lås som fortfarande är konfigurerade för läsning på klassisk nivå är ett vanligt sätt för dessa projekt att stanna, och det finns fortfarande en mycket stor installerad bas av äldre MIFARE-hårdvara på fältet för att göra det här misstaget enkelt att göra. Det är också här ett säkert hotell nyckelkort program och en matchningRFID nyckelbrickaautentiseringsuppgifter hör till samma spec, så personal och gäståtkomst körs på samma verifierade chip-nivå snarare än ett starkt kort parat med en svag fob.

 

Tre upphandlingsmisstag som kostar två gånger

 

En handfull mönster dyker upp tillräckligt ofta på tvärenhotell nyckelkort beställningaratt de är värda att namnge direkt, eftersom var och en tenderar att bli upptäckt först efter att korten har skickats.

Acceptera inte en muntlig försäkran här. Be om det exakta chipets artikelnummer skriftligen och ett dokumenterat testresultat för firmware-kompatibilitet mot din specifika låsmodell innan köpordern utfärdas. Det andra är att behandla lås-plattformskompatibilitet som leverantörens problem att lösa i efterhand snarare än en specifikation som bekräftas före produktion. Det är precis så en batch hamnar korrekt utskriven och inte kan öppna en enda dörr. Det tredje antar att en mobil- eller telefonbaserad nyckel är automatiskt säkrare än ett fysiskt kort. i de flesta aktuella installationer simulerar telefonen samma underliggande chipreferens, så en svag chipstandard blir inte starkare bara för att den projiceras på en skärm.

 

Här är varför "upptäckt efter att de skickat" är den dyra delen, konkret. På en 5 000-kortskörning var de första hundra korten som provades vid godkännandet bra; felen dyker inte upp förrän egenskapen kodar och utfärdas med volym, när läs-felfrekvensen kan börja klättra någonstans förbi det 3 000:e kortet, när ett problem med marginell kodning eller antennjustering har replikerats över hela batchen. Då är korrigeringen inte en re-spec, det är en omtillverkning. Det är multiplikatorn som gömmer sig bakom ett lågt enhetspris på en bulknyckelpaketorder.

 

Vad händer på vår produktionsvåning innan ett kort skickas

 

Detta är den del som de flesta leverantörer i den här kategorin inte kan prata med, eftersom de flesta av dem säljer kort kodade av någon annan. Chipbondning och kodning är de två stegen där kompatibilitetsproblem oftast uppstår, och de två stegen som en distributör vanligtvis inte har någon insyn i.

 

 

Vi kör båda i-hus. Det innebär att hantera återkommande hotellbeställningar i storleksordningen två miljoner kort per år för återkommande kunder, plus en liknande volym för en lång-pågående integration av nöjesparker-. Det är omordningsmönster som bara håller om kodning och läspålitlighet förblir konsekvent batch efter batch, inte bara på det godkända provet. Varje kort som lämnar golvet genomgår 100 % utdatatest innan packning, vilket är steget som fångar en kodningsfel innan det blir ett-receptionsproblem istället för efter.

 

Få ett kompatibilitets-kontrollerat prov innan du beställer

 

Det snabbaste sättet att stänga gapet mellan ett specifikationsblad och det som faktiskt öppnar dina dörrar är att testa det innan du bestämmer dig för en löprunda. Dela din nuvarande låsplattform (Saflok, Onity, Dormakaba eller annat system) och grov volym, så kan vi skicka ett provRFID nyckelkortkodad för att matcha din befintliga hårdvara, så kompatibilitet besvaras innan, inte efter, en fullständig beställning skickas. Du kan starta den konversationen genom vårförfrågningssida.

 

FAQ