Nie przepłacaj za karty MIFARE Classic — kupuj według specyfikacji

Jeden z kupujących powiedział mi kiedyś coś, co w tej branży słyszy się zdecydowanie zbyt często: „Zamawiamy karty MIFARE Classic w wyższej cenie, bo boimy się, że tańsze karty zatrzymają nasz system kontroli dostępu”. Ten strach jest zrozumiały. Nikt nie chce pracowników stojących przed wejściem do budynku, gości hotelowych wracających do recepcji z niedziałającymi kartami pokojowymi ani studentów tworzących kolejkę przy bramce, bo nowa partia kart została źle zakodowana. Jednak płacenie więcej tylko dlatego, że w ofercie pojawia się nazwa MIFARE Classic, nie jest strategią zakupową. To nawyk dający poczucie bezpieczeństwa, a takie nawyki potrafią być bardzo kosztowne.

Lepsze podejście nie polega na kupowaniu najtańszej karty, jaką uda się znaleźć. To zwykle tworzy inny problem. Rozsądniej jest kupować według specyfikacji, testować karty w realnym zachowaniu systemu i zadawać dostawcy pytania, które faktycznie wpływają na działanie. Wtedy karty MIFARE Classic 1K, karty MIFARE Classic 4K, kompatybilne karty RFID 13,56 MHz oraz personalizowane karty do kontroli dostępu z nadrukiem stają się znacznie łatwiejsze do porównania. Przestajesz płacić za niejasne poczucie pewności, a zaczynasz płacić za kartę, która naprawdę pasuje do czytnika, oprogramowania, metody kodowania i codziennego użytkowania.

Najpierw jasno określ produkt.

Karty MIFARE Classic to karty RFID HF pracujące na częstotliwości 13,56 MHz. Nadal są szeroko stosowane w kontroli dostępu, systemach członkowskich, zamkach hotelowych, kartach kampusowych, systemach parkingowych, automatach vendingowych oraz starszych projektach identyfikacyjnych. Wielu kupujących pyta o karty MIFARE Classic 1K, ponieważ ich obecny system został zbudowany wokół takiej struktury pamięci. Inni potrzebują pamięci 4K, bo aplikacja zapisuje więcej danych na karcie. Są też projekty, w których system odczytuje wyłącznie unikalny numer karty, a wtedy droższa opcja z oferty może wcale nie być potrzebna.

Różnica w cenie często wynika z nieporozumień.

Dział zakupów prosi o „karty MIFARE”, ale nie sprawdza, czy system wymaga oryginalnego układu MIFARE Classic, układu kompatybilnego, stałego UID, konkretnego formatu sektorów, personalizacji nadruku czy tylko prostego numeru seryjnego karty. Dostawca wycenia wtedy bezpieczniejszą i droższą opcję, albo kupujący akceptuje wyższą cenę, bo nikt nie chce brać odpowiedzialności za zmianę specyfikacji. Właśnie tak niewielkie nadpłaty zamieniają się w stały sposób kupowania.

Studium przypadku: Nivora Office Tower (Singapur)

W Nivora Office Tower, fikcyjnej firmie zarządzającej nieruchomościami w Singapurze, zespół techniczny regularnie domawiał drogie karty dostępu przez instalatora systemu. Na fakturze widniał opis „bezpieczne karty MIFARE”, ale oprogramowanie budynku wykorzystywało do otwierania drzwi wyłącznie UID. Żadne dane sektorowe nie były zapisywane na karcie. Po przetestowaniu pustych kart kompatybilnych z MIFARE Classic od producenta kart RFID okazało się, że czytniki akceptują nowe karty po standardowej rejestracji. Zespół nadal unikał niezweryfikowanych kart ze zmiennym UID i zachował tę samą grubość fizyczną karty PVC, ale koszt jednostkowy wyraźnie spadł, ponieważ firma przestała płacić za funkcję układu, której nie używała.

Właśnie dlatego prosty audyt ma dużą wartość.

Przed wysłaniem zapytania ofertowego sprawdź, co naprawdę odczytuje Twój system. Czy czyta tylko UID? Czy odczytuje i zapisuje dane sektorowe? Które sektory są używane? Czy nadal stosowane są klucze domyślne, czy system wymaga kluczy niestandardowych? Czy oprogramowanie oczekuje UID 4-bajtowego, UID 7-bajtowego albo konkretnego formatu numeru karty? Czy czytnik obsługuje wyłącznie MIFARE Classic, czy może odczytywać także inne karty ISO 14443A? Te pytania brzmią technicznie, ale to właśnie one zapobiegają kupowaniu zbyt drogiej specyfikacji.

Studium przypadku: Larkwell Fitness (Manchester)

Larkwell Fitness, fikcyjna sieć siłowni w Manchesterze, była przekonana, że dla wszystkich członków potrzebuje kart MIFARE Classic 4K z nadrukiem firmowym, ponieważ taka nazwa widniała w starym zamówieniu. Aplikacja siłowni przechowywała jednak identyfikator członka w bazie danych, a sama karta działała przy bramce jako token. Technik sprawdził próbki kart w trzech oddziałach i potwierdził, że pamięć 1K jest w pełni wystarczająca. Sieć przeszła na personalizowane karty członkowskie MIFARE Classic 1K z tym samym projektem graficznym, kodem kreskowym i układem numeru członkowskiego. Członkowie nie zauważyli różnicy, recepcja pracowała tak samo, a dział zakupów przestał płacić za niewykorzystaną pamięć.

Wniosek nie jest taki, że karty 4K są zbędne. W niektórych systemach są absolutnie konieczne. Chodzi o to, że pamięć należy kupować dlatego, że wymaga jej aplikacja, a nie dlatego, że pojawiła się na poprzedniej fakturze. Jeżeli karta przechowuje wiele plików aplikacyjnych, wartość vendingową, uprawnienia dostępu offline, dane usług kampusowych albo wewnętrzne profile użytkowników, 4K może być uzasadnionym wyborem. Jeżeli karta po rejestracji w bazie danych tylko otwiera drzwi, 1K może w zupełności wystarczyć. Rzetelny dostawca kart MIFARE Classic powinien umieć o tym rozmawiać, zamiast automatycznie proponować najdroższą opcję.

Konstrukcja fizyczna karty też ma znaczenie.

Wielu kupujących skupia się wyłącznie na układzie scalonym i zapomina o korpusie karty. Standardowe karty dostępu są zwykle wykonane z PVC, mają format i grubość zbliżone do karty płatniczej, ale to nie oznacza, że każda karta jest taka sama. Jakość druku, laminacja, położenie anteny, wykończenie powierzchni, miejsce otworu pod smycz oraz odkształcenia karty wpływają na doświadczenie użytkownika. Tańsza karta, która zaczyna się rozwarstwiać po dwóch miesiącach, nie jest oszczędnością. Droga karta z niepotrzebną pamięcią układu również nie jest dobrym zakupem. Potrzebujesz właściwego układu w korpusie, który wytrzyma realne warunki pracy.

Studium przypadku: Marento Apartments (Dubaj)

Marento Apartments, fikcyjny operator apartamentów w Dubaju, regularnie otrzymywał skargi: najemcy łamali karty w pobliżu otworu na smycz. Menedżer uznał, że problemem jest jakość układu, i zatwierdził droższą partię. Prawdziwą przyczyną było jednak położenie otworu. Znajdował się zbyt blisko ścieżki anteny, a najemcy używali sztywnych klipsów, które obciążały narożnik karty. Rozwiązaniem nie była droższa karta MIFARE Classic, lecz bezpieczniejsza dla anteny strefa otworu, niewielka korekta projektu graficznego i zatwierdzanie próbek przed produkcją masową. Cena karty pozostała rozsądna, a wskaźnik uszkodzeń spadł.

Druk to kolejny obszar, w którym łatwo przepłacić.

Pełnokolorowy druk offsetowy, druk cyfrowy, lakier punktowy UV, efekty metaliczne, laminacja matowa, laminacja błyszcząca, numerowanie laserowe, kody QR, kody kreskowe i panele podpisu mają swoją cenę. Niektóre projekty ich potrzebują. Karta identyfikacyjna dla firmy może wymagać precyzyjnych kolorów marki i trwałej laminacji. Karta dostępu na plac budowy może potrzebować tylko logo i czytelnego numeru ID. Karta personelu hotelowego może wymagać zdjęcia, nazwy działu i kodowania. Płacenie za dekoracyjne wykończenia na kartach, które przez większość czasu znajdują się w plastikowym holderze, jest zwykle zbędnym kosztem.

Studium przypadku: Blue Pike Logistics (Ohio)

Blue Pike Logistics, fikcyjny operator magazynowy w Ohio, potrzebował kart RFID z nadrukiem dla kierowców wózków widłowych i pracowników tymczasowych. Poprzedni dostawca oferował błyszczące, pełnokolorowe karty z indywidualnymi zdjęciami, ale większość kart była noszona w wytrzymałych etui i skanowana przy bramie wjazdowej. Po przeanalizowaniu procesu firma przeszła na prostszy układ nadruku z czarnymi numerami ID, kolorowymi paskami działów i zakodowanymi układami MIFARE Classic 1K. Karty łatwiej było sortować brygadzistom, taniej zamawiać ponownie i nadal były zgodne z czytniki kontroli dostępu przy bramie placu.

Największe ryzyko nie dotyczy stylu druku, lecz kompatybilności.

Kiedy kupujący mówi „karta kompatybilna”, trzeba doprecyzować, z czym ma być kompatybilna. Z konkretnym czytnikiem kontroli dostępu? Z enkoderem? Z istniejącym oprogramowaniem? Z kluczami sektorów i mapowaniem danych? Z systemem zamków hotelowych, który może odrzucać karty spoza oczekiwanego typu układu? Profesjonalna fabryka kart RFID nie powinna zgadywać. Powinna zapytać o model czytnika, platformę software’ową, kartę wzorcową, wymagania kodowania albo przynajmniej jasny opis obecnego zachowania karty.

Studium przypadku: Ardent College (Kapsztad)

Ardent College, fikcyjna szkoła techniczna w Kapsztadzie, zamówiła tanie studenckie karty RFID 13,56 MHz u sprzedawcy internetowego. Karty wyglądały poprawnie i były wykrywane przez telefon, ale nie działały w terminalach płatniczych stołówki. Problemem nie była częstotliwość. Szkoła potrzebowała kodowania sektorowego MIFARE Classic z konkretną strukturą value block używaną przez oprogramowanie stołówki. Zamówienie zastępcze kosztowało więcej niż nieudana partia, ale mniej niż wcześniejsza umowa premium, ponieważ nowy dostawca wycenił karty na podstawie rzeczywistej mapy kodowania, a nie ogólnej etykiety „karta kampusowa”.

Dlatego testy próbek są warte więcej niż efektowna oferta.

Poważny kupujący powinien poprosić o próbki puste i zakodowane, szczególnie przy zmianie dostawcy. Kartę trzeba sprawdzić na każdym typie czytnika, a nie tylko przy jednych drzwiach. Warto przetestować rejestrację, zasięg odczytu, zapis danych, wyświetlanie numeru karty, zachowanie offline i codzienną obsługę. Jeżeli ma to znaczenie, próbkę należy sprawdzić także w tej samej drukarce lub holderze. Próbki powinni otrzymać ludzie, którzy faktycznie będą używać kart. Menedżer zakupów siedzący przy biurku może zatwierdzić kartę, którą ochroniarz przy bramie uzna za trudną w odczycie.

Studium przypadku: Cedar Market (Malezja)

Cedar Market, fikcyjna regionalna sieć supermarketów w Malezji, używała kart MIFARE Classic do dostępu personelu i obsługi szafek. Centrala przetestowała nową partię kart na głównym czytniku wejściowym i ją zatwierdziła. Problemy pojawiły się później przy starszych czytnikach szafek w dwóch sklepach. Nowe karty nie były wadliwe, ale zasięg odczytu był nieco krótszy z powodu strojenia anteny i wieku czytników. Dostawca dobrał inny inlay i dostarczył poprawioną próbkę. Projekt pozostał w budżecie, ponieważ kupujący przetestował karty w kilku lokalizacjach przed dużym zamówieniem.

Usługa kodowania także mocno wpływa na cenę.

Część kupujących płaci ceny premium, ponieważ dostawa kart, kodowanie, przygotowanie pliku danych, numerowanie i pakowanie są połączone w jedną niejasną pozycję. To może być wygodne, ale ukrywa koszty. Rozdziel zadania. Zapytaj, ile kosztuje pusta karta. Zapytaj, ile kosztuje druk. Zapytaj, ile kosztuje kodowanie. Zapytaj, czy każda karta zostanie zweryfikowana po kodowaniu. Zapytaj, czy dostawca może przygotować listę UID, plik CSV, zgodność numeru nadrukowanego z danymi albo pakowanie posortowane według działów. Nie oznacza to, że zawsze należy dzielić zamówienie między różnych wykonawców. Oznacza to, że trzeba rozumieć, za co się płaci.

Studium przypadku: Fenton Hotel Group (Lizbona)

Fenton Hotel Group, fikcyjny operator butikowych hoteli w Lizbonie, uważał, że wysoki koszt kart pokojowych wynika po prostu z tego, że karty do zamków hotelowych są drogie. Po sprawdzeniu procesu kierownik zakupów odkrył, że instalator naliczał wysoką marżę za awaryjne zamówienia małych partii, a nie za samą kartę. Hotel zmienił model zakupów. Utrzymał kontrolowany zapas kompatybilnych kart MIFARE Classic karty kluczy do hotelu, zamawiał większe partie zadrukowanych blanków i kodował je wewnętrznie przez istniejące oprogramowanie zamków. Oszczędność wynikała z kontroli procesu, a nie z ryzykowania na nieznanych kartach.

O bezpieczeństwie trzeba rozmawiać wprost.

MIFARE Classic to technologia legacy, a wiele systemów nadal jej używa, ponieważ zainstalowana baza czytników, zamków i modułów software’owych jest duża. Jeżeli aplikacja obejmuje wrażliwy dostęp, wartość zapisaną na karcie, dane osobowe albo strefy wysokiego bezpieczeństwa, nie należy patrzeć wyłącznie na cenę karty. W zależności od systemu i poziomu ryzyka może być potrzebny plan migracji na bezpieczniejsze rozwiązania, takie jak karty MIFARE DESFire. Jednocześnie wiele organizacji nie jest gotowych wymienić wszystkich czytników, zamków i modułów oprogramowania naraz. Dla nich najbliższym celem jest ograniczenie przepłacania za zamienne karty Classic i rozsądne zaplanowanie modernizacji.

Studium przypadku: Oakridge Parking (Toronto)

Oakridge Parking, fikcyjna firma zarządzająca parkingami w Toronto, miała mieszany system w kilku garażach. Część lokalizacji korzystała ze starych miesięcznych kart parkingowych MIFARE Classic, a nowsze obiekty obsługiwały DESFire. Firma nie wymuszała jednego typu karty we wszystkich garażach. Zamiast tego rozdzieliła zakupy na dwa tory: kontrolowane kosztowo karty MIFARE Classic dla lokalizacji legacy oraz karty DESFire dla nowych miejsc o wyższych wymaganiach bezpieczeństwa. Dało to realistyczną ścieżkę modernizacji. Firma ograniczyła straty na kartach legacy, nie udając, że każda lokalizacja ma takie same wymagania techniczne.

Uważaj na karty ze zmiennym UID i karty klonujące.

Mogą wyglądać atrakcyjnie, gdy kupujący chce szybko zastąpić zgubiony identyfikator, ale potrafią tworzyć poważne problemy z bezpieczeństwem i zarządzaniem. W wielu legalnych projektach nie potrzebujesz zmiennego UID. Potrzebujesz stabilnego UID, prawidłowej rejestracji i kontrolowanego wydawania kart. Jeżeli dostawca kieruje rozmowę w stronę „magicznego kopiowania”, zamiast mówić o kompatybilności systemu i autoryzacji, to sygnał ostrzegawczy. Tanie skróty mogą naruszyć integralność systemu kontroli dostępu, zwłaszcza gdy karty wydaje kilka działów bez jasnej ewidencji.

Praktyczny sposób zakupu jest prosty.

Przygotuj kartę specyfikacji. Uwzględnij częstotliwość, typ układu, pojemność pamięci, wymagania UID, rozmiar karty, grubość, materiał, wykończenie nadruku, numerowanie, kod kreskowy lub kod QR, wymagania kodowania, sposób pakowania i zasady zatwierdzania próbek. Dodaj model czytnika i notatki dotyczące oprogramowania, jeżeli możesz je udostępnić. Przy zamówieniach powtarzalnych zachowaj próbkę wzorcową i zapis formatu danych. Gdy prosisz dostawców kart RFID o wycenę, wyślij każdemu tę samą specyfikację. Dopiero wtedy porównanie cen ma sens.

Studium przypadku: Virelli Co Working (Berlin)

Virelli Co Working, fikcyjna marka biur współdzielonych w Berlinie, porównywała kiedyś oferty pytaniem: „Ile kosztuje 5 000 kart MIFARE z logo?”. Odpowiedzi były skrajnie różne. Jedni dostawcy wyceniali oryginalne układy markowe, inni układy kompatybilne, część wliczała kodowanie, a część zakładała białe blankiety bez nadruku. Kupujący przygotował więc jednostronicową specyfikację: MIFARE Classic 1K, rozmiar karty ISO, matowe wykończenie, druk czterokolorowy, nadrukowany numer seryjny, lista UID, bez kodowania oraz etykiety kartonów według lokalizacji. Kolejna runda ofert była znacznie bardziej przejrzysta. Najniższa cena nie została wybrana automatycznie, ale zawyżoną ofertę premium łatwo było odrzucić.

Zwróć uwagę także na stabilność ponownych zamówień.

Niska cena na start nie ma dużej wartości, jeżeli dostawca później zmienia źródło układu, projekt anteny albo wykończenie karty bez informacji. W kartach kontroli dostępu powtarzalność jest częścią produktu. Zapytaj, czy dostawca może utrzymać ten sam typ układu w kolejnych partiach. Zapytaj, jak przechowuje próbki. Zapytaj, jak zarządza zmianami projektu graficznego i zakresami numerów kart. Zapytaj, czy może oznaczać kartony według sekwencji lub lokalizacji. Te detale brzmią nudno do chwili, gdy kierownik obiektu otrzymuje pomieszane zakresy kart i spędza całe popołudnie na ręcznym sortowaniu.

Studium przypadku: Havenbrook Clinic (Australia)

Havenbrook Clinic, fikcyjna prywatna sieć medyczna w Australii, zamawiała identyfikatory pracownicze dla pięciu klinik. Karty wykorzystywały MIFARE Classic do dostępu do drzwi, drukowane zdjęcia do identyfikacji wizualnej oraz kod kreskowy do systemu szafek aptecznych. Tani dostawca zaproponował niższą cenę za kartę, ale nie potrafił zagwarantować ostrości kodu kreskowego po laminacji ani zgodności nadrukowanych numerów ID z listą UID. Klinika wybrała producenta kart RFID ze średniej półki cenowej, który weryfikował kod kreskowy, UID, nazwisko przy zdjęciu i kolejność pakowania. Decyzja nadal była oszczędna, ale pozwoliła uniknąć pracy porządkowej, która pochłonęłaby pozorną oszczędność.

Dobry dostawca nie obrazi się na pytania techniczne.

Wręcz przeciwnie, właściwy dostawca będzie je preferował, ponieważ jasne wymagania ograniczają spory. Zapytaj, czy układ jest oryginalnym MIFARE Classic, czy kompatybilną alternatywą. Zapytaj, czy karta ma 1K czy 4K. Zapytaj, jaka długość UID jest dostępna. Zapytaj, czy karta jest testowana przed wysyłką. Zapytaj, czy można zatwierdzić próbki z nadrukiem przed produkcją. Zapytaj, jak dostawca obsługuje karty wadliwe. Zapytaj, czy może prowadzić druk, kodowanie i numerowanie kart MIFARE Classic w jednym kontrolowanym procesie. Odpowiedzi powiedzą więcej niż dopracowany akapit sprzedażowy.

Liczy się również czas zamówienia.

Kupujący często przepłacają, gdy zamawiają zbyt późno. Pilna produkcja, pilny druk, pilne kodowanie i ekspresowa wysyłka potrafią zmienić zwykłą kartę w drogi zakup. Jeżeli Twój budynek, klub fitness, szkoła, hotel lub system parkingowy korzysta z kart co miesiąc, ustal punkty ponownego zamówienia. Utrzymuj zapas, który pozwoli uniknąć panicznych zakupów. Planowane zamówienie daje czas na testy próbek, zatwierdzenie projektu graficznego, porównanie ofert i wysyłkę standardowym frachtem. Ceny premium bardzo lubią pilnych kupujących.

Co zrobić zamiast płacić ceny premium?

Nie obniżaj standardu w ciemno. Najpierw diagnozuj. Potwierdź, czego naprawdę używa Twój system. Oddziel wymagania dotyczące układu od wymagań dotyczących nadruku. Testuj próbki na rzeczywistych czytnikach. Korzystaj z pisemnej specyfikacji. Porównuj dostawców kart RFID na tej samej podstawie. Zachowuj dokumentację dla kolejnych zamówień. Ustal, gdzie karty MIFARE Classic legacy są nadal akceptowalne, a gdzie należy zaplanować modernizację bezpieczeństwa. To znacznie mocniejszy nawyk zakupowy niż akceptowanie drogiej oferty tylko dlatego, że wydaje się bezpieczna.

Najlepsza decyzja zakupowa rzadko oznacza najtańszą albo najdroższą kartę. To karta, która pasuje do systemu bez zbędnych dodatków. W wielu projektach będzie to właściwie przetestowana karta MIFARE Classic 1K z personalizowanym nadrukiem i przejrzystym numerowaniem. W innych może to być karta 4K z kodowaniem sektorowym. W środowiskach o wyższym ryzyku może nadejść czas, aby całkowicie odejść od technologii Classic. Gdy wiesz, w której sytuacji jesteś, rozmowa się zmienia. Nie prosisz już dostawców o zgadywanie. Prosisz ich o spełnienie jasno określonego wymagania — i właśnie tak przestajesz płacić ceny premium z niewłaściwych powodów.