EM-Marine или Mifare: почему старые карты доступа копируются и чем их заменить

Синяя карточка-«таблетка» на 125 кГц стоит на проходных с середины двухтысячных. Она дешёвая, работает от любого считывателя, не ломается — и вместе с тем не умеет отличать оригинал от копии. Формат EM-Marine проектировался как замена ключу от подъезда, а не как средство защиты объекта, и за прошедшие двадцать лет ничего в нём не изменилось.

Ниже разбираем, чем EM-Marine отличается от Mifare, почему у второго семейства бывает и надёжный, и полностью бесполезный режим работы, какие форматы сегодня закрывают вопрос копирования и что придётся заменить на объекте при переходе. Пишем с позиции монтажной организации: мы проектируем, ставим и обслуживаем системы доступа в Волгограде и Волгоградской области с 2013 года, оборудование собрано в разделе СКУД.

Разговор про формат карты — это разговор про считыватель. Карта сама по себе не защищает ничего: решение о том, читать защищённый сектор или довольствоваться открытым номером, принимает оборудование на двери.

Короткий ответ

EM-Marine — карта только с открытым номером, без шифрования: считыватель принимает её код в открытом виде, поэтому копия делается за минуты. Mifare Classic шифрование имеет, но его алгоритм Crypto1 взломан ещё в 2008 году. От копирования защищают Mifare Plus в режиме SL3 и DESFire — при условии, что считыватель читает защищённый сектор карты, а не её UID.

В статье разберём

1. Чем физически различаются EM-Marine на 125 кГц и Mifare на 13,56 МГц.
2. Почему открытый код EM-Marine копируется без подбора и без вскрытия карты.
3. Что не так с Mifare Classic и почему одного слова «Mifare» в спецификации мало.
4. Режим UID: как считыватель обесценивает защищённую карту.
5. Какие форматы закрывают вопрос копирования — таблица по пяти вариантам.
6. Как определить, что уже установлено на объекте.
7. Что меняется при миграции: карты, считыватели, контроллер, кодирование ключей.
8. Порядок цен и сроков, когда переход имеет смысл, а когда нет.
9. Что требует ГОСТ Р 51241-2008 в части устойчивости идентификатора к копированию.

Для кого эта статья

• Монтажные бригады и ИП, которые собирают спецификацию на точку прохода и выбирают формат карт
• Снабженцы и главные инженеры офисов, складов, производств и управляющих компаний
• Службы безопасности, которым нужно объяснить руководству, почему пропуска надо менять
• Оптовые покупатели, которые закупают карты и считыватели партиями

Чем EM-Marine отличается от Mifare?

EM-Marine и Mifare — это разные частоты и разные принципы работы. EM-Marine (чипы семейства EM4100 и совместимые) работает на 125 кГц и хранит один неизменяемый номер, который карта отдаёт любому считывателю без всяких условий. Mifare работает на 13,56 МГц, это уже смарт-карта: у неё есть память, разбитая на сектора, и каждый сектор закрывается своим ключом.

Отсюда следует главное практическое различие. EM-Marine — это идентификатор без диалога: поднёс, отдал номер, всё. Mifare умеет проверять, имеет ли считыватель право читать сектор, и обмен идёт по протоколу с аутентификацией. Умеет — не значит делает: режим работы задаётся при настройке системы.

Считыватели разных частот несовместимы между собой. Оборудование на 125 кГц не увидит карту 13,56 МГц и наоборот, поэтому переход между семействами — это всегда замена считывателей, а не только карт.

Почему карту EM-Marine копируют за несколько минут?

Потому что копировать в ней нечего: карта передаёт свой номер в открытом виде, а любой носитель с таким же номером система примет как оригинал. Ни шифрования, ни проверки подлинности в формате не предусмотрено — он появился раньше, чем к бесконтактным пропускам начали предъявлять требования безопасности.

Второй момент — дистанция. Считывание не требует, чтобы карта лежала на устройстве: код снимается на расстоянии в несколько десятков сантиметров, то есть через карман или сумку. Владелец пропуска при этом ничего не замечает, а система не фиксирует событие: с её точки зрения ничего не произошло.

Что из этого следует для объекта: журнал событий перестаёт быть доказательством. Если пропуск размножен, запись «сотрудник вошёл в 22:40» означает только то, что кто-то предъявил его номер. Разбирать инцидент по такому журналу невозможно, и на объектах с материальной ответственностью это и есть основной аргумент за смену формата.

Дальше подробностей не даём: как именно снимается и записывается код, мы не разбираем ни в статьях, ни на консультациях — вопрос решается на стороне защиты, а не нападения.

Защищает ли Mifare Classic от копирования?

Сам по себе — уже нет. Mifare Classic использует фирменный алгоритм Crypto1, который был математически взломан исследователями ещё в 2008 году, и с тех пор публично описаны несколько практических атак. Полный дамп такой карты снимается за минуты, а не за часы, и никакого оборудования уровня лаборатории для этого не нужно.

Это не значит, что Mifare Classic бесполезен. Он остаётся вменяемым носителем данных для задач, где подделка ничего не даёт: гостевой пропуск на день, ключ от калитки, идентификатор в столовой. Но записывать «карты Mifare» в спецификацию на объект с реальным контролем доступа — этого недостаточно: слово «Mifare» само по себе не описывает уровень защиты.

Практический вывод для снабженца: в спецификации должен стоять не «Mifare», а конкретный тип и режим — например, Mifare Plus в режиме SL3. Иначе поставщик закроет позицию самым дешёвым Classic, формально не нарушив ничего.

Почему считыватель по UID сводит защиту Mifare к нулю?

Потому что UID — это открытый серийный номер чипа, который карта сообщает до любой аутентификации. Считыватель, работающий в режиме UID, ведёт себя ровно как считыватель EM-Marine: берёт открытое число и передаёт его контроллеру. Защищённые сектора при этом не используются вообще.

Так собрано огромное количество систем, и обычно не по злому умыслу. Режим UID включён по умолчанию у многих недорогих считывателей, он не требует кодирования карт и заводится с первого раза. Объект получает «карты Mifare» в накладной и защиту уровня 125 кГц на двери.

Проверяется это на объекте просто: если при выдаче новой карты её никто не программирует, а номер просто вносится в базу контроллера — система работает по UID. Настоящий защищённый режим требует, чтобы карта и считыватель знали общий ключ AES: карты кодируются, считыватели прошиваются тем же ключом, и хранение этого ключа становится отдельной задачей заказчика.

Какие карты СКУД считаются защищёнными?

Защищёнными считаются форматы с криптографией AES и обязательной взаимной аутентификацией карты и считывателя: Mifare Plus в режиме SL3 и семейство Mifare DESFire. Именно они закрывают вопрос копирования пропуска — при правильно настроенном считывателе.

Отдельно про SL1 и SL3. Mifare Plus — это одна и та же карта, которая может работать в разных режимах: в SL1 она эмулирует Classic и читается старыми считывателями, в SL3 переходит на AES. Это и есть штатный сценарий миграции: сначала раздаются карты Plus, объект продолжает жить на старых считывателях, затем считыватели меняются и карты переводятся в SL3 без повторной раздачи пропусков.

Второй слой защиты — линия от считывателя до контроллера. Wiegand передаёт код открыто, и его тоже можно снять, добравшись до проводов за считывателем. Протокол OSDP с шифрованием закрывает эту часть, поэтому на новых объектах мы закладываем считыватели с поддержкой OSDP и кабель под RS-485 из раздела кабельной продукции.

Как понять, какие карты стоят на объекте?

Начать стоит с частоты, а не с надписи на карте. Ориентиры такие:

1. Маркировка считывателя. В паспорте или на корпусе указана рабочая частота: 125 кГц — это EM-Marine, 13,56 МГц — Mifare или совместимый формат.
2. Толщина и вид карты. Тонкие карты под печать и брелоки-«капли» встречаются в обоих семействах, так что по внешнему виду вопрос не решается.
3. Порядок выдачи пропусков. Карты кодируют на настольном программаторе — система, скорее всего, работает по защищённому сектору. Номер просто вбивают в базу — работает по UID.
4. Номер на карте. Печатный номер на пропуске часто и есть тот самый открытый код, который карта раздаёт в эфир.
5. Смартфон с NFC. Телефон видит карты 13,56 МГц и не видит 125 кГц — это самый быстрый способ разделить два семейства.

Если объект достался вам от другого подрядчика и документации нет, диагностика занимает один выезд: снимается модель считывателя, тип контроллера и порядок выдачи карт. Дальше уже понятно, что менять.

Что менять при переходе с EM-Marine на защищённые карты?

Меняются карты и считыватели. Контроллер, замок, кнопка выхода, доводчик и проводка в большинстве случаев остаются на месте — считыватель отдаёт контроллеру тот же код по Wiegand, и контроллеру безразлично, откуда этот код взялся.

По нашей практике обслуживания чаще всего на объектах меняются два узла — электромагнитные замки и считыватели: бюджетные модели тяжело переносят уличную эксплуатацию. Из этого получается удобный сценарий: миграцию на защищённый формат имеет смысл совмещать с плановой заменой уличного считывателя, тогда работа оплачивается один раз, а не два. Замок при этом не трогаем — ходовой электромагнитный ML-400 работает с любым форматом карт, для него ничего не меняется.

Отдельная строка, которую забывают в смете, — кодирование карт. Партия пропусков должна быть записана ключом AES, а считыватели прошиты тем же ключом. Это разовая работа, но она требует программатора и аккуратного хранения ключа: потеряете ключ — перевыпускать придётся всё.

Сколько стоит перевести объект на защищённые карты?

Считать нужно тремя строками: карты по количеству сотрудников, считыватели по количеству точек прохода, работы по перевыпуску и настройке. Первая строка растёт от численности, вторая от числа дверей, и на объекте с двумя дверями и сотней сотрудников основные деньги уходят в карты, а не в оборудование.

Для ориентира по масштабу: система СКУД под ключ на сентябрь 2026 года у нас начинается от 10 000 ₽ за точку прохода, и итог сильно зависит от объекта. Миграция обходится дешевле новой системы, потому что замок, контроллер и проводка остаются, но карт при этом закупается столько, сколько людей ходит через проходную.

Оптовым покупателям и монтажным организациям спецификацию на партию карт и считывателей мы считаем отдельно — по объёму и срокам поставки, через раздел для партнёров.

Когда EM-Marine можно оставить?

Когда копия пропуска ничего не даёт тому, кто её сделает. Такие задачи есть, и менять там формат ради формата смысла нет:

• Калитка или ворота на территории, которая и так просматривается и охраняется другими средствами
• Подъездный домофон, где ключ и так расходится по родственникам и обслуживающим организациям
• Гостевые и разовые пропуска с ограниченным сроком действия
• Технические двери, за которыми нет ни материальных ценностей, ни персональных данных

Где мы формат менять рекомендуем: склады и производства с материальной ответственностью, серверные и кассовые узлы, объекты с учётом рабочего времени по СКУД, любые системы, где журнал событий используется в разборе инцидентов.

Что говорит ГОСТ про копирование идентификатора?

ГОСТ Р 51241-2008 «Средства и системы контроля и управления доступом. Классификация. Общие технические требования. Методы испытаний» (утверждён приказом Ростехрегулирования от 17 декабря 2008 года № 430-ст, действует с Изменением № 1 в редакции от 27 января 2025 года) прямо называет копирование идентификатора среди воздействий, от которых система обязана защищать. Средства КУД в нём классифицируются по устойчивости к таким неразрушающим воздействиям, и устойчивость идентификатора к копированию — отдельный параметр классификации.

Практический смысл для приёмки: если в техническом задании прописан класс устойчивости, EM-Marine и Mifare Classic в режиме UID под него не подойдут, и это выясняется на этапе сдачи, а не проектирования. Формулировку про устойчивость к копированию лучше согласовывать с заказчиком до закупки карт.

Тексты стандарта опубликованы в нормативных базах: ГОСТ Р 51241-2008 на «Гаранте» и редакция с Изменением № 1. Это практика приёмки, как мы её видим на объектах, а не юридическое заключение.

Какие ошибки при переходе мы видим чаще всего?

Первая и самая частая — купить защищённые карты и оставить считыватели в режиме UID. Объект платит за Mifare Plus и получает ту же защиту, что была на 125 кГц. Проверять надо не накладную, а настройку считывателя.

Вторая — оставить в базе старые пропуска. Пока номер EM-Marine не удалён из контроллера, старый считыватель на второй двери продолжает пускать по нему. Миграция считается завершённой, когда старые идентификаторы удалены, а не когда розданы новые.

Третья — потерять ключ AES. Ключ кодирования хранится у заказчика, и после ухода системного администратора он находится не всегда. Восстановить его нельзя: карты перевыпускаются целиком.

Четвёртая — смешать форматы на одном объекте без плана. Две двери на 125 кГц и три на 13,56 МГц означают, что сотрудник носит два пропуска, а служба безопасности ведёт две базы. Этап смешанного парка допустим, но он должен быть коротким и записанным в план работ.

Связанные категории товаров

• СКУД — контроллеры, считыватели, карты и брелоки
• Кабельная продукция — кабель для линий считывателей и RS-485
• Блоки питания и АКБ — питание точки прохода с резервом
• Монтажное оборудование — коробки, крепёж, монтажные аксессуары

Как мы можем помочь

Мы обследуем действующую систему и говорим прямо, что на ней стоит: формат карт, режим работы считывателей, какой контроллер и что из этого меняется. Дальше собираем спецификацию на миграцию — карты, считыватели, кабель, если он нужен — и считаем работы по перевыпуску пропусков и настройке ключей.

Работаем в Волгограде и Волгоградской области с 2013 года, обслуживаем системы после монтажа. Монтажным организациям и оптовым покупателям поставляем карты и считыватели партиями, спецификацию и сроки согласуем в разделе для партнёров.

Главный вывод

Формат карты определяет не карта, а считыватель: EM-Marine отдаёт открытый номер по определению, Mifare Classic защищён взломанным алгоритмом, а Mifare Plus в режиме UID не защищён вообще. Работающая защита от копирования — это Mifare Plus SL3 или DESFire плюс считыватель, настроенный на чтение защищённого сектора, плюс удалённые из базы старые пропуска. Если объект живёт на 125 кГц и журнал СКУД используется как доказательство, менять формат нужно; если копия пропуска ничего не даёт — можно не трогать.

Вопросы и ответы (FAQ)