RFID Kart Çeşitleri ve Kart Kopyalama Riski: 125 kHz EM Kartlar, MIFARE, DESFire, OSDP ve Mobil Kimlik

RFID geçiş kartı çeşitleri nelerdir?

Geçiş kontrolde kullanılan kartlar çalışma frekansına ve güvenlik mimarisine göre iki ana aileye ayrılır. 125 kHz düşük frekanslı kartlar (EM tipi ve HID prox gibi yakınlık kartları) okuyucuya sabit bir kimlik numarası yollar. 13,56 MHz yüksek frekanslı kartlar (MIFARE, DESFire, iCLASS ve benzerleri) ise içinde küçük bir işlemci ya da şifreli bellek barındırır ve okuyucuyla veri alışverişi yapabilir.

Günlük dilde hepsine RFID ya da proximity kart denir, fakat güvenlik düzeyleri aynı değildir. Kartın dış görünüşü, rengi ya da kalınlığı hangi teknolojiyi taşıdığını göstermez; bu yüzden kart envanteri çıkarılırken teknoloji okuyucu ya da test cihazıyla belirlenmelidir.

Bir kart teknolojisinin güvenliği üç şeye bağlıdır: kartın kimliğini kanıtlayıp kanıtlayamadığı, veriyi şifreleyip şifrelemediği ve anahtarların nasıl yönetildiği. Aşağıdaki bölümlerde bu üç ölçüt aileler için tek tek ele alınmıştır.

EM 125 kHz kart ile MIFARE arasındaki fark nedir?

Asıl fark, 125 kHz kartın yalnızca bir numara söylemesi, 13,56 MHz akıllı kartın ise bu numarayı şifreli bir doğrulamayla birlikte kullanabilmesidir. EM tipi kartlar salt okunur çalışır: okuyucu alanına girince sabit bir kimlik verisini herkesin duyabileceği biçimde yayınlar. Kartta şifre, anahtar ya da yanıt-doğrulama mekanizması bulunmaz.

MIFARE ailesi ISO/IEC 14443 Tip A standardına dayanır ve 13,56 MHz'te çalışır. Üretici bilgilerine göre MIFARE Classic 1 KB ile 4 KB arasında bellek sunar ve Crypto1 adlı özel bir şifreleme kullanır; aynı üretici güvenlik gerektiren uygulamalar için DESFire ve MIFARE Plus ailelerini önerir.

Bu farkın pratik sonucu şudur: 125 kHz kartlarda güvenlik yalnızca kartın 'el altında bulunmasına' dayanır. 13,56 MHz kartlarda ise doğru yapılandırıldığında kart, okuyucuya anahtar bilgisini kanıtlar; kimlik numarasını bilmek tek başına yeterli olmaz.

Ancak 13,56 MHz kart kullanmak kendiliğinden güvenlik sağlamaz. Birçok eski kurulumda okuyucu kartın yalnızca seri numarasını (UID) okur ve şifreli bellek hiç kullanılmaz; bu durumda sistem, 125 kHz kart kadar zayıf kalır.

• 125 kHz EM / HID prox: sabit numara, şifre yok, kimlik doğrulama yok; maliyeti ve kurulum kolaylığı nedeniyle eski sistemlerde yaygın.
• MIFARE Classic: 13,56 MHz, Crypto1 ile korunan sektörler; anahtarlar büyük ölçüde çözüldüğü için güvenlik gerektiren yerlerde önerilmez.
• MIFARE Plus: Güvenlik Seviyesi 1'de Classic gibi davranır, Seviye 3'te 128 bit AES kullanır; Classic'ten geçişi kolaylaştırmak için tasarlanmıştır.
• MIFARE DESFire (EV1, EV2, EV3): ISO/IEC 14443-4 uyumlu işlemcili kart; 128 bit AES destekler, uygulama bazında ayrı anahtar tanımlanabilir.
• iCLASS ve türevleri: 13,56 MHz; ilk nesillerdeki ortak anahtar yapısı 2010 civarında akademik ve konferans sunumlarında tartışıldı, sonraki nesiller anahtar yönetimini değiştirdi.

Geçiş kartı kopyalanır mı? Eski EM kartlar neden güvenli değil?

Evet, şifresiz 125 kHz kartlar çok kolay çoğaltılabilir; bu yüzden yüksek riskli alanlar için güvenli kabul edilmezler. Kartın verdiği bilgi sabit olduğundan, kısa süreli yakınlık bile kimlik verisinin ele geçirilmesi için yeterli olabilir. Ele geçirilen veri ucuz hazır donanımla başka bir karta yazılabilir. Bu yazıda kopyalamanın yöntemleri değil, nasıl önleneceği anlatılmaktadır.

MIFARE Classic için durum farklıdır ama sonuç benzerdir. Crypto1 şifrelemesi 2007 sonunda kısmen, Mart 2008'de ise tamamen tersine çözülerek kamuya açıklandı; 2015'te kartın kendisiyle yapılabilen saldırıların 'sertleştirilmiş' Classic türevlerinde de anahtar kurtarabildiği gösterildi. Dolayısıyla Classic temelli bir sistemde kart şifresine güvenmek, güvenliği yalnızca gizli kalmasına bağlamak demektir.

Okuyucu hattı da ayrı bir zayıf noktadır. Wiegand bağlantısında veri okuyucudan kontrolöre şifresiz akar; okuyucu dışarıdaysa ve arkasındaki kablo ulaşılabilirse, kart ne kadar güçlü olursa olsun bu hat zayıf halka olur.

• Salt okunur 125 kHz kartlarda kopyalamayı engelleyen bir kart içi mekanizma yoktur; ancak okuyucu ve yazılım tarafında yapılan önlemler riski sınırlar.
• Kartı kimliksiz taşıyın: üzerinde firma adı, kapı bilgisi ya da tesis kodu yazmasın; böylece kaybolan kartın nereye girdiği anlaşılmasın.
• Kayıp ya da çalıntı bildirimi alındığında kartı sistemden hemen iptal edin; kartı sistemden silmeden fiziksel olarak toplamak yeterli değildir.
• Kritik kapıları yalnızca karta bırakmayın; kart artı PIN ya da kart artı biyometrik doğrulama gibi ikinci faktör ekleyin.
• Kapı olay kayıtlarını düzenli inceleyin; aynı kartın kısa sürede farklı yerlerde kullanılması anormaldir.

Güvenli kart seçimi: DESFire, MIFARE Plus ve iCLASS ailesi

Yeni kurulumda güvenli kart seçimi, AES tabanlı ve kimlik doğrulaması karşılıklı yapılan bir kart ailesinden başlar. MIFARE DESFire EV1 128 bit AES destekleyen ilk ürün olarak 2006'da duyuruldu; EV2 2016'da Transaction MAC ve yakınlık denetimi gibi özelliklerle, EV3 ise 2020'de çıktı. Farklı nesillerin okuyucularla uyumu üreticiye göre değişir.

Bir DESFire kartının gücü yalnızca algoritmadan gelmez, anahtar yönetiminden gelir. Kurum kendi anahtar setini üretip güvenli bir yerde tutmazsa, üreticinin varsayılan ya da herkesçe bilinen anahtarı kullanılıyorsa kartın şifreleme avantajı fiilen ortadan kalkar. Bu nedenle satın alırken 'anahtarları kim tutuyor' sorusu açıkça sorulmalıdır.

Aynı mantık iCLASS benzeri ürün aileleri için de geçerlidir: önemli olan kartın adı değil, hangi nesil olduğu, anahtarların kuruma özel olup olmadığı ve okuyucu ile kontrolör arasındaki hattın korunup korunmadığıdır. Üreticiden bu bilgi yazılı olarak istenmelidir.

• Kartın UID (seri numarası) yerine şifreli bellekteki kimlik verisini okuyan yapılandırma isteyin.
• Kuruma özel anahtar seti kullanılmasını ve yedeğinin güvenli saklanmasını şart koşun.
• Kart kullanım ömrü, yazma sayısı ve yeniden basım koşullarını sözleşmeye yazın.
• Aynı kartta hem kapı hem kafeterya gibi işlevler olacaksa uygulamaların ayrı anahtarlarla ayrılmasını isteyin.

Wiegand ve OSDP okuyucu iletişimi arasındaki fark

Wiegand tek yönlü ve şifresiz bir okuyucu arayüzüdür; OSDP ise çift yönlü, denetimli ve şifreleme destekleyen bir protokoldür. Orijinal 26 bitlik Wiegand biçimi bir başlangıç eşlik biti, 8 bit tesis kodu, 16 bit kart numarası ve bir bitiş eşlik biti taşır. Üreticiler zamanla kendi biçimlerini türetti, ancak ortak özellik değişmedi: veri açık gider ve okuyucu ile kontrolör arasında geri bildirim yoktur. Üreticilerin yayımladığı en yüksek kablo uzunluğu genellikle yaklaşık 150 m'dir.

OSDP (Open Supervised Device Protocol), 2008'de HID Global, Mercury Security ve Lenel tarafından oluşturuldu; 2012'den beri Security Industry Association (SIA) tarafından yönetilir ve Mayıs 2020'de IEC 60839-11-5 standardı olarak yayımlandı. İki telli RS-485 çok noktalı hat üzerinden çalışır; kontrolör okuyucuyu sürekli sorgular, böylece okuyucunun sökülmesi ya da hat kopması fark edilebilir.

OSDP'nin güvenli kanalı (Secure Channel) varsayılan olarak AES-128 şifrelemesi kullanır. Bu, okuyucudan kontrolöre giden kimlik verisini, biyometrik ve mobil kimlik doğrulama bilgilerini hat dinlemesine karşı korur. Aynı hat üzerinde kırmızı-yeşil LED, buzzer ve ayarlama komutları da iletildiğinden ek kablo ihtiyacı azalır. Sistemin gerçekten OSDP olup olmadığı, SIA'nın 'OSDP Verified' programındaki test listelerinden kontrol edilebilir.

• Yön: Wiegand okuyucudan kontrolöre tek yön; OSDP iki yön.
• Şifreleme: Wiegand yok; OSDP Secure Channel ile AES-128.
• Mesafe: Wiegand yaklaşık 150 m; OSDP yaklaşık 1200 m (yaklaşık 4000 ft).
• Hat yapısı: Wiegand tek okuyucu için ayrı kablo; OSDP aynı RS-485 hattında birden çok okuyucu.
• Denetim: Wiegand'de okuyucu sökülmesi bilinmez; OSDP hat denetimi yapar ve okuyucuyu izler.

Mobil kimlik: Bluetooth ve NFC ile telefondan geçiş

Mobil kimlik, kartın yerine telefonda saklanan bir kimlik bilgisinin Bluetooth Low Energy ya da NFC ile okuyucuya iletilmesidir. NFC, 13,56 MHz'te ISO/IEC 14443 gibi yakın alan standartlarıyla çalışır; Bluetooth ise birkaç metre uzaktan okumayı mümkün kılar. Bu yüzden uygun okuyucu ve kontrolör altyapısı bulunmayan bir sistemde yalnızca telefonla geçiş sağlanamaz.

Mobil kimliğin savunma açısından avantajı, kimlik bilgisinin telefonun kilidi, uygulama oturumu ve sunucu tarafı iptal özelliğiyle korunabilmesidir. Çalınan ya da kaybolan telefondaki kimlik uzaktan geçersiz kılınabilir; bu, fiziksel kartta olmayan bir imkandır. Dezavantajı ise telefon, işletim sistemi ve uygulama sürümleri arasındaki uyum sorunları ile pil ve ağ bağımlılığıdır.

Birçok kurumda en gerçekçi yol, kartlar ile mobil kimliği bir süre birlikte kullanmaktır. Okuyucu hem 13,56 MHz kartı hem de mobil kimliği okuyacak şekilde seçilir; bütün çalışanlar geçene kadar iki yöntem yaşar. Gizlilik bakımından mobil uygulamanın hangi verileri topladığı ve nerede sakladığı da öğrenilmelidir.

Parmak izi ve yüz tanıma ile çok faktörlü doğrulama

Çok faktörlü doğrulama, kapının aynı anda iki farklı kanıt istemesi demektir: sahip olunan bir şey (kart), bilinen bir şey (PIN) ve olunan bir şey (parmak izi ya da yüz). Kart kaybolsa ya da kopyalansa bile ikinci faktör geçişi engeller. En yaygın birleşim kart artı PIN'dir; en güçlü ama hukuken en hassas olan ise kart artı biyometrik doğrulamadır.

Biyometrik veri, 6698 sayılı KVKK'nın 6. maddesi kapsamında özel nitelikli kişisel veridir. Kişisel Verileri Koruma Kurulu'nun 29.04.2026 tarihli ve 2026/921 sayılı ilke kararı, mesai takibi amacıyla biyometrik veri işlenmesini açık rıza bulunsa bile ölçülülük bakımından uygun görmemekte; alternatif olarak şifreli kart, PIN ve RFID/NFC kimlik kartı gibi yöntemleri saymaktadır. Mesai takibi dışındaki, örneğin kritik alan erişimine yönelik kullanımlar amaca ve somut olaya göre ayrıca değerlendirilir.

Bu nedenle çalışan devam takibi için biyometrik yöntem planlayan bir işletme önce kart ya da PIN gibi daha az müdahaleci seçeneklerin yeterli olup olmadığını yazılı değerlendirmelidir. Ayrıntılar için yüz tanıma sistemleri ve KVKK ile PDKS ve geçiş kontrol farkı rehberlerine bakılabilir. Biyometrik terminallerin nasıl çalıştığı için biyometrik geçiş kontrol terminalleri rehberi de yardımcı olur.

Mevcut sistemi yükseltirken eski kartlar nasıl taşınır? Karar tablosu

Eski kartları bir günde çöpe atmadan, aşamalı geçişle taşımak hem bütçeyi hem kesintiyi azaltır. Önce mevcut kartların hangi teknolojide olduğu, kaç kartın aktif kullanıldığı ve okuyucuların hangi arayüzle bağlandığı çıkarılır. Sonra kapılar risk sırasına göre gruplanır ve en kritik girişler önce yenilenir. Adım adım kurulum akışı için geçiş kontrol kurulum rehberi de incelenebilir.

Çoklu teknolojili okuyucular geçişte işe yarar: hem eski 125 kHz kartı hem yeni 13,56 MHz kartı okuyarak kullanıcıları kademeli olarak yeni karta geçirir. Geçiş süresi bitince eski teknolojinin okuma özelliği kapatılır; açık bırakılan eski teknoloji, sistemi en zayıf kartın güvenlik düzeyine çeker. Okuyucu hattında ise Wiegand kullanan sistemlerde okuyucuların OSDP destekli modellerle değiştirilmesi uzun vadeli çözümdür; kısa vadede Wiegand verisini OSDP'ye çeviren dönüştürücüler de kullanılabilir.

Aşağıdaki karar listesi, kurumun riskine göre kart ve okuyucu seçimi için kaba bir çerçeve sunar. Son karar, binanın keşfi ve risk değerlendirmesi sonrasında verilmelidir.

• Düşük risk (apartman girişi, küçük ofis, ortak alan): 13,56 MHz kart ya da mobil kimlik yeterli olabilir; en azından UID yerine şifreli okuma tercih edilir. Mevcut 125 kHz kartlar geçiş dönemi için tutulabilir.
• Orta risk (iş yeri, okul, ofis kat girişleri): AES tabanlı kart (DESFire türü), OSDP okuyucu ve kuruma özel anahtar seti; kayıp kart prosedürü yazılı olmalı.
• Yüksek risk (sunucu odası, ilaç ya da değerli eşya deposu, laboratuvar): Kart artı PIN ya da kart artı biyometrik doğrulama, OSDP Secure Channel, kapı açık kalma alarmları ve düzenli kayıt incelemesi.
• Çok kapılı geniş tesis: Okuyucu hattı RS-485 üzerinde OSDP ile kurulur; anahtar yönetimi merkezî yapılır, kartlar iptal edilebilir olur.
• Çalışan devam takibi: Biyometrik yerine kart, PIN ya da RFID/NFC kimlik kartı öncelenir; KVKK ilke kararı bu seçimde dikkate alınır.

Bayifi'de kurulumcu ve ürün bulmak

Kart teknolojisi seçimi ve eski sistemin yükseltilmesi keşif gerektirdiği için işi binayı görecek bir kurulumcuyla planlamak en sağlıklısıdır. Bayifi'de bayi listesinden ve bayi haritasından bölgenizdeki firmaların profil ve hizmet bilgilerine bakabilirsiniz.

Toptancı ya da kurulumcuysanız geçiş kontrol ürünleri için pazar bölümündeki stoklu listelere göz atabilir, firmanızı kaydol sayfasından ekleyebilirsiniz.