WestPoint · Accessos · HID
Això no és una plataforma. És a sota d'elles.
HID no és el programari que veus: és la controladora de l'armari, el lector de la paret i la targeta de la butxaca. Saber quina placa tens posada canvia el que costa canviar de sistema, i és el primer que preguntem.
Què és, i per què no s'assembla a les altres.
En aquesta llista gairebé tot són plataformes: programari amb la seva pantalla, els seus usuaris i el seu registre. HID és la capa de sota, i fa tres coses: controladores —l'aparell de l'armari que decideix si aquella porta obre—, lectors i credencials. Pertany al grup ASSA ABLOY, el mateix d'on surt Aperio.
I aquí hi ha la dada que canvia converses senceres: Mercury és la controladora que unes quantes de les plataformes d'aquesta mateixa llista fan servir per sota. Fabricants de programari diferents munten la mateixa família de plaques, amb el seu firmware i la seva etiqueta. El que hi ha al teu armari pot ser el mateix que al d'algú amb un altre sistema.
Això no és una curiositat. Vol dir que canviar de plataforma no sempre és llençar el maquinari: de vegades és canviar el firmware i la llicència de la placa que ja hi ha posada, i seguir fent servir cablejat, lectors i armaris. De vegades. Però la diferència pot ser la meitat del pressupost.
Què vol dir això al teu armari.
Amb els matisos, que són els que fan que el consell serveixi.
El camí existeix perquè la placa és la mateixa, però el firmware i la llicència van lligats al fabricant que te la va vendre: passar d'un a l'altre acostuma a exigir reprogramar la placa i tornar-la a llicenciar. Es fa. No s'improvisa.
Hi ha generacions, i aquí hi ha el filtre. Les més antigues ja no tenen camí: fora de suport, sense el protocol de lector xifrat modern, i l'honest és canviar-les. La manera de saber-ho és obrir l'armari i llegir el que hi ha imprès a la placa. Ho fem a la primera visita, amb foto.
També hi ha mòduls de porta penjats de la controladora, que es reaprofiten millor. I hi ha Aero, la línia pròpia de la casa: per a instal·lacions que no necessiten l'estructura de les grans i per a qui vol el protocol obert de lector des del primer dia.
La conclusió és incòmoda per a qui ven: abans de triar plataforma, esbrina quin maquinari tens.
La targeta, el cable i qui té les claus.
Tres coses que gairebé ningú mira i que decideixen si el sistema protegeix alguna cosa.
La primera és la targeta. Bona part del parc instal·lat a Espanya fa servir tecnologies antigues que es copien amb un aparell que costa menys que el menjar d'un dia: s'acosta a la targeta dins d'una butxaca, es clona i obre. I el format més estès és curt —255 codis d'instal·lació i una mica més de seixanta mil números—, així que les coincidències entre instal·lacions veïnes no són una hipòtesi.
La segona és el cable del lector. El protocol clàssic que uneix lector i controladora va en clar i sense autenticar: un aparell amagat darrere el lector captura credencials i després les repeteix. El substitut —el protocol obert amb canal xifrat— el parlen els lectors moderns, però s'ha de demanar que s'activi: es pot instal·lar sense activar-lo.
I la tercera, la important: de qui són les claus de xifratge de les teves targetes. Una targeta moderna només és segura si la clau que l'obre és teva i de ningú més. Si l'instal·lador fa servir el mateix joc per a tots els seus clients, les teves targetes obren la porta d'un altre i les d'un altre la teva. Demana el teu propi joc i que estigui en el teu poder: qui té les claus mana a la instal·lació.
Origo: la credencial al mòbil.
Resol un problema real i obre una altra conversa.
Origo és la part de credencial al mòbil: un servei al núvol des d'on s'emet i es retira la credencial d'un telèfon, i que es pot portar a l'aplicació de la mateixa empresa o a la cartera del mòbil. Canvia el gest: donar accés passa d'entregar una targeta a enviar una invitació, i treure'l, de perseguir la targeta a retirar-la en remot.
El que s'hi guanya: el mòbil no es deixa tan alegrement, no es queda al calaix de casa i quan algú marxa no cal recuperar res. Es nota sobretot amb gent que visita diverses seus i amb les contractes.
El que s'ha de mirar abans: es paga per credencial i per temps, així que entra al pressupost de cada any i no al de l'obra, i calen lectors que ho admetin. I hi ha una conversa sobre el telèfon personal que s'ha de tenir amb personal: què s'instal·la al mòbil d'algú i quina alternativa té qui no vol fer servir el seu per entrar a treballar. Aquesta alternativa s'ha de tenir, i acostuma a ser una targeta — també perquè un mòbil es queda sense bateria.
Per a qui encaixa, i per a qui no.
- Encaixa si vols que la controladora i la credencial no et lliguin a un fabricant de programari. És la raó per triar aquesta capa a propòsit.
- Encaixa si tens diverses seus amb plataformes diferents i vols una credencial única per a qui es mou entre elles.
- Encaixa si el projecte és llarg i per fases: maquinari i credencial avui, programari després. És l'ordre correcte i gairebé ningú el segueix.
- Encaixa si s'ha de migrar d'una targeta insegura sense aturar l'activitat: els lectors que llegeixen el vell i el nou són el camí.
- No encaixa si esperes una pantalla: aquí no hi ha cap sistema per administrar, i la plataforma de sobre s'ha de triar igualment.
- Origo no encaixa si no hi ha mòbil d'empresa i hi ha resistència a fer servir el personal: es pot barrejar, però llavors gestiones dues credencials.
Què hi fem nosaltres.
- L'inventari amb l'armari obert: quina controladora, quina generació, quins mòduls, quins lectors i quina targeta. Amb fotos i per escrit, a la primera visita.
- El dictamen honest de què es reaprofita i què no, amb el motiu. Dir que tot es canvia és més fàcil de pressupostar i més car per a tu.
- El pla de credencial: a quina targeta es va, com es conviu amb la vella i amb quina data de tall. Una convivència sense data de final no és un pla.
- La gestió de claus com a lliurable amb nom: joc propi del client, qui el custodia i on és la còpia. Això se signa.
- Si hi va Origo: prova amb un grup petit, procediment d'emissió i retirada, i l'alternativa per a qui no faci servir el mòbil resolta abans d'anunciar-ho al personal.
- El manteniment amb el firmware de controladores i lectors a dins: de les primeres coses que s'abandonen i de les que més importen aquí.
Qui la configura després de nosaltres.
Aquí la resposta és diferent, perquè el que s'administra és a dos llocs.
Les altes i les baixes, els horaris i els permisos per zona no es porten des d'aquí, sinó des de la plataforma de sobre. Allà la resposta és la d'aquella plataforma, i en gairebé totes és que sí: ho porta l'equip de seguretat o el d'informàtica amb la formació adequada.
El que sí que és del client en aquesta capa, i des del primer dia, és l'emissió de credencials al mòbil. Convidar, reemetre i retirar es fa des del navegador: no té sentit trucar a un instal·lador per donar accés a algú que entra demà. El mateix amb la codificació de targetes.
El que no ha de tocar: el firmware de les controladores, la configuració dels lectors, l'activació del canal xifrat i, sobretot, les claus de la targeta. Que les claus siguin seves no vol dir manejar-les cada dia: vol dir que qualsevol proveïdor futur hi pot treballar sense demanar-nos res.
Perquè puguin de veritat cal: formació de la consola de credencials a qui hagi d'emetre, un procediment d'alta i baixa que encaixi amb el de personal, l'inventari de maquinari amb les seves generacions i l'acta de custòdia de claus. Aquestes quatre coses, i no un manual de tres-centes pàgines.
Migrar: aquí hi ha gairebé tota la feina.
Les migracions d'aquesta capa són tres i acostumen a anar juntes. De targeta insegura a xifrada, amb lectors que llegeixen les dues coses mentre dura la reemissió. De cable en clar a canal xifrat, que de vegades és configuració i de vegades canviar el lector. I de plataforma, reaprofitant la controladora quan es pot.
L'ordre importa. Primer l'inventari. Després la credencial, que afecta tot el personal i marca el calendari. El programari al final. Fer-ho a l'inrevés és el que genera aquells projectes on es canvia el sistema sencer i es continuen fent servir les targetes clonables de fa quinze anys.
I una cosa que diem encara que incomodi: si l'inventari surt malament —generacions fora de suport, targetes antigues, cable en clar— el projecte és més gran del que t'han explicat. Val més saber-ho a la primera visita.
Altres plataformes amb les quals treballem.
Aquesta capa va sota d'una plataforma, i la plataforma s'ha de triar igualment. Aquestes són algunes amb les quals treballem.
Començar
Saps què hi ha al teu armari?
Si no ho saps, és la pregunta més rendible que pots fer abans de demanar un pressupost. Explica'ns quin sistema tens i quina targeta feu servir, i et diem què es reaprofita i què no.