SPACER

Secure Physical Access Control Enhanced Reader

Реализация систем контроля и управления доступом (СКУД) предполагает осуществление однозначной идентификации каждого пользователя системы. Одним из наиболее распространённых способов идентификации пользователей является применение персональных бесконтактных карточек. Бесконтактный считыватель с расстояния в несколько сантиметров считывает с карточки уникальный идентификатор карточки/пользователя и по внутренней линии связи передает его в контроллер СКУД, который, на основе таблицы прав доступа, принимает решение о допуске пользователя в контролируемое помещение. Поэтому, безопасность системы, в основном, определяется степенью защиты протокола обмена между карточкой и считывателем от угроз подделки/эмуляции карточки.

При этом абсолютное большинство СКУД инсталлируемых сегодня на территории СНГ, либо не поддерживают криптозащиту (т.е. хранят и передают идентификатор карточки в незащищённом виде), либо используют «закрытые» алгоритмы криптозащиты с ограниченной длиной ключа (обычно 48–96 бит). «Закрытость» алгоритма означает, что его структура является конфиденциальной информацией компании разработчика, и алгоритм не прошёл независимый аудит безопасности (например: Mifare Crypto1, EM Crypto, My-D Crypto). При этом, как правило, используется достаточно простой в реализации поточный шифр и его стойкость базируется на «секретности» самого преобразования, поэтому после его реинжиниринга, задача поиска ключа переходит из криптоаналитической плоскости в исключительно инженерную. Другой широко распространённой слабостью массовых СКУД, использующих криптографические карточки (например, MIFARE Standard) является непрозрачность или полное отсутствие подсистемы управления ключами. Часто секретные ключи карточек и считывателей определяются непосредственно производителем, следовательно, модель безопасности заказчика должна предполагать режим полного доверия производителю.

Перспективным направлением развития современных СКУД является применение бесконтактных смарт-карт, поддерживающих апробированные криптоалгоритмы с известными показателями стойкости (например, TripleDES или AES).

Наибольшей степенью защиты, среди бюджетных бесконтактных карточек, обладают DESFire EV1, поддерживающие криптоалгоритмы TripleDES (ключ до 168 бит) и AES (ключ 128 бит). Кроме того, эти карточки имеют гибкую файловую систему и поддержку механизма «транзакций», что позволяет на их основе создавать безопасные приложения микроплатежей. Также интерес представляют карточки MIFARE Ultralight C, отличающиеся меньшей стоимостью и поддерживающие алгоритм TripleDES с длиной ключа 112 бит.

Компания «Микрокрипт Текнолоджис» предлагает собственное решение задачи криптозащиты бесконтактных карт для систем контроля и управления доступом. Наше решение включает систему бесконтактных интеллектуальных считывателей, поддерживающих карточки DESFire EV1 и MIFARE Ultralight C, а также вспомогательное программное обеспечение, которое обеспечивает гибкое управление ключевой системой СКУД и аудит соответствующих операций. Основными достоинствами нашего решения являются:

• Формирование ключевой системы осуществляется непосредственно Заказчиком;
• Генерация, хранение и применение рабочих ключей выполняется исключительно внутри считывателя (ключи не выходят в открытом виде за пределы считывателя);
• Поддержка до 12 независимых зон безопасности с самостоятельной ключевой системой в каждой зоне;
• Единая карточка – общий пропуск для всех зон безопасности;
• Возможность «прозрачной» интеграции в существующие или вновь создаваемые СКУД от различных производителей.

Перечисленные достоинства SPACER позволяют устранить все указанные ранее проблемы, свойственные традиционным решениям на базе RFID, и создать полноценную систему безопасности на базе широкого спектра существующих СКУД.

Основные функциональные характеристики системы:

• Возможность гибкого управления ключевой системой;
• Поддерживаются алгоритмы шифрования 3DES и AES;
• Протокол обмена с карточкой криптографически защищён;
• Ключи каждой карточки уникальны;
• Двухфакторная аутентификация: карточка + ПИН-код владельца (опция);
• Независимая ключевая система для каждой зоны;
• Возможность независимой смены ключей в различных зонах доступа;
• Смена рабочих ключей считывателей с помощью «транспортных» карт;
• Совместное действие старого и нового ключей в ходе обновления ключевой системы;
• Резервирование рабочих ключей;
• Независимое администрирование каждой зоны доступа;
• Разделение и контроль полномочий операторов СКУД;
• Распределение полномочий служебных считывателей на этапе их инициализации;
• Поддержка широко распространённых протоколов связи с контроллерами СКУД;
• Возможность поэтапного перехода на криптозащищённые карточки в действующих СКУД.

Аппаратное обеспечение системы SPACER построено на платформе SmartRF Platform и включает три типа считывателей:

• «Исполнительный» (Executive) – Предназначен для проверки подлинности карточки и трансляции её кода контроллеру СКУД. Поддерживает механизмы импорта рабочих ключей зоны. Может быть инициализирован только на одну зону доступа.
• «Мастер» (Master) – Предназначен для резервного хранения рабочих ключей и выполнения служебных функций: создание пользовательских карточек, их инициализация ключами доступа в зону, экспорта рабочих ключей на транспортные карточки. Может одновременно поддерживать до 12 зон доступа. Может выполнять функции Executive считывателя.
• «Корневой» (Root) – Предназначен для генерации мастер-ключей зон доступа и создания транспортных карточек. Является функциональным расширением Master считывателя. В каждой зоне доступа должен использоваться только один Root считыватель!

«Исполнительные» считыватели выполняются в корпусе для настенного монтажа, «Корневой» и «Мастер» считыватели относятся к категории служебных и производятся в настольном исполнении.

Служебный считыватель на этапе первичной инициализации, выполняемой Заказчиком, позволяет выполнить конфигурирование (ограничение) его функциональных возможностей. Благодаря этому возможно организационно-технологическое разделение полномочий персонала, использующего эти считыватели. На уровне конфигурирования доступно разделение следующих полномочий:

• генерация рабочих ключей;
• экспорт рабочих ключей на другие считыватели;
• инициализация новых пользовательских карточек;
• обновление ключей доступа в зону на пользовательской карточке;
• считывание и верификация пользовательских карточек.

Кроме того, каждый считыватель позволяет разделять полномочия операторов, путём авторизации на базе ПИН-кода (пароля). Для этого на этапе первичной инициализации считывателя можно определить два ПИН-кода: «Администратора» и «Офицера безопасности». Функциональное разделение полномочий выполняется следующим образом:

• «Администратор»: конфигурирование считывателей и управление рабочими ключами;
• «Офицер безопасности»: выпуск и управление карточками;
• «Оператор» (без авторизации): эксплуатация в режиме мониторинга.

Кроме непосредственно считывателей, система включает программное обеспечение (ПО) для ОС Windows 2000/XP/2003/2008/Vista, предназначенное для настройки системы, управления считывателями и тонкой интеграции со сторонним ПО СКУД. Функции ПО системы включают:

• Ведение истории всех операций в системе;
• Инициализация всех считывателей параметрами Заказчика;
• Создание и учёт пользовательских карточек;
• Создание и учёт «транспортных» (служебных) карточек;
• Инвалидация (стирание) карточек;
• Управление зонами доступа на карточках пользователей;
• Управление генерацией/экспортом/импортом рабочих ключей на служебных считывателях;
• Считывание и верификация карточек.

ПО системы включает набор приложений, реализующих основные функциональные роли:

• Базу данных (БД) системы подсистемы криптозащиты (MS SQL 2005);
• Менеджер считывателей;
• Менеджер пользовательских карточек;
• Менеджер рабочих ключей;
• «Контроллёр» карточек (демонстрационная).

А также средства интеграции со сторонними разработчиками ПО СКУД:

• Скрипты и хранимые процедуры для создания БД необходимой структуры;
• Библиотеки непосредственного управления считывателями (managed и unmanaged версии);
• Библиотека выполнения бизнес-транзакций (управление считывателем и поддержка БД);
• Библиотека выполнения бизнес-транзакций с поддержкой пользовательского интерфейса.

Создавая нашу систему, мы руководствовались двумя принципами: обеспечение бескомпромиссной безопасности и простоты обслуживания.