基于國密CPU卡的門禁系統(tǒng)方案

1. 背景

2008年3月，德國學(xué)者Henryk Plotz與美國維吉尼亞大學(xué)博士研究生Karsten Nohl在相關(guān)網(wǎng)站上披露了其利用逆向工程手段，從硬體上破解了Mifare one即M1 芯片所采用的邏輯加密算法的破解方法。M1芯片被成功破解的消息在2009年初引起了我國相關(guān)部門的密切關(guān)注，由于它的安全性涉及到眾多的運(yùn)營單位和持卡人的利益，國家密碼管理局根據(jù)國家1998年第273文件精神以及國家安全需要，向中央與國家機(jī)關(guān)印發(fā)了《關(guān)于請(qǐng)協(xié)助做好IC卡系統(tǒng)密碼管理工作的函》及《重要門禁系統(tǒng)密碼應(yīng)用指南》的通知，對(duì)新建或已建重要RFID電子門禁系統(tǒng)的改造和升級(jí)提出了具體要求，并給出了相關(guān)的密碼應(yīng)用方式、方法指南。

今年，廣東省密碼管理局發(fā)布的1號(hào)文件明令要求省內(nèi)機(jī)關(guān)單位、由政府投資建設(shè)的IC卡門禁一卡通系統(tǒng)，必須符合國家密碼管理局制定的《重要門禁系統(tǒng)密碼應(yīng)用指南》。該通知的發(fā)布拉開了各省市對(duì)IC卡門禁一卡通系統(tǒng)升級(jí)改造的帷幕，也是繼2009年工業(yè)和信息化部、國家密碼管理局等單位發(fā)文對(duì)該項(xiàng)工作提出明確要求后的又一大動(dòng)作，證明了IC卡門禁一卡通系統(tǒng)升級(jí)改造工程時(shí)機(jī)已經(jīng)成熟。

2. 重要門禁系統(tǒng)技術(shù)要點(diǎn)

之前建設(shè)的門禁系統(tǒng)大部分是ID卡或IC卡，即使是IC卡，也是使用IC卡的 物理卡號(hào)作為應(yīng)用ID的為多，系統(tǒng)的安全性較薄弱。

國密門禁指南要求重要門禁系統(tǒng)使用基于國產(chǎn)密碼算法的CPU卡，較傳統(tǒng)門禁系統(tǒng)而言，主要在一下幾個(gè)方面對(duì)安全性進(jìn)行了加強(qiáng)：

卡片：卡片要求使用基于國密算法的CPU卡。非接觸CPU卡片內(nèi)置CPU、存儲(chǔ)單元以及芯片操作系統(tǒng)COS，可以實(shí)現(xiàn)數(shù)據(jù)存儲(chǔ)，加解密處理，通信處理等。CPU卡的安全認(rèn)證機(jī)制更加嚴(yán)密，包括與機(jī)具間的雙向認(rèn)證，密鑰管理、卡片個(gè)人化、應(yīng)用流程等。國密CPU卡的特點(diǎn)是認(rèn)證與密鑰管理流程中使用的密碼算法為國產(chǎn)密碼算法。國密CPU卡片的使用要求門禁感應(yīng)器具備相應(yīng)的處理能力與安全性。

門禁感應(yīng)器：由于國密CPU卡使用國產(chǎn)密碼算法，門禁感應(yīng)器與CPU卡之間采用對(duì)稱密鑰體系與相同的密碼算法，要求門禁感應(yīng)器具備相應(yīng)的處理能力。門禁感應(yīng)器射頻部分接口仍然遵循IC卡ISO 14443規(guī)范。與傳統(tǒng)門禁感應(yīng)器相比，國密門禁感應(yīng)器通常使用SAM卡模塊作為密碼運(yùn)算模塊，實(shí)現(xiàn)與CPU卡的雙向認(rèn)證。這一點(diǎn)類似銀行卡機(jī)具。

門禁控制器與后臺(tái)：門禁控制器與后臺(tái)與傳統(tǒng)類似，采用TCP/IP?；?85接口。

3. 國密CPU卡發(fā)卡

國密CPU卡發(fā)卡包括3個(gè)步驟：

CPU卡片結(jié)構(gòu)建立。對(duì)CPU卡片文件系統(tǒng)進(jìn)行規(guī)劃，包括主文件、密鑰文件、基本信息文件、個(gè)人基本信息文件、應(yīng)用文件、記錄文件等。

密鑰灌裝。包括主密鑰、應(yīng)用密鑰、管理密鑰等

個(gè)人化。發(fā)卡單位根據(jù)發(fā)卡單位密鑰，對(duì)個(gè)人信息文件、應(yīng)用文件等寫入相關(guān)信息。

4. 傳統(tǒng)門禁系統(tǒng)國密化改造方案

原有門禁系統(tǒng)進(jìn)行國密化改造主要涉及到如下幾點(diǎn)：

1、卡片：卡片需更換為國密CPU卡。

2、門禁感應(yīng)器需更換為支持國密算法的門禁感應(yīng)器

3、發(fā)卡系統(tǒng)需更換。

4、門禁控制器與門禁感應(yīng)器之間接口采用韋根接口的，門禁控制器與門禁后臺(tái)可使用原有系統(tǒng)。若采用非韋根接口，需提供接口協(xié)議，進(jìn)行接口開發(fā)，否則需更換門禁控制器與后臺(tái)。

具體改造方案如下：

1) 更換門禁感應(yīng)器

所有的門禁感應(yīng)器均需更換成國密門禁感應(yīng)器，國密門禁感應(yīng)器以韋根26或34方式接入門禁控制器。

2) CPU卡發(fā)卡

用戶使用國密發(fā)卡器以及發(fā)卡軟件，對(duì)國密CPU卡片進(jìn)行發(fā)卡，卡片上可以寫入用戶信息，如用戶姓名、部門、單位；用戶應(yīng)用信息，如應(yīng)用ID等。

如果原門禁系統(tǒng)使用M1卡扇區(qū)數(shù)據(jù)方式存儲(chǔ)應(yīng)用數(shù)據(jù)，可以將原應(yīng)用ID數(shù)據(jù)寫入用戶應(yīng)用數(shù)據(jù)文件；若原門禁系統(tǒng)使用卡片物理卡號(hào)數(shù)據(jù)，可以將卡號(hào)數(shù)據(jù)寫入CPU卡應(yīng)用文件。后臺(tái)系統(tǒng)數(shù)據(jù)以及門禁控制器無需重新授權(quán)。

3) 改造流程

為保證改造期間不影響原門禁系統(tǒng)，改造流程有兩種方式：

方式一：改造期間并接門禁感應(yīng)器方式。即將國密門禁感應(yīng)器與原門禁控制器進(jìn)行并接方式，改造期間，用戶在不同門禁感應(yīng)器上刷不同的卡，待系統(tǒng)改造全部完成后，拆掉原門禁感應(yīng)器，收回原門禁卡。

方式二：

方式一的弊端在于需在門口掛接2個(gè)門禁感應(yīng)器，對(duì)空間有要求，且拆掉后還需要對(duì)原感應(yīng)器拆除后留下的墻面進(jìn)行處理。

如果客戶掌握原門禁卡的密鑰，可以通過配置方式對(duì)廣州拙進(jìn)通信技術(shù)有限公司提供的國密門禁感應(yīng)器ZCR111s進(jìn)行配置，從而可以讀取原門禁卡，即同時(shí)支持原門禁卡與國密門禁卡。從而可以直接更換原門禁感應(yīng)器并在相同位置上安裝新國密門禁感應(yīng)器。

5. 國密門禁系統(tǒng)與手機(jī)門禁系統(tǒng)的結(jié)合

國密門禁采用的CPU卡并非最近才出現(xiàn)的新技術(shù)，CPU卡在很多高安全度要求應(yīng)用領(lǐng)域已經(jīng)使用了很多年。如所有的手機(jī)SIM卡就是CPU卡。當(dāng)前通信運(yùn)營商在大力發(fā)展手機(jī)一卡通，手機(jī)也具備近場(chǎng)通信能力，如RFID-SIM、SIMPASS、NFC等。手機(jī)非接觸應(yīng)用都是基于CPU卡片，其應(yīng)用模型與國密CPU卡一致。在政企單位，手機(jī)開門較使用卡片開門更為便利。手機(jī)一卡通也是一卡通在做政企單位門禁系統(tǒng)改造時(shí)，建議選用同時(shí)支持國密CPU卡以及手機(jī)卡的門禁感應(yīng)器，既方便客戶使用，也保護(hù)客戶投資。廣州拙進(jìn)通信技術(shù)有限公司針對(duì)政企用戶開發(fā)的門禁感應(yīng)器ZCR111S內(nèi)置SAM卡，既支持支持國密SM1算法CPU卡，滿足國家密碼管理局重要門禁系統(tǒng)密碼應(yīng)用指南要求，也支持市面上主流廠家的CPU卡，同時(shí)支持3家電信運(yùn)營商的手機(jī)CPU卡（包括RFID-SIM，SIMPASS，NFC等）。