Главная Часто задаваемые вопросы Публикации в прессе о СКУД Parsec (статьи) Уровень нашей безопасности: установка СКД на стратегическом объекте

Уровень нашей безопасности: установка СКД на стратегическом объекте

 

"Все о вашей безопасности", №4, 2004 год
Да, слова в заголовке не оговорка - безопасность любого стратегического объекта - это не только его, объекта безопасность, но и наша с вами. Если случится диверсия на крупном химическом предприятии в нескольких километрах от вашего дома, то последствия могут быть весьма печальными… Именно поэтому вопрос защищенности такой важной составляющей систем безопасности, как системы контроля и управления доступом подобных объектов - это не частное дело директора предприятия или командира воинской части. Это задача общегосударственного масштаба, как бы пафосно это не звучало. Хотя говорить мы будем о совсем маленьком компоненте СКУД - о proximity идентификаторах.
Начнем "с вешалки"
Как театр начинается с вешалки, так и любое предприятие начинается с проходной. Это тот рубеж, который в первую очередь предстоит преодолеть любому злоумышленнику. Зачем штурмовать двухметровый забор с колючей проволокой, да еще оснащенный различными системами сигнализации, если можно просто войти на предприятие через предназначенную для этих целей проходную? Современная проходная - это турникеты (поясные, полноростовые - это для нас не существенно), оборудованные считывателями. Сотрудники имеют пластиковые карты - электронные пропуска, с помощью которых получают доступ на территорию предприятия.
За дисциплиной проходов может дополнительно следить вахтер, но его реальное участие в осуществлении пропускного режима не так уж и существенно, особенно, на предприятии со штатом в несколько тысяч человек.
Если заглянуть немного дальше, то мы увидим, что электронный пропуск на территории предприятия используется еще и для доступа во внутренние здания или помещения, а иногда и для доступа к компьютерам… В общем, в кусочке пластика размером 85х54 мм заключена, по большому счету, великая сила.
А какая карта у вас?
Практически все используемые в СКУД proximity карты относятся к одному из четырех типов (или форматов): это EM Marin , HID, Motorola (Indala), работающие на частоте 125 кГц, и CheckPoint, работающие на частоте 13,56 МГц. Можно найти и другие варианты, но это, скажем прямо, уже экзотика.
Все эти карты работают в непрерывном режиме, то есть при попадании в поле считывателя начинают в цикле передавать свой серийный номер, который и используется в качестве идентификатора владельца карты. Методы модуляции несущей, то есть способ, которым передается код карты обратно к считывателю, для рассматриваемых карт отличаются. EM Marin и CheckPoint используют наиболее простую амплитудную модуляцию, HID - две поднесущих частоты для передачи "ноликов" и "единиц" двоичного кода, а Motorola использует модуляцию поднесущей, равной половине несущей частоты.
Карты этих форматов - действительно хорошие и надежные в работе "ключи" практически для всех существующих типов систем контроля и управления доступом. Лучшее тому подтверждение - их широкое распространение, причем, не только в России. К тому же у этих карт - совершенно приемлемая цена, которая в последние годы имеет устойчивую тенденцию к снижению. Сегодня купить такие карты в розницу по доллару за штуку не является проблемой.
И если на вашем объекте не стоит атомный реактор, не хранятся важнейшие государственные секреты, ваш выбор очевиден.
Но, сами понимаете, объект - объекту - рознь. Там, где требуется особый уровень безопасности, и proximity идентификаторы должны обладать особой защищенностью.
 
Выход всегда есть
Возможное решение проблемы - это интеллектуальные ("смарт") карты с криптозащитой. Правда, используются они пока больше на транспорте (например, в метро или пригородных поездах М осковской железной дороги), чем в системах безопасности. Консерватизм последних здесь оказался не кстати.
Итак, за счет чего смарт-карты обеспечивают принципиально новый уровень защищенности? За счет того, что они работают в диалоговом режиме со считывателем, используя самые современные механизмы криптозащиты в процессе взаимного обмена информацией. Даже если такая карта попадет к вам в руки на несколько дней - шансов "расшифровать" ее нет и в лабораторных условиях. Например, при использовании ключей длиной в 6 байт (48 бит), как в картах типа Mifare® Standard, необходимое для полного перебора ключей время составляет около полумиллиона лет!
Стоимость подобных карт - около двух долларов. Немало, особенно если учитывать их требуемое количество для, например, того же завода оборонного значения. Но, еще раз хочу напомнить, что мы ведем речь об особо важных объектах, где обеспечение безопасности, по определению, не может (и не должно!) стоить дешево.
Как это работает
Естественно, что для работы с защищенными картами требуются соответствующие считыватели. Они уже появились на рынке и доступны для установщиков систем безопасности. Такие считыватели работают на частоте 13,56 МГц в диалоговом режиме с картой, а со стороны контроллеров СКУД имеют стандартизованные интерфейсы (например, Wiegand) и могут использоваться в любых серийных системах. Карты также являются стандартным продуктом, и их приобретение не составляет проблем. Что дополнительно необходимо для полноценного функционирования защищенной СКУД - это механизм смены кодов доступа к карте, который должен быть реализован на рабочем месте администратора системы для персонализации карт, а также должен позволять заносить новые ключи в считыватели. Схема "настройки" защищенной СКУД под конкретный объект показана на рисунке 1.
схема настройки защищенной скд

 

Персонализация карт доступа производится с помощью настольного считывателя, подключенного к компьютеру, и специального программного модуля, управляющего работой такого считывателя в процессе персонализации. Поскольку любой доступ к карте возможен только с использованием ключа, смарт-карты поставляются от производителя с так называемыми "транспортными" ключами, которые известны всем.
В процессе персонализации в определенную область карты, которая также может назначаться администратором системы, заносится идентификационная информация. Для случая считывателей, работающих по протоколу Wiegand 26 бит, это будет трехбайтовый номер, по которому пользователь будет идентифицироваться в базе данных системы. Дале в карту записываются новые ключи доступа к карте, которые будут уникальными для данной системы и известны только ее хозяину. Причем таких ключей может быть два: один только для чтения идентификационной информации из защищенного сектора, а второй - для перепрограммирования карты, то есть для записи идентификационного номера и смены ключей доступа к карте. Первый ключ должен "знать" каждый считыватель системы, а второй может храниться в сейфе Швейцарского банка в единственном экземпляре.
Естественно, что карта устроена таким образом, что занесенные в нее ключи принципиально не могут быть после этого прочитаны - это обеспечивается схемотехникой чипа карты. Считыватели также поставляются с транспортными ключами карт, то есть могут изначально читать только неинициализированные карты.
Для перепрограммирования считывателей администратор создает специальную мастер-карту, с которой в режиме программирования считывателя в него переносится новая информация - область хранения идентификационного кода и новый ключ доступа. Такой механизм предполагает, что для смены ключей в считывателе в мастер-карте должна быть информация о старом ключе и о новом, в противном случае считыватель перепрограммирован не будет. Имея такую мастер-карту, администратор может достаточно оперативно перепрограммировать работающую систему, пройдя по всем считывателям.
И еще одно замечание, для кого-то очевидное. Поскольку механизм персонализации карт и перепрограммирования считывателей находится в руках "хозяина" системы, процедуру смены всех ключей доступа можно проводить с любой необходимой периодичностью, что является обязательным требованием для некоторых особо важных объектов.
 
"Бонусы" системы
Рассмотренные выше защищенные перезаписываемые карты, как правило, имеют достаточно большой объем памяти. Возникает желание использовать ее для расширения возможностей системы. Дополнительная функциональность ограничивается фантазией заказчика и возможностями (то есть квалификацией) интегратора или разработчика системы. Из очевидных и уже используемых "бонусов" можно упомянуть следующие:
  • Хранение в свободной области памяти карты свертки отпечатка пальца. На особо важных точках прохода в этом случае устанавливаются биометрические считыватели, которые сверяют реальный отпечаток пальца владельца карты с образом, хранящимся в карте. Решение достаточно удобное, поскольку не требуется заносить данные об отпечатках в каждый такой считыватель. Кроме того, в режиме верификации (сверки двух образцов) система работает намного быстрее, чем в режиме идентификации, когда поиск соответствия ведется по базе данных.
  • Использование карты в подсистемах, не связанных непосредственно с безопасностью, например, в локальных расчетных системах (оплата обедов в столовой и других услуг).
  • С перезаписываемой картой принципиально становится возможной реализация глобального антипассбэка (запрет двойного прохода), но… контроллеров, поддерживающих такую функцию пока никто не выпускает.

Очевидно, что рассматриваемые карты помогут обеспечить доступ не только на территорию или в помещение, но и к информации, если соответствующая система установлена на компьютерах.

Выбор карт
Выбор карт для построения защищенных СКУД на сегодня достаточно широк. Из наиболее доступных упомянем следующие карты:
  • Mifare® Standard 1K. Самая популярная из карт с криптографической защитой. Общий объем памяти равен одному килобайту, который поделен на 16 секторов по 4 блока размером 16 байт. Используется оригинальный криптоалгоритм компании Philips.
  • Mifare® Standard 4K. Аналогична по устройству карте 1K. Общий объем памяти равен четырем килобайтам, первые два из которых повторяют структуру килобайтной карты, а вторая половина памяти имеет сектора увеличенного размера.
  • DESFire. Дальнейшее развитие карт Mifare®. Объем памяти равен четырем килобайтам, при этом отсутствует жесткая структура памяти. Вместо нее карта имеет файловую структуру, задаваемую пользователем (количество и размеры файлов). Собственный алгоритм криптозащиты заменен на стандартизированные DES или Triple DES.
  • Mifare® ProX. Карта со встроенным микропроцессором и возможностью загрузки в нее пользовательских приложений. Объем перепрограммируемой памяти составляет 4, 8 или 16 килобайт. В различных версиях имеет от одного (DES/3DES) до трех аппаратных криптопроцессоров. Кроме бесконтактного имеет контактный интерфейс по ISO 7816. Возможна работа в режиме эмуляции карт Mifare® Standard 1K/4K.
  • SmartMX. Самая современная карта, разработанная для использования как в банковских приложениях, так и во вводимых во всем мире электронных документах. Основные возможности аналогичны карте Mifare® ProX, объем перепрограммируемой памяти составляет 36 или 72 килобайта. Карта может иметь до трех интерфейсов: бесконтактный ISO 14443A, контактные ISO 7816 и USB.
Карты других производителей не упоминаем по двум причинам: во-первых, Philips является лидирующей компанией на этом рынке, а, во-вторых, карты Philips наиболее доступны и обеспечены хорошей технической поддержкой (для разработчиков систем и интеграторов). В доказательство остается привести последний, как нам кажется, весомый аргумент: в системе безопасности Пентагона на сегодняшний день используются карты типа DESFire. Как говорится, комментарии излишни…
Mifare® - зарегистрированная торговая марка компании Philips Semiconductors