Реалізація систем контролю й керування доступом (СККД) припускає здійснення однозначної ідентифікації кожного користувача системи. Одним з найпоширеніших способів ідентифікації користувачів є застосування персональних безконтактних карток. Безконтактний считыватель із відстані в кілька сантиметрів зчитує з картки унікальний ідентифікатор картки/користувача й по внутрішній лінії зв'язку передає його в контролер СККД, що, на основі таблиці прав доступу, ухвалює рішення щодо допуску користувача в контрольоване приміщення. Тому, безпека системи, в основному, визначається ступенем захисту протоколу обміну між карткою і зчитувачем від погроз підробки/емуляції картки.

При цьому абсолютна більшість СККД, що інсталюються сьогодні на території СНД, або не підтримують криптозахист (тобто зберігають і передають ідентифікатор картки в незахищеному виді), або використовують «закриті» алгоритми криптозахисту з обмеженою довжиною ключа (звичайно 48-96 біт). «Закритість» алгоритму означає, що його структура є конфіденційною інформацією компанії розроблювача, і алгоритм не пройшов незалежного аудита безпеки (наприклад: Mifare Crypto1, EM Crypto, My-D Crypto). При цьому, як правило, використовується досить простий у реалізації потоковий шифр і його стійкість базується на «таємності» самого перетворення, тому після його реінжинірингу завдання пошуку ключа переходить з криптоаналітичної площини у винятково інженерну. Ще однією широко розповсюдженою слабкістю масових СККД, що використовують криптографічні картки (наприклад, MIFARE Standard) є непрозорість або повна відсутність підсистеми керування ключами. Часто секретні ключі карток і зчитувачів визначаються безпосередньо виробником, отже, модель безпеки замовника повинна припускати режим повної довіри виробникові.

Перспективним напрямком розвитку сучасних СККД є застосування безконтактних смарт-карт, що підтримують апробовані криптоалгоритми з відомими показниками стійкості (наприклад, TripleDES або AES).

Найбільшим ступенем захисту, серед бюджетних безконтактних карток, володіють DESFire EV1, що підтримують криптоалгоритми TripleDES (ключ до 168 біт) і AES (ключ 128 біт). Крім того, ці картки мають гнучку файлову систему й підтримку механізму «транзакцій», що дозволяє на їхній основі створювати безпечні інструменти мікроплатежів. Також інтерес представляють картки MIFARE Ultralight C, що відрізняються меншою вартістю й підтримують алгоритм TripleDES з довжиною ключа 112 біт.

Компанія «Криптомаш» пропонує власне рішення завдання криптозахиста безконтактних карт для систем контролю й керування доступом. Наше рішення включає систему безконтактних інтелектуальних зчитувачів, що підтримує картки DESFire EV1 і MIFARE Ultralight C, а також допоміжне програмне забезпечення, що забезпечує гнучке керування ключовою системою СККД і аудит відповідних операцій. Основними достоїнствами нашого рішення є:

• Формування ключової системи здійснюється безпосередньо Замовником;
• Генерація, зберігання й використання робочих ключів виконується винятково всередині зчитувача (ключі не виходять у відкритому виді за межі зчитувача);
• Підтримка до 12 незалежних зон безпеки із самостійною ключовою системою в кожній зоні;
• Єдина картка - загальна перепустка для всіх зон безпеки;
• Можливість «прозорої» інтеграції в існуючі або знов створювані СККД від різних виробників.

Перераховані достоїнства PAC Crypto Subsystem дозволяє усунути всі зазначені раніше проблеми, властиві традиційним рішенням на базі RFID, і створити повноцінну систему безпеки на базі широкого спектра існуючих СККД.

Основні функціональні характеристики системи:

• Можливість гнучкого керування ключовою системою;
• Підтримуються алгоритми шифрування 3DES і AES;
• Протокол обміну з карткою криптографічно захищений;
• Ключі кожної картки унікальні;
• Двохфакторна автентифікація: картка + PIN-код власника (опція);
• Незалежна ключова система для кожної зони;
• Можливість незалежної зміни ключів у різних зонах доступу;
• Зміна робочих ключів зчитувачів за допомогою «транспортних» карт;
• Спільна дія старого й нового ключів у ході відновлення ключової системи;
• Резервування робочих ключів;
• Незалежне адміністрування кожної зони доступу;
• Розподіл і контроль повноважень операторів СККД;
• Розподіл повноважень службових зчитувачів на етапі їхньої ініціалізації;
• Підтримка широко розповсюджених протоколів зв'язку з контролерами СККД;
• Можливість поетапного переходу на криптозахищені картки в діючих СККД.

Апаратне забезпечення системи PAC Crypto Subsystem побудовано на платформі Smart Crypto Reader і включає три типи зчитувачів:

• «Виконавчий» (Executive) – Призначений для перевірки дійсності картки й трансляції її коду контролеру СКУД. Підтримує механізми імпорту робочих ключів зони. Може бути ініціалізований тільки на одну зону доступу.
• «Майстер» (Master) – Призначений для резервного зберігання робочих ключів і виконання службових функцій: створення користувальницьких карток, їхня ініціалізація ключами доступу в зону, експорту робочих ключів на транспортні картки. Може одночасно підтримувати до 12 зон доступу. Може виконувати функції Executive зчитувача.
• «Кореневий» (Root) – Призначений для генерації майстрів-ключів зон доступу й створення транспортних карток. Є функціональним розширенням Master зчитувача. У кожній зоні доступу повинен використовуватися тільки один Root зчитувач!
  

«Виконавчі» зчитувачі виконуються в корпусі для настінного монтажу, «Кореневий» і «Майстер» зчитувачі відносять до категорії службових і виробляються в настільному виконанні.

Службовий зчитувач на етапі первинної ініціалізації, що виконує Замовник, дозволяє виконати конфігурування (обмеження) його функціональних можливостей. Завдяки цьому можливий організаційно-технологічний розподіл повноважень персоналу, що використовує ці зчитувачі. На рівні конфігурування доступний розподіл наступних повноважень:

• генерація робочих ключів;
• експорт робочих ключів на інші зчитувачі;
• ініціалізація нових карток користувачів;
• відновлення ключів доступу в зону на картці користувача;
• зчитування й верифікація карток користувачів.

Крім того, кожний зчитувач дозволяє розділяти повноваження операторів, шляхом авторизації на базі PIN-кода (пароля). Для цього на етапі первинної ініціалізації зчитувача можна визначити два PIN-кода: «Адміністратора» і «Офіцера безпеки». Функціональний розподіл повноважень виконується в такий спосіб:

• «Адміністратор»: конфігурування зчитувачів і керування робочими ключами;
• «Офіцер безпеки»: випуск і керування картками;
• «Оператор» (без авторизації): експлуатація в режимі моніторингу.

Крім безпосередньо зчитувачів, система включає програмне забезпечення (ПЗ) для ОС Windows 2000/XP/2003/2008/Vista, призначене для настроювання системи, керування зчитувачами й тонкої інтеграції зі стороннім ПЗ СККД. Функції ПЗ системи включають:

• Ведення історії всіх операцій у системі;
• Ініціалізація всіх зчитувачів параметрами Замовника;
• Створення й облік карток користувачів;
• Створення й облік «транспортних» (службових) карток;
• Инвалидація (стирання) карток;
• Керування зонами доступу на картках користувачів;
• Керування генерацією/експортом/імпортом робочих ключів на службових зчитувачах;
• Зчитування та верифікація карток.

ПЗ системи включає набір інструментів, що реалізують основні функціональні ролі:

• Базу даних (БД) системи підсистеми криптозахисту (MS SQL 2005);
• Менеджер зчитувачів;
• Менеджер карток користувачів;
• Менеджер робочих ключів;
• «Контролер» карток (демонстраційна).

А також засобу інтеграції зі сторонніми розробниками ПЗ СККД:

• Скрипти й збережені процедури для створення БД необхідної структури;
• Бібліотеки безпосереднього керування зчитувачами (managed і unmanaged версії);
• Бібліотека виконання бізнес транзакцій (керування зчитувачем і підтримка БД);
• Бібліотека виконання бізнес транзакцій з підтримкою користувальницького інтерфейсу.

Створюючи нашу систему, ми керувалися двома принципами: забезпечення безкомпромісної безпеки й простоти обслуговування.