养猪致富

  1. 657 成员
  2. 3.2万 人气

参与评论

    M1卡门禁系统升级为CPU卡门禁的改造与实现安全防护

    帖子创建时间:  2012年09月05日 13:02 评论:0 浏览: 1453 投稿
    一、IC卡门禁概述
    系统概述:以IC卡为载体实现身份识别及出入控制。
    系统组成:
    输入设备:卡片、门禁读头(或称门禁读卡器)
    控制部分:门禁控制器
    执行部分:电锁、道闸、闸机等通道出入控制设备
    其它:发卡器、开门按钮、运行网络环境、及相关附件
    感应式IC卡门禁系统具有对场所出入控制、实时监控、保安防盗报警等多种功能,它主要方便内部人员出入,杜绝外来人员随意进出,既方便了内部管理,又增强了内部的保安,从而为用户提供一个安全高效工作和生活环境。
    二、IC卡门禁应用现状
    门禁系统以综合布线系统为基础,以计算机网络为桥梁,在功能上实现了通讯和管理自动化。
    门禁系统作为一项先进的安防和管理手段,以其自身的优势——以主动控制替代了被动监视的方式,已经广泛应用于部队、企业、银行、政府机关及相关事业单位区等领域。
    三、IC卡安全性
    3.1卡安全性——挑战
    目前现有的门禁系统中,使用的门禁卡绝大多数属于逻辑加密卡或只读卡(如M1卡、ID卡、HID卡)。
    M1卡的“安全门”事件——M1卡的破解、复制,作为门禁系统身份识别的重要载体IC卡的安全性面临巨大挑战。
    2009年初国家密码局作出了《关于做好应对部分IC卡出现严重安全漏洞工作的通知》,因此,卡片安全性已引起了我国政府有关部门的高度重视,并要求尽快采取应对措施。
    3.2  卡应用现状——逻辑加密卡
    非接触式IC卡可分为逻辑加密卡和CPU卡。
    非接触式逻辑加密卡(典型代表M1卡)是通过加密逻辑模块进行操作控制的,完全被动的接收外部处理命令,保护模块的校验值是固定的,传输数据多是明文,容易产生安全隐患。
    3.3  安全性卡片的必然选择——CPU卡
    非接触式IC卡可分为逻辑加密卡和CPU卡。

    CPU卡内部结构
    非接触式CPU卡内集成电路包括CPU、RAM、ROM、EEPROM,以及固化在ROM中的操作系统COS,它可以根据一定的加密算法对卡片进行认证,可以进行密文数据传输,大大提高了卡片的安全。
    3.4  M1卡与CPU卡的比较
    众所周知,密钥管理系统(Key Management System),也简称KMS,是IC项目安全的核心。如何进行密钥的安全管理,贯穿着IC卡应用的整个生命周期。
    1、非接触逻辑加密卡的安全认证依赖于每个扇区独立的KEYA和KEYB的校验,可以通过扇区控制字对KEYA和KEYB的不同安全组合,实现扇区数据的读写安全控制。非接触逻辑加密卡的个人化也比较简单,主要包括数据和各扇区KEYA、KEYB的更新,在期间所有敏感数据包括KEYA和KEYB都是直接以明文的形式更新。
    由于KEYA和KEYB的校验机制,只能解决卡片对终端的认证,而无法解决终端对卡片的认证,即我们俗称的“伪卡”的风险。
    非接触逻辑加密卡,即密钥就是一个预先设定的确定数,无论用什么方法计算密钥,最后就一定要和原先写入的数一致,就可以对被保护的数据进行读写操作。因此无论是一卡一密的系统还是统一密码的系统,经过破解就可以实现对非接触逻辑加密卡的解密。很多人认为只要是采用了一卡一密、实时在线系统或非接触逻辑加密卡的ID号就能避免密钥被解密,其实,非接触逻辑加密卡被解密就意味着M1卡可以被复制,使用在线系统尽可以避免被非法充值,但是不能保证非法消费,即复制一张一样ID号的M1卡,就可以进行非法消费。现在的技术使用FPGA就可以完全复制。基于这个原理,M1的门禁卡也是不安全的。目前国内80%的门禁产品均是采用原始IC卡的ID号或ID卡的ID号去做门禁卡,根本没有去进行加密认证或开发专用的密钥,其安全隐患远远比Mifare卡的破解更危险,非法破解的人士只需采用的是专业的技术手段就可以完成破解过程,导致目前国内大多数门禁产品都不具备安全性原因之一,是因为早期门禁产品的设计理论是从国外引进过来的,国内大部分厂家长期以来延用国外做法,采用ID和IC卡的只读特性进行身份识别使用,很少关注卡与机具间的加密认证,缺少钥匙体系的设计;而ID卡是很容易可复制的载体,导致所有的门禁很容易几乎可以在瞬间被破解复制;这才是我们国内安防市场最大的灾难。
    2、非接触CPU卡智能卡与非接触逻辑加密卡相比,采用ISO14443 通讯协议,但其拥有独立的CPU处理器和芯片操作系统,非接触式CPU卡内集成电路包括CPU、RAM、ROM、EEPROM,以及固化在ROM中的操作系统COS,它可以根据一定的加密算法对卡片进行认证,可以进行密文数据传输,大大提高了卡片的安全。所以可以更灵活的支持各种不同的应用需求,更安全的设计交易流程。但同时,与非接触逻辑加密卡系统相比,非接触CPU卡智能卡的系统显得更为复杂,需要进行更多的系统改造,比如密钥管理、交易流程、PSAM卡以及卡片个人化等。密钥通常分为充值密钥(ISAM卡),减值密钥(PSAM卡),外部认证密钥(SAM卡)和全能密钥(ASAM卡)。
    非接触CPU卡智能卡可以通过内外部认证的机制,例如像建设部定义的电子钱包的交易流程,高可靠的满足不同的业务流程对安全和密钥管理的需求。对电子钱包圈存可以使用圈存密钥,消费可以使用消费密钥,清算可以使用TAC密钥,更新数据可以使用卡片应用维护密钥,卡片个人化过程中可以使用卡片传输密钥、卡片主控密钥、应用主控密钥等,真正做到一钥一用。
    CPU卡加密算法和随机数发生器与安装在读写设备中的密钥认证卡(SAM卡)相互发送认证的随机数,可以实现以下功能:
    (1) 通过终端设备上SAM卡实现对卡的认证。
    (2) CPU卡与终端设备上的SAM卡的相互认证,实现对卡终端的认证。
    (3) 通过ISAM卡对CPU卡进行充值操作,实现安全的储值。
    (4) 通过PSAM卡对CPU卡进行减值操作,实现安全的扣款。
    (5) 在终端设备与CPU卡中传输的数据是加密传输。
    (6) 通过对CPU卡发送给SAM卡的MAC1,SAM卡发送给CPU的MAC2和由CPU卡返回的TAC,可以实现数据传输验证的计算。而MAC1、MAC2和TAC就是同一张CPU卡每次传输的过程中都是不同的,因此无法使用空中接收的办法来破解CPU卡的密钥。
    同MIFARE1卡相比, CPU卡采用强大而稳定的安全控制器,增强了卡片的安全性,而非接触传输接口又能满足快速交易的要求(如公交的快速通过)。其原因在于:首先,非接触式 CPU卡在现有的技术条件下是不可伪造的;其次,非接触式CPU卡具有三种认证方式,持卡者合法性认证——PIN校验,卡合法性认证——内部认证,系统合法性认证——外部认证,对交易的各个单元(持卡人、卡片、终端设备)进行相互认证,保证交易介质的合法性;再次,在以上认证过程中,密钥是不在线路上以明文出现的,它每次的送出都是经过随机数加密的,而且因为有随机数的参加,确保每次传输的内容不同,保证了交易内容的合法性。所以,采用非接触式CPU卡可以杜绝伪造卡、伪造终端、伪造交易,最终保证了交易的安全性。
    同时,非接触CPU卡的大容量存储空间又可以满足预期的大金额消费应用所要求的更多客户信息的存储。而这时安全就不仅仅是存储在卡内的电子货币的安全,还包括个人信息的安全,非接触式CPU卡的安全机制可以为此提供良好的保障。
    综上所述,非接触逻辑加密卡与非接触CPU卡同属非接触IC卡,但这两种卡片是完全不同级别的卡。M1卡属于逻辑加密卡,是在在EEPROM的基础上,在芯片内增加一些密码控制逻辑电路,芯片生产出来后,逻辑电路就不能修改了,因此卡片功能也不会有太大变化。逻辑加密卡的功能介于存储器卡与CPU卡之间,它具有一定的保密逻辑功能,不象存储器卡那样可以被自由擦写;但不如CPU卡能进行复杂的密码计算,因此适用于一些需要保密功能,但对保密功能要求又不是很高的场合。
    逻辑加密卡内部结构
    CPU卡是真正意义上的智能卡,就是常说的SmartCard,卡内集成电路中包括中央处理器(CPU)、只读存储器(ROM)、随机存取存储器(RAM)、电可擦除可编程只读存储器(EEPROM)等主要部分,犹如一台超小型电脑。具有信息量大、防伪安全性高、可脱机作业,可多功能开发等优点。
    MF1与CPU卡的安全性比较
            MIFARE I卡        非接触CPU卡
    相关国际标准        ISO14443 Type A        ISO14443 Type A/B
    载波频率        13.56 MHz        13.56 MHz
    传输数率        106 Kbps        106 Kbps
    发送信号调制        ASK 100%(信号有断续)        ASK 10%(TypeB信号连续)
    存储空间/分区        最大4K字节,固定扇区,分块管理        2K/8K/16K可选,文件管理,灵活设计
    访问权限控制        只读/只写/读写/加/减        对不同文件类型灵活设计认证方式只读/只写/读写/加/减
    密钥长度/个数        6字节密码,分扇区控制        16字节密钥,可多级多个密钥组合控制
    加密/认证算法        专用不公开硬件逻辑算法(已被破解)        通用公开软件或硬件加速算法(金融标准),可定制
    读写/安全模块        算法内置密钥外送。认证方式为卡片与专用基站芯片认证(认证通讯协议已破解)        通用读写模块透明传输,配合SAM密钥算法,认证在双方卡内部进行,传输中为加密后的随机数
    交易流程        简单不规范,需自定义防拔流程        有银行标准规范,也可由用户灵活设计,内置防拔流程
    一卡多用        困难,不方便        完全支持一卡多用,灵活、安全、方便
    四、CPU卡优势及机遇
    CPU卡采用ISO14443通讯协议,卡的能量供应比较稳定。可以根据一定的加密算法对卡片进行认证,可以进行密文数据传输,大大提高了卡片的安全。
    CPU卡采用强大而稳定的安全控制器,增强了卡片的安全性,而非接触传输接口又能满足快速交易的要求。
    CPU卡的大容量存储空间又可以满足系统的扩展需求。
    CPU卡是真正意义上的智能卡,犹如一台超小型电脑。具有信息量大、防伪安全性高、可脱机作业,可多功能开发等优点。CPU卡可广泛应用于身份识别、金融交易等领域。
    五、CPU卡门禁产业机会
    综上所述Mifare算法被破解给我们门禁产品乃至整个安防行业的安全性敲响了警钟。目前国内的政府机关、军队系统、军工系统、涉密单位、公安系统及国家重点部门等将原有ID卡或逻辑加密卡门禁系统更换成更为安全的CPU卡门禁产品已经迫在眉睫,这有助于不断提高我国IC卡信息安全工作水平,有效防止不法分子利用违法手段进行攻击和破坏,保证国家利益不受损失。


    |||六、柏杰电子CPU卡门禁优势及特点
    6.1  柏杰电子CPU卡门禁优势
    柏杰电子科技有限公司与复旦微电子及NXP公司携手共同致力于研究柏杰电子自主国产知识产权的CPU卡读写设备及CPU卡密钥管理系统的研发并产业化
    同时为了应对当前M1卡破解问题,柏杰电子于2008年底适时推出符合国家密码管理局国密算法的柏杰电子CPU卡安全门禁系列产品,并同时推出将原有ID卡或非接触逻辑加密卡门禁系统升级为更为安全可靠的非接触CPU卡改造方案。
    6.2  柏杰电子CPU卡门禁特点
    柏杰电子非接触CPU卡门禁系统采用的是动态密码,并且是一用一密即同一张非接触CPU卡,每次刷卡的认证密码都不相同
    拥有独立的CPU处理器和芯片操作系统,可以更灵活地支持各种不同的应用需求,更安全地设计交易流程,比如密钥管理、交易流程、PSAM卡以及卡片个人化等
    七、柏杰电子CPU卡门禁系统升级方案
    目前在现有的楼宇门禁系统中,使用的门禁卡绝大多数属于Mifare One(简称M1卡) 。近期由于M1卡被破解,M1卡的复制、解密等情况随时有可能发生,对现有门禁系统安全产生了严重影响。使用CPU卡代替M1卡成为门禁系统升级的必然趋势。如何将一个M1卡的门禁系统升级为CPU卡系统,我们提出以下方案。
    在一个门禁管理系统中,主要包括以下几个部分:
    管理中心是一个软件平台,负责整个系统的协调、指挥工作,主要功能包括:规定和调整系统设置要求并实行;负责监控主要的进入口和公共场所;负责处理门禁系统发生的警报;负责提供对事件记录;负责发卡注册。
    门禁控制单元是硬件平台,是类似于通道管理性质的各类控制器,如:门锁控制器、电梯控制器、停车场控制器和考勤终端等(可扩充功能),都属于门禁控制单元。门禁控制单元是管理中心设置的各种管理手段的执行设备。
    门禁系统中门禁单元设备的标准配置如下图。

    读卡器是门禁控制系统当中的卡识别设备,将用户刷卡信息传送给控制器和管理系统,供控制系统进行判断处理。
    电锁、闸机等是门禁系统的执行机构,执行对门、通道的开关控制。
    在整个门禁管理系统中,门禁IC卡是安全管理的核心。此次M1卡被破解,正是将门禁系统的最核心的安全控制打破。要解决门禁系统的安全问题,需将M1卡替换为CPU卡。而整个系统中与卡片有直接交互的只有两个地方:后台系统中的发卡子系统和最前端的识别系统,即门禁读卡头。对于绝大多数门禁系统而言,门禁读卡头只是将卡片卡号读取出来通过控制器送到后台系统,系统通过卡号及后台授权情况进行控制。这样我们在进行系统升级改造时,只需要改造门禁读卡头和发卡子系统,使之能够识别读写CPU卡,并对CPU卡完成认证,其他系统和软件都无需改动,即可快速完成从M1卡到CPU卡的迁移。
    卡片及主要设备
    一、卡片选型
    FM1208及MF3系列非接触CPU卡是一款带有TDES/DES硬件加速功能的非接触CPU卡。该产品支持多应用防火墙,支持内外部双向认证,具有硬件DES处理器和真随机数发生器,符合IEC/ISO14443标准。具备防冲突机制,支持防插拔处理和数据断电保护机制。
    卡片——参数
    数据容量:8Kbytes(可选4/16Kbytes);
    技术规范:支持PBOC2.0的
    电子存折/电子钱包/借贷记应用;支持社保卡规范;
    保存时间:最短10年;
    擦写次数:至少10万次;
    运算速度:最大848KBps通讯速率;
    交易时间:标准PBOC电子钱包交易时间<80ms;
    读写距离:0~10cm;
    工作温度:-25℃~+70℃
    二、读头
    PK-U600系列门禁读卡器

    门禁读卡器
    创新性地将智能卡认证——SAM卡安全认证机制引入门禁控制领域
    采用柏杰电子自主研发的CPU卡加密机制,芯片采用国家密码管理局安全认证算法
    支持Wiegand26/34、RS485通讯协议,适合配套各型号门禁控制器
    读取范围:5~10cm
    工作电压:DC12×(1±5%)V
    工作温度:-20℃~50℃
    通讯协议:Wiegand26/34
    工作频率:13.56KHz
    读卡速率:106Kbps
    读取时间:<150ms
    具体方案的实施:
    更换门禁读卡器,使用支持CPU卡的门禁读卡器。由于门禁读卡器与控制器之间的通讯接口有统一的规范,这种更换改造很容易实现。
    对原系统中的发卡子系统进行改造,更换读卡器,使之能够发CPU卡。由于各个门禁厂商的软件平台都不同,因此这项改造需要原门禁系统厂商配合完成。
    如果直接改造发卡系统软件有困难,可以开发新的CPU卡发卡子系统,与原系统后台数据库对接,实现CPU卡发卡。此种方式实现相对简单,但需要了解原系统的数据库接口,仍需要原厂商的一些支持。
    M1卡升级CPU卡是一项重要而且迫切的工作,在业主的支持和原厂商的配合下,我们有足够成熟的技术和产品来圆满完成这一工作。
    经过与国际及国内知名的门禁控制器厂商的合作与配合,我们已实现了多种形式成套成熟的门禁产品,如果用户需要我们可以为用户提供整体升级的解决方案。


    |||信息浏览请登录:http://url.alibaba.com/r/aHR0cDovL3d3dy5pdHBha28ubmV0
    技术交流请联系:13711527234陈小姐,QQ:75537401


    |||很先进啊


    |||很先进啊


    |||是的,目前这种是最安全的。是我们首家推出这种密钥认证的CPU门禁产品。


    |||欢迎各大厂家的技术、工程师们到网站的论坛里发表技术文章,我会把大家发布到论坛里的技术文章发布到网站的技术知识栏目中,并在文章来源处注明公司名称,这样以方便大家对自己公司及品牌的宣传。
    网址:http://url.alibaba.com/r/aHR0cDovL3d3dy56amthZncuY29t
    注:由于网站和论坛使用的是两套代码,所以注册的时候,单一注册不能通用,还请大家谅解。


    |||专业专注为客户提供可行性一卡通解决方案,包括门禁、指纹门禁、考勤门禁、考勤机、监控、食堂刷卡机等http://url.alibaba.com/r/aHR0cDovL3d3dy5sZW5ob24uY29t


    |||楼主文章很好啊,顶一下


    1. 商家友圈官方圈
      人数:8.1万
    2. 2A以上商家圈
      人数:8.2万