基于国家机密CPU卡的访问控制系统解决方案

1. 背景

2008年3月，德国学者亨利克·普洛茨（Henryk Plotz）和弗吉尼亚大学的博士生卡尔斯滕·诺尔（Karsten Nohl）在相关网站上透露，他们使用逆向工程方法从硬件上破解了Mifare One M1芯片的逻辑. 破解加密算法的方法. M1芯片成功破解的消息在2009年初引起了中国有关部门的关注. 由于其安全性涉及许多运营单位和持卡人的利益，国家密码管理局遵循了1998年第273号文件的精神. 为了国家安全的需要，向中央和州机构发布了《 IC卡系统密码管理请求协助信》和《密钥访问控制系统密码应用指南》的通知，以改造新的或现有的RFID电子访问控制系统. 升级提出了具体要求，并给出了相关的密码应用方法和方法指导.

今年，广东省密码管理局发布的1号文件要求政府在该省投资建设的IC卡门禁卡系统必须符合《密钥门禁系统应用指南》. 国家密码管理局制定的“密码”. 该通知的发布拉开了各省市IC卡门禁卡系统升级改造的帷幕，这也是继工业和信息化部，国家密码管理局等单位之后的又一重大举措. 在2009年发布了这项工作的明确要求. 证明了IC卡门禁卡系统的升级和转换时机已经成熟.

2. 门禁系统的重要技术点

以前构建的大多数访问控制系统是ID卡或IC卡. 即使是IC卡，大多数也使用IC卡的物理卡号作为应用程序ID，系统的安全性较弱.

《国家秘密访问控制指南》要求重要的访问控制系统使用基于家庭密码算法的CPU卡. 与传统的访问控制系统相比，安全性主要在以下几个方面得到增强:

卡: 该卡需要基于国家秘密算法的CPU卡. 非接触式CPU卡具有内置的CPU，存储单元和芯片操作系统COS，可以实现数据的存储，加密和解密处理，通讯处理等. CPU卡的安全认证机制更加严格，包括两种机器的双向身份验证，密钥管理，卡个性化，应用程序等. 国家机密CPU卡的特征在于，身份验证和密钥管理过程中使用的加密算法是家用加密算法. 使用国家机密CPU卡要求访问控制传感器具有相应的处理能力和安全性.

访问控制传感器: 由于国家机密CPU卡使用国内加密算法，因此在访问控制传感器和CPU卡之间使用对称密钥系统和相同的加密算法，要求访问控制传感器进行相应的处理能力. 访问传感器的射频部分仍遵循IC卡ISO 14443规范. 与传统的访问控制传感器相比，国家秘密访问控制传感器通常使用SAM卡模块作为密码计算模块，以实现与CPU卡的双向认证. 这类似于银行刷卡机.

访问控制器和背景: 使用TCP / IP，访问控制器和背景与传统控制器类似. 或485接口.

3. 发行国家机密CPU卡

发行国家机密CPU卡包括三个步骤:

CPU卡结构已建立. 规划CPU卡文件系统，包括主文件，密钥文件，基本信息文件，个人基本信息文件，应用程序文件，记录文件等.

键填充. 包括主密钥，应用程序密钥，管理密钥等.

个性化. 发卡单元根据发卡单元密钥将相关信息写入个人信息文件，应用程序文件等中.

4. 传统访问控制系统的国家加密转换计划

原始访问控制系统的国家机密改革主要涉及以下几点:

1. 卡: 该卡需要替换为国家机密CPU卡.

2. 需要将访问控制传感器替换为支持国家秘密算法的访问控制传感器

3. 发卡系统需要更换.

4. 如果访问控制器和访问传感器之间的接口采用Wiegand接口，则可以在访问控制器和访问控制后台之间使用原始系统. 如果使用非Wiegand接口，则必须提供接口协议以进行接口开发，否则必须替换访问控制控制器和后台.

具体的转换计划如下:

1）更换门传感器

所有访问控制传感器都需要用Guomi门传感器代替，后者通过Wiegand 26或34连接到访问控制器.

2）发行CPU卡

用户使用国家秘密卡发行者和卡发行软件发行国家秘密CPU卡. 该卡可以写入用户信息，例如用户名，部门和单位；用户应用程序信息，例如应用程序ID.

如果原始访问控制系统使用M1卡扇区数据来存储应用程序数据，则可以将原始应用程序ID数据写入用户应用程序数据文件中；如果原始访问控制系统使用卡物理卡号数据，则可以将卡号数据写入CPU卡应用程序文件. 不需要重新授权后台系统数据和访问控制器.

3）转型过程

为了确保原始访问控制系统在装修期间不会受到影响，有两种方法可以修改该过程:

方法1: 重建过程中门传感器的并联连接. 即，国家秘密门传感器和原始门控制器并联连接. 在装修期间，用户在不同的门传感器上刷不同的卡. 系统改造完成后，将卸下原始门传感器并恢复原始门卡.

方法2:

第一种方法的缺点是需要在门上悬挂两个访问传感器，这需要一定的空间，并且在拆除之后，需要对拆除原始传感器之后留下的墙进行处理.

如果客户拥有原始门禁卡的密钥，则可以通过配置配置广州卓进通信技术提供的国家秘密门禁传感器ZCR111s，以便读取原始门禁卡. ，也就是说，原始访问控制卡与国家秘密访问卡同时受支持. 因此，您可以直接替换原来的门磁并将新的国家秘密门磁安装在同一位置.

5. 国家秘密访问控制系统和移动访问控制系统的组合

国家秘密访问控制使用的CPU卡不是最近才出现的新技术. CPU卡已经在许多具有较高安全性要求的应用中使用了多年. 例如，所有手机SIM卡都是CPU卡. 当前，通信运营商正在大力开发移动电话卡，并且移动电话还具有近场通信功能，例如RFID-SIM，SIMPASS，NFC等. 移动电话的非接触式应用基于CPU卡，并且它们的应用模型与国家机密CPU卡的模型一致. 在政府和企业单位中，用手机开门比用卡开门更方便. 手机卡也是一种多合一的卡. 在对政府和企业单位的门禁系统进行改造时，建议使用同时支持国家机密CPU卡和手机卡的门禁传感器，以方便客户使用并保护其投资. 广州卓进通信技术为政府和企业用户开发的门禁传感器ZCR111S具有内置的SAM卡，不仅支持国家秘密SM1算法CPU卡，还满足了国家密码管理局重要的要求. 门禁系统密码应用指南，但也支持市场上的主流制造商. CPU卡支持3个电信运营商（包括RFID-SIM，SIMPASS，NFC等）的手机CPU卡.

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/shoujiruanjian/article-303403-1.html