基于國密CPU卡的門禁系統方案

1. 背景

2008年3月，德國學者Henryk Plotz與美國維吉尼亞大學博士研究生Karsten Nohl在相關網站上披露了其利用逆向工程手段，從硬體上破解了Mifare one即M1 芯片所采用的邏輯加密算法的破解方法。M1芯片被成功破解的消息在2009年初引起了我國相關部門的密切關注，由于它的安全性涉及到眾多的運營單位和持卡人的利益，國家密碼管理局根據國家1998年第273文件精神以及國家安全需要，向中央與國家機關印發了《關于請協助做好IC卡系統密碼管理工作的函》及《重要門禁系統密碼應用指南》的通知，對新建或已建重要RFID電子門禁系統的改造和升級提出了具體要求，并給出了相關的密碼應用方式、方法指南。

今年，廣東省密碼管理局發布的1號文件明令要求省內機關單位、由政府投資建設的IC卡門禁一卡通系統，必須符合國家密碼管理局制定的《重要門禁系統密碼應用指南》。該通知的發布拉開了各省市對IC卡門禁一卡通系統升級改造的帷幕，也是繼2009年工業和信息化部、國家密碼管理局等單位發文對該項工作提出明確要求后的又一大動作，證明了IC卡門禁一卡通系統升級改造工程時機已經成熟。

2. 重要門禁系統技術要點

之前建設的門禁系統大部分是ID卡或IC卡，即使是IC卡，也是使用IC卡的 物理卡號作為應用ID的為多，系統的安全性較薄弱。

國密門禁指南要求重要門禁系統使用基于國產密碼算法的CPU卡，較傳統門禁系統而言，主要在一下幾個方面對安全性進行了加強：

卡片：卡片要求使用基于國密算法的CPU卡。非接觸CPU卡片內置CPU、存儲單元以及芯片操作系統COS，可以實現數據存儲，加解密處理，通信處理等。CPU卡的安全認證機制更加嚴密，包括與機具間的雙向認證，密鑰管理、卡片個人化、應用流程等。國密CPU卡的特點是認證與密鑰管理流程中使用的密碼算法為國產密碼算法。國密CPU卡片的使用要求門禁感應器具備相應的處理能力與安全性。

門禁感應器：由于國密CPU卡使用國產密碼算法，門禁感應器與CPU卡之間采用對稱密鑰體系與相同的密碼算法，要求門禁感應器具備相應的處理能力。門禁感應器射頻部分接口仍然遵循IC卡ISO 14443規范。與傳統門禁感應器相比，國密門禁感應器通常使用SAM卡模塊作為密碼運算模塊，實現與CPU卡的雙向認證。這一點類似銀行卡機具。

門禁控制器與后臺：門禁控制器與后臺與傳統類似，采用TCP/IP。或485接口。

3. 國密CPU卡發卡

國密CPU卡發卡包括3個步驟：

CPU卡片結構建立。對CPU卡片文件系統進行規劃，包括主文件、密鑰文件、基本信息文件、個人基本信息文件、應用文件、記錄文件等。

密鑰灌裝。包括主密鑰、應用密鑰、管理密鑰等

個人化。發卡單位根據發卡單位密鑰，對個人信息文件、應用文件等寫入相關信息。

4. 傳統門禁系統國密化改造方案

原有門禁系統進行國密化改造主要涉及到如下幾點：

1、卡片：卡片需更換為國密CPU卡。

2、門禁感應器需更換為支持國密算法的門禁感應器

3、發卡系統需更換。

4、門禁控制器與門禁感應器之間接口采用韋根接口的，門禁控制器與門禁后臺可使用原有系統。若采用非韋根接口，需提供接口協議，進行接口開發，否則需更換門禁控制器與后臺。

具體改造方案如下：

1) 更換門禁感應器

所有的門禁感應器均需更換成國密門禁感應器，國密門禁感應器以韋根26或34方式接入門禁控制器。

2) CPU卡發卡

用戶使用國密發卡器以及發卡軟件，對國密CPU卡片進行發卡，卡片上可以寫入用戶信息，如用戶姓名、部門、單位；用戶應用信息，如應用ID等。

如果原門禁系統使用M1卡扇區數據方式存儲應用數據，可以將原應用ID數據寫入用戶應用數據文件；若原門禁系統使用卡片物理卡號數據，可以將卡號數據寫入CPU卡應用文件。后臺系統數據以及門禁控制器無需重新授權。

3) 改造流程

為保證改造期間不影響原門禁系統，改造流程有兩種方式：

方式一：改造期間并接門禁感應器方式。即將國密門禁感應器與原門禁控制器進行并接方式，改造期間，用戶在不同門禁感應器上刷不同的卡，待系統改造全部完成后，拆掉原門禁感應器，收回原門禁卡。

方式二：

方式一的弊端在于需在門口掛接2個門禁感應器，對空間有要求，且拆掉后還需要對原感應器拆除后留下的墻面進行處理。

如果客戶掌握原門禁卡的密鑰，可以通過配置方式對廣州拙進通信技術有限公司提供的國密門禁感應器ZCR111s進行配置，從而可以讀取原門禁卡，即同時支持原門禁卡與國密門禁卡。從而可以直接更換原門禁感應器并在相同位置上安裝新國密門禁感應器。

5. 國密門禁系統與手機門禁系統的結合

國密門禁采用的CPU卡并非最近才出現的新技術，CPU卡在很多高安全度要求應用領域已經使用了很多年。如所有的手機SIM卡就是CPU卡。當前通信運營商在大力發展手機一卡通，手機也具備近場通信能力，如RFID-SIM、SIMPASS、NFC等。手機非接觸應用都是基于CPU卡片，其應用模型與國密CPU卡一致。在政企單位，手機開門較使用卡片開門更為便利。手機一卡通也是一卡通在做政企單位門禁系統改造時，建議選用同時支持國密CPU卡以及手機卡的門禁感應器，既方便客戶使用，也保護客戶投資。廣州拙進通信技術有限公司針對政企用戶開發的門禁感應器ZCR111S內置SAM卡，既支持支持國密SM1算法CPU卡，滿足國家密碼管理局重要門禁系統密碼應用指南要求，也支持市面上主流廠家的CPU卡，同時支持3家電信運營商的手機CPU卡（包括RFID-SIM，SIMPASS，NFC等）。