以色列DDS综合门禁管理系统全程加密解决方案.pptx

以色列DDS综合门禁管理系统全程加密解决方案以色列DDS综合门禁管理系统全程加密解决方案 3 目 录行业背景1国内应对预案2 数据传输过程安全性分析3DDS 解决之道4DDS 新品发布5 4 第一章行业背景2008年，德国和美国的研究人员成功破解了NXP的MIFARE CLASSIC IC（以下简称Mifare1 芯片）的安全算法，并在互联网上公布了破解芯片密码的方法。众多的Mifare1的用户开始担心自己系统的安全。通过分析Mifare1破解的原理及带来的影响，我们可以得出结论：Mifare1确实已不再安全。我们必须选择适当的产品替换Mifare1，以加强我们的系统安全！引例 5 http:/ The Dutch RFID public transit card,which has already cost the government$2B-no,thats not a typo-has been hacked even before it has been deployed:The first reported attack was designed by two students at the University of Amsterdam,Pieter Siekerman and Maurits van der Schee.They analyzed the single-use ticket and showed its vulnerabilities in a report.They also showed how a used single-use card could be given eternal life by resetting it to its original unused state.The next attack was on the Mifare Classic chip,used on the normal ticket.Two German hackers,Karsten Nohl and Henryk Plotz,were able to remove the coating on the Mifare chip and photograph the internal circuitry.By studying the circuitry,they were able to deduce the secret cryptographic algorithm used by the chip.While this alone does not break the chip,it certainly gives future hackers a stepping stone on which to stand.On Jan.8,2008,they released a statement abut their work.破 解2008年1月21日荷兰公交卡芯片技术遭破解第一章行业背景 6 荷兰政府警告传统芯片的安全性 lThe Dutch government has issued a warning about the security of access passes based on the widely used Mifare Classic RFID chip.This is the same technology used in Londons Oyster fare card.lDutch government institutions plan to take additional security measures,Guusje ter Horst,minister of interior affairs,wrote in a letter to parliament this week.lNXP developed the Mifare Classic RFID(radio frequency identification)chip,which is used in two million Dutch building access passes,said ter Horst.lOne billion passes with the technology have been distributed worldwide,making the security risk a global problem.A spokesperson for the ministry said that it had not yet notified other countries.lThe warning comes shortly after two research teams independently demonstrated hacks of the chips security algorithm.lGerman researchers Karsten Nohl and Henryk Pltz,who first hacked parts of the chip last December,published a paper demonstrating a way to crack the chips encryption technology.The duo declined to publicly demonstrate their hack.lWe want to start a discussion first,allowing people to adjust or abandon their systems,Nohl said.He added that he would provide a demonstration before June第一章行业背景链接：http:/ 7 目 录行业背景1国内应对预案2 数据传输过程安全性分析3DDS 解决之道4DDS 新品发布5 8 第二章国内应对预案2009年工业和信息化部发布了：1关于做好应对部分IC卡出现严重安全漏 洞工作的通知2009年国家密码管理局向国务院各部委印发了：2关于请协助做好IC卡系统密码管理工作的函，“关于印发重要门禁系统密码应用指南的通 知”（国密局【2009】614号）文件，对现有的重要门禁系统建设和升级改造应用提出指导意见，并强制要求一些重要的场所、单位必须符合国密算法的智能 一卡通管理系统。国家应对方案2009年 9 逻辑加密卡使用上的不安全因素，促进了CPU卡的发展第二章国内应对预案 10 目 录行业背景1国内应对预案2 数据传输过程安全性分析3DDS 解决之道4DDS 新品发布5 11 第三章门禁系统数据传输过程分析WIEGANDRS485TCP/IPRS485RFID 12 第三章服务器-控制器 RS-485协议虽然可以自成网络，但可以通过截取RS-485传输网络数据进行破解。34 为解决主控软件与控制器之间数据传输的安全性问题，DDS提出了采用专有的128位密钥随机加密的解决方案，无论采用TCP/IP还是RS-485通讯，每次通讯的密码都不一样，安全性相当高！服务器-控制器 管理电脑与控制器之间的数据通常采用以太网或者RS-485接口传输，通讯协议(内容)由各门禁厂商自行定义，协议制订的严密性、完整性及安全性均由各门禁厂商自行确定，因此协议本身就难免存在一定的缺陷或漏洞，因此通讯数据有可能在传输过程中被截获并解读。1 TCP/IP协议作为当前最流行的互联网协议，虽然在数据 传输速度上有其显著的特点，但在设计之初并未考虑到未来的安全需要，协议中有诸多安全问题，特别是电脑病毒的存在，使得网络门禁系统面临极大的危险。因此，通常的做法是将门禁系统的网络与其它系统彻底隔开，完全杜绝异常因素对网络系统的攻击。2 13 即使前端读卡器和卡片用了多牢不可破的技术，但用韦根（Wiegand）作为输出，这等同於开了个大后门给人去破解你的系统。如果采用DDS的串口读卡器，控制器和读卡器之间同样可以采用专有的128位密钥的随机加密协议，确保安全性！第三章控制器-读卡器 目前绝大多数门禁控制器与读卡器之间都采用Wiegand协议传输读卡数据。由于Wiegand协议为单向传输模式，控制器只能通过增加指示灯、蜂鸣器的控制线缆实现数据的反馈，因此传输线缆线由4根增加到8根(或9根)，使用成本有所增加。就数据安全而言，通常情况下，读卡器至控制器采用明码传输模式，加之wiegand 传输的格式通常为26bit、34bit，因此，截取D0及D1数据线则可获取卡片信息。14 第三章读卡器-卡片在很多应用场合，读卡器直接读取卡片内固化的UID号，然后通过Wiegand协议传递给控制器。然而，卡内固化的UID号不需要通过特殊的算法或者 处理过程即可以直接获得，因而UID号极易被泄露。读取卡片内数据是一种解决方案，如PHILIPS公司的Mifare 1卡可以采用逻辑加密方式在卡片内部写入新的卡号信息，但是由于其逻辑加密过程已遭到破解，因此卡内数据的安全毫无保障。DDS解决之道采用国密算法的CPU卡和读卡器采用LEGIC技术的LEGIC卡和读卡器NXP Mifare升级版DESfire卡和读卡器确保了读卡器与卡片之间数据的安全性！15 目 录行业背景1国内应对预案2 数据传输过程安全性分析3DDS 解决之道4DDS 新品发布5 16 Mifare1被破解后，NXP主推DESFire卡第四章DESFire-Mifare升级版特性1.采用NXP的Desfire EV1卡(MF3ICD214181)，支持ISO14443A通信协议2.卡片支持DES/3DES/3K3DES/AES128算法3.卡片UID可固定7字节或者随机UID。4.卡片容量有2K(MF3ICD21)，4K(MF3ICD41)，8K(MF3ICD81)5.卡片内存数据保存时间大于10年，内存数据至少支持10万次擦写用户卡内结构划分1.卡片级：相当于电脑里的一个硬盘分区。卡片级有一个卡片主密钥和一个主密钥设置。每张卡片下最多可以建立28个应用(取决于剩余容量)2.应用级：相当于这个硬盘分区下的一个目录。每个应用下最多有14个密钥和最多32个文件。密钥号为013，文件名为031。其中0号密钥为应用主密钥。3.主密钥设置相当于目录的属性。密钥默认为16字节，最长可达24字节。4.文件级：相当于这个目录下的文件。共有5类文件。标准数据文件(目前我们使用的文件类型)备份数据文件带备份机制的值文件带备份机制的线性记录文件带备份机制的循环记录文件标准数据文件的属性文件名，文件大小，通信模式，访问权限 17 第四章DDS的DESFire技术解决方案DESFire卡管理软件：Issue_Software_DESFire1DESFire卡读卡器：DL-13C,DK-23C(带34键盘)2DESFire读卡器系统的组成DESFire智能卡3 18 Mifare1卡与非接触式CPU卡技术规格比较：技技术规格格Mifare1卡卡非接触式非接触式CPU卡卡ISO标准ISO14443 Type AISO14443Type A/B存储管理方式分扇区/块管理文件管理访问方式只读/只写/读写/加/减对不同文件类型灵活设计认证方式密钥长度/个数6字节密码，分扇区控制16字节密钥，可多级多个密钥组合控制加密/安全模块专用不公开硬件逻辑算法(已破解)通用公开软件或硬件加密算法(金融标准)应用场合小容量存储、一般安全级别应用（如门禁系统）大容量存储、高安全级别应用（如银行金融系统）操作过程操作简单，错误密码次数不限使用比较复杂，密钥输入错误次数超过限制会被锁死成本价格较低价格较高第四章DDS的CPU技术解决方案 19 正是由于逻辑加密卡使用上的不安全因素，促进了CPU卡的发展增强安全性避免信息泄露CPU卡内部的加密处理器、随机数和软件上的特性直接防止了恶意攻击可能带来的危险可以根据一定的加密算法，进行密文数据传输，同时采用强大而稳定的安全体系控制，增强了卡片使用及操作的安全性。CPU卡可以做到卡与读卡器之间相互认证，避免卡片信息泄露防止恶意攻击第四章DDS的CPU技术解决方案-CPU卡的优势 20 CPU卡的优势Mifare1：支持物理卡号和写入的扇区信息CPU卡：支持物理卡号和写入的数据读取内容对比Mifare1：支持读写115扇区信息，6字节密码采用逻辑加密方式(已破解)CPU卡：支持文件管理，对不同文件类型灵活设计认证方式，16字节通用公开软件(3DES)或硬件(SM1)加密算法加密机制对比第四章DDS的CPU技术解决方案-CPU卡的优势 注：CPU卡物理卡号需要用普通Mifare读卡器读出，基于安全级别考虑CPU读卡器不支持读取CPU物理卡号功能3DES算法：国际通用的一种标准算法，采用16字节密码和随机数计算的一种算法。SM1算法：也称国密算法，是由国家密码管理局编制的一种商用密码分组标准对称算法，目前仅对部分备案公司授权使用。21 第四章DDS的CPU技术解决方案-国密算法CPU卡管理软件：Issue_Software_CPU(配CPU发卡器)1CPU卡读卡器：DL-13C,DK-23C(带34键盘)2PASM卡（目前支持复旦和华大）3CPU读卡器系统的组成CPU 智能卡4 22 封闭的环境员工保密协议加载在SIM卡上 不同的运算法则产生的密码我们如何打算？第四章DDS LEGIC解决方案许多人认为，较长的密码，是很好的保护措施。然而，如何妥善管理密码也非常的重要；许多人认为，较长的密码，是很好的保护措施。然而，如何妥善管理密码也非常的重要；1 1当密码管理非常差的时候，就根本不用当密码管理非常差的时候，就根本不用“黑客黑客”出马了！出马了！2 2我们如何保护和管理自己的密码？我们如何保护和管理自己的密码？3 3我们能否将数字形式的密码转换成我们能否将数字形式的密码转换成“物理形式物理形式”的？的？4 4 23 此刻,在全球只有LIGEC 是提供具有密码管理系统的芯片厂商,密码管理系统 又称为 Master Token System Control(MTSC),它可以帮助我们更安全的实物性的管理密码。第四章DDS LEGIC解决方案 24 主令牌结构图主令牌结构图主令牌第二层第三层第十二层0102256第四章独特的LEGIC MTSC主令牌密码管理系统2 2每一张子令牌又可以生成256张子子令牌1 1每一张主令牌都可以生成12层不同的子令牌4 4每张子令牌都可以以IAM(Initial Authorization Media)的形式存在,也可以以 SAM(System Authorization Media)的形式存在。3 3如此类推，整个令牌系统就像一棵很大的树，而且每个令牌内的密钥基因都是全世界唯一的！25 第四章DDS门禁系统数据安全性RS485TCP/IP端到端的数据安全DESFire/SM1/LEGIC 26 行业背景1国内应对预案2 数据传输过程安全性分析3DDS 解决之道4DDS 新品发布5目 录 27 ver.1.03第五章DDS新版软件发布全新WEB功能支持B/S架构AM5“Split”功能介绍AM5“VPLUS”功能介绍 28 ver.1.03l查看实时的事件记录l查看、创建、修改、删除持卡者l创建卡l修改持卡者的权限和其他的详细信息l激活继电器（例如：实时的打开门）l执行动作/进程l查询事件记录，统计报表l报表导出（例如：导出PDF或Excel报表到本地电脑）通过通过WEBWEB客户端登陆服务器可以实现的功能客户端登陆服务器可以实现的功能全新WEB功能支持B/S架构第五章 29 传统的的AM5，通，通过单一一进程程处理三理三项任任务：-读/写数据写数据库(Database)-响响应用用户请求求(GUI)-与控制器交与控制器交换数据（数据（Communication）-新的新的AM5“Split”版本中版本中，把通，把通讯和其它两和其它两项任任务分离开了分离开了.GUI&DatabaseCommunicationAM5“Split”功能介绍第五章 30 第五章AM5“Split”功能介绍 AM5 可以从通讯任务中解放出来.1 所有通讯任务由ComServices服务程序完成！2 ComServices 工作在多任务并行处理模式.3 最大的优势是显著提高了与控制器的数据交换速度.4 31 第五章AM5“Split”功能介绍 32 通讯服务 Service(ComService)Database(数据库)轮询文件(Polling Folder)Amadeus 应用服务控制器发送设置轮询第五章AM5“Split”技术细节 33 Am5“Split”可以可以实现仅用用单站点就可站点就可处理多回路信息理多回路信息.可以用可以用单个个ComService 处理大量的控制器回路理大量的控制器回路.第五章AM5“Split”技术细节 34 .或者安装多个或者安装多个 ComServices每个每个 ComService 处理多个不同控制其回路理多个不同控制其回路第五章AM5“Split”技术细节每个ComService 可以管理多达 350(*)个控制回路.(*using system req.recommended by DDS)35 Favorite Favorite Network!Network!可以可以为特定控制器特定控制器设置高置高优先先级-只需在只需在“NetGroup”中中设定定,特定的特定的 ComServices 专门处理理“NetGroup”.第五章AM5“Split”技术细节这样对于于这些控制器网些控制器网络的上行的上行/下行数据速率会得到很大提高下行数据速率会得到很大提高-可以用于可以用于:大大厅或入口的或入口的访客客发卡器卡器 报警控制器警控制器 36 对于超大系统,ComServices 可以分布在不同的计算机负载均衡第五章AM5“Split”技术细节 37 第五章AM5“Split”总结优势 AM5 的 用户界面(GUI)不受通讯状况的影响 可以管理数千控制器 把事件记录快速存储到硬盘 追踪发送的命令 负载均衡任务分配到不同的计算机 38 最优性能第五章AM5“Split”总结运行运行环境境:超过 1500 控制器的系统 可控制超过 1500 控制器未未优化化时优化后化后增加/删除卡.一个持卡者-下载到所有控制器 10 分钟 几秒钟增加/删除假日 10 分钟 几秒钟刷新危机等级 10 分钟 几秒钟 39 第五章AM5“VPLUS”功能介绍V+是DDS门禁与监控系统创新性的集成平台，它适应了用户无论在小系统还是大系统中对安全需求的改变。依靠DDS强大的 Amadeus5 软件平台，为视频监控、门禁控制、报警系统的无缝集成提供了稳定可靠、易于使用的解决方案。V+提供了类似CCTV客户端的功能（实时视频、视频记录回放、视频画面的专项对比、快照、PTZ控制器等等），加上把视频记录与门禁控制记录和报警事件镜像关联起来。所有的需求信息都被集成在一个清晰的可定制的界面中：逻辑查看摄像机，多画面视频整合，门禁系统和报警系统的实时事件。40 第五章AM5“VPLUS”功能介绍 41 第五章DDS新一代控制器-JETl全新的电路设计和软件设计，提供更丰富的接口、更大的存储容量、更快的运算速度，预留丰富的升级空间，适应未来一段时间更复杂的安防要求；l与现有协议完全兼容，可以与TPL控制器混用，即使早起建设的系统进行升级维护，也可以放心选用JET控制器；lJET保持了DDS全部Firmware自行开发的原则，避免在开放的操作系统软件平台下产生的运行故障和安全隐患；l双CPU设计，增强工业级CPU，处理速度是之前控制器的三倍l丰富的通讯接口：1个板载的TCP/IP、一个RS232/RS485、一个备份的RS485；42 第五章DDS新一代控制器-JETl兼容DDS之前所有的扩展板l读卡器独立的完整的接线端子l增加读卡器检测功能l增加读卡器保护l四个读卡器按顺序排列，代替之前的读卡器1，读卡器3，读卡器2，读卡器4排列l板载跳线可以选择读卡器的电压5V/12V 43 第五章DDS新一代控制器-JETl用拨码开关代替控制器通讯的RS232/RS485跳线l增加通讯接口的防雷保护l在继电器输出端额外增加一个NC端子，便于电锁接线l额外增加三个报警检测：防拆、电源故障、后备电池电压低l8个输入点均可监测l与之前的控制器的安装孔位置一致，可以沿用之前的安装箱 44 RS485 加密通訉地址 0地址 3地址 2地址 1DDS的485通讯是用随机加密协议；换句话说，每次通訉的密码都不一样。安全性相当高！用485还可节省安装和材料费用-省钱！每条485总缐可连接4个读卡器。用配置卡设置读卡器的地址码。从2009年月份开始，LEGIC 还能读/写Mifare及兼容卡片；客户可很容易的从Mifare转移到LEGIC 技术平台！第五章DDS支持RS485通讯方式的读卡器 45 采用OLED屏：具有高对比度、宽视角，太阳光照射下仍能看清楚屏幕字体电源反接保护，所有输入和输出口都有直流12V和静电保护金属安装底板，以增加读卡距离的可靠性和抗干扰能力底部用了防脱落螺丝；方便安装和维修适合于英标和美标的安装底盒防拆保护采用LEGIC技术，支持多种ISO标准卡片，令牌管理系统具有高安全性第五章DDS OLED读卡器 46 输入电压：5-16V DC/工作电流：最大160mA读卡距离：大于4cm通讯接口：RS485，最大1200mISO标准：ISO14443A/B ISO15693 SONY Felica 和LEGIC RF Standard 指示：128*32像素 OLED显示屏+三色LED键盘：4x4键盘键盘背光：白色高亮LEDLED显示和蜂鸣器功能：刷卡后灯和蜂鸣器都由门禁控制器控制温度范围：-30C70 C /工作湿度：090%（非凝露）防水等级：IP65第五章DDS OLED读卡器 47 LED指示指示平时：琥珀色 刷卡后读卡器LED颜色可有TPL控制器命令控制，默认状态下：刷卡-合法卡：绿色/刷卡-非法卡：红色刷卡-输入密码：绿色LED闪烁OLED显示显示轮询模式下，OLED读卡器与控制连接后显示-Online轮询模式下，OLED读卡器与控制断开后显示-Offline刷合法卡显示-Access Granted/刷非法卡显示-Access Denied刷卡输入密码-Enter PIN:第五章DDS OLED读卡器 48 配合LEGIC WORKS软件可以：1、可导入令牌2、可生成子令牌3、可编写用户卡：（1）卡格式可以自由定义，最大不超过64位（2）可编写用户名字到卡片中，支持中英文名字，中文名字最大支持4个汉字，英文最大支持20个字符可提供配置卡：1、配置为读UID或内容：（1）读UID时，只能显示UID，只能发送UID（2）读内容时，可显示名字或卡2、配置卡格式3、配置读卡器地址4、配置滚动信息，支持中英文滚动信息，中文最大8个汉字，英文最大20个字符5、配置令牌数据和长度，最大支持12级令牌支持Unicode V3.0汉字（含有国家信标委GB13000合法授权）、ASCII字符及150国文字 第五章DDS OLED读卡器特点-软件和配置功能 49 配合配合DDS TPL控制器控制器1、控制器RS485端口最大支持4个读卡器2、支持事件模式或者轮训模式传输数据3、采用随机数加密通讯数据4、三个功能键F1，F2，F3，可拓展其他功能应用5、同步读卡器时间第五章DDS OLED读卡器与DDS控制器配合使用Thank You