如今RFID門禁系統(tǒng)在我們?nèi)粘Ｉ钪须S處可見(jiàn)，而近年來(lái)國(guó)家重要部門、金融機(jī)構(gòu)、軍事單位等高級(jí)別重要門禁系統(tǒng)應(yīng)用需求呈現(xiàn)不斷增長(zhǎng)的態(tài)勢(shì)。由于目前所廣泛應(yīng)用的RFID門禁系統(tǒng)存在著嚴(yán)重的安全漏洞，國(guó)家密碼管理局根據(jù)國(guó)家1998年第273文件精神以及國(guó)家安全需要，向中央與國(guó)家機(jī)關(guān)印發(fā)了《關(guān)于請(qǐng)協(xié)助做好IC卡系統(tǒng)密碼管理工作的函》，向各省(區(qū)、市)密碼管理部門印發(fā)了《關(guān)于加強(qiáng)IC卡系統(tǒng)密碼管理工作的通知》等文件。
2009年4月《重要門禁系統(tǒng)密碼應(yīng)用指南》對(duì)已建重要RFID電子門禁系統(tǒng)改造和升級(jí)，及新建重要RFID門禁系統(tǒng)安全提出了具體要求，并為達(dá)到該安全要求給出了相關(guān)的密碼應(yīng)用方式、方法指南。
因此，將SM7國(guó)密算法納入到門禁系統(tǒng)中，無(wú)疑又為門禁應(yīng)用的安全提供了重要保障。
廣東華大集成技術(shù)有限責(zé)任公司在國(guó)家密碼管理局的指導(dǎo)下，提出了能符合國(guó)家密碼管理要求的重要RFID電子門禁系統(tǒng)SM7密碼安全方案。方案中的關(guān)鍵產(chǎn)品是支持SM7分組密碼算法的非接觸邏輯加密卡芯片CIR72128BA和門禁讀頭中的安全模塊HDSM007。
方案特點(diǎn)
本方案采用經(jīng)國(guó)家密碼管理局認(rèn)可的商用密碼算法產(chǎn)品：支持SM7分組密碼算法的非接觸邏輯加密卡、SM7安全模塊，安全性具有可靠保證。
使用邏輯加密卡的系統(tǒng)開(kāi)發(fā)簡(jiǎn)便，具有升級(jí)改造周期短的特點(diǎn)。本方案實(shí)現(xiàn)所需的相關(guān)商用密碼產(chǎn)品已經(jīng)具備批量供貨能力。
本方案適用情況：
新建重要門禁系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn);
密碼系統(tǒng)未經(jīng)過(guò)國(guó)家密碼管理局審批的重要門禁系統(tǒng)的改造升級(jí)。
1. 系統(tǒng)構(gòu)成
本方案采用基于SM7算法的非接觸邏輯加密卡作為門禁卡，系統(tǒng)構(gòu)成如圖1所示。
系統(tǒng)構(gòu)成
2. 密碼系統(tǒng)概述
基于我國(guó)SM7密碼算法的重要RFID門禁系統(tǒng)涉及應(yīng)用子系統(tǒng)、密鑰管理及發(fā)卡子系統(tǒng)，如圖2所示。
基于我國(guó)SM7密碼算法的重要RFID門禁系統(tǒng)
本方案采用國(guó)家密碼管理局指定的SM7分組加密算法進(jìn)行密鑰分散，實(shí)現(xiàn)一卡一密;采用國(guó)家密碼管理局指定的SM7分組加密算法進(jìn)行門禁卡與門禁讀卡器之間的身份鑒別。
3. 應(yīng)用子系統(tǒng)
應(yīng)用子系統(tǒng)中由門禁卡、門禁讀卡器和后臺(tái)管理系統(tǒng)構(gòu)成，通過(guò)各設(shè)備內(nèi)的密碼模塊對(duì)系統(tǒng)提供密碼安全保護(hù)。其原理框圖如圖3所示。
原理框圖
3.1. 安全模塊
門禁讀卡器采用北京中電華大電子設(shè)計(jì)有限責(zé)任公司生產(chǎn)并通過(guò)國(guó)家密碼管理局安全審查，具有SM7/SM1密碼算法和真隨機(jī)數(shù)發(fā)生器的電子標(biāo)簽讀寫安全模塊(已經(jīng)具備批量供貨條件)，負(fù)責(zé)存放系統(tǒng)根密鑰、讀卡器中的安全密碼運(yùn)算并鑒別門禁卡的合法性。
3.2. 與后臺(tái)管理系統(tǒng)的通信
門禁讀寫器與后臺(tái)管理系統(tǒng)的通信采用的是當(dāng)前使用最多的RS485傳輸協(xié)議(傳輸不設(shè)字節(jié)數(shù)量限制)。本系統(tǒng)采用的協(xié)議為雙向通訊協(xié)議，可以由門禁讀寫器向后臺(tái)管理系統(tǒng)發(fā)送數(shù)據(jù)，反之后臺(tái)管理也可向門禁讀卡器發(fā)送數(shù)據(jù)，同時(shí)對(duì)SM7電子標(biāo)簽、卡片、數(shù)據(jù)進(jìn)行加密(如DES算法)，用于傳輸門禁卡的唯一標(biāo)識(shí)。如此后臺(tái)管理系統(tǒng)、門禁讀卡器、SM7卡片三者之間缺一不可，三者結(jié)合使用更加安全可靠。
3.3 門禁卡
門禁卡片采用通過(guò)國(guó)家密碼管理局安全審查，具有SM7分組密碼算法的CIR72128BA標(biāo)簽芯片(已經(jīng)具備批量供貨條件)，并在卡內(nèi)存放發(fā)行信息及卡片密鑰，用于門禁讀卡器或后臺(tái)管理系統(tǒng)對(duì)門禁卡進(jìn)行身份鑒別。
CIR72128BA芯片概述
CIR72128BA是符合ISO/IEC 14443-2/-3 TypeA規(guī)范的單界面非接觸邏輯加密卡芯片，芯片集成了128字節(jié)EEPROM，帶國(guó)產(chǎn)SM7加密算法硬件協(xié)處理器，具備低成本、高安全特點(diǎn)，可以應(yīng)用于公共交通網(wǎng)絡(luò)的單程客票、各種大型會(huì)議或體育賽事門票，代替當(dāng)前普遍應(yīng)用的紙質(zhì)票證。
CIR72128BA的標(biāo)準(zhǔn)特性
遵循ISO/IEC 14443-2和14443-3、TYPEA非接觸式邏輯加密存儲(chǔ)卡
載波頻率13.56MHZ，副載波頻率847KHZ，數(shù)據(jù)通訊速率106Kbps
支持短幀、標(biāo)準(zhǔn)幀和防沖突幀
支持二級(jí)防沖突
工作場(chǎng)強(qiáng)范圍1.5A/Am-7.5A/Am
最大為128字節(jié)EEPROM，分為UID區(qū)、OTP區(qū)、用戶數(shù)據(jù)和密鑰區(qū)
EEPROM按Block編程，每個(gè)Block大小為4字節(jié)，編程時(shí)間5ms
EEPROM數(shù)據(jù)保持時(shí)間大于10年，擦寫次數(shù)大于10萬(wàn)次
CIR72128BA的安全特性：
國(guó)產(chǎn)加密算法SM7
隨機(jī)數(shù)發(fā)生器
兩個(gè)128位密鑰，分別作為讀密鑰和寫密鑰進(jìn)行認(rèn)證
符合國(guó)密《SM7密碼產(chǎn)品技術(shù)要求》的雙向認(rèn)證流程
符合國(guó)密《SM7密碼產(chǎn)品技術(shù)要求》的通訊加密流程
7字節(jié)UID
4.SM7算法介紹
(1)SM7算法適用：
SM7適用于非接IC卡應(yīng)用包括身份識(shí)別類應(yīng)用(門禁卡、工作證、參賽證)，票務(wù)類應(yīng)用(大型賽事門票、展會(huì)門票)，支付與通卡類應(yīng)用(積分消費(fèi)卡、校園一卡通、企業(yè)一卡通、公交一卡通)。
(2)SM7與M1的對(duì)比
對(duì)比內(nèi)容SM7算法M1算法
密鑰類型對(duì)稱密鑰對(duì)稱密鑰
應(yīng)用類型流加密、分組加密流加密
密鑰長(zhǎng)度128BIT48BIT
算法結(jié)構(gòu)分組置換線性移位
適用產(chǎn)品邏輯加密邏輯加密
(3)安全需求和對(duì)應(yīng)算法：
安全需求安全手段國(guó)外算法國(guó)密算法
身份鑒別安全論證M1/DES/AESSM7/SM1
數(shù)據(jù)保密通訊加密M1/DES/AESSM7/SM1
防止偽造加密驗(yàn)證 數(shù)字簽名DES/AES RSA/ECC/SHASM1/SM2/SM3
防止篡改
防止抵賴數(shù)字簽名RSA/ECC/SHASM1/SM2/SM3
后記
在Mifare one算法出現(xiàn)了安全性問(wèn)題后，國(guó)家相關(guān)管理部門也加強(qiáng)了對(duì)政府和企業(yè)的重要門禁系統(tǒng)的管理，要求重要門禁系統(tǒng)的加密算法使用國(guó)產(chǎn)的算法，門禁產(chǎn)品納入國(guó)家商用密碼管理體系管理。對(duì)于門禁系統(tǒng)生產(chǎn)廠家又是一種新的生產(chǎn)和技術(shù)管理體系標(biāo)準(zhǔn)，需要企業(yè)在加強(qiáng)產(chǎn)品研發(fā)、生產(chǎn)安全管理的基礎(chǔ)上，研發(fā)全新的門禁系統(tǒng)產(chǎn)品系列。同時(shí)也給部分生產(chǎn)企業(yè)帶來(lái)了提升自身產(chǎn)品競(jìng)爭(zhēng)力的機(jī)遇。
