1. 背景

2008年3月，德國學者Henryk Plotz與美國維吉尼亞大學博士研究生Karsten Nohl在相關(guān)網(wǎng)站上披露了其利用逆向工程手段，從硬體上破解了Mifare one即M1 芯片所采用的邏輯加密算法的破解方法。M1芯片被成功破解的消息在2009年初引起了我國相關(guān)部門的密切關(guān)注，由于它的安全性涉及到眾多的運營單位和持卡人的利益，國家密碼管理局根據(jù)國家1998年第273文件精神以及國家安全需要，向中央與國家機關(guān)印發(fā)了《關(guān)于請協(xié)助做好IC卡系統(tǒng)密碼管理工作的函》及《重要門禁系統(tǒng)密碼應(yīng)用指南》的通知，對新建或已建重要RFID電子門禁系統(tǒng)的改造和升級提出了具體要求，并給出了相關(guān)的密碼應(yīng)用方式、方法指南。

今年，廣東省密碼管理局發(fā)布的1號文件明令要求省內(nèi)機關(guān)單位、由政府投資建設(shè)的IC卡門禁一卡通系統(tǒng)，必須符合國家密碼管理局制定的《重要門禁系統(tǒng)密碼應(yīng)用指南》。該通知的發(fā)布拉開了各省市對IC卡門禁一卡通系統(tǒng)升級改造的帷幕，也是繼2009年工業(yè)和信息化部、國家密碼管理局等單位發(fā)文對該項工作提出明確要求后的又一大動作，證明了IC卡門禁一卡通系統(tǒng)升級改造工程時機已經(jīng)成熟。

2. 重要門禁系統(tǒng)技術(shù)要點

之前建設(shè)的門禁系統(tǒng)大部分是ID卡或IC卡，即使是IC卡，也是使用IC卡的 物理卡號作為應(yīng)用ID的為多，系統(tǒng)的安全性較薄弱。

國密門禁指南要求重要門禁系統(tǒng)使用基于國產(chǎn)密碼算法的CPU卡，較傳統(tǒng)門禁系統(tǒng)而言，主要在一下幾個方面對安全性進行了加強：

卡片：卡片要求使用基于國密算法的CPU卡。非接觸CPU卡片內(nèi)置CPU、存儲單元以及芯片操作系統(tǒng)COS，可以實現(xiàn)數(shù)據(jù)存儲，加解密處理，通信處理等。CPU卡的安全認證機制更加嚴密，包括與機具間的雙向認證，密鑰管理、卡片個人化、應(yīng)用流程等。國密CPU卡的特點是認證與密鑰管理流程中使用的密碼算法為國產(chǎn)密碼算法。國密CPU卡片的使用要求門禁感應(yīng)器具備相應(yīng)的處理能力與安全性。

門禁感應(yīng)器：由于國密CPU卡使用國產(chǎn)密碼算法，門禁感應(yīng)器與CPU卡之間采用對稱密鑰體系與相同的密碼算法，要求門禁感應(yīng)器具備相應(yīng)的處理能力。門禁感應(yīng)器射頻部分接口仍然遵循IC卡ISO 14443規(guī)范。與傳統(tǒng)門禁感應(yīng)器相比，國密門禁感應(yīng)器通常使用SAM卡模塊作為密碼運算模塊，實現(xiàn)與CPU卡的雙向認證。這一點類似銀行卡機具。

門禁控制器與后臺：門禁控制器與后臺與傳統(tǒng)類似，采用TCP/IP?；?85接口。

3. 國密CPU卡發(fā)卡

國密CPU卡發(fā)卡包括3個步驟：

CPU卡片結(jié)構(gòu)建立。對CPU卡片文件系統(tǒng)進行規(guī)劃，包括主文件、密鑰文件、基本信息文件、個人基本信息文件、應(yīng)用文件、記錄文件等。

密鑰灌裝。包括主密鑰、應(yīng)用密鑰、管理密鑰等

個人化。發(fā)卡單位根據(jù)發(fā)卡單位密鑰，對個人信息文件、應(yīng)用文件等寫入相關(guān)信息。

4. 傳統(tǒng)門禁系統(tǒng)國密化改造方案

原有門禁系統(tǒng)進行國密化改造主要涉及到如下幾點：

1、卡片：卡片需更換為國密CPU卡。

2、門禁感應(yīng)器需更換為支持國密算法的門禁感應(yīng)器

3、發(fā)卡系統(tǒng)需更換。

4、門禁控制器與門禁感應(yīng)器之間接口采用韋根接口的，門禁控制器與門禁后臺可使用原有系統(tǒng)。若采用非韋根接口，需提供接口協(xié)議，進行接口開發(fā)，否則需更換門禁控制器與后臺。

具體改造方案如下：

1) 更換門禁感應(yīng)器

所有的門禁感應(yīng)器均需更換成國密門禁感應(yīng)器，國密門禁感應(yīng)器以韋根26或34方式接入門禁控制器。

2) CPU卡發(fā)卡

用戶使用國密發(fā)卡器以及發(fā)卡軟件，對國密CPU卡片進行發(fā)卡，卡片上可以寫入用戶信息，如用戶姓名、部門、單位；用戶應(yīng)用信息，如應(yīng)用ID等。

如果原門禁系統(tǒng)使用M1卡扇區(qū)數(shù)據(jù)方式存儲應(yīng)用數(shù)據(jù)，可以將原應(yīng)用ID數(shù)據(jù)寫入用戶應(yīng)用數(shù)據(jù)文件；若原門禁系統(tǒng)使用卡片物理卡號數(shù)據(jù)，可以將卡號數(shù)據(jù)寫入CPU卡應(yīng)用文件。后臺系統(tǒng)數(shù)據(jù)以及門禁控制器無需重新授權(quán)。

3) 改造流程

為保證改造期間不影響原門禁系統(tǒng)，改造流程有兩種方式：

方式一：改造期間并接門禁感應(yīng)器方式。即將國密門禁感應(yīng)器與原門禁控制器進行并接方式，改造期間，用戶在不同門禁感應(yīng)器上刷不同的卡，待系統(tǒng)改造全部完成后，拆掉原門禁感應(yīng)器，收回原門禁卡。

方式二：

方式一的弊端在于需在門口掛接2個門禁感應(yīng)器，對空間有要求，且拆掉后還需要對原感應(yīng)器拆除后留下的墻面進行處理。

如果客戶掌握原門禁卡的密鑰，可以通過配置方式對廣州拙進通信技術(shù)有限公司提供的國密門禁感應(yīng)器ZCR111s進行配置，從而可以讀取原門禁卡，即同時支持原門禁卡與國密門禁卡。從而可以直接更換原門禁感應(yīng)器并在相同位置上安裝新國密門禁感應(yīng)器。

5. 國密門禁系統(tǒng)與手機門禁系統(tǒng)的結(jié)合

國密門禁采用的CPU卡并非最近才出現(xiàn)的新技術(shù)，CPU卡在很多高安全度要求應(yīng)用領(lǐng)域已經(jīng)使用了很多年。如所有的手機SIM卡就是CPU卡。當前通信運營商在大力發(fā)展手機一卡通，手機也具備近場通信能力，如RFID-SIM、SIMPASS、NFC等。手機非接觸應(yīng)用都是基于CPU卡片，其應(yīng)用模型與國密CPU卡一致。在政企單位，手機開門較使用卡片開門更為便利。手機一卡通也是一卡通在做政企單位門禁系統(tǒng)改造時，建議選用同時支持國密CPU卡以及手機卡的門禁感應(yīng)器，既方便客戶使用，也保護客戶投資。廣州拙進通信技術(shù)有限公司針對政企用戶開發(fā)的門禁感應(yīng)器ZCR111S內(nèi)置SAM卡，既支持支持國密SM1算法CPU卡，滿足國家密碼管理局重要門禁系統(tǒng)密碼應(yīng)用指南要求，也支持市面上主流廠家的CPU卡，同時支持3家電信運營商的手機CPU卡（包括RFID-SIM，SIMPASS，NFC等）。