В рубрику "Системы контроля и управления доступом (СКУД)" | К списку рубрик | К списку авторов | К списку публикаций
Понятие идентификации, т.е. процедуры установления тождества личности с заранее предустановленным шаблоном по совокупности общих и частных признаков, - одно из ключевых для систем контроля и управления доступом (СКУД). И действительно, регламентировать запрет/разрешение на доступ к определенным закрытым зонам или объектам представляется возможным только тогда, когда СКУД четко различает пользователей по параметру «свой-чужой».
На протяжении вот уже нескольких десятков лет основным средством идентификации в СКУД являются различного рода карточные продукты. Это могут быть контактные и бесконтактные карты различных форматов и стандартов, QR (двухмерные)- и штрих-коды на различных физических и электронных носителях и даже смартфоны со встроенным чипом NFC. Широкое распространение подобного рода идентификаторов объясняется прежде всего их низкой стоимостью, а также универсальностью – карты доступа легко добавлять в любую уже существующую СКУД. Кроме того, т.н. смарт-карты (группа продуктов под общим брендом Mifare), благодаря наличию встроенной памяти, могут быть использованы для различных сторонних приложений: муниципальные транспортные системы, программы лояльности и пр.
Однако карты доступа имеют ряд существенных недостатков, которые, если задуматься, сводят к нулю попытки организации строго контроля и учета потоков посетителей и сотрудников. Прежде всего, карта это предмет, а не человек. И любая, даже самая функциональная СКУД, будет идентифицировать именно кусок пластика, а не индивидуума, который его предъявляет. Таким образом, системы, построенные с использованием карточных продуктов, выполняют функцию идентификации очень условно: контролирующий орган игнорирует факт возможности подмены фактического пользователя карты неавторизованным, а пользователь делает вид, что он не пользуется этой возможностью. Реальность же часто совсем иная. В зависимости от воли пользователя, проблему необходимо рассматривать в двух плоскостях. Во-первых, он может целенаправленно передать свой идентификатор сторонним лицам для выполнения противоправных действий. Как часто, например, контролер сталкивается с фактами, когда пользователь физически отсутствовал на рабочем месте, но согласно отчетам СКУД – время отработано и за него необходимо заплатить. Выявить такие факты сложно, еще сложнее бороться с ними. Во-вторых, пользователь, сам того не желая, может банально потерять карту. И если, нашедший ее злоумышленник, по стечению обстоятельств знает куда и когда она предоставляет доступ, суммы потенциального ущерба от неавторизованного проникновения могут быть весьма значительны.
Второй серьезной проблемой карточных идентификаторов является техническая возможность их клонирования. Немногие знают, но самый распространенный в нашей стране стандарт бесконтактных карт EM-marine (по оценке автора от 70% до 80% всех СКУД используют именно его для идентификации) вообще не имеет защиты от несанкционированного считывания и последующего клонирования. Теоретически несколько лучше обстоят дела с картами семейства Mifare на базе чипов производства NXP Semiconductor. Для защиты данных в них используются лицензионные проприетарные криптоалгоритмы и идентификаторы Mifare Plus/Mifare Desfire EV-1 действительно оснащены серьезной защитой. Но как всегда, есть маленькая оговорка: в Украине количество проектов реализованных с использованием карт этих двух стандартов активно стремится к нулю. Это связано в первую очередь с их стоимостью. Кроме того, предложение совместимых считывателей и база опыта и знаний относительно их правильного применения также кажутся недостаточными. Стандарт Mifare Classic значительно более популярен, в том числе благодаря и возможности производить карты на базе неоригинального тайваньского чипа, совместимого с протоколами NXP. Стоимость таких продуктов близка к EM-Marine. Однако, защита этих карт была взломана при помощи реверс-инжиниринга еще в 2008 году. Таким образом, имея определенные технические средства, злоумышленник сможет на небольшом расстоянии считать данные карты и восстановить их на другой карте.
Теоретически все недостатки СКУД на базе карточных идентификаторов могут быть устранены биометрическими терминалами. Вопреки расхожему мнению, разработка методов, принципов, а позже и систем распознавания биометрических характеристик человека имеет длинную и интересную историю, насчитывающую уже почти сто лет. Однако в повседневной жизни биометрические СКУД все же до сих пор встречаются редко. Действительно существует много офисов, бизнес-центров, даже крупных промышленных предприятий, где биометрия положена в основу системы учета сотрудников и посетителей организаций. Но их удельный вес в общей массе установленных и эксплуатируемых систем контроля доступа все же остается незначительным. Конечно, пользователь не имеет возможности сознательно передать свой биометрический идентификатор третьему лицу или потерять его. Дублировать и воспроизвести биометрический параметр на другом носителе – также задача не из легких (хотя в зависимости от типа параметра, в принципе возможная). Но сам современный принцип работы биометрических терминалов создает ряд сложностей, препятствующих их повсеместному распространению.
Во-первых, это конечно же цена. Стоимость контактных дактилоскопических терминалов даже азиатского производства, как самого популярного и доступного биометрического решения, в разы, а то и десятки раз превышает стоимость считывателей карт доступа. Устройства, в основе которых, лежит распознавание других параметров (геометрия руки, лица, венозного рисунка, радужной оболочки глаза и др.) будут еще дороже. Уже на этом этапе большинство потенциальных Заказчиков СКУД предпочитают работать с простыми и понятными инструментами карточного доступа, несмотря на все их недостатки.
Вторым очень важным моментом является, безусловно, совместимость. Автору не приходилось встречать рекламных буклетов или других материалов производителей биометрических терминалов, которые бы не содержали фразы типа «простая интеграция с любыми системами СКУД». Это не совсем так и здесь необходимы некоторые пояснения. В стандартных системах на базе карт сопоставлением образца (т.е. предъявленного идентификатора) и шаблона или образа (в данном случае номера конкретного идентификатора, заранее записанного в базу) занимается контроллер. Считыватель лишь транслирует полученный номер карты для обработки. В подавляющем большинстве биометрических систем мэтчинг (именно так правильно называется этот процесс) выполняется самим считывателем или терминалом. После успешной процедуры мэтчинга возможен один из двух вариантов: 1) либо терминал сам принимает решение относительно допуска/задержания пользователя и, таким образом выполняет функцию контроллера (управление замком может происходить через встроенное реле); 2) либо терминал формирует пакет данных и отправляет его на сторонний контроллер СКУД для обработки. Первый вариант выглядит изначально очень привлекательным: большинство терминалов имеют возможность сетевого подключения по TCP/IP и реле управления замками. Все, что необходимо для получения законченной СКУД – это программное обеспечение для добавления/удаления пользователей и настройки правил и алгоритмов доступа. Вот тут и возникает проблема. Действительно, практически все производители терминалов предлагают собственный программный продукт. Однако в подавляющем большинстве случаев он обладает весьма скромным функционалом и годится исключительно для внесения новых пользователей в БД или организации доступа в небольшом офисе. Серьезную систему учета на его базе построить невозможно, не говоря уже об интеграции в нее сторонних комплексов, например видеонаблюдения или охранной сигнализации. То есть, зачастую удел подобных решений – примитивные задачи с ограниченным количеством пользователей. Справедливости ради нужно сказать, что процент таких инсталляций все же высок.
Эксплуатация биометрических средств идентификации в составе более серьезных систем СКУД однозначно предполагает второй вариант. В этом случае биометрический терминал по сути рассматривается контроллером СКУД как обычный считыватель выдающий информацию об идентификаторе в протоколе Wiegand (благо таким выходом оснащены почти все современные терминалы). И все было бы просто, если бы не тот самый мэтчинг, все равно производящийся самим считывателем. Другими словами, оператору системы необходимо добавлять/удалять биометрические идентификаторы во все считыватели посредством родного ПО терминалов, а вот выполнять повседневные задачи, связанные с КД уже из программы системы контроля и управления доступом. Можно предположить, что для объектов с минимальной «текучкой кадров» и отсутствием сторонних посетителей этот вариант может быть приемлем. Но следует напомнить, что такая схема применяется при реализации серьезных задач учета, а значит и вероятность постоянного изменения структуры базы данных пользователей достаточно высока. Постоянная же работа с двумя ПО выглядит по меньшей мере неудобно. Кроме того, оператору будет необходимо постоянно синхронизировать базы данных биометрических терминалов и СКУД, и делать это придется скорее всего в ручном режиме (в топовых СКУД предусмотрена возможность автоматической синхронизации, но для этого необходима глубокое сотрудничество между производителями обеих систем). Так что, наличие у терминалов выхода Wiegand, как основы заявления о полной совместимости, на практике дает немного.
Вопрос безопасности персональных биометрических данных человека также поднимается Заказчиком достаточно часто. Несмотря на то, что проблема эта абсолютно надуманная, потенциальные пользователи подобных систем могут негативно относиться к процедуре сбора отпечатков пальцев или других параметров для идентификации. Дело в том, что нужно четко разграничивать криминалистическую биометрию и электронные системы доступа, основанные на распознавании биометрических характеристик. В последнем случае система никогда не хранит шаблон (например, дактилоскопический отпечаток) в чистом виде. В процессе добавления пользователя в систему, сканер действительно получает изображение того или иного признака (в зависимости от терминала, это рисунок дуг, завитков и петель на коже пальца, структура сетки вен, геометрия ладони с расставленными пальцами и т.д.). Однако в дальнейшем происходит процесс извлечения из него опорных данных, как расстояние между определенными точками на отпечатке пальца, которые оцифровуются и уже не имеют ничего общего с оригиналом. Какие именно опорные данные будут использоваться для создания виртуального образа идентификатора – информация обычно строго закрытая, и используется каждым конкретным производителем как часть проприетарного алгоритма. Восстановить оригинальный рисунок даже получив доступ к цифровому шаблону невозможно по определению. И хотя каждый производитель терминалов уделяет много усилий для объяснения этих тонкостей, часто сознание того, что кто-то может завладеть личными данными, может оттолкнуть Заказчика от выбора в пользу биометрии.
Последним серьезным недостатком биометрических терминалов является вопрос гигиены. Конечно, существует большое количество техник бесконтактного сканирования биометрических параметров, но все же подавляющее большинство систем реализовано на контактном дактилоскопическом принципе (не в последнюю очередь из-за стоимости, и, наверное, относительной известности данной технологии). А такие терминалы предполагают непосредственный контакт кожи пальца пользователя со сканером.
Принимая во внимание все вышеизложенные мысли, возникает логичный вопрос: а существуют ли альтернативные идентификаторы, которым не присущи все указанные минусы? Оказывается, да. Еще начиная с 2009 года американский старт-ап Zwipe, финансируемый венчурными инвестиционными фондами из Норвегии, начал разработку принципиально новых устройств идентификации на рынке СКУД. Идея состояла в объединении всех преимуществ биометрии с простотой и доступностью традиционных карточных продуктов. После нескольких лет активных исследований и разработок компания предложила рынку т.н. биометрические карты.
Физически новое устройство размерами и формой действительно напоминает обычную карточку, однако имеет встроенный дактилоскопический сканер. Принцип работы карты Zwipe следующий: пользователь прикладывает заранее внесенный в память палец к сканеру, который активирует соответствующий встроенный в карту транспондер (непосредственно бесконтактную составляющую), и предъявляет последнюю считывателю. Обмен данными между картой и считывателем возможен только тогда, когда отпечаток пальца пользователя совпадает с записанным шаблоном. Карта, при этом, - одноразовая, т.е. перезаписать отпечаток или каким-либо другим образом модифицировать его невозможно. Таким образом пользователь, а главное владелец СКУД, могут быть абсолютно уверены, что потеря идентификатора не приведет к неавторизованному его использованию сторонними лицами. Передача карты коллеге для противоправной авторизации на объекте также не имеет смысла.
Базовой особенностью продуктов Zwipe, кроме того, является и то, что в режиме ожидания (т.е. при отсутствующем на сканере пальце), «завести» транспондер извне для последующего клонирования не представляется возможным: в этом состоянии устройство представляет из себя просто кусок пластика. Поэтому, кстати, тип применяемой бесконтактной технологии становится абсолютно неважным параметром, его выбор регламентируется только уже установленной на объекте инфраструктурой СКУД. Как EM-marine (вообще не содержащий инструментов криптозащиты), так и DESFire EV-1 (самый защищенный на сегодняшний день бесконтактный стандарт) одинаково неуязвимы для устройств негласного съема данных. Получается, что разработчики Zwipe сумели сохранить все преимущества карточных продуктов, одновременно устранив ненадежные с точки зрения пропускного режима тонкости.
Синергетический эффект объединения двух технологий еще больше проявляется при анализе биометрической составляющей. Так или иначе, а биометрическая карта значительно дешевле даже самого экономичного терминала. При стоимости менее 100USD, вся математика может принять следующий вид: если принять среднюю по рынку стоимость биометрического считывателя в 500USD, то на объекте с одной дверью и 4 авторизованными пользователями дешевле инвестировать в Zwipe (такой дверью с ограниченным числом лиц, имеющих к ней доступ, может быть, например, вход в хранилище в банке). Далее читатель может произвести расчеты самостоятельно.
Что же касается администрирования биометрических терминалов, одновременного ведения баз данных СКУД и биометрии, работы в нескольких программах, то и здесь продукты Zwipe предлагают пользователю совершенно новый опыт. Мэтчинг происходит непосредственно в самой карте по методу 1:1 (этим, кстати, и обусловлена скорость сопоставления, не превышающая по опыту автора 1,5сек.). А это означает, что нет необходимости в создании дополнительной базы данных, в ее администрировании и защите. Карты Zwipe могут работать на любой, уже установленной системе. Для обеспечения полной, а не заявляемой совместимости нужно просто выбрать модель с транспондером, аналогичным уже применяемому на объекте. Собственно вся настройка и внедрение, к большому сожалению инсталляторов, ограничивается стандартной процедурой добавления карт в СКУД.
Никаких проблем с защитой персональных данных у владельца системы также не возникнет. Процесс записи пальца выполняется пользователем (а не администратором системы) с помощью самой карты. Даже теоретически дактилоскопические данные не могут быть переданы сторонним лицам. Вопрос гигиены также решается сам собой.
Биометрические карты Zwipe – классический пример т.н. «голубого океана», т.е. продукт, создающий не существовавший ранее спрос на новом рынке, где практически отсутствуют конкуренты (см. «Blue Ocean Strategy» за авторством К. Чана и Р. Моборна). Они не призваны полностью вытеснить карточные продукты (учитывая стоимость) или биометрические терминалы. Их ниша – абсолютно новые возможности в сфере СКУД, уводящие интегратора от традиционных малоприбыльных рынков со множеством игроков. Так, посредством Zwipe, легко можно обеспечить двухфакторную аутентификацию в ЦОД, НИИ, медицинских кабинетах и лабораториях, зонах операций с наличностью, депозитариях, аэропортах, исправительных учреждениях, где годами эксплуатируются традиционные средства ограничения доступа. При этом, как сказано выше, это не потребует каких-либо инвестиций в инфраструктуру, квалификационных тренингов или привлечения IT-ресурсов. Кроме того, помимо классических СКУД, новому продукту можно найти и ряд других сфер применения: правительственные и социальные проекты, VIP-карты, карты лояльности в сфере услуг, персональные медицинские записи и т.д. По большому счету варианты применения ограничиваются исключительно фантазией заказчика или интегратора.
Опубликовано: Сайт Secuteck.Ru-2015
Посещений: 5886
Автор
| |||
В рубрику "Системы контроля и управления доступом (СКУД)" | К списку рубрик | К списку авторов | К списку публикаций
