Почему классическая карта proximidad — это угроза безопасности, и как выбрать между картой, PIN-кодом и распознаванием лица в зависимости от типа объекта.
Белую карту proximidad, которую ваша компания использует уже десять лет, можно склонировать менее чем за пять секунд с помощью устройства, которое стоит менее 20 евро. Не нужно быть профессиональным хакером: существуют свободно продаваемые устройства для чтения и копирования, предназначенные именно для этого, и значительная часть систем контроля доступа, установленных в офисах, ангарах и жилых комплексах Аликанте и Мурсии, по-прежнему использует технологию, которую такое устройство способно считать.
В DDR360 мы устанавливаем системы контроля доступа Hikvision из Торревьехи по всей провинции Аликанте и региону Мурсия. В этой статье мы подробно, как того заслуживает тема, объясняем, почему классические карты уязвимы, что реально меняется с шифрованием DESFire и как выбрать между картой, PIN-кодом и лицевой биометрией в зависимости от типа объекта, который вам нужно защитить.
Большинство карт доступа, установленных в Испании за последние двадцать лет, используют технологию RFID низкой или высокой частоты с чипами типа EM4100 или MIFARE Classic. Основная проблема не в самой радиочастоте, а в том, что эти чипы были разработаны более двух десятилетий назад с уровнем безопасности, который технически устарел.
Самый известный случай — это MIFARE Classic, который использует проприетарный алгоритм шифрования под названием Crypto1. В 2008 году исследователи безопасности опубликовали практические атаки, которые взламывают это шифрование за считанные минуты, и с тех пор существуют аппаратные инструменты (самый известный — Proxmark, но есть и гораздо более дешёвые и простые в использовании копировальщики), способные считывать содержимое карты на расстоянии, вычислять внутренние ключи и записывать точную копию на чистую карту. Весь процесс при наличии подходящего оборудования занимает секунды, и владелец оригинальной карты ничего не замечает: достаточно подойти достаточно близко, например, когда проходишь мимо кого-то в кафе.
К этому добавляется проблема управления, а не только техническая: когда клонирование так просто, журнал доступа перестает быть надежным. Если две одинаковые карты могут открыть одну и ту же дверь, журнал «кто вошёл и когда» уже не позволяет с уверенностью определить, был ли это легитимный сотрудник или кто-то с копией. Для компании, которой необходимо демонстрировать контроль доступа в чувствительные зоны (серверная, склад ценных товаров, архив с данными клиентов), такая потеря прослеживаемости так же серьезна, как и само физическое вторжение.
Технический ответ на эту проблему — MIFARE DESFire с шифрованием AES128, тот же стандарт шифрования, который защищает кредитные карты с чипом EMV и значительную часть онлайн-банковских коммуникаций. Разница с Crypto1 классических карт — не в степени, а в полной смене технологического поколения.
AES (Advanced Encryption Standard) с 128-битным ключом — это открытый алгоритм, годами проверявшийся всем мировым криптографическим сообществом, и на сегодняшний день не существует ни одной известной практической атаки, способной взломать его за разумное время с помощью коммерчески доступного оборудования. Каждая карта DESFire, кроме того, может быть настроена с уникальный мастер-ключ для каждой установки: даже если кто-то сможет взломать систему другой компании, этот ключ не подойдёт для вашей. Считыватели-копировальщики за 20 евро, которые клонируют карту MIFARE Classic за секунды, просто не имеют вычислительной мощности или доступа к криптографическому ключу, необходимому для воспроизведения правильно настроенной учётной записи DESFire.
На практике это означает, что замена старого парка карт на учетные данные DESFire — это не прихоть избыточного проектирования: это закрытие самого дешевого и самого используемого пути входа для тех, кто хочет получить несанкционированный доступ к объекту.
Не существует универсально лучшего метода доступа — есть метод, подходящий для каждой ситуации. Вот реальные преимущества и ограничения каждого из них:
| Метод | Преимущества | Ограничения |
|---|---|---|
| Карта DESFire | Быстрая, не требует физического контакта со считывателем, легко аннулируется при утере, работает в перчатках | Можно забыть дома или добровольно передать коллеге |
| PIN / клавиатура | Не требует носить с собой ничего, полезно как второй фактор в сочетании с картой | Код можно передать другому или подсмотреть через плечо (shoulder surfing) |
| Лицевая биометрия | Невозможно передать или поделиться, считывание за 0,2 секунды, нельзя забыть или потерять | Требуется считыватель на каждой точке доступа, первоначальные затраты выше, чем на карту |
Ключевое преимущество биометрия лица по сравнению с картой и PIN-кодом — это не только скорость: это решает единственную проблему, которую ни один из двух других методов не может решить по своей конструкции, — когда сотрудник «отмечается» или открывает дверь другому человеку от своего имени. Даже самая защищенная карта на рынке не мешает владельцу передать ее коллеге, который опаздывает; лицо человека передать нельзя. Поэтому в зонах повышенной чувствительности (серверные, доступ персонала в ночное время, учет рабочего времени) многие компании сочетают карту DESFire для повседневного использования с лицевым считывателем в критических точках.
Проектирование системы контроля доступа сильно зависит от типа объекта. Вот наиболее типичные сценарии, которые мы встречаем в Аликанте и Мурсии:
Офисы. Самый распространенный сценарий: карта DESFire на главном входе и в местах общего пользования, а лицевая биометрия — для серверной или кабинета руководства. Централизованное управление позволяет добавить нового сотрудника сразу на все двери за считанные секунды и мгновенно отозвать доступ в день его увольнения, без необходимости физически собирать ключи.
Промышленные ангары и склады. В промышленных зонах региона (например, в окрестностях Эльче, Сан-Висенте-дель-Распейг или Картахены) задача обычно иная: контролировать не только вход в здание, но и движение грузовиков поставщиков и перевозчиков. Здесь вступает в игру автоматическое распознавание номерных знаков: шлагбаум открывается сам, когда распознаёт транспортное средство из списка разрешённых, без необходимости водителю выходить из грузовика или наличия физического охранника в будке. Для пешего персонала турникеты с картой DESFire предотвращают проход посторонних, пользующихся движением товаров.
Жилые сообщества. Это особенно актуальный сценарий для Коста-Бланки и Коста-Калиды, где много жилых комплексов и сообществ с высокой ротацией собственников (сезонные жители, аренда для отпуска) и часто со шлагбаумом на въезде. Считывание номерных знаков позволяет владельцам въезжать на автомобиле без пульта или карты, а для служб садоводства, чистки бассейна или обслуживания можно генерировать QR-коды или временные пропуска, действующие только в согласованный день и временной интервал. Это решает типичную проблему сообществ, где председатель меняется каждый год: никому не нужно физически забирать или передавать пульты при смене поставщика услуг.
Все вышеперечисленное (карты DESFire, лицевые считыватели, шлагбаумы с распознаванием номерных знаков) требует мозга, который всем этим управляет, и вот здесь вступает в дело HikCentral, централизованная платформа управления от Hikvision. С единой консоли, доступной через веб-интерфейс или мобильное приложение, ответственный за установку может одновременно добавлять или удалять пользователей на всех дверях, задавать разные графики доступа для каждого человека или группы (например, чтобы уборщики могли входить только с 7:00 до 9:00), а также просматривать полную историю доступов с датой, временем и точным местом.
Функциональность, которую наши клиенты больше всего ценят в повседневной работе, — это отзыв доступа в один клик с мобильного. Когда сотрудник уходит из компании, не нужно менять замки или собирать ключи: его учётные данные отключаются с телефона, и в тот же момент он теряет доступ ко всем дверям системы. А если карта потеряна, процедура идентична: аннулируется именно эта учётная запись, не затрагивая другие, что немыслимо с физическим ключом, общим для всего здания.
Можно ли совместить новую систему с уже установленными дверями и замками?
В большинстве случаев да. Считыватели DESFire и лицевые считыватели интегрируются с существующим электрическим замком или турникетом; полная замена замка требуется только в том случае, если он чисто механический и не имеет электрического открывания.
Что произойдет при отключении электроэнергии или интернета?
Контроллеры дверей хранят авторизованные учетные данные локально и продолжают работать автономно даже при потере подключения к интернету; временно теряется только удаленное управление и синхронизация истории, которые автоматически восстанавливаются при восстановлении соединения.
Сохраняет ли система распознавания лиц узнаваемое фото каждого человека?
Нет, не в традиционном смысле. Система извлекает и хранит математический шаблон (набор контрольных точек лица), который не позволяет восстановить фотографию, следуя тому же принципу, который используют другие биометрические системы на рынке для защиты конфиденциальности данных.
Сколько времени занимает установка в уже построенном офисе или помещении?
Зависит от количества дверей и от того, нужно ли прокладывать новую кабельную инфраструктуру или можно использовать существующую. В большинстве объектов среднего размера работы завершаются за один-два дня, включая настройку HikCentral и обучение персонала.
Можно ли настроить разные уровни доступа для разных сотрудников?
Да. HikCentral позволяет создавать столько профилей доступа, сколько необходимо: например, чтобы администрация имела доступ во все зоны в рабочее время, чтобы производственный персонал имел доступ только в цех, а уборщики имели доступ только в определенный временной интервал.
Анализируем вашу текущую систему контроля доступа, понятно объясняем реальные риски и предлагаем индивидуальное решение. Без обязательств.
Запросить аудит →Подробнее: Контроль доступа DDR360 · Видеонаблюдение с ИИ · Зона обслуживания: Аликанте и Мурсия · Бесплатный аудит