Почему привычная бесконтактная карта — это риск безопасности, и как выбрать между картой, PIN-кодом или биометрией лица в зависимости от типа объекта.
Белую карту proximidad, которую ваша компания использует уже десять лет, можно склонировать менее чем за пять секунд с помощью устройства, которое стоит менее 20 евро. Не нужно быть профессиональным хакером: в свободной продаже есть считыватели-копировщики, созданные именно для этого, а значительная часть систем контроля доступа в офисах, складах и товариществах Аликанте и Мурсии до сих пор использует технологию, которую такие устройства способны считывать.
В DDR360 мы устанавливаем системы контроля доступа Hikvision из Торревьехи для всей провинции Аликанте и региона Мурсия. В этой статье мы подробно, с должной технической точностью, объясняем, почему классические карты уязвимы, что действительно меняет шифрование DESFire, и как выбрать между картой, PIN-кодом или биометрией лица в зависимости от типа объекта, который нужно защитить.
Большинство карт доступа, установленных в Испании за последние двадцать лет, используют технологию RFID низкой или высокой частоты с чипами вроде EM4100 или MIFARE Classic. Основная проблема не в самой радиочастоте, а в том, что эти чипы были разработаны более двух десятилетий назад с уровнем безопасности, который технически устарел.
Самый известный случай — MIFARE Classic, в которой используется проприетарный алгоритм шифрования под названием Crypto1. В 2008 году исследователи безопасности опубликовали практические атаки, взламывающие это шифрование за считанные минуты, и с тех пор существуют аппаратные инструменты (самый известный — Proxmark, но есть и гораздо более дешёвые и простые в использовании считыватели-копировщики), способные удалённо считать содержимое карты, вычислить внутренние ключи и записать точную копию на чистую карту. Весь процесс при наличии подходящего оборудования занимает секунды, и владелец оригинальной карты ничего не замечает: достаточно приблизиться на нужное расстояние, например пройдя рядом с человеком в кафе.
К этому добавляется проблема управления, а не только техническая: когда клонирование настолько простое, журнал доступа перестает быть надежным. Если две одинаковые карты могут открыть одну и ту же дверь, журнал «кто вошёл и во сколько» уже не позволяет точно узнать, был ли это законный сотрудник или кто-то с копией. Для компании, которой нужно доказать контроль доступа к чувствительным зонам (серверная, склад ценного товара, архив с данными клиентов), такая потеря прослеживаемости так же серьёзна, как и само физическое проникновение.
Технический ответ на эту проблему — MIFARE DESFire с шифрованием AES128 — тот же стандарт шифрования, который защищает банковские карты с чипом EMV и значительную часть банковских онлайн-коммуникаций. Разница с Crypto1 классических карт — не в степени, а в целом технологическом поколении.
AES (Advanced Encryption Standard) со 128-битным ключом — это открытый алгоритм, годами проверявшийся всем мировым криптографическим сообществом, и на сегодняшний день не существует известной практической атаки, способной взломать его за разумное время с помощью коммерчески доступного оборудования. Кроме того, каждую карту DESFire можно настроить с уникальный мастер-ключ для каждого объекта: даже если кому-то удастся взломать систему другой компании, этот ключ бесполезен для вашей. Считыватели-копировщики за 20 евро, клонирующие карту MIFARE Classic за секунды, попросту не обладают вычислительной мощностью и доступом к криптографическому ключу, необходимому для воспроизведения правильно настроенной карты DESFire.
На практике это означает, что замена старых карт на учётные данные DESFire — не прихоть избыточной инженерии, а закрытие самого дешёвого и часто используемого пути для тех, кто хочет попасть на объект без разрешения.
Не существует универсально лучшего метода доступа — есть подходящий метод для каждой ситуации. Вот реальные преимущества и ограничения каждого:
| Метод | Преимущества | Ограничения |
|---|---|---|
| Карта DESFire | Быстро, не требует физического контакта со считывателем, легко отозвать при потере, работает в перчатках | Можно забыть дома или добровольно передать коллеге |
| PIN / клавиатура | Не требует ничего носить с собой, полезен как второй фактор в сочетании с картой | Код можно передать или подсмотреть через плечо (shoulder surfing) |
| Биометрия лица | Невозможно передать или поделиться, считывание за 0,2 секунды, нельзя забыть или потерять | Требуется считыватель на каждой точке доступа, первоначальные затраты выше, чем на карту |
Ключевое преимущество биометрия лица по сравнению с картой и PIN-кодом заключается не только в скорости: она решает единственную проблему, которую ни один из двух других методов не может решить в принципе, — когда сотрудник отмечает приход или открывает дверь за другого человека от его имени. Даже самая защищённая карта на рынке не мешает её владельцу одолжить её опоздавшему коллеге; лицо одолжить нельзя. Поэтому в зонах максимальной чувствительности (серверные, ночной доступ персонала, учёт рабочего времени) многие компании сочетают карту DESFire для повседневного использования со считывателем лица в критических точках.
Проектирование системы контроля доступа сильно зависит от типа объекта. Вот самые распространённые схемы, которые мы наблюдаем в Аликанте и Мурсии:
Офисы. Самый распространённый случай: карта DESFire для главного входа и общих зон, а биометрия лица — только для серверной или кабинета руководства. Централизованное управление позволяет зарегистрировать нового сотрудника сразу на всех дверях за секунды и мгновенно отозвать его доступ в день увольнения без физического сбора ключей.
Промышленные ангары и склады. В промышленных зонах региона (например, в районе Эльче, Сан-Висенте-дель-Распейга или Картахены) задача обычно иная: не только контролировать, кто входит в здание, но и управлять потоком грузовиков поставщиков и перевозчиков. Здесь на помощь приходит автоматическое распознавание номеров: шлагбаум открывается автоматически, распознав авторизованный автомобиль из списка, без необходимости для водителя выходить из грузовика или присутствия охранника на КПП. Для пешего персонала турникеты с картой DESFire не позволяют посторонним проникнуть, воспользовавшись движением товара.
Жилые сообщества. Это особенно актуальный сценарий на Коста-Бланке и Коста-Кальиде, где много жилых комплексов и товариществ с высокой сменяемостью владельцев (сезонные жители, аренда на время отпуска) и часто есть автомобильный шлагбаум на въезде. Распознавание номера позволяет владельцам въезжать на машине без пульта или карты, а для садовников, уборки бассейна или обслуживания можно создавать QR-коды или временный доступ, действительный только в согласованный день и промежуток времени. Это решает распространённую проблему в товариществах, где председатель меняется каждый год: никому не нужно физически забирать или передавать пульты при смене поставщика услуг.
Всё перечисленное (карты DESFire, считыватели лица, шлагбаумы с распознаванием номеров) нуждается в центре управления, и здесь на помощь приходит HikCentral — платформа централизованного управления Hikvision. Из единой консоли, доступной через веб или мобильное приложение, ответственный за объект может добавлять или удалять пользователей сразу на всех дверях, задавать разное расписание доступа для каждого человека или группы (например, чтобы уборщики могли входить только с 7:00 до 9:00) и просматривать полную историю доступа с датой, временем и точным местом.
Функция, которую наши клиенты больше всего ценят в повседневной работе, — отзыв доступа в один клик с телефона. Когда сотрудник покидает компанию, не нужно менять замки или собирать ключи: его карта деактивируется с телефона, и в тот же момент он теряет доступ ко всем дверям системы. А если карта потеряна, процедура та же самая: аннулируется именно эта карта без влияния на остальные — то, что немыслимо с физическим ключом, общим для всего здания.
Можно ли совместить новую систему с уже установленными дверями и замками?
В большинстве случаев да. Считыватели DESFire и лица интегрируются с уже имеющимся электрическим замком или турникетом; полная замена замка требуется только если он чисто механический и не имеет электрического открытия.
Что произойдёт при отключении электричества или интернета?
Контроллеры дверей хранят авторизованные учётные данные локально и продолжают работать автономно даже при потере интернет-соединения; временно теряется только удалённое управление и синхронизация истории, которая автоматически восстанавливается при восстановлении связи.
Хранит ли биометрия лица идентифицируемую фотографию каждого человека?
Не в традиционном смысле. Система извлекает и хранит математический шаблон (набор опорных точек лица), который не позволяет восстановить фотографию — по тому же принципу, что используют другие биометрические системы на рынке для защиты конфиденциальности данных.
Сколько времени занимает установка в уже построенном офисе или складе?
Это зависит от количества дверей и от того, нужно ли прокладывать новую проводку или можно использовать существующую инфраструктуру. В большинстве объектов среднего размера работа завершается за один-два дня, включая настройку HikCentral и обучение персонала.
Можно ли настроить разные уровни доступа для разных сотрудников?
Да. HikCentral позволяет создавать столько профилей доступа, сколько нужно: например, чтобы администрация имела доступ ко всем зонам в рабочее время, производственный персонал — только к складу, а служба уборки имела доступ, ограниченный конкретным временным окном.
Мы анализируем вашу текущую систему доступа, ясно объясняем реальные риски и предлагаем индивидуальное решение. Без обязательств.
Запросить аудит →Подробнее: Контроль доступа DDR360 · Видеонаблюдение с ИИ · Зона обслуживания: Аликанте и Мурсия · Бесплатный аудит