如今RFID門禁系統在我們日常生活中隨處可見，而近年來國家重要部門、金融機構、軍事單位等高級別重要門禁系統應用需求呈現不斷增長的態(tài)勢。由于目前所廣泛應用的RFID門禁系統存在著嚴重的安全漏洞，國家密碼管理局根據國家1998年第273文件精神以及國家安全需要，向中央與國家機關印發(fā)了《關于請協助做好IC卡系統密碼管理工作的函》，向各省(區(qū)、市)密碼管理部門印發(fā)了《關于加強IC卡系統密碼管理工作的通知》等文件。
2009年4月《重要門禁系統密碼應用指南》對已建重要RFID電子門禁系統改造和升級，及新建重要RFID門禁系統安全提出了具體要求，并為達到該安全要求給出了相關的密碼應用方式、方法指南。
因此，將SM7國密算法納入到門禁系統中，無疑又為門禁應用的安全提供了重要保障。
廣東華大集成技術有限責任公司在國家密碼管理局的指導下，提出了能符合國家密碼管理要求的重要RFID電子門禁系統SM7密碼安全方案。方案中的關鍵產品是支持SM7分組密碼算法的非接觸邏輯加密卡芯片CIR72128BA和門禁讀頭中的安全模塊HDSM007。
方案特點
本方案采用經國家密碼管理局認可的商用密碼算法產品：支持SM7分組密碼算法的非接觸邏輯加密卡、SM7安全模塊，安全性具有可靠保證。
使用邏輯加密卡的系統開發(fā)簡便，具有升級改造周期短的特點。本方案實現所需的相關商用密碼產品已經具備批量供貨能力。
本方案適用情況：
新建重要門禁系統的設計與實現;
密碼系統未經過國家密碼管理局審批的重要門禁系統的改造升級。
1. 系統構成
本方案采用基于SM7算法的非接觸邏輯加密卡作為門禁卡，系統構成如圖1所示。
系統構成
2. 密碼系統概述
基于我國SM7密碼算法的重要RFID門禁系統涉及應用子系統、密鑰管理及發(fā)卡子系統，如圖2所示。
基于我國SM7密碼算法的重要RFID門禁系統
本方案采用國家密碼管理局指定的SM7分組加密算法進行密鑰分散，實現一卡一密;采用國家密碼管理局指定的SM7分組加密算法進行門禁卡與門禁讀卡器之間的身份鑒別。
3. 應用子系統
應用子系統中由門禁卡、門禁讀卡器和后臺管理系統構成，通過各設備內的密碼模塊對系統提供密碼安全保護。其原理框圖如圖3所示。
原理框圖
3.1. 安全模塊
門禁讀卡器采用北京中電華大電子設計有限責任公司生產并通過國家密碼管理局安全審查，具有SM7/SM1密碼算法和真隨機數發(fā)生器的電子標簽讀寫安全模塊(已經具備批量供貨條件)，負責存放系統根密鑰、讀卡器中的安全密碼運算并鑒別門禁卡的合法性。
3.2. 與后臺管理系統的通信
門禁讀寫器與后臺管理系統的通信采用的是當前使用最多的RS485傳輸協議(傳輸不設字節(jié)數量限制)。本系統采用的協議為雙向通訊協議，可以由門禁讀寫器向后臺管理系統發(fā)送數據，反之后臺管理也可向門禁讀卡器發(fā)送數據，同時對SM7電子標簽、卡片、數據進行加密(如DES算法)，用于傳輸門禁卡的唯一標識。如此后臺管理系統、門禁讀卡器、SM7卡片三者之間缺一不可，三者結合使用更加安全可靠。
3.3 門禁卡
門禁卡片采用通過國家密碼管理局安全審查，具有SM7分組密碼算法的CIR72128BA標簽芯片(已經具備批量供貨條件)，并在卡內存放發(fā)行信息及卡片密鑰，用于門禁讀卡器或后臺管理系統對門禁卡進行身份鑒別。
CIR72128BA芯片概述
CIR72128BA是符合ISO/IEC 14443-2/-3 TypeA規(guī)范的單界面非接觸邏輯加密卡芯片，芯片集成了128字節(jié)EEPROM，帶國產SM7加密算法硬件協處理器，具備低成本、高安全特點，可以應用于公共交通網絡的單程客票、各種大型會議或體育賽事門票，代替當前普遍應用的紙質票證。
CIR72128BA的標準特性
遵循ISO/IEC 14443-2和14443-3、TYPEA非接觸式邏輯加密存儲卡
載波頻率13.56MHZ，副載波頻率847KHZ，數據通訊速率106Kbps
支持短幀、標準幀和防沖突幀
支持二級防沖突
工作場強范圍1.5A/Am-7.5A/Am
最大為128字節(jié)EEPROM，分為UID區(qū)、OTP區(qū)、用戶數據和密鑰區(qū)
EEPROM按Block編程，每個Block大小為4字節(jié)，編程時間5ms
EEPROM數據保持時間大于10年，擦寫次數大于10萬次
CIR72128BA的安全特性：
國產加密算法SM7
隨機數發(fā)生器
兩個128位密鑰，分別作為讀密鑰和寫密鑰進行認證
符合國密《SM7密碼產品技術要求》的雙向認證流程
符合國密《SM7密碼產品技術要求》的通訊加密流程
7字節(jié)UID
4.SM7算法介紹
(1)SM7算法適用：
SM7適用于非接IC卡應用包括身份識別類應用(門禁卡、工作證、參賽證)，票務類應用(大型賽事門票、展會門票)，支付與通卡類應用(積分消費卡、校園一卡通、企業(yè)一卡通、公交一卡通)。
(2)SM7與M1的對比
對比內容SM7算法M1算法
密鑰類型對稱密鑰對稱密鑰
應用類型流加密、分組加密流加密
密鑰長度128BIT48BIT
算法結構分組置換線性移位
適用產品邏輯加密邏輯加密
(3)安全需求和對應算法：
安全需求安全手段國外算法國密算法
身份鑒別安全論證M1/DES/AESSM7/SM1
數據保密通訊加密M1/DES/AESSM7/SM1
防止偽造加密驗證 數字簽名DES/AES RSA/ECC/SHASM1/SM2/SM3
防止篡改
防止抵賴數字簽名RSA/ECC/SHASM1/SM2/SM3
后記
在Mifare one算法出現了安全性問題后，國家相關管理部門也加強了對政府和企業(yè)的重要門禁系統的管理，要求重要門禁系統的加密算法使用國產的算法，門禁產品納入國家商用密碼管理體系管理。對于門禁系統生產廠家又是一種新的生產和技術管理體系標準，需要企業(yè)在加強產品研發(fā)、生產安全管理的基礎上，研發(fā)全新的門禁系統產品系列。同時也給部分生產企業(yè)帶來了提升自身產品競爭力的機遇。
