政企单位国密门禁改造方案选型

1.背景
 
        由于门禁系统没有统一的国家标准，之前政企单位、金融机构、科研院所与学校、 医院等行业单位建设的传统门禁系统各种各样，部分单位建设的门禁系统采用简单的门禁一体机，传统门禁系统采用的M1芯片 的IC卡芯片2008年即被物理破解，破解与复制成本极低存在较大的安全风险。
        随着国家相关政策的引导，政企部门、金融机构、科研院所及重要企业、学校、 医院等行业传统门禁系统需要改造为国密门禁系统。国密门禁系统是指采用国产密码算法，遵循《GM/T0036 采用非接触卡的门禁系统密码应 用技术指南》规范要求的门禁系统。基于国密硬件密码模块实现物理身份鉴别，门禁记录完整性保护等安全技术要求。
        GM/T 0054-2018《信息系统密码应用基本要求》的物理与环境安全中对重要门禁系统提出如下要求：
        1) 采用国产密码算法，遵循《重要门禁系统密码使用指南》规范要求。
        2) 采用国产密码算法对门禁数据进行完整性保护。
        3) 对重要人员身份信息进行保护。
        4) 系统具备日记审计功能，操作日志具备完整性验证与保护功能。
        5) 生物识别+国密读卡多识别方式组合实现双因子或者多因子身份。

2.改造要求
 
        政企单位、金融机构、科研院所、重要企业、学校、医院等行业国密门禁改造要求如下：
        1) 按照国密门禁规范改造，使用国密门禁系统，使用国密CPU卡
        2) 重要门禁系统采用生物识别+国密读卡双因子识别模式
        3) 门禁系统平台具备操作日志与门禁记录审计功能，采用国产密码算法实现日志与记录的完整性保护
        4) 采用具备商密产品认证资质的国密门禁系统产品
        5) 采用国产化安可产品。：

3.系统原理
 
3.1 系统原理
 
        国密门禁系统原理如下图所示。基于非接触式IC卡的重要门禁系统的密码应用涉及应用系统、密钥管理及发卡系统。

 
3.2 系统拓扑
 

 
        系统遵循国家密码局《重要门禁系统密码使用指南》要求。由门禁感应识别设备、门禁控制设备、门禁系统平台、密钥管理系统构成。
1) 门禁感应识别设备
采用人脸识别+国密读卡组合识别一体机。人脸识别支持宽动态活体识别，国密读卡采用SM1/SM4算法，内置SAM模块读取国密CPU卡数据。
进门识别方式可以配置为人脸、读卡、人脸+读卡等授权方式。
2) 门禁控制设备
门禁控制器实现门禁权限管理与记录管理。包括单门、双门、四门等型号，均支持内外双向控制，支持多门互锁，支持消防系统联动。
3) 门禁系统平台
门禁系统平台由门禁系统网关硬件以及门禁系统软件构成。门禁网关硬件由专用硬件平台与加密卡构成，提供安全运行环境。
门禁网关基于通过国产安全可靠评测的国产服务器、操作系统、数据库构成。CPU支持兆芯，操作系统为麒麟操作系统，数据库为海量数据库。
门禁网关内置pcie加密卡，具备安全等级二级商密产品证书。
门禁系统软件实现门禁授权、记录管理、权限管理、日志审计等功能。 使用HMAC-SM3算法对记录与日志数据进行完整性保护。
4) 密钥管理系统
密钥管理系统完成密钥生成与管理，采用SAM模块实现密钥存储、分发。
5) 国密CPU卡
采用复旦微国密CPU卡芯片，支持SM1/SM4算法。
 
3.3 主要密码算法
 
        国密门禁系统涉及的国产密码算法以及应用场景如下表示。
 

 

4 建设改造方案选型
 
4.1 重要机房国密门禁建设改造
 
        重要机房国密门禁改造需按照等保三级信息系统在物理和环境安全部分要求进行建设，需对现有传统IC卡门禁系统设备全部替换为国密门禁系统设备，线路与门锁等附件可以根据实际情况决定是否利旧。
        设备清单如下：
 

 
4.2 办公楼大型国密门禁系统改造-全替换方案
 
        针对原门禁系统建设年限较长，已经到了更换周期，资金预算能够支持的情况，可以参考重要机房国密门禁系统建设要求，替换全部的卡片、读卡器、门禁控制器、门禁系统以及密钥管理与发卡体系，线路、门锁、出门开关等辅助设备根据实际情况决定是否利旧。
        设备清单如下：
 

 
4.3 办公楼大型国密门禁系统改造-分阶段改造方案
 
        针对原门禁系统建设年限较短，资金预算受限的情况，可以采用分阶段改造建设方案。

l  第一阶段：

n  替换前端门禁读卡器为国密门禁读卡器或者人脸国密读卡机、指纹国密读卡机。
n  替换原M1芯片IC卡为国密CPU卡。
n  建设密钥管理与发卡系统。
n  原门禁控制器与门禁平台暂时不动。

l  第二阶段：

n  替换门禁控制器
n  替换门禁系统平台

        针对原门禁系统建设年限较短，资金预算受限的情况，可以采用分阶段改造建设方案。
        设备清单如下：
 

 
4.4 办公室小型简化国密门禁建设方案
 
        针对政企单位办公室少数几个门禁改造情况，可以在不降低系统安全性与规范性的情况下， 满足前端识别安全性以及日志审计记录完整性保护的关键要求，采用简化方案，不采购密钥管理系统，以降低建设成本。
        简化国密门禁方案配置清单如下：
 

 
4.5 办公室最简国密门禁建设方案
 
        针对部分政企单位门禁点数量很少，同时预算非常紧张的情况，可以采用最简建设方案。
        最简国密门禁建设方案由人脸国密读卡机与门禁系统软件构成，也满足前端识别安全性与日志审计记录完整性保护要求，只是由于人脸国密读卡机直接驱动门锁，存在一定的安全隐患。
        最简国密门禁建设方案清单如下：
 

 

5.主要资质证书要求
 
        国密门禁系统相关由国家密码局检测中心颁发的资质证书如下：

l  安全门禁系统商用密码产品认证证书
l  CPU卡商用密码产品认证证书
l  安全模块商用密码产品认证证书
l  加密卡商用密码产品认证证书