i CLASS SE SIO Solution Seminar 2013 19

i. CLASS SE и SIO – взгляд изнутри. Solution Seminar 2013 Алексей Умнов 19 июня 2013 года PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution.

Краткое содержание Что такое SE? Традиционная методология SIO (Secure Identity Object) Структура SIO Безопасность SIO Наборы ключей (Keysets) Ключи Elite Портируемость PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 2

Традиционная методология. Безопасность. Например, данные для СКУД, хранящиеся в памяти карты NXP Mifare Classic, защищены с помощью мер безопасности, специфичных для технологии Mifare Classic. MIFARE™ Security Layer Access Control Data PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 5

Традиционная методология. Безопасность. Если система безопасности карты взломана, есть возможность получить доступ к хранящимся в ней данным и: Изменить их (н-р, создать другой номер карты) Склонировать карту Атака MIFARE™ Security Layer Access Control Data PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 6

Традиционная методология. Считыватели. Зачастую отсутствует какая-либо возможность по модернизации считывателей для поддержки новых идентификационных технологий. Mifare Classic (1430) Upgrade Mifare DESfire EV 1 (1450) PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 7

SIO (Secure Identity Object). SIO призван решить эти проблемы. Так что же такое SIO? PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 10

SIO (Secure Identity Object). SIO – это безопасный контейнер. Проще всего рассматривать SIO как безопасный электронный контейнер. В нём может храниться любой из существующих форматов карт HID (номер карты, код организации). PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 11

SIO (Secure Identity Object). SIO – это безопасный контейнер. Проще всего рассматривать SIO как безопасный электронный контейнер. В нём может храниться любой из существующих форматов карт HID (номер карты, код организации). Любой формат HID PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 12

SIO (Secure Identity Object). SIO – это безопасный контейнер. Например, можно поместить внутрь SIO данные для СКУД в формате W 26. 26 -bit Wiegand PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 13

Структура SIO Окончательная структура SIO: Привязка Формат к карты UID/CSN Подпись Версия/Информация Сформированный SIO PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 18

Безопасность SIO Где это применяется в SIO? Версия/Информация Формат карты Привязка к UID/CSN Подпись Данные СКУД кодируются с использованием AES 128 Добавляется UID/CSN Вычисляется подпись CMAC 96 *Информация о UID/CSN удаляется PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 20

Привязка к CSN/UID на примере Mifare Версия/Информация Формат H 10301 (26 бит) Привязка к UID/CSN = 0 x. FF 1122334455 Шаг 1: В SIO записывается информация о версии и данные для СКУД, например, в формате 26 -bit Wiegand. PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 22

Привязка к CSN/UID на примере Mifare Версия/Информация Формат H 10301 (26 бит) Привязка к UID/CSN = 0 x. FF 1122334455 Шаг 2: Считывается UID носителя (CSN карты Mifare) PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 23

Привязка к CSN/UID на примере Mifare Версия/Информация Формат H 10301 (26 бит) 0 x. FF 1122334455 CSN = 0 x. FF 1122334455 Шаг 3: Значение UID добавляется к другой информации в SIO Такой процесс происходит всякий раз при программировании SIO в карты i. CLASS, Mi. Fare или EV 1. PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 24

Привязка к CSN/UID на примере Mifare Версия/Информация Формат H 10301 (26 бит) 0 x. FF 1122334455 CSN = 0 x. FF 1122334455 Подпись Шаг 4: Вычисляется подпись Такой процесс происходит всякий раз при программировании SIO в карты i. CLASS, Mi. Fare или EV 1. PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 25

Привязка к CSN/UID на примере Mifare Версия/Информация Формат H 10301 (26 бит) CSN = 0 x. FF 1122334455 Подпись Шаг 4: Значение CSN удаляется Такой процесс происходит всякий раз при программировании SIO в карты i. CLASS, Mi. Fare или EV 1. PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 26

Преимущества SIO. Вернёмся к ситуации с картой Mifare (взломанная защита): MIFARE™ Security Layer Access Control Data PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 28

Преимущества SIO. И рассмотрим отличия этой карты с записанным в неё SIO по сравнению с данными в открытом виде. . . MIFARE™ Security Layer PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 29

Преимущества SIO. Допустим, что в результате атаки кто-либо получил доступ к SIO…Сможет ли он отредактировать информацию или сделать копию карты? Атака MIFARE™ Security Layer PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 30

Преимущества SIO защищён и за пределами карты, поэтому изменить/добавить/удалить информацию невозможно. . . MIFARE™ Security Layer PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 31

Преимущества SIO. Из-за того, что SIO привязан с конкретной карте Mifare, невозможно сделать её копию (склонировать карту). MIFARE™ Security Layer CSN 1234 CSN 999 PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 32

Преимущества SIO. Из-за того, что SIO привязан с конкретной карте Mifare, невозможно сделать её копию (склонировать карту). CSN 1234 CSN 999 MIFARE™ Security Layer CSN 1234 CSN 999 PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 33

Ключи к носителю (Media Keys) Обычно SIO записывается в память карты, например, i. CLASS SE, Mifare Classic SE или Desfire EV 1 SE. В зависимости от технологии, SIO будет храниться: 1. В секторе карты Mifare Classic 2. В Application area карты i. CLASS 3. В файловой структуре карты Desfire EV 1 Поэтому, требуются ключи доступа к памяти карты. PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 35

Ключи к носителю (Media Keys) Обычно SIO записывается в память карты, например, i. CLASS SE, Mifare Classic SE или Desfire EV 1 SE. В зависимости от технологии, SIO будет храниться: 1. В секторе карты Mifare Classic 2. В Application area карты i. CLASS 3. В файловой структуре карты Desfire EV 1 : Sector Keys (A & B) : Application Key : Application & File Keys PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 36

Управление ключами. Key Set 2. “Стандартные” ключи для SIO Ключ AES 128 и другие относящиеся к структуре SIO ключи “Стандартные” ключи для доступа к носителю SE Mifare Classic SE A & B Keys Mifare DESfire EV 1 SE Application and file keys i. CLASS SE Application key PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 38

Управление ключами. Key Set 1. “Стандартные” ключи для SIO Ключ AES 128 и другие относящиеся к структуре SIO ключи “Стандартные” ключи для доступа к носителю SE + классический i. CLASS Mifare Classic A & B Keys Mifare DESfire EV 1 Application and file keys i. CLASS SE Application key Классический i. CLASS Application key Ключи доступа к носителю, используемые для i. CLASS SE, отличаются от классического i. CLASS. Вот почему требуется другой набор (Key set 1) в случае, если требуется совместимость считывателя i. CLASS SE с классическими картами i. CLASS. PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 39

Управление ключами. Key Set 2. Считыватели i. CLASS SE с набором ключей Keyset 2 могут читать все виды карт SE: Keyset 2 Media Keys • Mifare SE media keys • i. CLASS SE media keys • DESfire EV 1 SE media keys Mifare SE i. CLASS SE DESfire EV 1 SE Keyset 2 SIO Keys • Ключи для декодирования • Аутентификационные ключи Ключи безопасно хранятся в аппаратном модуле SAM PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 40

Управление ключами. Key Set 1. Считыватели i. CLASS SE с набором ключей Keyset 1 могут читать все виды карт SE И классические карты i. CLASS (в набор ключей для доступа к носителю добавлены соответствующие ключи для классического i. CLASS): Keyset 1 Media Keys • Mifare SE media keys • i. CLASS SE media keys • DESfire EV 1 SE media keys • Standard i. CLASS media keys Mifare SE i. CLASS SE Keyset 1 SIO Keys DESfire EV 1 SE • Ключи для декодирования Классические i. CLASS • Аутентификационные ключи Ключи безопасно хранятся в аппаратном модуле SAM PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 41

Совместимость считывателей и карт i. CLASS SE i. CLASS SR i. CLASS Standard Keyset 1 + интерпретатор “T” Да Да Keyset 2 + интерпретатор “N” Да Нет Нет Keyset 1 + интерпретатор “N” Да Да Нет Keyset 2 + интерпретатор “T” Да Нет Да PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. Mifare CSN 42

Управление ключами. Elite. Уникальные ключи для SIO, созданные для конечного заказчика Ключ AES 128 и другие относящиеся к структуре SIO ключи Уикальные ключи для доступа к носителю SE и классическому i. CLASS Mifare Classic A & B Keys Mifare DESfire EV 1 Application and file keys i. CLASS SE Application key Классический i. CLASS Application key Есть возможность добавить ключи Elite для SIO и SE к уже существующим у заказчика ключам Elite для классического i. CLASS PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 43

Управление ключами. Elite. Считыватели i. CLASS SE с набором ключей Elite могут читать все виды карт SE и классические карты i. CLASS SE, которые запрограммированы с соответствующими ключами Elite: Elite Media Keys • Elite Mifare SE media keys • Elite i. CLASS SE media keys • Elite DESfire EV 1 SE media keys • Elite i. CLASS media keys Elite Mifare SE Elite i. CLASS SE Elite SIO Keys Elite DESfire EV 1 SE • Elite Decryption keys Elite Standard i. CLASS • Elite Authenticity keys Ключи безопасно хранятся в аппаратном модуле SAM PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 44

SIO. Портируемость. Поскольку SIO является защищенным объектом, его можно транспортировать безопасно. И его использование больше не ограничивается только смарт-картами. PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 46

SIO. Портируемость. Это позволит использовать, например, “облачные” технологии для кодирования SIO в карты во время печати на принтерах Fargo. PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 47

Вопросы? PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 50

Спасибо PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution. 51

PROPRIETARY INFORMATION. An ASSA ABLOY Group brand © 2013 HID Global Corporation/ASSA ABLOY AB. All rights reserved. Contents are confidential and proprietary and not intended for external distribution.