智慧城市网

1 背景：
      目前我国80%的门禁产品均是采用原始IC卡的UID号或ID卡的ID号去做门禁卡，没有去进行加密认证或开发的密钥，非法破解的人士只需采用专业的技术手段就可以完成破解过程。导致目前国内大多数门禁产品都不具备安全性原因之一，是因为早期门禁产品的设计理论是从国外引进过来的，国内大部分厂家长期以来延用国外做法，采用ID和IC卡的只读特性进行身份识别使用，很少关注卡片与门禁机具间的加密认证，缺少安全密钥体系的设计，而ID卡是很容易可复制的载体，导致此类门禁很容易在极短时间内被破解和复制。
2 未来市场主流--CPU卡安全门禁系统
      有效防范门禁产品安全问题的根本解决方案就是升级改造现有ID卡或逻辑加密卡门禁机具及卡片，并逐步将ID或逻辑加密卡门禁产品替换为更为安全可靠的CPU卡安全门禁产品。
      需要从三个方面应用CPU卡安全门禁产品，包括CPU卡及COS系统、CPU卡门禁读卡器、CPU卡密钥管理系统。
2.1 CPU卡密钥管理系统
      在以IC卡为应用载体的信息系统中,密钥的管理是整个系统安全运行的基础。密钥管理系统的主要任务是进行密钥的生成、发行和更新，它直接关系到整个系统的安全。客户能过此软件自行生成和管理各类应用密钥，自行完成卡片的初始化工作，保证了客户拥有密钥管理和发卡的主动权。
      密钥管理功能
      密钥的数据可以是AB码单、密钥种子等形式。AB码单实际上是密钥种子的一种形式，它将种子数据分成两部分，分别由两个人控制，这样可以提高系统的安全性。通过密钥管理系统生成以下几个重要密钥：
      用户卡结构中主要存在以下两个密钥文件及相应的几个密钥：
      MF下的密钥文件（简称KMF），其装载的密钥是卡片主控密钥（简称CCK，以下同）；
      ADF下的密钥文件（简称KADF），其装载的密钥有应用主控密钥（简称ACK，以下同）,应用维护密钥（简称AMK），及其它应用密钥；
      其它密钥，如口令密钥PIN，口令解锁密钥，DES运算密钥等等。
      卡片初始化功能
      CPU卡的卡片初始化系统，实现CPU卡的密钥灌装和卡内结构初始化的工作。建立卡片文件结构、安装各工作密钥等卡片初始化工作。
      PSAM卡的卡片初始化和发行工作，装载各类CPU卡工作密钥。
2.2 CPU卡门禁读卡器
      CPU卡门禁读卡器将安全认证机制引入门禁控制领域。采用支持CPU卡并且支持PSAM卡（读卡器本身带SAM卡插槽）的门禁读卡器，应用PSAM卡安全认证读写机制，极大地提高了传统门禁读卡器的安全级别。
2.2.1 安全优势：
      CPU卡安全门禁读卡器采用SAM（PSAM）与CPU卡的安全认证，建立了完整、严密的密钥管理系统，充分使用了CPU卡安全特性，包括CPU卡和SAM卡的密钥系统。密钥注入SAM卡后，外部无法读取。将SAM卡插入读卡设备内，通过SAM卡和CPU卡进行双向验证。验证报文是由随机因子参与计算的，同一张卡在一台设备上刷卡，每次都不相同，*杜绝“伪卡”的出现。
      在门禁读卡器中安装SAM卡座，所有的认证都是由安装在SAM卡座中的SAM卡进行运算的。PSAM卡一般支持标准DES和3DES算法，并可以根据密钥长度自动选择算法，具有明文加MAC、密文、密文加MAC三种方式的数据和密钥线路保护功能。
（本文转自电子工程世界：http://www.eeworld.com.cn/afdz/2010/0802/article_2841.html）