IT和門禁系統融合解決方案解析
2024/6/17 8:45:08點擊：
使用單一身份憑證卡保障訪問IT和門禁系統的安全
越來越多的機構采用新的業務模型，在這些模型中，單一證卡或智能手機可以支持多種門禁方式及用于多種場景和多種身份融合。用戶攜帶獨立證卡或其他設備既可用于開門、登錄電腦和基于云端應用，同時也能夠實現其他高價值的應用，包括電子支付、考勤管理和安全打印管理等。
在這一套流程中，為單一證卡或智能手機提供IT和門禁系統憑證卡的需求日益增加。除了便利性外，將憑證卡融合到單一證卡或設備也可以顯著提高安全性并降低運營成本。此外，還可以集中管理身份和門禁，整合任務，使機構快速、有效地在其基礎設施內使用強大的身份驗證，以保護所有重要的門禁和IT資源。
新的集成憑證卡管理模型使組織朝四個重要方向發展：從證卡到智能手機；從讀卡器到更方便的輕觸式門禁；從公開密鑰基礎設施（PublicKeyInfrastructure，簡稱PKI）到更安全的簡化解決方案；以及從傳統PKI到真正融合的強大身份驗證門禁。
本白皮書專注于與IT和門禁融合解決方案相關的促成因素、挑戰、部署選擇和結果，也介紹了使用云端應用及服務、數據訪問和門禁應用時，無縫用戶體驗的價值所在。此外，本白皮書還解釋了將集中用戶身份用于多個IT安全應用和門禁系統的統一注冊流程的優勢。
了解融合的促成因素
以前，各個機構專注于在周邊建立強大的安防系統，以保護他們的門禁和IT資源。傳統的門禁方法依靠用戶出示ID卡進入大樓，然后在大樓內部，使用靜態密碼驗證身份以訪問IT資源。鑒于目前的高級持續性威脅（AdvancedPersistentThreat）的性質以及與自帶設備（BringYourOwnDevice）相關的所有內部風險，這些安全訪問方法存在不足。
機構要求能夠在他們的基礎設施內更好地控制訪問和使用強大的身份驗證，以作為他們多層安全策略的一部分。但是，為企業數據保護選擇有效的身份驗證通常非常困難。市面上可用的絕大部分解決方案，或者在安全性方面存在問題，或者為機構帶來的成本和復雜度問題，或者為用戶帶來體驗方面的不足。
員工希望方便地使用單一證卡或設備即可快速、輕松地訪問其業務所需的資源。而為了實現該目標，機構必須部署一個可以保障從出入到訪問公司計算機、數據、應用和云端的整體安全解決方案。他們必須將傳統上獨立的門禁和IT安全整合到一起，以協調管理用戶的身份和門禁。
融合門禁的價值
真正融合的門禁包括一個安全策略、一個身份憑證卡和一個審核日志。一些組織通過定義門禁和資源使用權限的單一策略、單一主用戶庫以及用于簡化報告和審計的單一日志記錄，已經成功地實現了用戶管理的融合。該方法可幫助企業：
？提供便利性替換一次性密碼（OneTimePassword，簡稱OTP）設備應用，用戶無需攜帶多個設備或重新輸入OTP，即可訪問他們所需的所有門禁和IT資源。
？提高安全性在整個IT基礎設施的關鍵系統、應用甚至大門上實現強認證（而不是僅僅在周邊）。
？降低成本減少對多種門禁解決方案的投資，集中管理，并且將任務整合到包括發證、換證和注銷證件的整套管理和流程中。
探索多種部署方案
在融合的門禁模式中，身份憑證卡可通過多種形式頒發，例如射頻卡、智能卡（如ID卡），甚至智能手機。根據企業的要求和現有基礎設施，建立該解決方案有多種方法。以下是三種*常見的模式：
使用非接觸式接口的單一（非PKI）憑證卡用于計算機桌面登錄和門禁
門禁基礎設施（讀卡器、控制器等）不受影響
非接觸式讀卡器以及安裝到工作站上的軟件使現有的門禁證卡用于計算機桌面登錄
傳統非接觸式證卡：使現有的基于證卡的門禁系統利用iCLASS？、iCLASSSeos？MIFARE？和MIFAREDESFire？等技術，將身份驗證擴展到企業網絡和應用。軟件需部署到*終用戶的工作站，并將非接觸式讀卡器連接至或嵌入到該工作站，由此無需實際插入讀卡器即可讀取該證卡。這為用戶帶來了便利，他們可以使用相同的證卡開門、輕觸登錄個人電腦或便攜式電腦，從而訪問他們的計算機、公司應用程式和云端服務。
該方法不使用通過證書授權將公開密鑰和用戶身份捆綁到一起的PKI.用于美國聯邦機構的PKI強認證，是各個聯邦機構及其承包商的計算機桌面登錄和數字文檔簽名的關鍵元素。數字證書包括用戶公開密鑰，其保存在個人身份驗證（PersonalIdentificationVerification，簡稱PIV）卡上，該證卡利用了智能卡和生物識別技術（一種數字簽名的指紋模板），并且支持多因子驗證方法。除了依賴共享的身份驗證密鑰，也可以使用一對公開密鑰和私人密鑰，這些密鑰聯系到一起，以便一個密鑰擁有的信息只能使用另一個密鑰進行解碼或驗證。FederalBridge用于建立相互認證機構的PKI之間的互信渠道（即，單獨和獨立的基礎設施，每個擁有自身的根證書授權），從而保障參與FederalBridge的政府機構之間安全交換數字簽名和證書。
傳統的非接觸式方法解決了PKI的許多關鍵管理挑戰，但是該方法支持的應用有限，并且無法提供與PKI解決方案一樣的安全強度。非接觸式PKI模型正部署到醫院、學校和其他應用環境中，在這些環境中，多個用戶需要快速接連訪問相同的工作站。此外，該模型還被用于過渡解決方案，法令要求工作站和應用受到強認證的保護，例如刑事司法信息系統（CJIS）。
雙芯片證卡：在智能卡上嵌入非接觸式芯片用于物理門禁，嵌入接觸式芯片用于計算機桌面登錄。使用卡管理系統（CredentialManagementSystem，簡稱CMS），可以在接觸式芯片上管理PKI證書和OTP密鑰等憑證卡。
接觸式讀卡器以及工作站上加載的中間件使PKI憑證卡能夠用于計算機桌面登錄
門禁基礎設施（讀卡器、控制器等）不受影響
兩個獨立的芯片集成到一個證卡上。非接觸式芯片包含門禁憑證卡，接觸式芯片包含用于計算機登錄的PKI憑證卡
雙芯片證卡模型在內部網絡擁有敏感的知識產權或有客戶數據的大中型企業中廣受歡迎，因為該模型可以提供強大的安全性。此外，該模型使企業能夠簡化IT安全基礎設施的管理，并利用現有的門禁投資，因為在許多情況下，CMS可以直接集成到門禁管理系統（通常被稱為門禁頭端）中。
雙接口芯片證卡：利用單一的PKI芯片，擁有接觸式和非接觸式接口，以支持門禁和計算機桌面登錄。該證卡可以支持接觸式讀卡器，用于計算機桌面登錄應用，例如登錄計算機或為電子郵件簽名，也支持PKI身份驗證，用于門禁。
接觸式讀卡器以及工作站上加載的中間件使PKI憑證卡能夠用于計算機桌面登錄
門讀卡器必須升級。
證卡上僅擁有一個芯片，保存PKI憑證卡。該芯片同時擁有接觸式和非接觸式接口。
雙接口證卡模型主要適用于美國聯邦政府組織，OMB-11-11法令要求將FIPS201規定的PIV憑證卡用于門禁。默認情況下，非接觸式接口上的PKI用于門禁會導致效率降低。為了解決該問題，FIPS201-2計劃允許使用有關身份驗證和密鑰商定協議的隱私訪問控制身份和票務開放協議（OPACITY），這將使關鍵任務的效率提高大約四倍。它還將提供安全的無線通信，從而允許用戶在非接觸式接口使用PIN和生物識別技術。這將進一步加強門禁和計算機桌面登錄的身份驗證。
為大門增加強身份驗證
融合的一項重要優勢是，組織能夠利用現有的身份憑證卡投資，在公司網絡、系統和大門上，建立完全互操作的多層安全解決方案。強認證不僅越來越多地用于遠程登錄，而且還用于桌面計算機、關鍵應用、服務器、云端系統和設施。這將要求為出入口增加強身份驗證。
實施強大身份驗證的場所之一是用戶持有PIV卡的聯邦機構。為了使用PIV卡進入大樓，根據認證中心提供的證書撤銷列表檢查PIV卡的數字證書。PKI身份驗證是一種非常高效且可互操作的方法，不僅用于計算機桌面登錄以保護數據，而且用于門禁以保護設施，后者被稱為出入口PKI。
隨著預算的批準，聯邦機構正在分階段實施出入口PKI.為了確保實現該目標，他們正在配置基礎設施，以便當條件就緒時，使基礎設施快速、輕松地升級到PKI強大身份驗證方式，以用于門禁。例如，他們首先將PIV持卡人注冊到前端系統中，然后部署美國總務管理局（GeneralServicesAdministration）規定的過渡性讀卡器。該讀卡器無需使用任何FIPS-201身份驗證技術，即可讀取證卡的*一識別符，并且將其與注冊的持卡人匹配。以后，可以現場重新配置這些過渡性讀卡器，以支持多因子身份驗證。
隨著FIPS201的發展以及越來越多的產品的支持，預計出入口PKI將被廣泛采用。此外，將有機會使用商業身份驗證（CommercialIdentificationVerification，簡稱CIV）卡以較低的成本部署PKI.CIV卡在技術上與PIV卡相似，但是不包括與聯邦政府所信任的額外要求。與聯邦機構不同，CIV卡用戶不需要從可信方購買證書，或支付年度維護費用，而是生成自身的證書。雖然為證書存儲增加額外空間使證卡增加少量成本，但該少量成本將帶來有價值的額外優勢更強大的出入身份驗證。以城市機場為例，該場所將能夠同時使用CIV證卡和聯邦交通安全管理局（TransportationSecurityAdministration）員工攜帶的PIV證卡。機場管理層將能夠建立單一的門禁系統，以同時支持機場員工和在機場工作的聯邦機構員工，并且通過強認證確保更高的安全性。
在整個門禁和計算機桌面登錄基礎設施中擴展強認證，對企業至關重要。機構需要一系列的身份驗證方法，以及輕松支持不同用戶并保護不同資源的靈活性。通過簡單易用的解決方案，企業可以從托管設備和非托管設備，安全訪問企業資源。企業無需建立或維護多個身份驗證基礎設施，即可使用單一的解決方案安全訪問從設施、大門、復印機到VPN、終端服務、云端應用的所有企業資源。
移動設備何去何從？
眾所周知，用戶越來越多的使用移動設備，并且將自帶設備（BYOD）帶入機構環境中，使用智能手機、筆記本計算機和平板電腦訪問所需的企業資源。根據ABI的統計，截止2015年，將有70億臺無線設備接入網絡，這接近于全球每人一部移動設備。
各個組織正在努力支持這些移動設備的接入，同時尋找將用戶的移動設備作為攜帶門禁和計算機桌面登錄憑證卡平臺的方法。目前已有試點單位（例如亞利桑那州立大學的一個設施）證明了使用手機攜帶門禁憑證卡的可行性。聯邦政府也正在考慮移動門禁。FIPS-201-2預計包括一些擴充部分，例如，可以在手機安全元件（SE，與證卡使用相同的加密服務）中攜帶的派生憑證卡概念。
移動門禁要求重新考慮如何管理門禁憑證卡以及如何將他們移植到智能手機的問題，以便機構可以選擇在他們的門禁系統中使用智能卡或移動設備。為此，HIDGlobal為其iCLASSSE？平臺建立了一個新的數據模型，稱為SecureIdentityObject？（SIO？），該數據模型可以在任何設備上代表多種形式的身份信息，這些設備能夠在公司的TrustedIdentityPlatform（TIP）安全邊界和中央身份驗證管理生態系統內進行工作。TIP使用安全信道在通過驗證的手機、手機安全元件、其他安全介質和設備之間傳輸身份信息。TIP和SIO的集成不僅提高了安全性，而且提供了適應未來需求的靈活性，例如為卡添加新的應用。它旨在提供可靠的安全性，因此在BYOD環境中特別具有吸引力。
通過移動門禁模型，智能手機可以支持任何門禁數據，包括用于門禁、電子支付、生物識別、PC登錄以及許多其他應用的數據。身份驗證憑證卡將存儲到移動設備的安全元件上，而云身份提供模型將消除憑證卡被復制的風險，同時使發行臨時憑證卡、取消掛失憑證卡、監控和修改安全參數更輕松。用戶將能夠在手機上攜帶多種門禁憑證卡以及OTP電腦登錄密鑰，這樣他們只需輕觸個人平板電腦，即可完成身份驗證登錄網絡。通過將手機上的移動密鑰和云應用單點登錄能力集成到一起，可以將傳統的雙因子身份驗證和精簡的多個云應用登錄整合到用戶很少丟失或遺忘的單一設備上。此外，同一部手機也可以用于開門和許多其他應用。
由于用于門禁和計算機桌面登錄的手機和其他移動設備通常不屬于機構，因此需要解決一些挑戰。例如，當學生從大學畢業時，不會向學校上交手機，同樣當員工辭職時，員工也不會向公司上交手機。在保護企業數據和資源的同時，保障BYOD用戶的個人隱私也非常關鍵。IT部門無法有效控制這些自帶設備，或者設備所攜帶的具有潛在危險的個人應用，并且也不太可能將帶有殺毒軟件和其他防護軟件的標準鏡像加載到自帶設備中。我們需要尋找解決這些挑戰以及其他挑戰的創新途徑。盡管存在風險，使用配備安全元件或類似保護設備的手機，為建立強大的新身份驗證模型提供了機會，使手機成為憑證卡的安全、便攜的存儲庫，這樣手機既可以應用于遠程數據訪問的輕觸強認證，也可以應用于大樓或公寓的門禁，應用前景非常廣闊。
移動性正推動融合，門禁安全小組和IT安全小組針對移動性合作提出新的解決方案。*終提出的解決方案以高性價比的方式輕松管理手機上門禁卡和IT訪問憑證卡，同時提供與使用實體證卡相同的安全性。
實現真正融合的優勢
將門禁和IT資源訪問集成到單一設備上，可以用于許多應用，因而改善了用戶體驗，同時提高了安全性并降低了部署和運營成本。未來將不再需要多個提供和注冊IT和門禁身份的獨立流程。取而代之的是在單一身份管理中采用一個統一工作流程，從而實現機構的融合。各個機構將能夠保障大樓和IT資源的無縫安全訪問，例如計算機、網絡、數據和云端。一個有效的解決方案將能根據需要擴展以保障其他資源的安全訪問，以支持完全互操作的多重安全策略，并可在當前和未來保護機構的大樓、網絡、系統和應用的安全。
- 上一篇：分體式門禁系統分析 2024/6/17
- 下一篇：光纖傳感器在電機監測中的安裝分析 2024/6/15
