Standard RS485 jest coraz powszechniej wykorzystywany w systemach kontroli dostępu. Pozwala on na podłączenie do kontrolera dużej liczby czytników oraz modułów wejść/wyjść za pomocą jednej pary przewodów. Takie rozwiązanie znacząco upraszcza okablowanie wymagane dla systemu kontroli dostępu, ale dla jego prawidłowej pracy wymagany jest odpowiedni protokół komunikacji.
Pierwszą decyzją przy projektowaniu protokołu komunikacji na szynie RS485 jest wybór jednego z dwóch typowych wariantów:
- Tylko kontroler może się odzywać nie pytany, pozostałe urządzenia mają prawo tylko odpowiadać. Kontroler musi cały czas odpytywać kolejne urządzenia, aby informacje docierały do niego. Przy dużej liczbie urządzeń mogą wystąpić zauważalne opóźnienia.
- Każde urządzenie ma prawo nadawać w dowolnej chwili, a więc wiadomości są wysyłane praktycznie natychmiast. Występuje znikome ryzyko zderzenia się ramek, gdy dwa urządzenia rozpoczną nadawanie prawie jednocześnie. Prawidłowo napisane oprogramowanie, w tym powtarzanie niepotwierdzonych wiadomości, rozwiązuje ten problem.
Wariant 1 idealnie nadaje się do sytuacji, gdy jedynie kontroler decyduje kiedy wiadomości mają być przesyłane (na przykład zbieranie co jakiś czas danych pomiarowych z wielu punktów).
Wariant 2 sprawdzi się lepiej, gdy potrzeba przesłania wiadomości może pojawić się w dowolnym z urządzeń na szynie. Z taką sytuacją mamy do czynienia w systemach kontroli dostępu – to użytkownicy decydują kiedy zbliżą kartę do czytnika, a nie kontroler.
Wprowadzając 30 lat temu szynę RS485 do naszego systemu kontroli dostępu uznaliśmy, że najlepszym wyborem będzie wariant 2. Tak powstał protokół MmBUS zastosowany w systemie kontroli dostępu bibinet.
Protokół OSDP
OSDP to nowy standard komunikacji RS485 w systemach kontroli dostępu. W 2020 roku został on przyjęty jako norma europejska EN IEC 60839-11-5:2020 i od tej pory występuje coraz większa presja na jego stosowanie. Oprócz niewątpliwych zalet jakie niesie wprowadzenie standardu, ma on niestety też swoje wady. OSDP narzuca wariant 1 komunikacji co wprowadza opóźnienia w przesyłaniu informacji. Komunikacja oparta jest na pollingu, czyli ciągłym odpytywaniu czytników przez kontroler. Odczytane z karty dane są przetrzymywane w czytniku, aż do przysłania zapytania z kontrolera. Przy większej liczbie czytników na szynie RS485 (a do tego właśnie jest szyna, żeby można było podłączyć dużo czytników) mogą powstać zauważalne opóźnienia w działaniu kontroli dostępu. Nie pomaga w tym standard OSDP, który pozwala na opóźnienia w odpowiedzi czytników, aż do 200 ms. Jak łatwo policzyć, wystarczy pięć takich „ospałych” czytników, i transmisja będzie wysłana z opóźnieniem nawet jednej sekundy.
Podobne opóźnienia będą przy przesłaniu informacji o naruszeniu czujnika sabotażu (tampera). Norma kontroli dostępu (PN-EN 60389-11-1) wymaga, aby ta informacja dotarła niezwłocznie – czy na pewno tak będzie? W systemach kontroli dostępu komunikacja oparta na pollingu (jak w OSDP) prowadzi do wzrostu aktywności na szynie RS485, z ułamka procenta do nawet 50%. Oznacza to wyraźnie większe zużycie prądu zasilania na komunikację, gdyż odbiór RS485 (czuwanie) wymaga poniżej 1 mA, a nadawanie co najmniej 40 mA. Ponad 90% tej energii jest zużywane bezproduktywnie na transakcje, w których kontroler dowiaduje się jedynie, że czytnik nic dla niego nie ma. Uwzględniając liczbę szyn RS485 działających cały czas w systemach kontroli dostępu na świecie można sobie wyobrazić skalę oszczędności energii możliwych do osiągnięcia poprzez rezygnację z pollingu.
Kolejnym problemem wprowadzanym przez OSDP jest konieczność nadania czytnikom indywidualnych adresów przed ich zainstalowaniem. Jest to wykonywane poprzez dołączenie kolejnych czytników pojedynczo do komputera. Dopiero tak przygotowany czytnik może być zainstalowany w miejscu zgodnym z nadanym adresem.
W obecnej wersji norma definiuje szyfrowanie komunikacji RS485, ale nie precyzuje sposobu zabezpieczenia komunikacji z kartą zbliżeniową. To trzeba zdefiniować samemu korzystając z możliwości rozszerzeń standardu.
System bezpiecznej identyfikacji MicroMade
Nie wszystkie problemy wynikające z zastosowania OSDP dają się wyeliminować. Nie można zrezygnować z pollingu wprowadzającego opóźnienia, ale można zbudować czytniki, które będą odpowiadały kontrolerowi „natychmiast” po przesłanym pytaniu. Można również ułatwić konfigurację czytników i wprowadzić bezpieczne karty. Firma MicroMade przygotowała system bezpiecznej identyfikacji MmSID dla protokołu OSDP. Czytniki tego systemu mogą być od razu instalowane w docelowych miejscach i dołączone do szyny RS485. Konfiguracja czytników jest wykonywana poprzez tymczasowe dołączenie do szyny MmSID Managera (w miejsce kontrolera). Potrafi on wyszukać wszystkie czytniki systemu MmSID, ustawia potrzebną prędkość transmisji oraz umożliwia nadanie im indywidualnych adresów zgodnie z wymaganiami kontrolera OSDP. Kluczowym urządzeniem w systemie bezpiecznej identyfikacji MicroMade jest MmSID KeySafe. W czasie konfiguracji instalacji losowane są lokalnie główne klucze kryptograficzne instalacji i wgrywane do KeySafe. Od tej chwili jest on źródłem zabezpieczenia kryptograficznego instalacji. Z głównych kluczy KeySafe generuje wszystkie klucze potrzebne przy programowaniu i odczycie kart.
KeySafe przygotowuje certyfikaty z kluczami do programowania kart, a program konfiguracyjny przesyła je do programatora. Programator MM-A70 jest integralną częścią instalacji kontroli dostępu. Programuje wszystkie karty w systemie wykorzystując dostarczone przez KeySafe indywidualne klucze danej instalacji.
KeySafe przygotowuje również certyfikaty z kluczami do odczytu kart dla wszystkich czytników instalacji. Tak przygotowane certyfikaty dosyłane są do czytników za pośrednictwem Managera. Czytniki wykorzystują otrzymane klucze do uwierzytelnienia do kart, odczytu danych z karty i ich deszyfrowania.
System bezpiecznej identyfikacji MmSID oparty jest o karty MIFARE® DESFire® (EV1, EV2). W systemie MmSID karty programowane są w taki sposób, aby uzyskać możliwie najwyższy poziom bezpieczeństwa:
- karta identyfikuje się losowym ID,
- wykorzystywany jest tylko algorytm AES128 (nie są wykorzystywane algorytmy DES),
- klucze kryptograficzne do uwierzytelnienia/odczytu danych z karty są dywersyfikowane – dla każdej karty użyte są inne klucze,
- dane na karcie są podpisane i zaszyfrowane z wykorzystaniem trybu CMAC_CTR z algorytmem AES128,
Zbudowany zgodnie z powyższym opisem system bezpiecznej identyfikacji MmSID dla protokołu OSDP charakteryzuje się następującymi właściwościami:
1) może współpracować z dowolnym kontrolerem obsługującym czytniki wykorzystując protokół OSDP (PN-EN 60389-11-5),
2) umożliwia budowanie systemu kontroli dostępu w 4 stopniu zabezpieczeń (najwyższym), zgodnie z normą PN-EN 60389-11-1,
a) szyfrowana komunikacja OSDP między kontrolerem a czytnikami,
b) obopólne uwierzytelnienie czytnik–karta z wykorzystaniem algorytmu AES128,
c) komunikacja z kartą w szyfrowanej sesji,
d) karty zabezpieczone przed nieautoryzowaną modyfikacją i kopiowaniem,
3) klucze kryptograficzne zapewniające bezpieczeństwo systemu generowane lokalnie przez administratora instalacji.
System MmSID zapewnia bezpieczeństwoidentyfikacji osób w systemach kontroli dostępua jednocześnie umożliwia wygodną instalacjęsystemu opartego o protokół OSDP.
MicroMade sp.j.
ul. Wieniawskiego 16,
64-920 Piła.
www.micromade.pl
Informacja prasowa.
