NFC 技術(shù) 帶領(lǐng)門(mén)禁系統走向更安全及移動(dòng)的模式

　　過(guò)去數十年，我們采用塑膠卡片驗證身份以及其他一卡通的應用，但隨著(zhù)智能手機的流行，用戶(hù)期望以更便利的方式來(lái)完成這些應用。NFC技術(shù)的出現恰好應對了這方面的訴求，NFC 技術(shù)能夠在幾厘米的近距離內實(shí)現數據交換，從而為支持NFC的手機實(shí)現多種非接觸式應用和交易，包括付款和公交車(chē)票、鑰匙(門(mén)禁卡)、數據傳輸(包括電子商務(wù)卡)以及瀏覽網(wǎng)絡(luò )資料。

　　目前NFC 技術(shù)的應用集中在電子支付，但未來(lái)NFC技術(shù)將進(jìn)一步融合到門(mén)禁解決方案，從而為安防市場(chǎng)帶來(lái)的新的發(fā)展機會(huì )。用戶(hù)只需將虛擬憑證卡配置到NFC 手機中，就能開(kāi)啟門(mén)禁。這不僅免去了用戶(hù)攜帶其他門(mén)禁憑證卡的麻煩，而且安全經(jīng)理能輕松監控出入口人員的進(jìn)出。同時(shí)，基于 NFC 的門(mén)禁系統將創(chuàng )造一個(gè)更便捷安全交易平臺。安全經(jīng)理不但能遠程發(fā)送、更改及注銷(xiāo)虛擬憑證卡，而此平臺是建基于標準的身份驗證系統，能支持各種身份驗證節點(diǎn)(包括讀卡器、證卡、配備 NFC 的手機等)注冊為“可信節點(diǎn)”，確保在世界任何地點(diǎn)都能安全地進(jìn)行配置。

　　NFC 技術(shù)在門(mén)禁領(lǐng)域的的全球化應用與發(fā)展

　　隨著(zhù)用戶(hù)對移動(dòng)性的日益增長(cháng)，NFC 技術(shù)正被廣泛應用于多個(gè)領(lǐng)域包括移動(dòng)支付與交易、交通付費、客戶(hù)忠誠度計劃及網(wǎng)絡(luò )信息訪(fǎng)問(wèn)等。越來(lái)越多的移動(dòng)設備廠(chǎng)商如諾基亞、三星(谷歌)、Research in Motion(RIM)、LG和中興通訊正陸續推出的支持NFC的手機，這將進(jìn)一步促進(jìn)NFC 技術(shù)在移動(dòng)門(mén)禁領(lǐng)域的應用與發(fā)展。

　　瑞典斯德哥爾摩 Clarion 酒店內部首次試用NFC 技術(shù)，用支持 NFC 的手機取代酒店房卡。Clarion酒店與 HID Global 母公司 ASSA ABLOY、Choice Hotels Scandinavia、TeliaSonera、VingCard Elsafe 以及Giesecke & Devrient合作，挑選出部分 Clarion 酒店客人作為參與對象，并向其提供具備 NFC 功能和相關(guān)軟件的三星手機，客人在到達酒店前可使用手機登記入住，同時(shí)間數碼房卡會(huì )發(fā)至客人的手機。抵達后，客人不必排隊登記便可直接入住，將手機貼近門(mén)鎖便可打開(kāi)房門(mén)。離開(kāi)房間時(shí)，房門(mén)會(huì )自動(dòng)鎖上，客人通過(guò)手機直接辦理退房手續。

　　此外，HID Global在企業(yè)成功進(jìn)行移動(dòng)門(mén)禁試驗，驗證了員工能夠用支持NFC智能手機開(kāi)門(mén)，而且不影響企業(yè)的安全性。在Netflix公司美國總部進(jìn)行的移動(dòng)門(mén)禁實(shí)驗證明了用智能手機開(kāi)門(mén)優(yōu)點(diǎn)眾多，而且提高了安全性。讀卡器及憑證卡進(jìn)行雙重驗證，降低了憑證卡資料被竊取及重復被盜用的威脅，而因為只有用戶(hù)知道手機可當作鑰匙使用，并擁有進(jìn)入手機的密碼，以及知道怎樣激活手機內的虛擬鑰匙，而且大部分人都不會(huì )出借自己的手機，這可以防止虛擬憑證卡被濫用。

　　目前，NFC 技術(shù)在國內外的應用仍有待發(fā)展，要使技術(shù)普及就必須通過(guò)業(yè)界的廣泛合作。HID Global 已積極與NFC設備制造商合作，例如與日本索尼聯(lián)合推出了支持NFC 的非接觸式智能卡讀卡器平臺，專(zhuān)門(mén)應用于筆記本電腦和移動(dòng)設備，并通過(guò)在該平臺的安全組件存儲密鑰，保護身份信息存儲的可靠性與完整性，通過(guò)將門(mén)禁控制功能和近距離無(wú)線(xiàn)通訊(NFC)功能嵌入到筆記本電腦和其他移動(dòng)設備中，實(shí)現基于移動(dòng)設備的門(mén)禁控制、電腦安全登錄、車(chē)船機票費支付、銷(xiāo)售點(diǎn)收費和忠誠度計劃。

　　HID Global另與恩智浦半導體聯(lián)合推出全球通用的NFC手機移動(dòng)門(mén)禁解決方案。員工用來(lái)進(jìn)入公司大樓和車(chē)庫的非接觸式智能卡的功能，現在可以應用到支持NFC且儲存了虛擬門(mén)禁憑證卡的手機上。這些虛擬憑證卡儲存于手機中的恩智浦嵌入式Secure Element(eSE)元件中，能與當前廣泛使用的門(mén)禁控制讀卡器及系統兼容。HID Global的iCLASS SE讀卡器與恩智浦的MIFARE DESFire及NFC技術(shù)相結合，可確保門(mén)禁管理實(shí)現更高的互操作性，使企業(yè)加快NFC技術(shù)的應用。

　　身份驗證生態(tài)系統保障NFC 技術(shù)應用的安全性

　　為確保NFC技術(shù)應用的安全性，唯一方法就是提供完善的的監管鏈，保證各個(gè)終端之間身份信息安全交換，，對系統或網(wǎng)絡(luò )中的所有端點(diǎn)都能夠得以驗證。

　　HID 的Trusted Identity Platform™ (TIP) 作為一種身份驗證系統，可提供身份驗證傳輸框架，實(shí)現安全產(chǎn)品和服務(wù)的交付。它能夠將讀卡器、筆記本電腦、配備 NFC 功能的手機等其他產(chǎn)品轉換為可信賴(lài)的身份驗證節點(diǎn)，無(wú)論它們處于何種位置或采取何種連接方式，都可以安全地進(jìn)行信息交換。簡(jiǎn)單來(lái)說(shuō)，該基礎架構是一個(gè)中央安全庫，通過(guò)安全的網(wǎng)絡(luò )連接，并以公開(kāi)的加密密鑰管理安全政策為依據，為已知端點(diǎn)(如憑證卡、讀卡器和打印機)服務(wù)交付。

　　只有在實(shí)施了TIP節點(diǎn)協(xié)議后，端點(diǎn)才會(huì )啟用，進(jìn)而被“安全庫”識別并注冊為可靠的網(wǎng)絡(luò )成員。而后，該端點(diǎn)就可與“安全庫”進(jìn)行通信。憑證卡、讀卡器及打印機等端點(diǎn)通過(guò)軟件工作流程與“安全庫”進(jìn)行通信，其訪(fǎng)問(wèn)和處理規則都受到HID Global的“密鑰管理策略和規范”的嚴格管控——只有經(jīng)認證的設備才能夠加入該網(wǎng)絡(luò )(與任何計算機都可訪(fǎng)問(wèn)任何網(wǎng)站的互聯(lián)網(wǎng)不同)，從而形成了隱性的、嚴格的身份驗證機制。

　　各端點(diǎn)之間的TIP消息采用符合行業(yè)標準的加密方法進(jìn)行加密，以便進(jìn)行符合公開(kāi)安全政策的安全信息傳輸。這些TIP信息數據包由兩個(gè)嵌套的對稱(chēng)密鑰進(jìn)行保護，其中含有“安全身份驗證對象”(Secure Identity Object，簡(jiǎn)稱(chēng)SIO)信息。多個(gè)SIO可嵌套到一個(gè)TIP信息中，向各種不同的設備(如門(mén)禁卡、智能手機及計算機)提供多種指令。如有必要，每個(gè)設備都可具有不同的門(mén)禁控制特性。例如，最簡(jiǎn)單的SIO就是模擬iCLASS卡上的憑證程序數據。

　　“安全庫”與端點(diǎn)設備之間的驗證通過(guò)后，該設備在網(wǎng)絡(luò )中就被視為是“可信的”?？尚旁O備無(wú)需再與安全庫進(jìn)行通信，可以獨立工作。在這種方式下，各端點(diǎn)(如憑證卡及讀卡器)之間的信息傳輸是“可信的”，而由此產(chǎn)生的信息傳輸(例如打開(kāi)一道門(mén)或登錄到計算機)也就被視為是“可信的”。

　　NFC 移動(dòng)設備就可作為T(mén)IP端點(diǎn)而受到支持，因而能夠使用不同的SIO進(jìn)行編程，進(jìn)而實(shí)現模擬卡片或者更為復雜的應用，不但可以獲授權通過(guò)門(mén)禁系統，還可實(shí)施由其自身進(jìn)行解釋的復雜門(mén)禁控制規則。

　　門(mén)禁市場(chǎng)的移動(dòng)化與融合趨勢初露端倪

　　便攜式身份驗證憑證卡將方便用戶(hù)獲得、提供、分享和修改存放在電子錢(qián)包中的個(gè)人電子鑰匙。憑藉門(mén)禁控制信息和記錄保存與支持NFC的手機中、而不是在門(mén)鎖中，用戶(hù)更容易保障場(chǎng)所和物品安全。系統可遠程取消儲存于智能手機內的虛擬憑證卡，并重新發(fā)配憑證，以及更改能使用該虛擬憑證卡的人員及時(shí)間。

　　現在，越來(lái)越多的用戶(hù)正尋求“無(wú)約束”的安全體驗，可互操作、靈活以及將憑證卡應用于移動(dòng)設備的開(kāi)放標準的解決方案將成為用戶(hù)的新寵。用戶(hù)打開(kāi)辦公室大門(mén)或登錄企業(yè)電腦所需的所有身份信息都安全地嵌入在手機中，而不是儲存在可能遭遇復制或被盜的塑膠卡片中，而且用戶(hù)無(wú)需記住密碼(或將密碼寫(xiě)在便利貼上，然后再將便利貼粘到電腦顯示屏上)。

　　為支持這種趨勢，在支持NFC的手機將嵌入虛擬憑證卡，身份信息管理將轉移到云端, 用戶(hù)通過(guò)自備終端(Bring Your Own Device)自由登錄軟件即服務(wù)(Software as a Service)以及企業(yè)內部應用程序，并利用自備的NFC手機實(shí)現門(mén)禁應用。同時(shí)，移動(dòng)門(mén)禁解決方案通過(guò)支持開(kāi)放標準，提供可互操作的產(chǎn)品以及有效應對未來(lái)變化的門(mén)禁基礎設施，進(jìn)而確保企業(yè)未來(lái)仍可利用今天的技術(shù)投資，減低投資費用，并提升門(mén)禁系統管理的便利與管理效率。

　　另一方面，在卡片以及在支持NFC的移動(dòng)設備層面上，門(mén)禁系統都將繼續融合。用戶(hù)越來(lái)越希望無(wú)需使用一次性動(dòng)態(tài)密碼 (One-time Password Token) 或密鑰卡，僅用單一憑證卡就能開(kāi)樓門(mén)、登錄網(wǎng)絡(luò )、訪(fǎng)問(wèn)應用和其他系統以及安全地遠程訪(fǎng)問(wèn)網(wǎng)絡(luò )。使用單一憑證卡更加方便，而且能在整個(gè)IT基礎設施內的關(guān)鍵系統和應用進(jìn)行強大身份驗證，因此極大地改善了安全性。這種方式使企業(yè)能利用現有憑證卡投資，增加電腦桌面網(wǎng)絡(luò )登錄，并在企業(yè)網(wǎng)絡(luò )、系統和設施建立一個(gè)完全可互操作的、多層的安全解決方案，降低部署和運營(yíng)費用。融合解決放案還有助于企業(yè)滿(mǎn)足監管要求，執行一致的政策，在企業(yè)內實(shí)現一致的審計記錄，同時(shí)通過(guò)合并任務(wù)來(lái)削減費用。

　　移動(dòng)門(mén)禁解決方案是理想的融合平臺。隨著(zhù)NFC的采用，用戶(hù)將更有興趣將非接觸式卡片技術(shù)的應用擴展到樓宇門(mén)禁領(lǐng)域以外，進(jìn)一步將其應用到IT領(lǐng)域的身份驗證上。門(mén)禁安全團隊與信息安全團隊將開(kāi)始更緊密地合作。手機應用將產(chǎn)生一次性動(dòng)態(tài)密碼或通過(guò)短信接收這種密碼，各種其他門(mén)禁密鑰和虛擬憑證卡將通過(guò)便利的、基于云的配置模式，從空中發(fā)送到手機，這種配置模式消除了憑證卡被復制的風(fēng)險，并可發(fā)行臨時(shí)憑證卡、取消丟失或被盜的憑證卡，以及在需要時(shí)監視和修改安全參數。這種趨勢還有助于改善生物識別模式的經(jīng)濟效益，它將智能手機變成了儲存模板的便攜式數據庫，可簡(jiǎn)化系統啟動(dòng)，跨多個(gè)地點(diǎn)支持無(wú)限多的用戶(hù)群，消除模板管理所需的冗余布線(xiàn)要求。不過(guò)，這種趨勢還將導致需要充足的云端安全數據，這樣智能手機才能用來(lái)登錄網(wǎng)絡(luò )和應用。至于應對數據向云端的遷移，最有效的方式有可能是聯(lián)合身份信息管理，采用這種方式，用戶(hù)在一個(gè)中央門(mén)戶(hù)接受身份驗證，就可訪(fǎng)問(wèn)多種應用。

　　受目前NFC 技術(shù)的普及及相關(guān)產(chǎn)業(yè)鏈還有待完善，未來(lái)幾年中，支持NFC的智能手機不可能完全取代智能卡。NFC智能手機中的移動(dòng)門(mén)禁虛擬憑證卡將與智能卡和身份卡共存，以便企業(yè)能選擇，在其門(mén)禁控制系統中，是使用智能卡、移動(dòng)設備還是二者同時(shí)使用。