金融系统、监狱门禁专用虚拟换卡方案

    一、非接触式CPU卡门禁优势
 
    柏杰电子科技有限公司致力于研究自主知识产权的CPU卡读写设备及CPU卡密钥管理系统并产业化。 

    同时为了应对当前M1卡破解问题，柏杰电子于2008年底适时推出符合国家密码管理局国密算法的柏杰电子CPU卡安全门禁系列产品，并同时推出将原有ID卡或非接触逻辑加密卡门禁系统升级为更为安全可靠的非接触CPU卡改造方案。 

    二、非接触式CPU卡门禁特点 

    柏杰电子科技有限公司非接触CPU卡门禁系统采用的是动态密码，并且是一卡一密。
    拥有独立的CPU处理器和芯片操作系统，可以更灵活地支持各种不同的应用需求，更安全地设计交易流程，比如密钥管理、交易流程、SAM卡以及卡片个人化等 

    三、虚拟换卡

    单一卡片多防区门禁控制分区切换权限 

    为配合监狱及银行系统高保密性及高安全性要求。我公司针对分区门禁管理模式进行创新型管理，从而达到虚拟换卡——实体变更权限、分区控制的安全性要求特性。
 
    综合AB门方案及分区分权限控制的方法，我公司特推出虚拟换卡单一卡片多防区门禁控制方案，从而使传统的门禁系统更具人性化和安全性。 

    3.1系统需求的来源——传统监狱门禁管理系统设计的不足 

    传统监狱门禁管理系统以IC卡技术为核心，用户通过一张或多张IC卡完成出入口进出管理、狱警的巡逻管理及外来车辆人员进出管理等功能。针对监狱门禁的不同组成区域采用不同的门禁产品和管理模式，如监狱二道门采用二道门专用控制器来管理，监狱过道采用过道专用控制器，而针对监舍则采用监舍门控制器，各系统集成到一个系统和平台来管理。 

    1、监狱二道门门禁设计：二道门采用AB门的控制方式，采用感应读卡及密码的双重验证，具有防潜入的功能。
    2、 监区过道门门禁设计：持有民警感应卡的本监区的民警进入本监区通道门时，必须刷卡，经过系统的验证，进入监区大门，出门必须刷卡并加密码验证。系统判别人员身份和状态，系统给予大门开或关。
    3、 监舍门门禁管理功能：每个监区的监舍门由本监区的民警控制。 

    各监区的民警只能打开本监区的监舍门(采用民警卡加密码)，并有记录。

    3.2改进后的监狱门禁网络架构体系 

    但继江西兴国看守所8名疑犯集体越狱到内蒙古4名在押人员袭警越狱，近些年出现了不少离奇的越狱事件。究其原因，无外乎以下几点：第一，防范意识不够；第二，安防产品良莠不齐；第三，安防工程流于形式；第四，安防管理体制不完善。 

    由于监狱、看守所本身的特殊性，其安防系统在安全可靠性方面的要求明显比其他行业高很多，这使得监狱安防涉及的领域非常广泛，除了视频监控，还涵盖围墙周界、AB门、高压电网、报警、巡更、门禁、对讲、宣教广播等方面，可以说无所不包。由监所公共场所和公共通道门禁，闭路监控、电子巡更等子系统构成监所的第二级安全防范体系往往得不到重视，监所门禁建设管理现代化是保障看守所、监狱、戒毒所安全的必要基础。 

    在公安干警及安防门禁行业技术人员的共同努力下，大家对监狱门禁的流程进行了适当的调整和完善，即在办公区或过道门与舍监门之间设立一道人为门岗进行换卡操作，从而避免出现人员直进直出的现象。 

    假定A区为公共办公或过道区域，B区为监舍敏感安全区域。 

    当人员进入A区时，相关人员按正常操作对办公区域的门禁进行管理使用。因为B区为敏感安全区，在A区办公人员未经授权不被接受其区域内门禁功能，其进入B区前需在中转区经安保人员对身份进行确认后再行换卡进入B区。 

    从B区出来后同样必须身份核实和换取卡片后方才可进入到A区。 

    因此，在实际应用中很多关键区域人们普遍采用在中间设立值守人员，对进入中转区的持卡人员进行人工换卡，即针对每个需进入下一区域的人员另行发出一张卡片放在值守人员处分类存放，并对应人员进行记名分类，用手工方式进行管理。

    上述方案的优点：

    1、 防止非法人员持有合法人员的门禁卡进入或是出去；
    2、 人为制造卡片差异从而达到分区门禁控制的目的。 

    缺点：

    1. 安保人员的责任心决定系统的安全性高低，属人为控制方案；
    2. 合法人员卡片被恶意授权或非法侵权无法查证；（一旦出现人员卡被代用，则无法查证和追究相关责任人。）
    3. 进出时段缺乏系统的人员及时间记录和控制；
    4. 因操作人员失误而导致的卡片被带出或被带入的风险；
    5. 意外事件的发生使值守的干警或安保人员的生命安全受到胁迫。
    6. 必须设置专门岗位，增加管理成本和管理风险。 
    
    3.3非接触式CPU卡门禁管理方案之虚拟换卡方案 

    针对上述优势和不足，我司特制订CPU卡门禁管理方案之虚拟换卡方案：即计算机值守、强制身份认证及虚拟换卡门禁控制方案。 

    当人员进入原干警值守区域后，由门禁服务器对需进入舍监的人员进行虚拟换卡操作，通过改变卡片身份的方式变更相应区域的门禁权限；同时，当工作人员在其完成相应区域内的工作退出时需再次进行换卡操作，在取消监舍等敏感区域权限的同时恢复所在办公或过道区域的门禁管理权限。 

    非接触式CPU卡具有可读可写及密钥认证功能，门禁服务器在进行虚拟换卡时将进行密钥强制性认证。当对卡片认证出现疑问时则停止该卡片的一切操作，从而使犯罪分子无处遁形。 

    使用自动虚拟换卡后可以达到以下目的：
    1. 防止非法人员或非授权人员持有合法或被授权人员的门禁卡进入；
    2. 保证上述方案的公正无风险操作，自动对卡片的合格性进行审核，作好出入自动登记，提高工作效率；
    3. 彻底杜绝因两张卡片的操作而使同一人员的另一张卡片被带入或被带出的可能。数据服务器对进入的卡片进行自动换卡操作管理时，对进出入人员的卡片进行换卡登记，在外出时如不进行登记即无法操作相关区域的门禁；
    4. 同一卡片在不同区域的时效也可通过虚拟换卡操作得以控制，从而达到时效控制的目的；
    5. 避免安保人员的操作失误而出现拿错卡而非法开门的可能性。A区人员进出B区的权限由控制器管理人员进行过相应的授权，而非安保人员随意的人为操作行为，从而杜绝人情操作和取卡失误的可能；
    6. 管理人员可直接下达指令对门禁管理服务器的门禁管理权限进行实时变更，真正做到令行禁止；
    7. 当意外发生时，非法人员因对操作流程不熟悉，即使拾到其他人员的卡片也无法进行相关操作；
    8. 避免重复发卡带来的管理问题，杜绝了卡片流失；
    9. 工作人员会因为不需发行两张卡片而更方便使用，管理更简单；
    10. 虚拟换卡的操作可使门禁管理的实名制控制更容易；
    11. 持卡人刷卡开门时，只要遵循上述相关原则，管理效率可因此更高。 

    四、系统方案的产品配置 

    序号 产品名称 产品型号 数量 单价 小计 备注
    1. 门禁数据服务器： P4以上内存不少于1G，硬盘不少于80G 1 用户自备
    2. 虚拟换卡读写器 PK－608UG 1 800 根据使用地点及人数自定
    3. 虚拟换卡软件： ITPAKO—changecardV2.0 30000
    4. 数据库 SQL server2000或以上版本 用户自备.