基于近場通信的物理訪問控制系統(tǒng)設(shè)計

劉春靜，張 磊，周 杰

（安徽信息工程學(xué)院 電氣與電子工程學(xué)院，安徽 蕪湖 241000）

近場通信（Near Field Communication，NFC）是以無線電技術(shù)為基礎(chǔ)，用一定頻率的電磁輻射波通過自由空間在很短的距離內(nèi)傳遞帶有信息的信號。NFC 是一組通信協(xié)議的總稱［1-2］，主要目的是支持兩個電子設(shè)備之間在10 cm 或更短距離內(nèi)的通信。NFC 是一種低廉的、具有簡單軟硬件配置的低速連接方式，可以很方便地充當(dāng)非接觸式驗證或支付系統(tǒng)的通信終端。NFC 通信頻段為13.56 MHz，傳輸速率可達到424 kbps，通信建立時間小于0.1 s，電流消耗小于15 mA，使用成本大約只有藍牙的五十分之一。

NFC 設(shè)備通常由三個部分組成，包括：1）簡易且廉價的電子標(biāo)簽，用于存儲一定容量的數(shù)據(jù)信息；2）內(nèi)嵌微處理器的非接觸式智能卡，能夠處理協(xié)議解析、加密解密等復(fù)雜的數(shù)據(jù)操作；3）可實現(xiàn)NFC 通信的用戶終端，如帶有NFC 功能的智能手機。NFC 設(shè)備之間的通信可以是有源的，也可以是無源的。有源設(shè)備配置有自己的供電電源，而無源設(shè)備則不需要電源；無源NFC 芯片所需的能量通過磁感應(yīng)從有源器件遠程接收。因此，為了確保能量的供給，只能在一個有源和一個無源設(shè)備之間或兩個有源設(shè)備之間進行NFC 通信。在第一種情況下，有源設(shè)備將連續(xù)產(chǎn)生射頻（RF）信號，該射頻信號被無源設(shè)備接收后作為能量來源。當(dāng)兩個有源設(shè)備通信時，只有發(fā)送方會產(chǎn)生射頻信號；在整個NFC 通信過程中，發(fā)送方和接收方的角色可以交換［3-6］。

NFC 通信的模式包括三種，分別是：1）讀/寫模式（R/W 模式）：由有源設(shè)備發(fā)送指令，無源設(shè)備回復(fù)這些指令，一般用于智能卡或模擬模式下的NFC 設(shè)備通信；2）卡模擬模式（CE 模式）：NFC 設(shè)備類似于非接觸式智能卡，工作于無源模式；3）點對點模式（P2P 模式）：一個或兩個設(shè)備都處于有源狀態(tài)，且能夠啟動指令傳輸，此模式通常在兩個都處于對等狀態(tài)的設(shè)備之間使用。

NFC 通信被廣泛應(yīng)用于各種支付認證系統(tǒng)，涉及大量的個人隱私或商業(yè)數(shù)據(jù)，物理訪問控制系統(tǒng)（Physical Access Conrol System，PACS）作為NFC 通信過程中約束物理資源訪問的重要環(huán)節(jié)，在判斷用戶是否具有合法接入物理層資格的過程中扮演了非常重要的角色。

本文從PACS的基本組成出發(fā)，詳細闡述了PACS的工作流程，設(shè)計了應(yīng)用層上的TLS 和APDU 協(xié)議，通過搭建的原型系統(tǒng)測試了不同傳輸速率下的總接入時間，為NFC 通信設(shè)備之間物理層信息接入的性能評估奠定了研究基礎(chǔ)。

1 PACS的基本組成

在NFC 通信系統(tǒng)中，PACS 由接入點（Access Point，AP）、控制器、訪問控制服務(wù)器（Access Control Server，ACS）和NFC 終端四個部分組成，如圖1 所示。接入點是指用戶通過NFC 終端接入設(shè)備的物理實體，如裝有NFC 讀卡器的電子門禁；控制器是指能夠從ACS 接收用戶身份驗證、授權(quán)和配置數(shù)據(jù)，并控制一個或多個接入點行為的現(xiàn)場計算機或嵌入式設(shè)備，通常由服務(wù)器和數(shù)據(jù)庫組成；ACS 是一臺存儲有用戶身份數(shù)據(jù)的中央服務(wù)器，用于配置、更新控制器信息；NFC 終端是存儲用戶身份的電子憑證，通常搭載于銀行卡、手機等便攜式設(shè)備上。

圖1 PACS 基本組成框圖

接入點的NFC 讀卡器用于支持用戶終端與控制器之間的身份驗證，在PACS 中扮演著十分重要的角色。根據(jù)接口類型的不同分為低級接口讀卡器和高級接口讀卡器，在低級接口讀卡器中，允許控制器向NFC 設(shè)備發(fā)送或接收字節(jié)，由控制器負責(zé)實現(xiàn)認證協(xié)議；在高級接口讀卡器中，讀卡器執(zhí)行身份認證，控制器只是從讀卡器接收身份信息，而不參與認證過程

2 PACS的工作流程

PACS的安全信息架構(gòu)如圖2 所示，由NFC 控制器、NFC 天線和輕量級身份認證協(xié)議（Protocol for Lightweight Authentication of Identity，PLAID）小程序組成。PACS的工作流程包括系統(tǒng)初始化、個性化配置、身份識別與認證三個環(huán)節(jié)，具體內(nèi)容闡述如下。

圖2 PACS 安全信息架構(gòu)

（1）系統(tǒng)初始化。初始化步驟在設(shè)計制造或服務(wù)提供商出售用戶終端時完成，包括在硬件上安裝PLAID 小程序，設(shè)置身份驗證協(xié)議運行所需要的各種變量，如KeysetID、DivData 和OpModeID 等。經(jīng)過系統(tǒng)初始化以后，PLAID 小程序可以開始正常工作。

（2）個性化配置。個性化配置是將NFC 用戶終端與安全域中的特定用戶綁定，綁定后的用戶將獲得PLAID 小程序提供的一塊安全內(nèi)存區(qū)域，該內(nèi)存只能由已授權(quán)的合法用戶訪問。個性化配置的具體步驟包括NFC 用戶注冊、PACS 注冊、身份認證/授權(quán)數(shù)據(jù)分發(fā)和信息互認證。

（3）身份識別與認證。個性化配置結(jié)束后，合法的NFC 用戶終端可以接入訪問控制系統(tǒng)使用。需要在接入點授權(quán)的用戶將NFC 終端靠近NFC 讀卡器，通過PLAID 協(xié)議在NFC 終端與讀卡器之間執(zhí)行相互認證，讀卡器從PLAID 小程序中獲取認證及授權(quán)數(shù)據(jù)，并發(fā)送到PACS 控制器確認，以決定是否執(zhí)行授權(quán)操作。

3 PACS 協(xié)議設(shè)計

基于PACS 系統(tǒng)的工作流程，本文設(shè)計了該解決方案的軟件協(xié)議棧。在應(yīng)用層上包括安全傳輸協(xié)議層和應(yīng)用協(xié)議數(shù)據(jù)單元層，傳輸層、初始化及RF 接口層由NFC的三種標(biāo)準(zhǔn)定義（NFC-A、NFC-B、NFC-F）［7］。

圖3 PACS 軟件協(xié)議棧

在APDU 層定義從讀卡器發(fā)送到NFC 終端的C-APDU 和NFC 終端返回到讀卡器的R-APDU。C-APDU 消息的字段包括：

（1）CLA 指令標(biāo)志字段（1 字節(jié)）：用于特定應(yīng)用程序指令標(biāo)志的字符串，例如文件訪問、安全和支付等相關(guān)操作；當(dāng)預(yù)定義的指令標(biāo)志字符串不足以表示設(shè)備功能時，允許擴充自定義的指令集。

（2）INS 指令字段（1 字節(jié)）。

（3）Pn 指令參數(shù)字段：用于指定某些指令執(zhí)行需要的輸入?yún)?shù)，每個參數(shù)的字段均為1 字節(jié)，如果發(fā)送的指令不需要任何輸入?yún)?shù)，則參數(shù)字段置零。例如，將數(shù)據(jù)寫入NFC 卡的指令需要指定文件名或標(biāo)識符作為參數(shù)。

（4）Lc（1 字節(jié)）：用于表示數(shù)據(jù)字段的字節(jié)長度，沒有數(shù)據(jù)時將Lc 置零。

（5）數(shù)據(jù)字段DATA：用于裝載字節(jié)長度可變的數(shù)據(jù)，最多允許傳輸256 字節(jié)。

（6）Le（1 字節(jié)）：用于表示對方響應(yīng)的最大數(shù)據(jù)字節(jié)長度。

R-APDU 消息的字段包括：

（1）數(shù)據(jù)字段DATA：最多允許傳輸256 字節(jié)。

（2）狀態(tài)字段SWA：用于指示C-APDU 中請求的操作是否成功。

（3）狀態(tài)字段SWB：當(dāng)SWA 指示出現(xiàn)錯誤時，由SWB 提供更多的錯誤提示信息，否則該字段設(shè)置為零。

TLS 層的功能包括三個方面：1）生成標(biāo)準(zhǔn)格式的TLS 消息并進行檢查；2）維護通信狀態(tài)機的正常運行，以確保在給定協(xié)議的狀態(tài)下正確發(fā)送/接收數(shù)據(jù)；3）執(zhí)行身份驗證的加密/解密操作。RecordLayerMessage 位于TLS 層的最頂部，包含一個或多個底層消息。HandshakeMessage 包含身份驗證的握手消息；ChangeCipherSuite 消息直接包裝到RecordLayerMessage，是身份驗證握手的一部分。為了方便軟件架構(gòu)的設(shè)計，RecordLayerMessage 和HandShakeMessage 類的解析/生成功能允許被底層消息（ClientHello、ServerHello、Certificate 等）繼承和重用。

TLS 消息在客戶端和服務(wù)器端的交互由4 個步驟組成，如圖4 所示。

圖4 客戶端與服務(wù)器之間的TLS 消息交互

（1）客戶端首先發(fā)送一個ClientHello 消息，其中包含一個自動生成的隨機數(shù)和一個預(yù)定義的密碼組件列表。

（2）服務(wù)器收到ClientHello 消息后將以5 條消息來響應(yīng)客戶端的請求，其中，ServerHello 包含服務(wù)器的詢問和從客戶端發(fā)送的密碼組件列表中選擇的內(nèi)容。Certificate 消息包含服務(wù)器的X.509 證書，當(dāng)證書包含的信息不足以讓客戶端以保密方式發(fā)送消息時，可以選擇發(fā)送ServerKeyExchange。如果服務(wù)器希望對客戶端進行身份驗證（交互式身份驗證），則會發(fā)送CertificateRequest 消息。ServerHelloDone 表示服務(wù)器已向客戶端發(fā)送所有消息。

（3）接收到服務(wù)器的所有響應(yīng)后，客戶端首先驗證所接收證書的可信性，同時，如果服務(wù)器請求，客戶端將發(fā)送自己的證書。此外，客戶端響應(yīng)服務(wù)器的消息依次還包括ClientKeyExchange、CertificateVerify、ChangeCipherSpec，其中，ClientKeyExchange 包含一個預(yù)置主密鑰，由客戶端生成的隨機數(shù)和TLS 版本號組成，服務(wù)器和客戶端都根據(jù)Hello 消息中交換的預(yù)置主密鑰和隨機數(shù)計算會話過程中的安全密鑰。CertificateVerify 消息向服務(wù)器提供客戶端驗證信息，通過使用客戶端的私鑰對已發(fā)送的所有數(shù)據(jù)（包括隨機數(shù)/詢問）進行哈希校驗和加密來實現(xiàn)。ChangeCipherSpec 消息表示所有后續(xù)通信都將使用協(xié)商參數(shù)（具有選定密碼組件和計算主密鑰的安全通道）進行保護。Finished 消息是安全通道中發(fā)送的第1 條消息，它允許服務(wù)器驗證當(dāng)前通信是否正常工作。

（4）服務(wù)器用ChangeCipherSpec 和Finished 消息進行響應(yīng)。對于服務(wù)器來說，發(fā)送Finished 消息的目的是向客戶端表明它能夠解密預(yù)置主密鑰來進行身份驗證。

4 性能測試

為了評估基于NFC的物理訪問控制系統(tǒng)性能，我們用華碩筆記本電腦、樹莓派、vivo 手機、衛(wèi)鴻NFC-2020 智能卡和飛思PM8 讀卡器進行了測試。所有硬件的具體指標(biāo)列舉如下：

（1）華碩筆記本電腦配置為Intel Core i7-8550 CPU@1.99 GHz，內(nèi)存8 GByte，內(nèi)置64 位Windows 10 中文版操作系統(tǒng)。

（2）樹莓派4B的配置包括：Broadcom BCM2711 SOC、64-bit 1.5 GHz 四核CPU（28 nm 工藝）、500 MHz VideoCore VI GPU、1 GByte DDR4 內(nèi)存、雙Micro HDMI 端口、雙USB 3.0 端口、千兆有線以太網(wǎng)、802.11ac（2.4/5 GHz）藍牙5.0，同時支持H.265、H.264、OpenGL ES 和Graphics 3.0的多媒體格式。

（3）vivo 手機型號為V2046A，采用三星八核CPU，支持NFC 和OTG 接口。

（4）衛(wèi)鴻NFC-2020 智能卡支持125 kHz、13.56 MHz的工作頻率，符合ISO 14443 標(biāo)準(zhǔn)。

（5）飛思PM8 讀卡器支持Type-C 和USB 接口，符合ISO 18092 標(biāo)準(zhǔn)。

衡量PACS 性能的主要指標(biāo)有兩個，一個是讀卡器與手機之間傳輸數(shù)據(jù)所需的總時間，用符號Tt表示；另一個是軟件處理時間，包括數(shù)據(jù)緩沖、協(xié)議解析、消息生成及加解密操作所需的總時間，用符號Tp 表示。為了更準(zhǔn)確地測量時間，我們在相同的條件下反復(fù)測量100 次后取平均值，測量數(shù)據(jù)如表1 所示。從表1 中的測試數(shù)據(jù)可以看出，在不同的數(shù)據(jù)傳輸速率下，讀卡器與手機之間的數(shù)據(jù)傳輸時間極小于軟件處理時間，因此，最后測量的總時間沒有非常明顯的差異。

表1 PACS 性能測試

5 結(jié)語

通過測試NFC PACS 系統(tǒng)的性能，我們發(fā)現(xiàn)，NFC 數(shù)據(jù)傳輸速率的提高并不能明顯降低物理層接入的時間，決定PACS 接入時間的是系統(tǒng)軟件處理速度。因此，在不同類型的NFC 系統(tǒng)中，應(yīng)針對具體的應(yīng)用適當(dāng)裁剪TLS 和APDU的協(xié)議字段，提高軟件參數(shù)配置、協(xié)議解析及數(shù)據(jù)處理上的效率，才能夠有效縮短物理層的接入認證時間。