Nosenie zväzkov kľúčov, hľadanie plastových prístupových kariet po vreckách či otváranie tej správnej aplikácie na odomknutie dverí by sa už čoskoro mohlo stať minulosťou.
Je tu nový štandard Aliro. Jeho hlavným cieľom je urobiť pre elektronické zámky presne to isté, čo urobil štandard Matter pre inteligentnú domácnosť – prepojiť ich, odstrániť vzájomnú nekompatibilitu.
Aliro vo verzii 1.0 predstavuje komunikačný protokol a štandard poverení pre ekosystém kontroly prístupu, ktorý vytvorila organizácia Connectivity Standards Alliance. Do iniciatívy sa pritom zapojilo viac ako dvestodvadsať členských spoločností. Medzi hlavných partnerov a spoločnosti, u ktorých sa očakáva implementácia a certifikácia, patria Apple, Google, Samsung, Allegion, Aqara, HID, Kastle, Kwikset, Last Lock, Inc., Nordic Semiconductor, Nuki Home Solutions, NXP Semiconductors, Qorvo a STMicroelectronics.
Prvými konkrétnymi zariadeniami, ktoré sa už teraz pripravujú na získanie certifikácie tohto štandardu, sú napríklad zámky Aqara Smart Lock U400 a Nuki Smart Lock Pro štvrtej generácie. Cieľom tohto štandardu je zjednotiť systémy naprieč rôznymi prípadmi použitia, ktoré zahŕňajú komerčné kancelárie, vládne inštitúcie, zdravotnícke zariadenia, univerzity, hotely a rodinné či bytové domy.
Ako to bude fungovať?
Z hľadiska používateľského zážitku štandard prináša možnosť uložiť digitálny kľúč priamo do natívnej digitálnej peňaženky v smartfóne alebo v smart hodinkách, špecificky do systémov Apple Wallet, Google Wallet alebo Samsung Wallet. Tento prístup odstraňuje nutnosť inštalácie proprietárnych aplikácií od jednotlivých výrobcov zámkov a umožňuje priame odomykanie dverí priložením telefónu presne takým istým spôsobom, akým prebiehajú bezkontaktné platby.
Protokol funguje výlučne lokálne, čo znamená, že smartfón komunikuje priamo s čítačkou zámku bez akejkoľvek potreby pripojenia ku cloudovým službám alebo k internetovej sieti. Táto vlastnosť zaisťuje spoľahlivé fungovanie aj v priestoroch bez pokrytia mobilným signálom, ako sú rozsiahle podzemné garáže alebo výťahy.
Pre IT oddelenia a správcov komerčných budov štandard prináša elimináciu starých systémov založených na fyzických plastových kartách a izolovaných softvérových databázach a zároveň odstraňuje závislosť na jednom konkrétnom dodávateľovi riešenia.
Prístupový systém vybudovaný na tomto štandarde dokáže bez problémov obslúžiť používateľov platforiem iOS aj Android súčasne, čo uľahčuje interakciu a zdieľanie prístupu pre návštevy alebo nových zamestnancov.
Celková architektúra systému sa skladá zo štyroch základných častí, ktorými sú prístupový protokol, transportné protokoly, rámec dôvery a prístupový dokument. Rámec dôvery využíva asymetrickú kryptografiu na zabezpečenie interakcií medzi používateľskými zariadeniami a čítačkami.
V tomto systéme každá čítačka disponuje vlastným identifikátorom, kľúčovým párom na báze eliptických kriviek ECC P-256 a voliteľne aj certifikátom vo formáte X.509 vydaným certifikačnou autoritou vydavateľa systému čítačky. Používateľské zariadenie uchováva jedno alebo viacero prístupových poverení, pričom každé obsahuje unikátny kľúčový pár ECC P-256 a identifikátory čítačiek, s ktorými má povolené komunikovať.
Samotný prístupový protokol sa delí na dve hlavné fázy, pričom prvou je zrýchlená fáza slúžiaca na preukázanie vlastníctva tajného kľúča a overenie totožnosti. Táto zrýchlená fáza má dva varianty, a to štandardný a rýchly. Štandardná zrýchlená fáza poskytuje vzájomné overenie, dokonalú doprednú tajnosť a ochranu pred sledovaním, čo dosahuje pomocou generovania efemérnych kľúčových párov na oboch stranách a následného vytvorenia zdieľaného tajomstva cez kryptografickú operáciu Diffie-Hellman.
Rýchla zrýchlená fáza využíva vopred dohodnutý dlhodobý symetrický kľúč, z ktorého používateľské zariadenie vygeneruje kryptogram, a ten následne čítačka overuje procesom pokusu a omylu voči svojim uloženým kľúčom. Súčasťou prístupového protokolu je aj komunikácia o politike overovania používateľa, v rámci ktorej môže čítačka striktne vyžadovať biometrické overenie alebo zadanie prístupového kódu pred povolením akejkoľvek transakcie.
Ďalšou integrovanou funkciou je poštová schránka, ktorá umožňuje čítačke, vydavateľovi poverení a používateľskému zariadeniu trvalo ukladať malé dátové vyrovnávacie pamäte. Čítačka v nej môže čítať, zapisovať alebo nastavovať dáta pomocou špecifických príkazov, a to aj prostredníctvom atomických relácií zaisťujúcich konzistenciu údajov.
Ak čítačka nedokáže urobiť rozhodnutie o prístupe na základe zrýchlenej fázy, protokol prechádza do fázy zvýšenia, v ktorej si bezpečne vyžiada prístupový dokument alebo dokument o zrušení platnosti. Tieto správy sú chránené relačným šifrovaním s kľúčmi odvodenými zo štandardnej zrýchlenej fázy.
Prístupový dokument je dátová štruktúra zakódovaná vo formáte CBOR a podpísaná súkromným kľúčom vydavateľa poverenia. Obsahuje štruktúru overenia s kryptografickými detailmi a dátové prvky prístupu, ktoré zahŕňajú prístupové pravidlá určujúce presné oprávnenia. Tieto oprávnenia pracujú s bitovými príznakmi pre zabezpečenie, odomknutie, prepínanie stavu, dočasné odomknutie, predĺžené dočasné odomknutie a platobné povolenia.
Tieto pravidlá môžu byť striktne obmedzené časovými plánmi, ktoré presne špecifikujú počiatočný a koncový čas platnosti v sekundách od epochy Unixu. Časové plány obsahujú zložité pravidlá opakovania, umožňujúce nastaviť prístup na presne špecifikované denné, týždenné, mesačné alebo ročné cykly na základe lokálneho času alebo času koordinovaného svetového času UTC.
Pre správu prístupov slúži dokument o zrušení platnosti s rovnakou kryptografickou štruktúrou. Tento dokument obsahuje dátové prvky na zrušenie a aktualizuje internú databázu čítačky prostredníctvom dvoch režimov, kedy buď úplne prepíše doterajšie údaje pre konkrétneho vydavateľa, alebo len pripája a odoberá špecifické záznamy identifikované hašom verejného kľúča.
NFC, Bluetooth aj UWB!
Prenos komunikačných správ špecifikuje tri transportné technológie. Prvou je technológia Near Field Communication (NFC) slúžiaca na bezkontaktné priloženie zariadenia. Čítačka pri nej operuje v režime dotazovania a používateľské zariadenie reaguje v režime počúvania, pričom komunikácia prebieha na platforme T4AT s využitím protokolu ISO-DEP prostredníctvom aplikačných protokolových dátových jednotiek.
Druhou technológiou je rozhranie Bluetooth Low Energy (BLE) pre komunikáciu na stredné vzdialenosti. Zariadenia pri nej využívajú sieťové roly Peripheral a Central, profil GATT na zistenie parametrov spojenia a na spojenie orientovaný kanál protokolu L2CAP. V tomto režime si vymieňajú špecificky formátované správy, ktoré obsahujú hlavičku protokolu, identifikátor správy, dĺžku a šifrovaný náklad s autentifikačnou značkou.
Treťou technológiou je Ultra-Wideband (UWB), ktorá sa kombinuje s Bluetooth konektivitou na presné, bezpečné a bezkontaktné meranie fyzickej vzdialenosti, vďaka čomu sa dvere odomknú automaticky na základe priestorovej pozície osoby bez toho, aby musela telefón vyťahovať z vrecka. UWB na fyzickej vrstve realizuje výmenu paketov s využitím sekvencií s kódovanými časovými pečiatkami, využíva pokročilé mechanizmy adaptívneho preskakovania frekvenčných kanálov a plne podporuje presnú časovú synchronizáciu medzi čítačkou a smartfónom, čím optimalizuje spotrebu energie priestorového skenovania
Súčasná verzia špecifikácie Aliro 1.0 predstavuje iba začiatok a funguje ako základný stavebný kameň tohto nového ekosystému. Certifikačný program pre výrobcov hardvéru je v týchto dňoch už oficiálne otvorený a prvé spoločnosti môžu nechať svoje produkty otestovať. Okrem už spomínaných značiek sa na proces certifikácie aktívne pripravujú aj ďalší významní hráči v oblasti bezpečnosti, ako sú Assa Abloy, Allegion, HID, Kwikset a viacerí poprední výrobcovia čipov. Očakáva sa, že prvá vlna plne kompatibilného hardvéru dorazí na trh neskôr v priebehu tohto roka.
Tento článok napísala umelá inteligencia Gemini od Google. Článok bol skontrolovaný redakciou TECHBOX.