Card Control System ČVUT

Kartový systém v rámci Českého vysokého učení technického v Praze

1. Řešitelé a provozovatelé systému CCS

Systém Card Control System (dále také „CCS") v rámci Českého vysokého učení technického v Praze (dále také „ČVUT") analyzovala a zrealizovala společnost XT-Card a.s. (dále také „XTC"), ve spolupráci s Výpočetním a Informačním Centrem (dále také „VIC") ČVUT.

XTC v současné době, na základě smlouvy s ČVUT, poskytuje ČVUT pozáruční servis na dodané technologie a maintenance na dodané softwarové produkty.

ČVUT pak zajišťuje vlastní provoz systému CCS, dohled nad systémem CCS a správu systému CCS.

2. CCS ČVUT z hlediska uživatelů

Původní kartové systémy ČVUT neumožňovaly na karty ČVUT nahrávat žádná data. V rámci ČVUT se využívala pouze identifikace UID čipu karty MIFARE Standard (Classic) o velikosti 4 Byty.

Uživatelé mají nyní v držení kartu Philips (NXP) MIFARE DESFire EV1 8k, která obsahuje následující aplikace:

Malá Elektronická Peněženka (dále také „MEP").
Malý Věrnostní Program (dále také „MVP").
Aplikace Studium pro sledování studia (dále také „AS").
Přístupová systém pro zajištění velmi bezpečného přístupu (dále také „PS").
Aplikace Sledování dotací na Stravu (dále také „DS").
Aplikace elektronický Index (dále také „AIX").
Aplikace Identifikace a PIN (dále také „AIP").

Nahrávací (personalizační) pracoviště ČVUT umožňují výběr z výše uvedených aplikací, která mají být nahrány na jednotlivé karty ČVUT, jejich výmaz a případné dohrávání aplikací na již personalizované karty. Vybrané aplikace pro jejich nahrání na karty ČVUT jsou parametricky předem nastavitelné.

Dále jsou pro uživatele karet ČVUT připravovány další nové aplikace:

Aplikace Českých drah (In-karta na kartách ČVUT),
časové kupóny na městskou dopravu Dopravního podniku hlavního města Prahy (aplikace DOS OpenCard na kartách ČVUT),
platby za nápoje a drobné občerstvení v automatech Delikomat,
vstupenky na společenské, kulturní, sportovní, výstavní a další akce na kartách ČVUT,
úschova věcí ve skříňkách se zamykáním a odemykáním pomocí karet ČVUT,
docházkový systém pro studenty na kartách ČVUT,
komerční pojištění, zejména zdravotní a cestovní připojištění prostřednictvím karet ČVUT.

3. Malá Elektronická Peněženka MEP ČVUT

Malá Elektronická Peněženka MEP byla vyvinuta pro potřeby ČVUT s následujícími parametry:

MEP je připravena k přechodu na měnu EURo.
Platba MEP může být z bezpečnostních důvodů omezena (zejména k ochraně hotovosti v MEP při ztrátě nebo zcizení MEP):
- výší jedné platby,
- součtu denních plateb,
- počtem operací za den.
MEP umožňuje evidovat různé kategorie uživatelů (VIP uživatelé, studenti, zaměstnanci, hosté, atd.).
V případě zjištění nesrovnalostí V MEP je možné MEP zablokovat takovým způsobem, že karta nese informaci o zablokování sama v sobě, což znemožňuje použití MEP na terminálech typu off-line, na nichž ještě nebyl zaktualizován black-list.
Je možné nastavení maximální hodnoty MEP, pro kterou je MEP použitelná.
Je vyřešena vysoká odolnost vůči fraudu MEP z následujících důvodů:
- Jsou zaznamenávány logy transakcí v rámci MEP na kartě,
- z důvodu vyššího zabezpečení přístupu k logům jsou logy rozděleny na debetní (DebetLog) a kreditní (CreditLog), což umožňuje použití různých zápisových klíčů pro log debetu a log kreditu, čímž se zvýši bezpečnost zápisu transakcí,
- v rámci transakce je zaznamenáváno číslo SAMs modulu, který transakci provedl, pořadové číslo transakce, datum a čas provedení transakce a hodnota transakce,
- v logu je rovněž zaznamenávána hodnota před provedením transakce z důvodů verifikace návazností transakcí,
- standardní bezpečnost implementovaná technologií MIFARE DESFire je posílena použitím digitálních podpisů,
- u zařízení akceptujících MEP, je automaticky kontrolována konzistence logů prostřednictvím SAMs modulů a v případě zjištění nesrovnalostí je MEP
  zablokována,
- parametry MEP jsou rozděleny na základní parametry BasicParameters a rozšířené parametry ExtendedParameters s použitím různých zápisových klíčů, čím že je zvýšena bezpečnost a ochrana základních parametrů (maximální výše povoleného debetu,
  maximální počet operací, atd.),
- struktura MEP obsahuje rezervní položky, které budou využity v rámci dalšího rozvoje MEP,
- kredit (nabíjení) MEP je realizováno v režimu on-line na kioscích (nabíjení z VEP),
- MEP neumožňuje záporný debet,
- storno operace jsou řešeny na personalizačním pracovišti ČVUT za použití informací z logovacích souborů.

4. Samoobslužné kiosky (automaty) ČVUT

Samoobslužné kiosky (automaty) ČVUT umožňují nahrávání peněžních částek z Velké Elektronické Peněženky (dále také „VEP"), která je provozována v systému on-line do Malé elektronické Peněženky MEP, která je provozována v systému off-line.

Rovněž je vyvinuto rozšíření automatů Delikomat na kávu, nápoje a drobné občerstvení s možností platby Malou Elektronickou Peněženkou MEP.

5. Bezpečnost systému CCS

Základem bezpečnosti jsou systémy Hardware (Host) Security Modules (dále také „HSMs") a Secure (Security) Access Modules (dále také „SAMs"). V ČVUT
je instalováno pět serverů HSMs. Bližší popis HSMs naleznete na stránkách www.xt-card.cz.

Nahrávání aplikací na karty ČVUT probíhá na speciálních čtečkách chráněných proti odposlechu s využitím SAMs modulů.

Karty, SAMs moduly a akceptační zařízení je možné při jejich ztrátě vložit na Black-listy, čímž se zablokuje jejich další použití v systému CCS.

ČVUT má zpřístupněny služby vnitřní sítě obsahující HSMs a databázový server CCS prostřednictvím Firewallu Cisco ASA 5505. Firewall je vystaven do internetu s pevnou vnější IP adresou. Firewall provádí překlady portů. Na vnější straně směrem k personalizačním (výrobním) stanicím jsou porty překládány na jiné porty k HSMs a směrem k databázovému serveru CCS.

Personalizační (výrobní) aplikace CCS je upravena v rámci ČVUT tak, že jsou porty nastavitelné v konfiguračním XML souboru na každé personalizační
(klientské) stanici XTC zvlášť. Autentizace CCS je realizována prostřednictvím certifikátů X.509. V CCS jsou vytvořeny webové stránky pro zadávání uživatelů s čísly certifikátů a názvy certifikačních autorit, naprogramovány možnosti vyhledávání a editování těchto uživatelů, jsou zavedena další přístupová práva pro přístupy z personalizačních aplikací CCS, se sledováním historie kdo a kdy uživatele zavedl, s možností zakázání uživatele a vyhodnocením činností uživatelů. Dále je vyřešeno generování certifikátů a instalace certifikátů. Tímto způsobem je současně zabezpečena komunikace prostřednictvím XML mezi personalizačními (výrobními) stanicemi CCS a databází CCS.

6. Pracoviště pro testování a certifikace systémů čipových karet

ČVUT dále provozuje pracoviště pro testování a certifikace čipových karet dodaných společností XT-Card:

6.1 Funkce pracoviště pro testování a certifikace

Pracoviště umožňuje testování a certifikace zápisů dat do bezkontaktních čipových karet, čtení dat z bezkontaktních čipových karet, testování a certifikace zápisů a čtení dat CPS (Card Publisher Sectorů), testování a certifikace zápisů a čtení dat CHS (Card Holder Sectorů), testování a certifikace vytváření aplikací na kartách, souborů v rámci aplikací na kartách, datových struktur v rámci souborů na kartách, atd.

6.2 Komponenty pracoviště pro testování a certifikace

Speciální testovací a certifikační čtečky s motorickým podáváním karet Swallow Reader, se stíněním proti odposlechu, signalizace čtyřmi LED diodami, FirmWare, sloty pro SAMs moduly, stabilizovaný zdroj, 2 x USB vstup, možnost zapečetění SAMs modulu a čtečky. Aplikace zápisů dat na karty a čtení dat z karet.

6.3 Funkce testovacích a certifikačních systémů HSMs

Pracoviště umožňuje generování klíčů pro certifikační činnosti, podporu výroby testovacích SAMs modulů s certifikačními klíči, generování a předávání jednorázových testovacích a certifikačních klíčů, certifikace autentizace SAMs modulů vůči HSMs, generování náhodných klíčů, zálohování testovacích a certifikačních klíčů, atd.

6.4 Komponenty testovacích a certifikačních systémů HSMs

5 HSMs HW Serverů, PSG 25 Karty včetně Maintenance, SW HSMs, LCD Rackmont, skříně Rack s příslušenstvím, záložní zdroje UPS.

6.5 Funkce pro testování a certifikace SAMs modulů

Pracoviště umožňuje testování a certifikace Security Access Modulů SAMs, testování a certifikace JAVA datových appletů do Security Access Modulů SAMs, testování a certifikace výpočtů elektronických podpisů v Security Access Modulech SAMs, testování a certifikace výkonných appletů do SAMs, atd.

6.6 Komponenty pracoviště pro práci se SAMs moduly

Základní nahrávací root SAMs moduly, aplikace pro zápis dat na SAMs moduly, čtečky SAMs modulů, testovací Java SAMs moduly.