Polityka haseł w systemach alarmowych. Norma PN-EN50131-1

Nikt nie zaprzeczy, że hasło do systemu alarmowego powinno być niepowtarzalne w ramach danej instalacji. Nikt też nie zaprzeczy, że swoje hasło powinien znać tylko właściciel tego hasła. A jednak nawet tutaj widać wyjątki, które zdarzają się zbyt często.

Hasła, kody użytkowników okiem naszym oraz okiem normy PN-EN50131. Zapraszam do lektury.

Złożony system to złożone hasło

Im wyższy stopień zabezpieczenia systemu alarmowego (stopień od 1 do 4), tym więcej kombinacji powinien mieć klucz. Celowo napisałem „klucz”, ponieważ norma w tym zakresie posługuje się pojęciem tzw. klucza logicznego. Możemy więc przyjąć na potrzeby tego artykułu, że kod, hasło i klucz logiczny to te same zasoby.

Niektórzy producenci systemów alarmowych podają, że dla stopnia 2 (grade 2 wg normy PN-EN50131-1), kod powinien mieć długość minimum 5 cyfr. W rzeczywistości norma jednak nie podaje ilości cyfr w haśle, a liczbę wariacji. Poniższa tabela przedstawia te ilości, w zależności od stopnia zabezpieczenia.

Z tabeli wynika, że dla stopnia 2, hasło powinno mieć 10 000 wariacji. Taka liczba wariacji mieści się w przedziale liczb 0000-9999. Są to 4 cyfry, jednak niektórzy producenci z różnych powodów zwiększają tę liczbę do 5 cyfr.

Analogicznie sprawa wygląda dla stopnia 3, gdzie według tabeli hasło powinno mieć 100 000 wariacji. Producenci często podają liczbę 6 cyfr dla hasła.

Powyższa ilość wariacji dotyczy tzw. klucza logicznego. Warto zaznaczyć, że norma „podpina” pod klucz logiczny również takie zasoby jak np. breloki i karty zbliżeniowe (ogólnie – transpondery pasywne).

Mamy już wyjaśnioną długość haseł/kodów, które narzuca na nas norma. Ale długość hasła to nie wszystko, na co każdy z nas powinien zwrócić uwagę.

Zasady tworzenia nowych kodów użytkowników

Muszę być uczciwy i niestety – nie ma zasad. To jednak nie oznacza, że warto ignorować zdrowy rozsądek. Proponuję przyjąć jedną własną zasadę: nie idziemy na łatwiznę. Zaraz na przykładach pokażę, dlaczego pójście na łatwiznę jest tak ryzykowne.

Eksperyment myślowy…

Na warsztat bierzemy dowolną centralę serii Integra. Podczas procedury dodawania użytkowników, program DloadX domyślnie proponuje ustawienie haseł, które odpowiadają numerom poszczególnych użytkowników. Np. użytkownik 1 dostaje hasło 0001 a użytkownik 2 dostaje hasło 0002 itd. Są to domyślne hasła, które użytkownik powinien jak najszybciej zmienić.

Doświadczenie w instalacji i konserwacji systemów alarmowych pokazuje jednak, że część użytkowników nie zmienia swoich haseł (pomimo tego, że po otrzymaniu wstępnego hasła przełożony kazał to hasło zmienić na swoje). W konsekwencji, do rozbrojenia systemu wystarczy proste hasło (np. 0003) – hasło użytkownika, który „nie zdążył” w ciągu kilku miesięcy podmienić swojego hasła.

Warto pamiętać, że w omawianej centrali istnieje domyślnie uruchomiony mechanizm, który po wprowadzeniu 3 błędnych haseł, blokuje kolejne próby na czas 90 sekund. Mało tego, opcja 3 błędnych haseł, która generuje alarm, domyślnie jest wyłączona (czyli tylko klawiatura blokuje się na 90 sekund, ale system nie generuje alarmu).

Z powyższych informacji, kształtuje się nam „przepis”, który przenosi nas na ciemną stronę mocy. Więcej chyba nie wypada napisać, ale musimy mieć świadomość konsekwencji, pozostawiając system z tak prostymi hasłami. Jest jednak sposób…

Hasła można generować losowo

Proponuję przyjrzeć się powyższej animacji raz jeszcze. W małym oknie pt. „Utwórz użytkowników” widać opcje związane ze sposobem utworzenia hasła. Dostępne są następujące sposoby:

• numer użytkownika
• wygeneruj losowo
• ręcznie
• bez hasła

Bardzo efektywną opcją jest wybranie wariantu z losowym generowaniem haseł. To tylko wstępne hasła i wciąż użytkownik powinien te hasła zmienić. Ale zmiana swojego hasła – poprawna zmiana – to temat na osobny akapit.

Instalator nie powinien znać haseł użytkowników

Hasła, które nadaje instalator, zawsze należy traktować jako hasła wstępne – na start. Teraz obowiązkiem użytkownika jest zmiana tego domyślnego hasła na inne, które będzie znał tylko on sam. To takie proste i oczywiste a jednocześnie tak trudno upilnować grupę 40 użytkowników, aby zmienili swoje domyślne hasła.

Jak można zmienić hasło?

• poprosić instalatora, który jest przy centrali, aby od razu ustawił hasło takie, jakie chcemy docelowo mieć :(
• poprosić instalatora, żeby udostępnił nam na chwilę komputer z DloadX i się odwrócił :(
• podejść do manipulatora fizycznego i wykonać procedurę zmiany hasła :)

Pomijając kwestię tego, że dwie pierwsze opcje są absurdalne, to dodatkowo nie rozwiązują temat anonimowości hasła. Hasło zmieniane za pomocą komputera (DloadX) wciąż jest hasłem, które może podejrzeć instalator (opcja: Pokaż hasła). Tylko zmiana hasła z manipulatora fizycznego LCD (lub z aplikacji mobilnej np. Integra Control) jest gwarancją, że instalator nie będzie mógł podejrzeć czyjegoś hasła. Nawet kliknięcie w opcję: „Pokaż hasła” nie pokaże haseł, które użytkownicy zdążyli sobie zmienić. Poniższy zrzut to przedstawia

Już nie raz spotkałem się z zarzutem, że instalator ma wgląd w hasła użytkowników. Jak widać, jeżeli jest to robione zgodnie ze sztuką, to instalator tych haseł nie zobaczy. To też jest w interesie instalatorów, aby nie znali haseł użytkowników. Dlatego warto pilnować tematu i wytłumaczyć inwestorowi jak ważne jest, aby jego pracownicy zmieniali swoje hasła.

Hasło serwisowe a możliwość rozbrajania strefy w systemie alarmowym

Nie pomylę się, jeżeli napiszę, że to dość kontrowersyjny temat. Nie każdy użytkownik systemu będzie zadowolony z tego, że serwisant może przyjechać podczas nieobecności domowników i wyłączyć dozór w ich domu. Jednak nasi praojcowie już zdążyli rozwiązać tę kwestię i nie ma czego się obawiać.

Na chwilę wracamy do zapisów normy PN-EN50131-1, która dotyczy tzw. wymagań systemowych. Norma ta określa cztery poziomy dostępu. W dużym uproszczeniu, użytkownik typu administrator to poziom dostępu nr 2, natomiast pracownik personelu firmy alarmowej to poziom dostępu nr 3.  I teraz najważniejsze:

Innymi słowy: administrator ma prawo blokować dostęp dla serwisanta. Bez programowej zgody administratora, hasło/kod serwisanta może nie działać. Najczęściej dokonuje się tego przez wejście do odpowiednich opcji w manipulatorze.

Widać więc, że serwisant nie jest typem użytkownika systemowego, który może wszystko, zawsze i wszędzie. To administrator (główny użytkownik systemu alarmowego) ma ostateczne zdanie.

Kilka praktycznych wskazówek

• W zależności od marki i modelu centrali, istnieje możliwość ustawienia haseł, które mają najczęściej długość od 4 do 8 cyfr.
• Popularnym rozwiązaniem jest domyślnie włączony mechanizm, który blokuje możliwość używania hasła/kart/breloków, jeżeli wcześniej zarejestrowano kilka prób (np. 3) z użyciem nieprawidłowych kodów/kart itp. Taka blokada ma charakter czasowy.
• Systemy umożliwiają wygenerowanie alarmu, kiedy system zarejestruje używanie błędnych kodów/kart itp.
• Istnieje możliwość tworzenia kodów tymczasowych, tzn. można stworzyć kod dla użytkownika, który jest ważny np. 1 miesiąc.
• Nie powinno używać się kodów prostych, np. składających się z tych samych cyfr (0000, 2222,3333) lub następujących po sobie cyfr (1234, 56789).