Bezpieczeństwo identyfikatora nie kończy się na czytniku

W wielu instalacjach inwestor wymienia stare karty na bezpieczniejsze identyfikatory, zamawia nowoczesne czytniki albo wdraża dostęp mobilny. Na pierwszy rzut oka system staje się znacznie lepiej zabezpieczony. Problem w tym, że bezpieczeństwo całego toru identyfikacji zależy od jego najsłabszego fragmentu.

Dane przechodzą kolejno:

identyfikator → czytnik → przewód transmisyjny → kontroler → oprogramowanie zarządzające

Jeżeli karta i czytnik wykorzystują nowoczesne mechanizmy kryptograficzne, ale czytnik przekazuje numer identyfikatora do kontrolera przez Wiegand, ostatni odcinek nadal pozostaje nieszyfrowany. Sam zakup bezpieczniejszych kart nie usuwa więc wszystkich podatności.

To właśnie na tym etapie istotna staje się rola instalatora. Powinien on nie tylko podłączyć urządzenia zgodnie ze schematem, lecz także wyjaśnić inwestorowi, że bezpieczeństwo SKD musi obejmować cały łańcuch komunikacji.

Dlaczego Wiegand nie odpowiada dzisiejszym wymaganiom?

Wiegand przez wiele lat był podstawowym sposobem łączenia czytników z kontrolerami. Jest prosty, szeroko obsługiwany i dobrze znany serwisantom. Jego ograniczenia wynikają jednak z założeń powstałych w czasach, gdy cyberbezpieczeństwo systemów zabezpieczeń nie było projektowane na obecnym poziomie.

Najważniejsze problemy interfejsu Wiegand to:

• transmisja danych bez szyfrowania;
• komunikacja zasadniczo jednokierunkowa;
• brak kryptograficznego uwierzytelniania czytnika przez kontroler;
• brak pełnej kontroli integralności przesyłanych informacji;
• ograniczona możliwość nadzorowania stanu czytnika i magistrali;
• brak ustandaryzowanej zdalnej konfiguracji urządzenia;
• ryzyko przechwycenia i ponownego odtworzenia przesyłanych danych.

SIA opisuje możliwość podłączenia niewielkiego urządzenia do przewodów czytnika Wiegand, przechwycenia nieszyfrowanego strumienia danych i późniejszego odtworzenia zarejestrowanego identyfikatora. Organizacja zwraca również uwagę, że jednokierunkowa transmisja nie pozwala kontrolerowi wiarygodnie nadzorować stanu czytnika.

Nie oznacza to, że każdy działający system Wiegand trzeba natychmiast wyłączyć. Oznacza natomiast, że w nowych projektach oraz modernizacjach obiektów o podwyższonym poziomie ryzyka należy świadomie ocenić zasadność pozostawienia tego interfejsu.

Co zmienia OSDP?

OSDP, czyli Open Supervised Device Protocol, jest otwartym standardem komunikacji pomiędzy jednostką kontroli dostępu ACU a urządzeniami peryferyjnymi PD, takimi jak czytniki, klawiatury lub moduły wejścia-wyjścia.

Protokół zapewnia komunikację dwukierunkową. Kontroler może nie tylko odbierać dane, lecz także nadzorować urządzenie, sterować jego sygnalizacją, odczytywać możliwości i – jeśli produkt obsługuje odpowiednie funkcje – zarządzać konfiguracją lub aktualizacją oprogramowania.

OSDP został opublikowany jako międzynarodowa norma IEC 60839-11-5:2020. Aktualna specyfikacja SIA OSDP 2.2.2 została wydana w październiku 2024 r.

Najważniejszą z punktu widzenia bezpieczeństwa funkcją jest OSDP Secure Channel, wykorzystujący szyfrowanie AES-128 i mechanizmy uwierzytelniania komunikacji.

Samo ustawienie urządzeń w trybie OSDP nie oznacza jeszcze, że transmisja jest szyfrowana.

OSDP może działać w trybie podstawowym, bez Secure Channel. SIA w zaleceniach z 10 lutego 2026 r. wskazuje, że komunikacja nieszyfrowana powinna być wykorzystywana jedynie podczas inicjalizacji, przed uruchomieniem kanału bezpiecznego.

Wiegand i OSDP – najważniejsze różnice

Jak przygotować migrację krok po kroku?

1. Wykonaj inwentaryzację istniejącego systemu

Przed zamówieniem czytników trzeba ustalić:

• modele i wersje sprzętowe kontrolerów;
• wersje firmware kontrolerów;
• liczbę oraz typ interfejsów OSDP;
• maksymalną liczbę urządzeń na kanale;
• obsługiwane profile i funkcje OSDP;
• możliwość jednoczesnej pracy Wiegand i OSDP;
• modele czytników oraz sposób ich konfiguracji;
• rodzaj, długość i przebieg przewodów;
• sposób zasilania urządzeń;
• wymagane funkcje, np. klawiatura, wyświetlacz, biometria lub obsługa danych kart inteligentnych.

Określenie „obsługuje OSDP” nie wystarcza. Kontroler może wspierać jedynie część funkcji, ograniczoną liczbę czytników albo konkretną wersję firmware.

Należy sprawdzić również, czy urządzenia mają status OSDP Verified. Producent może deklarować zgodność, natomiast oznaczenie Verified potwierdza przejście niezależnych testów zgodności z określonym profilem. Jednocześnie nawet dwa produkty Verified wymagają prawidłowego projektu i zgodności potrzebnych funkcji.

2. Podziel przejścia według poziomu ryzyka

Nie każda modernizacja musi być wykonana jednocześnie. W pierwszej kolejności warto wytypować:

• wejścia do serwerowni;
• pomieszczenia techniczne;
• magazyny wysokiej wartości;
• strefy administracyjne;
• przejścia do części produkcyjnej;
• drzwi z czytnikami po obu stronach;
• miejsca, w których przewód czytnika jest dostępny od strony niezabezpieczonej;
• lokalizacje wykorzystujące karty kryptograficzne lub dane biometryczne.

Taki podział umożliwia zaplanowanie migracji etapami i przedstawienie inwestorowi uzasadnienia opartego na ryzyku, a nie wyłącznie na wieku urządzeń.

3. Oceń okablowanie

OSDP korzysta z warstwy fizycznej RS-485. Do transmisji należy stosować właściwą skręconą parę przewodów, a parametry kabla muszą odpowiadać zaleceniom producentów kontrolera i czytników.

W nowej instalacji należy od razu zaprojektować okablowanie odpowiednie do RS-485. Przy modernizacji istniejącego systemu przewodów Wiegand nie wolno automatycznie uznawać ani za nieprzydatne, ani za odpowiednie.

Trzeba sprawdzić:

• ciągłość przewodów;
• rezystancję i stan izolacji;
• długość trasy;
• liczbę połączeń pośrednich;
• obecność skręconej pary;
• sposób prowadzenia względem przewodów zasilających;
• topologię połączeń;
• możliwość prawidłowego zakończenia magistrali;
• jakość ekranowania i uziemienia;
• stabilność transmisji przy wymaganej prędkości.

SIA zaleca używanie kabla przeznaczonego do dwuprzewodowej komunikacji RS-485 oraz testowanie istniejącego okablowania odpowiednim narzędziem komunikacyjnym.

4. Zaprojektuj magistralę, a nie zbiór przypadkowych odgałęzień

Wiegand często wykonuje się jako osobne połączenie każdego czytnika z kontrolerem. OSDP może obsługiwać wiele adresowanych urządzeń, ale nie oznacza to dowolności prowadzenia przewodów.

Należy unikać niekontrolowanej topologii gwiazdy i długich odgałęzień, jeżeli nie dopuszcza ich dokumentacja urządzeń. Terminację magistrali, polaryzację linii A/B, prędkość transmisji oraz maksymalną liczbę urządzeń trzeba ustalić zgodnie z wymaganiami konkretnego kontrolera.

Każdy czytnik musi otrzymać unikalny adres. Dwa urządzenia o tym samym adresie mogą powodować niestabilną pracę, brak komunikacji albo trudne do odtworzenia błędy okresowe.

W dokumentacji powykonawczej warto zapisać:

• port kontrolera;
• adres urządzenia;
• lokalizację czytnika;
• numer seryjny;
• prędkość transmisji;
• wersję firmware;
• sposób terminacji;
• typ i długość przewodu;
• status Secure Channel.

5. Oblicz zasilanie i spadki napięcia

Mniejsza liczba żył transmisyjnych nie rozwiązuje problemu zasilania. Czytnik podczas uruchamiania, pracy podświetlenia, sygnalizacji dźwiękowej, komunikacji mobilnej lub obsługi biometrii może pobierać więcej prądu niż w stanie spoczynku.

Dla każdego odcinka należy uwzględnić:

• napięcie znamionowe urządzenia;
• minimalne dopuszczalne napięcie;
• maksymalny pobór prądu;
• długość oraz przekrój przewodu;
• liczbę urządzeń zasilanych z danego obwodu;
• pracę awaryjną z akumulatora;
• zapas mocy zasilacza.

Pomiar należy wykonać przy czytniku, w możliwie niekorzystnym stanie pracy. Test wyłącznie bezpośrednio na wyjściu zasilacza nie pokaże spadku napięcia na przewodzie.

W magistrali z kilkoma urządzeniami obciążenie poszczególnych odcinków jest różne. Nie można więc obliczać całej trasy tak, jakby zasilała tylko jeden czytnik znajdujący się na końcu.

6. Uruchom stanowisko testowe

Pierwszego uruchomienia nie warto wykonywać przy drzwiach inwestora. Na stanowisku testowym należy połączyć docelowy model kontrolera, czytnika, zasilacza i identyfikatora.

Sprawdzenia wymagają:

• odczyt wszystkich używanych typów kart;
• przesyłanie pełnego zestawu danych identyfikatora;
• działanie klawiatury;
• sterowanie LED i sygnalizatorem;
• reakcja czytnika na przyznanie i odmowę dostępu;
• komunikacja po restarcie kontrolera;
• przejście w Secure Channel;
• odtworzenie komunikacji po zaniku zasilania;
• zachowanie po odłączeniu magistrali;
• zgodność wersji firmware;
• ewentualna funkcja zdalnej konfiguracji i aktualizacji.

Migająca dioda lub sygnał dźwiękowy po przyłożeniu karty nie potwierdzają jeszcze prawidłowej komunikacji z kontrolerem. Aktualna instrukcja diagnostyczna SIA zaleca analizę śladów komunikacji, odpowiedzi NAK, transmisji nieszyfrowanej oraz nieoczekiwanych komunikatów.

7. Aktywuj Secure Channel w kontrolowanych warunkach

Proces inicjalizacji może wymagać czasowej pracy w trybie instalacyjnym. Powinien odbywać się na stanowisku testowym albo w zabezpieczonym miejscu, przez uprawnionego technika.

Po zestawieniu kanału trzeba potwierdzić, że:

• kontroler rozpoznaje właściwy czytnik;
• zastosowano unikalny klucz dla danej relacji urządzeń;
• po restarcie komunikacja ponownie przechodzi w tryb bezpieczny;
• system nie pozostaje niezauważenie w trybie nieszyfrowanym;
• zdarzenie utraty Secure Channel jest wykrywane;
• istnieje kontrolowana procedura wymiany czytnika i ponownego parowania.

Klucze nie powinny być umieszczane jawnie na obudowie kontrolera, w ogólnodostępnym protokole ani w niezaszyfrowanym pliku. Dokumentacja powinna natomiast opisywać sposób ich bezpiecznego przechowywania, odzyskania i zmiany.

8. Przeprowadź pilotaż na jednym przejściu

Pierwsze przejście powinno reprezentować typową konfigurację obiektu, ale nie może paraliżować jego działania w razie problemu.

Po migracji należy obserwować:

• stabilność komunikacji;
• czas reakcji czytnika;
• zdarzenia utraty i powrotu urządzenia;
• działanie w godzinach największego ruchu;
• zachowanie po zaniku zasilania;
• działanie trybu awaryjnego kontrolera;
• jakość odczytu identyfikatorów;
• poprawność rejestracji zdarzeń.

Dopiero po potwierdzeniu stabilności warto powielić konfigurację na kolejnych przejściach.

Modernizacja etapowa – co trzeba wiedzieć o konwerterach?

Konwertery Wiegand–OSDP mogą ułatwić przejściowy etap modernizacji, gdy nie można jednocześnie wymienić wszystkich kontrolerów lub czytników. Nie należy jednak przedstawiać ich jako automatycznego sposobu uzyskania szyfrowania na całej trasie.

Jeżeli część toru nadal wykorzystuje Wiegand, na tym fragmencie pozostają jego ograniczenia. Konwerter może rozwiązać problem zgodności interfejsów, ale nie zawsze usuwa ryzyko przechwycenia danych pomiędzy urządzeniem Wiegand a konwerterem.

Dlatego trzeba dokładnie wskazać:

• gdzie kończy się Secure Channel;
• który odcinek pozostaje nieszyfrowany;
• po której stronie chronionej granicy umieszczono konwerter;
• czy obudowa i przewody są zabezpieczone przed dostępem;
• kiedy zaplanowano usunięcie rozwiązania przejściowego.

Najczęstsze błędy podczas wdrażania OSDP

1. Uruchomienie OSDP bez Secure Channel. System działa cyfrowo i dwukierunkowo, ale transmisja nadal nie korzysta z najważniejszego zabezpieczenia.
2. Założenie, że każde urządzenie „OSDP” obsługuje wszystkie funkcje. Należy sprawdzić profile, wersje firmware oraz wyniki weryfikacji.
3. Pozostawienie domyślnych adresów. Przy kilku czytnikach pojawiają się konflikty komunikacji.
4. Niezgodna prędkość transmisji. Kontroler i urządzenia peryferyjne muszą pracować z właściwymi ustawieniami.
5. Błędna polaryzacja A/B. Nazewnictwo zacisków może różnić się pomiędzy producentami, dlatego trzeba korzystać ze schematów, a nie wyłącznie z oznaczeń literowych.
6. Wykorzystanie przewodu bez testów. To, że kabel działał z Wiegand, nie potwierdza stabilnej pracy RS-485.
7. Brak obliczenia spadków napięcia. Usterka może pojawiać się dopiero przy uruchomieniu sygnalizacji, podświetlenia lub dodatkowej funkcji czytnika.
8. Nieprawidłowa topologia i terminacja. Odbicia sygnału mogą powodować błędy występujące tylko okresowo.
9. Brak procedury wymiany urządzenia. Nowy czytnik nie zestawi Secure Channel bez prawidłowego resetu i ponownej inicjalizacji.
10. Brak dokumentacji kluczy i adresów. Kolejny serwisant może przywrócić transmisję nieszyfrowaną, aby szybko uruchomić przejście.

Checklista odbiorowa instalatora

• ☐ Kontroler i czytniki obsługują wymagany profil OSDP.
• ☐ Zweryfikowano status OSDP Verified lub udokumentowano testy zgodności.
• ☐ Zapisano wersje firmware wszystkich urządzeń.
• ☐ Magistrala wykorzystuje odpowiednią skręconą parę.
• ☐ Sprawdzono topologię, ekranowanie i terminację.
• ☐ Każdy czytnik ma unikalny adres.
• ☐ Ustawienia prędkości transmisji są zgodne.
• ☐ Zmierzono napięcie przy czytnikach pod obciążeniem.
• ☐ Wykonano test z docelowymi identyfikatorami.
• ☐ Sprawdzono LED, sygnalizator, klawiaturę i funkcje dodatkowe.
• ☐ Secure Channel jest aktywny na każdym wymaganym połączeniu.
• ☐ System wykrywa utratę komunikacji z czytnikiem.
• ☐ Po restarcie urządzenia wracają do komunikacji szyfrowanej.
• ☐ Nie pozostawiono nieuzasadnionego trybu instalacyjnego.
• ☐ Dokumentacja wskazuje adresy, porty, lokalizacje i wersje.
• ☐ Istnieje bezpieczna procedura wymiany oraz ponownego parowania czytnika.
• ☐ Przetestowano zanik i powrót zasilania.
• ☐ Wykonano kopię konfiguracji kontrolera.

OSDP a wymagania cyberbezpieczeństwa

Dyrektywa NIS2 nie wskazuje OSDP jako obowiązkowego protokołu. Wymaga jednak od podmiotów objętych regulacją stosowania adekwatnych i proporcjonalnych środków zarządzania ryzykiem, obejmujących m.in. kontrolę dostępu, bezpieczeństwo nabywania i utrzymania systemów, obsługę podatności oraz wykorzystanie kryptografii i szyfrowania.

Prawidłowo wdrożony OSDP Secure Channel może być jednym z technicznych środków realizujących te założenia w systemie kontroli dostępu. Nie zastępuje jednak ochrony kontrolera, serwera, sieci, kont administratorów ani procedur utrzymania.

Podsumowanie

Migracja z Wiegand do OSDP nie sprowadza się do przełożenia kilku przewodów. Wymaga oceny urządzeń, profili komunikacyjnych, magistrali RS-485, zasilania, adresowania, wersji firmware oraz sposobu zarządzania Secure Channel.

Najważniejszą zasadą jest doprowadzenie projektu do końca. OSDP pracujący stale bez Secure Channel poprawia diagnostykę i funkcjonalność, ale nie zapewnia pełnej korzyści cyberbezpieczeństwa. Z kolei Secure Channel uruchomiony bez dokumentacji i procedury wymiany urządzeń może utrudnić przyszły serwis.

Doświadczony instalator potrafi połączyć bezpieczeństwo z ciągłością działania: przeprowadzić testy na stanowisku, rozpocząć od pilotażu, zaplanować migrację etapami i przekazać inwestorowi kompletną dokumentację.

Seecom Polska wspiera projektantów i firmy wykonawcze w doborze kontrolerów, czytników, identyfikatorów, zasilania i infrastruktury potrzebnej do budowy oraz modernizacji systemów kontroli dostępu.