Das DESY-Zugangskontrollsystem

Transkript

1 Das DESY-Zugangskontrollsystem Vorschlag und Konzept Dietrich Ramert MPS Ver

2 Inhaltsverzeichnis: 1. Historie Allgemeines Die Hardware des Zugangkontrollsystems Die Technik von Karten und Leser Der Controller Der Server Das DESY-LAN Die Datenbank und die Datenverwaltung Anforderungen an die Registry Liste der Anforderungen für die Nutzung des Systems Allgemein an den Beschleunigern: HERA HASYLAB Zusätzlich zu o.g. Anforderungen für alle Beschleuniger Künftig gewünscht Kryokontrolle / MKS Kran-Nutzung Weiterer Bedarf Datensicherheit der Personendaten Einige noch ungeklärte Fragen Topologie des LAN und ZK-Systems Schlussbemerkung

3 1. Historie Es gibt schon lange bei DESY den Wunsch, einen neuen DESY-Ausweis einzuführen. Protokolle über Besprechungen gibt es seit Anfang der 90er Jahre. Inzwischen ist nicht mehr das Bedürfnis im Vordergrund einen Ausweis zum Vorzeigen zu kreieren, sondern einen Ausweis zur Aktionsberechtigung zu schaffen. Dieser sollte dann über ein Computersystem ausgewertet werden. Es gab und gibt bei DESY viele Anwendungen für diese Forderung. Da bisher kein zentraler Ausweis geschaffen wurde, haben sich einzelne Gruppen eigene System angeschafft, die alle nicht zueinander kompatibel sind. In letzter Zeit wurden Anwendungen aus dem Beschleunigerbereich immer dringlicher, deren Lösung im Kostenaufwand sehr hoch sein kann, wenn dies keine Lösung wird, die für ganz DESY nutzbar gemacht werden kann. Vorläufiges Ergebnis der letzten Besprechung war, dass ein eigenständiges System angeschafft werden soll, mit dem bereits vorhandene, einzelne Datenbanken verwendet werden können, da eine gemeinsame, große Datenbank zu umständlich erschien. Recherchen haben jedoch gezeigt, dass es bei DESY, unterstützt von IT, doch eine Möglichkeit gibt, auf die führende Personendatenbank (PIP) zuzugreifen, mit einer Funktionalität, der Registry, die allerdings für die Anforderung Zugangskontrollsystem verändert werden muss. Die Eingaben erfolgen über eine Weboberfläche. Nachfolgender Bericht soll ein Konzept mit der Nutzung der zentralen Datenbank darlegen. 2. Allgemeines Für verschiedene Anforderungen bei DESY ist ein Ausweissystem erforderlich, das Berechtigungen für den Zugang oder die Nutzung von technischem Gerät nach persönlichen Merkmalen regelt. Hierfür gibt es einen Anforderungskatalog der verschiedenen Gruppen von DESY, die ein solches System für erforderlich halten oder bereits im Einsatz haben. Allen Anforderungen gemeinsam ist, dass die Personen, denen ein Ausweis o.ä. ausgehändigt werden soll, in einer Datenbank erfasst sein oder werden müssen mit allen zur Person gehörenden Merkmalen. Die Merkmale einer Person können sich ändern und es können sehr viele Merkmale werden. Dazu ist ein System erforderlich, dass die erforderlichen Eingaben in einer anwenderfreundlichen Weise ermöglicht und dabei den Datenschutz der Personen gewährleistet. Zum anderen muss das Zugangskontrollsystem ( ZK-System) eine Technik bereitstellen, die überall auf dem DESY-Gelände und auch in den Außenbereichen (externe Hallen wie HERA, XFEL usw.) nutzbar ist. Der persönliche Datenträger kann ein Schlüsselanhänger oder eine wie auch immer aussehende Karte (Ausweis) sein. Da ursprünglich an die Beschaffung eines neuen DESY-Ausweissystems gedacht wurde, eignen sich Schlüsselanhänger eher nicht dafür. Eine Karte mit Ausweischarakter muss jedoch nicht sofort eingeführt werden. Es sollen zunächst alle technischen Bedingungen für den Zugang und die Nutzung von Technik abgedeckt werden. Bei der Auswahl sollte aber die spätere Nutzung als Ausweis nicht verhindert werden. Das jetzige Konzept geht davon aus, dass diese Karte zunächst keine gespeicherte Information tragen muss. Um jedoch auch hier weitere Anwendungen nicht zu verhindern, sollten die Karten mit einem Speicher ausgestattet sein. Dies kann die Anwendung im Gästehaus-Bereich sein oder den 3

4 Beginn und das Ende bei Zugängen zu unterscheiden. Im Übrigen wird die Karte äußerlich nur am aufgedruckten Namen erkannt und vom Zugangssystem durch die auf der Karte enthaltene einzigartige Kartennummer, die diesem Namen bzw. damit dieser Person in der Datenbank zugeordnet ist. Zugänge zu Gebäuden, Gebieten oder Räumen werden durch Ersatz des (äußeren) Türgriffs durch einen Knauf und Verwendung einer elektrische Türfalle (E- Falle) ermöglicht. Diese Technik ist bei den meisten bereits in Betrieb befindlichen Systemen bei DESY vorhanden. Das Aufschließen einer Tür mit dem normalen Schlüssel bleibt weiterhin möglich. Das Verlassen des Gebietes ist auf übliche Weise mit dem Türgriff von Innen möglich. Diese Technik stellt den Normalfall dar. In der Anforderungsliste werden einige, wenige Abweichungen hiervon beschrieben. Das ZK- System erkennt den erlaubten Zugang mit einem Kartenleser und gibt die E-Falle für kurze Zeit frei. Für die Freigabe der Benutzung von technischem Gerät wie Kränen o.ä. wird im Prinzip die gleiche Technik verwendet. 3. Die Hardware des Zugangkontrollsystems Die Hardware des ZK-Systems besteht aus a) den Ausweiskarten / Transponderkarten. Karten im Scheckkarten Format mit Antennenschleife und Chip mit Speicher. Die Karte kann bedruckt werden. Das DESY Emblem usw. sollte aber vor dem Laminieren aufgebracht sein. b) den Kartenlesern, kurz Leser genannt, mit Netzteil und Steuerausgang für z.b. E- Fallen. Die Leser sind in kleinen Wand- oder Säulengehäusen untergebracht und können auch mit einem Display ausgestattet sein. c) den Controllern, die mit bis zu acht Lesern verbunden sein können und auch Ausgänge für E-Fallen o.ä. beinhalten können. Sie werden auch in Wandgehäusen geliefert, Sie sind sowohl mit den Lesern über serielle Schnittstellen verbunden als auch über RJ45 Steckverbindungen mit der DESY-Netzwerk Infrastruktur. d) einem zentralen Computer des ZK-Systems als Server, auf dem die aktuelle Datenbank gehalten wird, mit der Teilmenge der Daten, die für die Zugangskontrolle notwendig sind. Der Server verteilt die Informationen an die Leser. 4. Die Technik von Karten und Leser Die zu verwendenden Karten sollen sogen. Transponderkarten oder auch RFID- Karten sein. Im Gegensatz dazu gibt es Karten mit Magnetstreifen, die zwar in der Anschaffung etwas billiger sind, aber dafür in der Wartung teuerer, wegen des Verschleißes der Leser und den Problemen nicht mehr lesbarer Magnetstreifen. Außerdem lassen sich Magnetkarten relativ einfach kopieren. Die hier vorgesehenen 4

5 RFID-Karten sind nicht kopierbar und werden im Gegensatz zu Magnetkarten berührungsfrei ausgelesen und beschrieben, sie unterliegen also keiner Abnutzung. Wird eine solche Karte am Leser vorbei geführt, erscheint am Leser eine Anzeige, ob der gewünschte Vorgang (Zugang oder Nutzung von Technik) mit dieser Karte erlaubt ist oder nicht. Bei Anwendungen, an denen der Zugang oder Abgang bzw. Beginn und Ende erkannt werden müssen, können Leser mit Display für Textanzeigen montiert werden. Die Leser von denen eine E-Falle gesteuert wird, befinden sich in einem Gehäuse mit Netzteil und Relais für die E-Falle o.ä. In der Regel wird jeder Leser einzeln über eine Serielle Schnittstelle mit einem Controller verbunden. 5. Der Controller Der Controller enthält die Firmensoftware zur Kommunikation mit den Lesern und eine Datenbank, die vom Server verwaltet wird. Sie hält die Daten der hier relevanten Personen mit persönlichen Merkmalen gespeichert. Dies soll ermöglichen, dass bei einer LAN-Unterbrechung die ZK lokal funktioniert, bis die Störung beseitigt ist. Welche Personen die Leser dieses Controllers nutzen, wird durch die Merkmale der Person bestimmt. Es werden die für die Person gespeicherten Merkmale mit allen für diesen Zugang oder technische Nutzung erforderlichen Merkmale verglichen. Eine Bewertung / Graduierung der Merkmale wird es voraussichtlich nicht geben. Da die Länge der Datenverbindung zwischen Leser und Controller begrenzt ist, muss die Aufteilung der Leser auf die Controller nach den sich ergebenden Entfernungen geplant werden und nicht nur nach einer Gebietszuordnung. Die Controller wiederum werden über eine Computerverbindung (DESY-LAN) miteinander und dem Server vernetzt. (Beschreibung des LANs s.u.). 6. Der Server Der Server der ZK ist über das DESY-LAN mit den Controllern verbunden. Er enthält die Firmensoftware zur Verwaltung der für die Controller bzw. Leser relevanten Daten und ist die Schnittstelle zur Registry von DESY. Er hält die für das ZK-System erforderlichen Daten dieser Datenbank. Die Erfordernisse für die Kommunikation mit der Registry müssen noch geklärt werden. Da die einzelnen Anwendungen unterschiedliche Anforderungen an die Protokollierung der Nutzung der Karten haben, diese Informationen andererseits aber nicht vom ZK-System zur Registry geschrieben werden können (wie z.b. Zugangs- und Abgangszeit), müssen diese Daten auf dem ZK-Server gehalten werden und z.b. für die Auswertung durch das Kontrollsystem von dort abgeholt werden. Für die Ausgabestellen der Karten (nicht für die Verwaltung von Merkmalen!) ist vom ZK-System eine (übliche) Software mit einem Webclient erforderlich. Damit soll von einem PC an der Ausgabestelle, der mit einem Drucker und einem Karten-Leser verbunden ist, die Initialisierung der Karte vorgenommen werden (Druck von Namen und später auch Bild (?). Dafür wird auf die von der Registry übermittelten Personendaten zugegriffen. 5

6 7. Das DESY-LAN Das verwendete LAN ist physikalisch das in der Infrastruktur von DESY verwendete Datennetz / LAN. Logisch wird hier ein V-LAN mit dem dabei üblichen Adressbereich x.y. verwendet. Es ist von außerhalb DESY nicht sichtbar und wird sonst nicht geroutet. Es gibt einen Router, der das V-LAN nur mit bestimmten Adressen verbindet. Dies sind z.b. die Registry bzw. dessen Server und das Kontrollsystem der Beschleuniger. Damit sollte ausreichende Datenintegrität gesichert sein. Die Verbindung zum Kontrollsystem ist erforderlich, da bei der Nutzung mit dem Personeninterlock, die Namen und die Zeiten im Kontrollraum gelesen werden müssen. 8. Die Datenbank und die Datenverwaltung Für die Datenverwaltung soll die Registry verwendet werden. Diese Forderung resultiert aus mehreren Überlegungen: 1. Die Registry bietet eine funktionierende Verwaltung der führenden Personendatenbank von DESY, PIP. 2. Das ZK-System soll schnellstmöglich in Betrieb gehen. Dies ist nur möglich, wenn möglichst viele vorhandene Resourcen von DESY genutzt werden. 3. Es ist möglich von der Registry Daten auf den Server der ZK zu übertragen. Dafür sind verschiedene Protokolle wie z.b. SOAP möglich. Die Registry muss allerdings für die Anwendung ZK-System eine veränderte Funktionalität erhalten. 9. Anforderungen an die Registry Jeder, der im ZK-System geführt wird, hat das Recht seine hierfür gespeicherten Daten zu lesen. Ändern von Einträgen ist jedoch nur bestimmten Personen gestattet. Diese Erlaubnis beschränkt sich wiederum auf Teilmengen der Daten für einzelne Berechtigte für die unterschiedlichen Merkmale. Karten werden nur an wenigen Stellen bei DESY ausgegeben. Eine der Ausgabestellen von Karten ist V1. Dort werden alle personenbezogenen Daten, auch die, die nicht unbedingt mit dem ZK-System zu tun haben für eine Person eingegeben. (Dies wird auch bisher schon mit PIP gemacht.) Die Ausgabestelle hat dabei nur schreibenden Zugriff auf diese Personendaten und Merkmale, die z.b. für V1 relevant sind. Andere Merkmale der Person, die Berechtigungen betreffen, für deren Verwaltung andere DESY-Gruppen oder Personen verantwortlich sind, können hier nicht eingesehen oder verändert werden. Bei Verlust einer Karte kann an dieser Stelle eine neue Karte für diese Person ausgegeben werden. Die alte Kartennummer wird dann hier gesperrt. Dabei besteht die Möglichkeit (durch eine ausdrückliche Anweisung), alle Merkmale dieser Person, auch 6

7 die nicht sichtbaren, mit der neuen Karte zu verknüpfen. Nach Eingabe aller Daten und dem anschließenden Abschluss dieser Eingaben, wird die neue Karte an einem, an diesem Eingabeplatz befindlichen Leser, gelesen und anschließend in den Drucker gelegt, um den Namen in vereinbarter Form auf die Karte zu drucken. Dieser Arbeitsvorgang muss von der Bedienoberfläche des ZK-Systems mit Zugriff auf die dort gespeicherte Kopie der Personendaten unterstützt werden. Da die Verbindung zur Registry nur unidirektional ist, muss noch geklärt werden, wie die Kartennummer, die mit dem Leser an der Ausgabestelle gelesen wird, der Person in der Datenbank zugewiesen werden kann. Dies muss zunächst händisch erfolgen (12 Stellen). Wünschenswert ist auch, dass beim Lesen einer Karte an den Zugriffsstellen (Ausgabestelle oder Büros) die Personendaten zu dieser Karte aufgerufen werden und damit die Eingabemaske sofort bedienbar ist. Dies ist mit der Registry noch nicht machbar. Folgende Personendaten sollten eingegeben werden: (für einen DESY-Ausweis müssen mehr personenbezogene Daten eingebbar sein als hier für das ZK-System erforderlich sind. Das hier dargestellte Konzept soll sich aber nur auf die ZK- Anforderung beschränken!) Name, Vorname, Gruppe oder Institut/Firma Tel.-Nr Ausweisnummer (automatisch?) Ausstelldatum Gültigkeitsdauer / -Ende Gruppen, die Personen Berechtigungen erteilen müssen, können wie oben bereits beschrieben, mit der Eingabe des Namens diese Person in der Registry aufrufen. Auf der Oberfläche gibt es ein Fenster zur Eingabe von Merkmalen, die diese Gruppe vergeben kann. Die Bezeichnungen dieser Merkmale werden in einer Liste zur Auswahl dargestellt. Bereits an diese Person vergebene Merkmale, für die diese Gruppe zuständig ist, werden gekennzeichnet. (Viele Arten der Handhabung sind denkbar.) Firmen, die Zugangskontrollsysteme anbieten, haben häufig Webclient basierende Softwarelösungen im Programm. Dabei bieten diese Systeme auch Eingabemasken für Zeiterfassung, Personalplanung, Urlaubsplanung usw. Dies wird bei DESY zunächst nicht gewünscht. 10. Liste der Anforderungen für die Nutzung des Systems 10.1 Allgemein an den Beschleunigern: LINAC2, DESY, PETRA, DORIS, FLASH und Experimente von PETRA3 (außer Absatz 1.) Sicherung von Zugängen zur Verhinderung von Diebstahl evtl. aktivierten Materials aus den Kontrollbereichen. Wird z.z. durch Zahlenschlösser 7

8 gesichert. Ein Zahlenschloss befindet sich außen an der Tür. Die Tür wird mit einer E-Falle frei gegeben. Registrierung der Personen bei überwachten Zugängen (ZZ) am Personeninterlock / Türeninterlock der Beschleuniger. Dieser Vorgang wird z.z. mit Zugangs- und Abgangszeit handschriftlich protokolliert und mit Kamera überwacht. Unbekannte Namen müssen aber über die Telefonverbindung, teilweise durch Lärm an der Schlüsselausgabe stark gestört, umständlich buchstabiert werden. Wünschenswert ist auch die Kontrolle, ob diese Person eine Strahlenschutz- und Sicherheitsunterweisung erhalten hat und ob diese noch gültig ist. Außerdem sollte dabei auch kontrolliert werden, ob deren Dosimeter aktuell ist bzw. diese Person, sofern dies ein Zugang zu einem Kontrollbereich ist überhaupt nach den Richtlinien des Strahlenschutzes legitimiert ist, das Gebiet zu betreten. Eine entsprechende Warnung wird dem Operateur signalisiert. Es sollte kein automatischer Eingriff auf den ZZ- Vorgang erfolgen. Legitimierung zur Gebietsabsuche / Tunnelsuche von Interlockgebieten und automatische Protokollierung der beteiligten Personen. Die Personen, die an einer Absuche beteiligt sind, werden auch bisher schon handschriftlich in einem Betriebs-Protokoll erfasst. Außerdem ist geplant die Ausgabe des Sicherheitsschlüssels des Interlocks, den jede Person vor Betreten des Gebiets nehmen muss, mit dem Lesen des Ausweises zur Registrierung zu verbinden HERA Zugangskontrolle wie bisher (Kartensystem). Registrierung im Zusammenhang mit der Betriebsgenehmigung (Bergrecht). Im Gefahrenfall (Feuer) soll damit ersichtlich sein, ob sich Personen in den Gebäuden bzw. dem Gelände von HERA aufhalten (wie viele, gegebenenfalls wer?). Das alte Karten- System kann spätestens ab Ende 2007 nicht mehr gewartet werden HASYLAB Zusätzlich zu o.g. Anforderungen für alle Beschleuniger Die Beamlines dürfen nur User nutzen, die sich einer Sicherheits- und Strahlenschutz-Unterweisung (am Computer) unterzogen haben. Diese 8

9 Kontrolle wird bisher durch die Ausgabe von Strichcode-Aufklebern ermöglicht. Nur die gleiche Person darf an den Experimenten von PETRA3 die Gebietsabsuche starten und beenden Künftig gewünscht Es wird eine Kontrolle der Zugänge von Chemielabors, Reinräumen, LASER-Interlock, mech. Werkstätten usw. gewünscht. HASYLAB betreibt für seine Nutzer ein Online Administrations-System (DOOR) mit integrierter Datenbank, die auch weiterhin benutzt werden wird. Lösbar ist diese Forderung dadurch, dass die bei HASYLAB verwendeten Controller von einem zweiten ZK-Server angesprochen werden, der mit der Datenbank von DOOR kommuniziert und nicht mit der Registry. Es werden dabei die gleichen Ausweiskarten benutzt, wie auch im andren DESY-Bereich Kryokontrolle / MKS Die Kryokontrolle ist mit einer Rufbereitschaft organisiert, die im Falle einer Störung durch ein automatisches Rufsystem per SMS am Handy gerufen wird. Damit das Rufsystem, das bei Nichterreichen einer Person automatisch nach einer vorgegebenen Zeit den Nächsten anruft, erfährt, dass die angeforderte Person eingetroffen ist und nicht weiter rufen muss, soll bei Ankunft mit der Zugangskarte das Erscheinen quittiert und protokolliert werden können Kran-Nutzung Nur Personen, die eine (jedes Jahr wiederholte) Ausbildung zum Kranführer eines bestimmten Kranes oder bestimmter Kräne mitgemacht haben, dürfen den entsprechenden Kran nutzen. Dabei wird durch das ZK-System z.b. zum Betreiben eines Krans für eine kurze Zeit das Einschalten ermöglicht. Der Kran bleibt dann eingeschaltet. Nach dem Ausschalten muss das erneute Einschalten erst wieder mit dem ZK-System freigegeben werden. Oder aber ein Schlüsselkasten o.ä. für Kranschlüssel / Kranfernbedienung wird vom ZK-System frei gegeben Weiterer Bedarf Außerdem gibt es folgende Zugangskontrollen, die bereits eigene Systeme nutzen: Rechenzentrum (Geb. 2b und Geb. 3), Transponder im Schlüsselanhänger 9

10 Bibliothek (Zugang und Verwaltung), Karte mit Magnetstreifen für den Zugang und Strichcode für die Verwaltung in der Bibliothek Informationsraum von PR in der DORIS-Halle, einfaches RFID-System mit max. 200 Nutzern Druckerraum von H1 im Geb. 1, einfaches RFID-System mit max. 200 Nutzern Auch gibt es Planungen zur Nutzung eines ZK-Systems im Verwaltungsbereich sowie der Gästehäuser. 11. Datensicherheit der Personendaten Wie bereits oben erwähnt, wird die Einsichtnahme in die Personendaten bei der Eingabe von Merkmalen nur begrenzt und nur soweit, wie nötig frei gegeben. Der Zugriff auf die Personendatenbank von DESY wird durch die hier üblichen Maßnahmen verhindert. In der, auf dem Server des ZK-Systems gehaltenen Datenbank, stehen außer den o.g. Daten wie Name, Gruppe, Tel.-Nr., usw. nur noch die Merkmale in Form von Bits (ca. 40 Bytes) nicht im Klartext. Der Zugriff auf den Server des ZK-Systems sollte sicher gemacht werden können. Allerdings stehen diese Daten auch in der Datenbank der Controller. Die Zugriffssicherheit auf diese Controller kann oder sollte ein Kriterium in der Auswahl des Lieferanten sein, auch die Wahl des Verbindungsprotokolls. Die PCs der Kartenausgabe haben dabei selbstverständlich Zugriff auf diese Datenbank. Dies darf jedoch nur lesend sein, um die Inkonsistenz der Datenbanken zu verhindern. Eingaben dürfen nur über die Registry erfolgen. 12. Einige noch ungeklärte Fragen Der Kreis der Personen und Gruppen, die Zugriffsrechte auf die Daten haben sollen, ist noch nicht geklärt, sowohl lesend als auch schreibend. Auch muss noch geklärt werden, wer die Merkmale (Strahlenschutz oder elektrische und/oder technische Sicherheit, Kranerlaubnis usw.) eingeben soll, von Personen, die nicht zur eigenen Gruppe gehören. Die Lieferfirma muss dazu Stellung beziehen, wie eine Fehlerüberwachung von Lesern und Controllern erfolgt und DESY muss ein Workflow erstellen, wie bei Störungen am System vorgegangen werden soll. Die Installation, technische Betreuung und der weiterer Ausbau des System muss von mehren Gruppen (durch Fremdfirmen) unter Federführung einer Gruppe von DESY erfolgen. Die persönlichen Merkmale als auch die notwendigen Merkmale der Nutzung müssen spätestens bis zur In-Betriebnahme geklärt werden. Die Beschaffung der Hardware kann aber vorher in Auftrag gegeben werden, da die Montage der Komponenten und Vernetzung sehr viel Zeit beansprucht. 10

11 13. Topologie des LAN und ZK-Systems Bild: Topologie des LAN und der Technik der Zugangskontrolle (Leser, Controller, Server) (Bild folgt) 14. Schlussbemerkung Die aktuelle Arbeitsgruppe DESY-Ausweise besteht aus: Jochen Doberenz, V1, Annette Nienhaus, D5, Riccardo Lami, V1, Peter van der Reest, IT, Dietrich Ramert, MPS Für die Erstellung dieses Konzepts wurden folgende Kollegen der verschiedenen Bereiche und Abteilungen in der Zeit von Anf. November bis Anf. Dezember befragt: Kryokontrollen M. Clausen, MKS Registry P. van der Reest, IT DESY-Netzwerk K. Ohrenberg, IT PIP J. Kreutzkamp IPP HASYLAB J. Knabe, T. Wroblewski; HASYLAB P. Gürtler HASYLAB MIN H. Weise, MIN FLASH-Halle B. Sparr, MEA FLASH-Laser S. Schreiber, MIN D3 Strahlenschutz N. Tesch D3 Betriebsrat Fr. K. Boschatzky, K. Häckel, BR Bibliothek M. Köhler, L Rechenzentrum U. Töter, IT Personeninterlock B. Racky, MPS HERA-Zugang R. Bacher, MST Krane Fr. A. Nienhaus D5 Krane W. Schneider ZBau Krane U. Eggerts MEA Ich danke allen für die umfangreichen Informationen und ergiebigen Diskussionen auch mit hier nicht aufgeführten Kollegen! 11