Nätverkssäkerhet

VAKA är ett modernt passersystem med en rad unika egenskaper och kännetecknas av hög flexibilitet och skalbarhet. Utveckling och tillverkning sker i Sverige.

Axema VAKA installeras på plats hos kund (on-prem) och hanteras utan inblandning av Axema. Axema VAKA är inte en molntjänst.

Axema VAKAs systemdatabas innehåller systemspecifik konfigurering exempelvis personer, tider, behörigheter och händelser. Databasen finns lagrad i systemets hårdvara, i datorer som används för systemadministration och i eventuella säkerhetskopior. För drift behöver Axema VAKA ingen extern datorkraft.

VAKA är fullständigt nätverksuppbyggt, varje dörrmiljö (om det är fler än en) är ansluten till en switch i nätverket och dörrcentralerna har en integrerad aktiv 2-ports Ethernet-switch (RJ45) varav den ena har stöd för Power over Ethernet enligt standarden IEEE802.3at (PoE+). När man projekterar ett VAKA system kan man välja hur högt ribban skall läggas beträffande säkerhet mot intrång och manipulation.

Kommunikationen mellan PC-klient och systemet initieras utav en HTTP anslutning som laddar ner PC-klienten och verifierar innehållet sedan startas en websocket-anslutning som är krypterad med AES-128.

VAKA utan B60 passar de flesta mindre och mellanstora verksamheter med behov av passersystem för upp till tio dörrar. När dörrcentralerna driftsätts kopplar de upp sig mot varandra och bildar ett system. En av dörrcentralerna väljs som anslutningspunkt och accepterar anslutning på port 80 för administration. Dörrcentralerna är permanent uppkopplade med varandra via en symmetrisk (TCP/IP) AES128 krypterad kommunikation. VAKA utan B60 administreras via ett Java Webstart program som automatisk laddas ner när dörrcentralen navigeras till via en webbläsare. Programvaran kräver att Java, eller motsvarande, finns installerat på datorn.

Ett VAKA system utan B60 som ska kopplas till internet (för fjärradministration och/eller porttelefoni över telenät) bör ha en standardrouter, t.ex. ASUS eller TP Link, med inbyggd brandvägg. Routern kan behöva konfigureras för att fungera i VAKA.

VAKA utan B60 körs vanligen i ett lokalt nätverk och med fasta IP-adresser för dörrcentralerna. Administration sker med valfri dator via webbapplikationen. Systemet är enkelt att bygga ut eftersom befintlig IP-infrastruktur används.

I en högsäkerhetsanläggning kan VAKA isoleras från det lokala nätverket och förvalda IP-adresser används för dörrcentralerna (10.0.0.201 osv.). För administration måste datorn anslutas fysiskt till systemet och åtkomst till systemet blir omöjligt via LAN/ WAN.

När administrationsprogrammet startas upp möts administratören av en inloggningssida, med begäran om användarnamn och lösenord. Inloggningsprocessen använder ett s.k. Challenge+Response-förfarande, där centralen skickar ett seed som programmet använder som hash-seed. Hashen skickas sedan tillbaka till centralen. Så snart kommunikationen är igång är denna krypterad med AES128 och efter inloggning byts de speciella inloggnings-nycklarna ut mot de nycklar som finns i databasen.

VAKA med B60 möjliggör VAKAsystem med upp till 50 dörrar per B60 och 1000 per system fler funktioner, t.ex. bokning. Ett befintligt VAKA-system utan B60 kan enkelt kompletteras med en B60 för att utöka systemet. B60 har en integrerad router/ brandvägg. Ett VAKA-system med B60 byggs upp likt ett system utan B60 med enda skillnaden att dörrcentralerna kopplas till B60 via dess LAN-port. Kommunikationen mellan dörrcentralerna i system med B60 är lika säker som i system utan B60.

Vanligtvis placeras B60 mellan fastighetens/företagets LAN och Internet och dörrarna i ett helt eget isolerat nätverk (B60 WAN-port mot LAN/ WAN och B60 LAN-port mot dörrarnas switchar). Denna systemtopologi skyddar dörrcentralerna mot störningar och avlyssning och behöver endast en fast IP-adress från nätverket. Dörrcentralerna kan användas med sina förvalda IP-adresser vilket innebär smidig installation, driftsättning och eventuell felsökning.

Administrationsgränssnittet kopplar i detta fall upp sig mot B60 (vanligtvis via WAN-portens IP-adress) istället för via en vald dörrcentral (anslutningspunkt). I VAKA under inställningsmenyn, kan administratören välja om man vill använda egna krypteringsnycklar. Egna krypteringsnycklar är däremot endast nödvändiga i speciella fall, vanligtvis inte om systemet befinner sig internt på ett företags LAN.

Redundans

Varje dörrcentral har en fullständig databas av systemet, vilket innebär att systemets dörrar fungerar även om nätverkskommunikationen upphör. Endast globala funktioner, till exempel larmstyrning med flera dörrar i samma larmområde, begränsas.