Удалённое открытие ворот через смартфон стало повседневной реальностью: водитель подъезжает, нажимает в приложении кнопку «Открыть» и въезжает, не выходя из машины. Однако за кадром этой простой операции скрывается целый комплекс задач по аутентификации, авторизации и шифрованию. Если система управления воротами не «дружит» с корпоративной инфраструктурой, появляются риски взлома и административные сложности. Ниже ― пошаговое руководство, как интегрировать «умные» отвороты с уже работающими протоколами и платформами аутентификации без головной боли и лишних затрат.
Разбираемся: какие системы уже есть
Прежде чем что-то подключать, нужно понять, что у вас уже работает. В большинстве компаний используется один или несколько из перечисленных механизмов:
- RADIUS/TACACS+ — централизованная аутентификация по стандарту RFC 2138 для сетевого оборудования и VPN.
- Active Directory / LDAP — «учётка» сотрудников, групповые политики и единый каталог.
- ADFS, Keycloak, Azure AD — федеративные SSO-решения, где один логин открывает доступ ко множеству сервисов.
- 2FA/MFA-платформы — «Контур.Эгида», «Мультифактор», «САКУРА», Google Authenticator или аппаратные токены.
- Облачные IoT-платформы — AWS IoT, Azure IoT Hub, Yandex IoT Core, которые умеют «говорить» на MQTT/HTTPS и уже умеют проверять цифровые сертификаты.
Что нужно от «умных» ворот
Любой современный контроллер ворот (шлюз, привод, реле) должен уметь минимально:
- Принимать команды по безопасному каналу (TLS 1.2+).
- Проверять логин/пароль или токен.
- Отправлять события в централизованный журнал (Syslog, SIEM).
- Поддерживать механизм отзыва прав (например, когда сотрудник уволен).
Если ваш контроллер этого не умеет, придётся либо:
- взять готовую IoT-платформу-посредник (например, Avanpost FAM или Identity Blitz);
- или добавить «умный» шлюз, который будет переводить команды из приложения во внутренний протокол привода.
Выбираем протокол интеграции
3.1 RADIUS — когда важен «корпоративный» аккаунт
RADIUS появился ещё в 1997 году, но до сих пор жив и хорошо поддерживается всеми 2FA-решениями. Суть: контроллер ворот выступает как NAS (Network Access Server), а центральный RADIUS-сервер решает «открыть/не открыть». В этом случае:
- У сотрудника уже есть логин и пароль от AD.
- Вторым фактором может быть SMS, push или аппаратный токен.
- ФСТЭК и Приказ №21 требуют скрытия обратной связи (вместо звёздочек — просто «ввод разрешён»).
3.2 OAuth2 / OpenID Connect — если ворота «веб-приложение»
Мобильное приложение обращается к брокеру идентичности (ADFS, Keycloak, Контур.Эгида) и получает JWT-токен. Контроллер проверяет подпись токена и открывает шлагбаум. Плюсы:
- Нет нужны хранить пароли на устройстве.
- Есть механизм refresh-токенов: пользователь входит раз в день, а не при каждом подъезде.
- Можно реализовать ролевую модель (администратор, охрана, гость).
3.3 Клиентские сертификаты (EAP-TLS) — для высокой степени секретности
Один из самых безопасных, но трудоёмких способов. На телефон устанавливается PKI-сертификат, а контроллер ворот требует взаимной TLS-аутентификации. Вариант используется военными и на объектах критической инфраструктуры (TETRA, PoC-радио).
Недостаток: если сертификат украдут (или потеряют телефон), его нужно быстро отозвать через OCSP/CRL.
Практические сценарии
Сценарий A. Корпоративный офис «Моя компания»
Что есть: Active Directory, «Мультифактор», старый RADIUS-сервер, мобильные пропуска на телефоне (NFC).
Задача: добавить удалённое открытие ворот для сотрудников и курьеров.
Решение:
- Ставим IoT-шлюз Avanpost FAM, который умеет в RADIUS и REST API.
- Регистрируем его как NAS в «Мультифактор».
- Для сотрудников настраиваем push-2FA, для курьеров — временные токены по SMS.
- Интегрируем события в SIEM: «ворота открыты», «доступ запрещён».
Сценарий B. Коттеджный посёлок
Что есть: въездные шлагбаумы, мобильное приложение жителей, «Контур.Эгида» как SSO.
Решение:
- Контроллер ставится на MQTT/TLS и подписывается на топик
/gate/command. - Мобильное приложение получает JWT через OpenID Connect.
- При подъезде приложение публикует команду с токеном: контроллер проверяет подпись и открывает ворота на 10 секунд.
Чек-лист безопасности
Чтобы не попасть в заголовки новостей «ворота взломали через приложение», проверьте:
- Шифрование канала: минимум TLS 1.2, современные шифры (ECDHE).
- Отсутствие открытого пароля в URL: токены передаём в заголовке Authorization.
- Rate-limit: не более 5 попыток за минуту, чтобы уйти от брут-форса.
- Аудит: каждая команда и результат пишутся в журнал, из которого SIEM может строить графики.
- Обновление прошивки: OTA-обновления должны быть подписаны и проверяться контроллером.
Не нужно сразу ставить PKI и прокачивать 2 ГБ сертификатов. Начните с простого:
- Добавьте контроллер в ваш RADIUS или OAuth2-провайдер.
- Включите push-2FA или TOTP.
- Убедитесь, что журналы уходят в SIEM.
- Постепенно расширяйте функционал: временные гостевые токены, геолокация, автопропуск при подъезде.
Тогда ваши ворота будут не только «умными», но и совместимыми с любыми корпоративными стандартами безопасности.