OSDP-NAK-0x04 IP-Телефония и СКУД

Ошибка OSDP NAK 0x04: Сбой Secure Channel (Key Mismatch / MAC Error)

Обновлено: 21.08.2026 · Официальная документация ↗

Архитектура шифрования OSDP Secure Channel и природа NAK 0x04

Режим OSDP Secure Channel (SC) использует симметричное шифрование AES-128 для защиты трафика между контроллером и считывателем от перехвата и подделки. Ошибка NAK 0x04 (Secure Channel Initialization Failed / Unexpected MAC) возвращается считывателем или контроллером в следующих случаях:

Key Mismatch: Мастер-ключ SCBK (Secure Channel Base Key) на контроллере не совпадает с ключом, прошитым в память считывателя.
Invalid MAC: При проверке 4-байтовой имитовставки SMAC (Server MAC) или RMAC (Reader MAC) вычисленный хеш CBC-MAC не сошелся.
Wrong Security Block: Контроллер отправил зашифрованные данные osdp_DATA без предварительного успешного рукопожатия osdp_CHLNG / osdp_SCRYPT.

Бизнес-риски

Полный отказ точки доступа: считыватель отвергает команды управления, контроллер не принимает идентификаторы сотрудников. Высокий риск несанкционированного доступа при попытке администраторов «временно» отключить шифрование, открыв шину для атак типа Man-in-the-Middle (MitM).

Фазы инициализации OSDP Secure Channel

Этап	Команда / Ответ	Описание
1	`osdp_CHLNG (0x76)`	Контроллер отправляет случайное 8-байтное число (Rnd.A) считывателю.
2	`osdp_CCRYPT (0x46)`	Считыватель генерирует Rnd.B, вычисляет сессионные ключи (S-ENC, S-MAC1, S-MAC2) и шлет ответ.
3	`osdp_SCRYPT (0x77)`	Контроллер валидирует криптограмму и подтверждает сессию. Ошибка на этом этапе возвращает NAK 0x04.

Регламент восстановления OSDP Secure Channel (NAK 0x04)

Сценарий 1: Сброс ключей в режим установки (Install Mode / Default SCBK-D)

По стандарту, с завода все устройства OSDP имеют ключ по умолчанию SCBK-D (0x30 0x31 ... 0x3F / "0123456789ABCDEF"):

Переведите порт контроллера в режим Install Mode / Auto-Enroll Keys.
Перезагрузите считыватель по питанию, удерживая тампер (или выполните сброс через мобильное приложение конфигурации).
Контроллер выполнит первичное рукопожатие по ключу SCBK-D и автоматически запишет новый уникальный рабочий ключ SCBK командой osdp_KEYSET (0x75).

Сценарий 2: Диагностика ключей через CLI/скрипт (OpenOSDP / libosdp)

# Запуск утилиты проверки OSDP Secure Channel с указанием известного ключа
osdputil --device /dev/ttyUSB0 --baud 9600 --channel-address 1 \
  --scbk 303132333435363738393A3B3C3D3E3F --verbose
# Если возвращается ошибка: "[OSDP-SC] NAK 0x04: Secure Channel Failed!",
# значит в считывателе прошит кастомный вендорский SCBK. Требуется полный сброс.

Сценарий 3: Проверка рассинхронизации счетчика векторов инициализации (IV)

Шифрование AES-CBC в OSDP использует вектор инициализации (IV), обновляемый с каждым переданным блоком. Если из-за физической помехи один зашифрованный пакет потерялся, последующий пакет не сможет быть расшифрован и вызовет MAC Error. Убедитесь, что контроллер автоматически выполняет повторную инициализацию сессии (Reset Channel) при получении NAK 0x04.

Типовые ошибки администраторов

Отказ от Secure Channel в пользу незащищенного режима: Вместо сброса и настройки ключей администраторы включают Clear-text режим, делая возможным перехват кодов карт через копеечный сниффер на ESP32.
Использование одного мастер-ключа SCBK для всех объектов: Компрометация одного считывателя на внешнем заборе дает злоумышленнику доступ ко всей сети СКУД предприятия.

Сложности с настройкой криптографии и ключей AES в СКУД?
Эксперты ITSTM разработают и внедрят безопасную ключевую политику для OSDP v2 Secure Channel, исключающую уязвимости к перехвату данных и сбои оборудования.

💡 Практика специалистов: Всегда следите за тем, чтобы режим Install Mode на контроллере отключался автоматически через 15 минут после завершения пусконаладки. Оставленный включенным Install Mode позволяет злоумышленнику подключить свой эмулятор считывателя на открытом участке шины и автоматически получить мастер-ключ.

Частые вопросы (FAQ)

Что такое SCBK-D и безопасен ли он в постоянной эксплуатации?

SCBK-D — это открытый дефолтный ключ (Default SCBK), жестко заданный спецификацией SIA. Он предназначен ИСКЛЮЧИТЕЛЬНО для первичной инициализации устройства при монтаже. Эксплуатация считывателей на SCBK-D не обеспечивает безопасности.

Почему после пропадания питания считыватель начинает отвечать NAK 0x04?

Если новый ключ SCBK был отправлен контроллером, но не сохранен в энергонезависимую память EEPROM считывателя (флаг volatile key), после перезагрузки считыватель возвращается к старому ключу.

Можно ли перехватить ключ SCBK при передаче по шине?

Команда osdp_KEYSET передает новый SCBK в зашифрованном виде внутри установленной сессии Secure Channel. Перехватить его можно только в момент первой инициализации, если используется скомпрометированный SCBK-D.

Что означает тип блока безопасности 0x15 (Security Block Type)?

Тип 0x15 указывает на пакет osdp_SCRYPT с аутентификацией сервера. Ошибка валидации этого блока немедленно вызывает NAK 0x04.