非接觸式IC卡核心技術被破解 涉及高校公交及其他公共領域

　　核心

　　提示

　　日前，工業(yè)和信息部發(fā)布了《關于做好應對部分IC卡出現(xiàn)嚴重安全漏洞工作的通知》，要求各地各機關和部門開展對IC卡使用情況的調查及應對工作。工信部的這則通知的背景是什么呢？北京晨報記者從專業(yè)人士處獲知了驚人的消息：主要應用于IC卡系統(tǒng)的MI芯片的安全算法已遭到破解！目前全國170個城市的約1.4億張應用此技術的IC卡也都將面臨巨大的安全隱患。

　　事件：命門被破

　　IC卡

　　專家不公布破解方法

　　卡的加密與解密永遠都是一枚硬幣的兩面，每天在世界的各個地方，都有無數(shù)的科學家、學者和黑客們不停地在研究著各種加密和解密的技術與技巧，成功與失敗也在永遠上演著。2008年，德國研究員亨里克·普洛茨和美國弗吉尼亞大學計算機科學在讀博士卡爾斯滕·諾爾就享受到了成功的喜悅：他們最先利用電腦成功破解了恩智浦半導體的Mifare經(jīng)典芯片(簡稱MI芯片)的安全算法。但對于這項科研成果，亨里克·普洛茨和卡爾斯滕·諾爾卻在第一時間宣布絕不公布其破解的成果。那么，他們?yōu)楹螌ψ约旱目蒲谐晒M莫如深呢？原來，他們所破解的MI芯片的安全算法，正是目前全世界應用最廣泛的非接觸IC卡的安全算法！可以想見，如果這一科研成果被人惡意利用，那么大多數(shù)門禁系統(tǒng)都將失去存在的意義，而其他應用此種技術的IC卡，如各高校學生使用的校園一卡通、高速公路繳費一卡通等也都將面臨巨大的安全隱患。

　　掌握技術可修改錢數(shù)

　　看過美國大片的人都有印象，片中的主角可以利用電腦輕易復制各種卡，隨意出入機關重重的機密場所。MI芯片的安全算法如果被不法分子利用，現(xiàn)實生活中，影片主角的行為可能就發(fā)生在你身邊。

　　中國信息產(chǎn)業(yè)商會智能卡專業(yè)委員會理事長潘利華教授對記者表示，“Mifare非接觸邏輯加密卡的安全性目前確實存在一定問題，這對目前廣泛應用的城市IC卡項目是一個不小的隱患?！睋?jù)潘教授介紹，一旦不法分子攻破這一技術，“就可以隨意修改自己卡內的信息，比如原來充值10元，他就可以隨意改成1000元或者10000元，甚至更多。而且一旦復制了別人的卡片，也可以隨意修改信息。這對廣大持卡人來說，無疑是極大的安全隱患?！?/p>

　　影響范圍涉及公共領域

　　據(jù)建設部IC卡應用服務中心常務副主任馬虹介紹，“截至2008年11月，全國共有170余個城市在公共交通領域建立了不同規(guī)模的IC卡應用系統(tǒng)，比2007年增長30%，90%的城市實現(xiàn)了城市IC卡的一卡多用?！敝档米⒁獾氖?，目前，這部分城市均采用邏輯加密卡。Mifare算法遭破解后，引發(fā)業(yè)界高度關注。潘利華教授認為，卡片信息一旦遭到大規(guī)模復制，可能給城市公共事業(yè)造成極大安全隱患。所以目前，如何解決這個安全漏洞，是業(yè)內和相關部門亟待思考及解決的問題。

　　目前城市IC卡正在向“一卡多用”方向發(fā)展。在北京，IC卡已擴展到了超市消費領域，“一旦有不法分子復制卡片后惡意充值倒賣或自己消費，后果將不堪設想?！迸私淌谝矊Υ吮硎玖俗约旱膿鷳n。

　　應對：等待升級

　　IC卡

　　政府推廣CPU卡

　　據(jù)了解，截至目前，我國170余個城市應用了不同規(guī)模的公用事業(yè)IC卡系統(tǒng)，發(fā)卡量已超過1.5億張，約有95%的城市在應用IC卡系統(tǒng)時選擇使用非接觸式邏輯加密卡，相當于約有1.4億張邏輯加密卡在我國城市公用事業(yè)IC卡系統(tǒng)中應用。其應用范圍已覆蓋公交、地鐵、出租、輪渡、自來水、燃氣、風景園林及小額消費等領域。Mifare算法遭破解后給我國城市公用事業(yè)IC卡系統(tǒng)安全性造成了極大隱患?？ㄆ畔⒁坏┰獾酱笠?guī)模復制，IC卡系統(tǒng)將會面臨巨大的威脅。如何從根本上解決這個安全漏洞，防止危害的發(fā)生，是目前行業(yè)亟待思考及解決的重要問題。

　　“有效防范Mifare算法破解的根本解決方案就是升級改造現(xiàn)有IC卡系統(tǒng)，并逐步將邏輯加密卡替換為CPU卡?！睋?jù)潘教授介紹。相比邏輯加密卡，雖然CPU卡出現(xiàn)的時間較晚，但因為CPU卡擁有獨立的CPU處理器和芯片操作系統(tǒng)，可以更靈活的支持各種不同的應用需求，交易也更安全?！捌渖σ哺ⅲ瑑?yōu)勢主要體現(xiàn)在幾個方面：數(shù)據(jù)安全性更高、應用更加靈活、應用能力更多?！蔽掌婀镜闹鼙蟾嬖V記者?！澳壳?，歐洲各國的銀行卡都是采用CPU技術，至今未出現(xiàn)被破解和攻擊等惡性事件，充分說明了CPU卡的優(yōu)勢所在?！迸私淌诟嬖V記者。

　　據(jù)潘教授介紹，升級后的新版牡丹交通卡是一張集芯片和磁條于一身的銀聯(lián)標準貸記卡，從卡種上來說，就是典型的接觸式CPU卡，安全性也大大提高。從外觀上來說，接觸式CPU卡與非接觸式CPU卡區(qū)別就是表面多一個芯片，而非接觸式CPU卡與目前的邏輯加密卡看不出區(qū)別。

　　為改變目前邏輯加密卡的安全隱患現(xiàn)狀，大力推進CPU卡應用就顯得勢在必行。而國家相關部門也做了大量工作，建設部IC卡應用服務中心在2008年就制訂了兩項國家行業(yè)標準，同時向建設部申報三項城市互聯(lián)互通卡系列標準，為CPU卡的廣泛應用及實現(xiàn)全國互聯(lián)互通建立標準體系。

　　記者了解到，目前包括北京在內的全國各大城市都在穩(wěn)步推進向CPU卡的過渡工作，一些新上項目都被要求采用CPU卡系統(tǒng)，而放棄使用目前的邏輯加密卡。業(yè)內一位知情人透露，山東淄博的城市一卡通項目就是一個例子，“原本打算50萬張邏輯加密卡的招標工作都已結束，但隨后還是決定從長遠利益出發(fā)，重新招標使用CPU卡?！?/p>

　　專家釋疑

　　IC卡

　　IC公交卡北京最安全

　　“安全算法可以被攻破，但只要從系統(tǒng)層面考慮周密，同時注重系統(tǒng)的安全建設，建設時留有足夠的可升級和可拓展空間，那么卡片算法破解后出現(xiàn)的一系列安全隱患都將得到有效遏制。這就如同電腦遭到攻擊后，我們需要下載補丁升級一樣。對于大眾而言，沒有必要過于擔心，更沒有必要棄卡不用。”有關專家也表示。

　　日前在接受北京晨報記者采訪時，北京市政交通一卡通公司總經(jīng)理汪連啟表示，目前，香港、上海等城市大部分采用的是S50卡，而北京現(xiàn)在已全部置換成S70卡，擁有48種功能，在全國的IC卡里，北京交通一卡通的安全等級是最高的。而根據(jù)國家有關部門的要求，北京正在逐步啟用CPU卡，逐漸取代現(xiàn)在的S70邏輯加密卡。汪連啟告訴北京晨報記者：“目前市民在一卡通售卡點買到的卡都已經(jīng)是CPU卡。而原先市民手中的S70卡仍舊可以使用，不會要求市民在較短時間內換卡?！蓖艨偼瑫r表示，“市民手頭的S70卡也沒有必要去更換，因為S70卡目前在全國還是最先進的，安全性能也是最高的。”

　　安全提示

　　IC卡

　　一次充值別太多

　　目前出現(xiàn)的安全隱患是不爭的事實，政府和有關部門正在努力推進這方面的工作，而作為大眾，平時應如何注意用卡安全呢？潘利華教授建議市民：不要給陌生人用卡，防止IC卡被復制信息；注意用卡環(huán)境，不要讓卡片離開自己的視線范圍；平時出門，不要把卡隨意放在包的外層或露在外面，不要為了刷卡方便而偷懶，有效避免卡被人讀取信息。最后，潘教授還特別提到“不要一次充太多的錢，即使丟失也不會造成太大損失?！?/p>

　　限制單筆消費額度

　　雖然目前的邏輯加密卡升級到CPU卡，成本是原來的4到6倍，大批量升級系統(tǒng)和更換卡片既需要很大的成本，也需要一定的技術，是一個浩大的工程。但潘教授卻認為這是物有所值的，“從長遠利益看，還是很值得的。因為維護安全的成本遠遠低于系統(tǒng)被破壞后進行系統(tǒng)修復的成本?！迸私淌谡J為，“對于卡片供應商、系統(tǒng)商和用戶來說，采用安全系數(shù)更高和應用更多特性的CPU卡是最好的選擇?！?/p>

　　而握奇數(shù)據(jù)系統(tǒng)有限公司的周斌則表示，除了升級到CPU卡之外，在系統(tǒng)上下功夫也是必要的，“如果能從系統(tǒng)上規(guī)定單筆消費額度和一個工作日的消費額，也是有效規(guī)避風險的方法之一?！?/p>

　　新聞內存

　　什么是IC卡

　　IC卡是集成電路卡的意思，IC卡是一種內藏大規(guī)模集成電路的塑料卡片。IC卡通?？煞譃榇鎯ā⒓用芸ê椭悄芸ㄈ?，存儲卡是可以直接對其進行讀、寫操作的存儲器，加密卡是在存儲卡的基礎上增加了讀、寫加密功能，對加密卡進行操作時，必須首先核對卡中的密碼，密碼正確才能進行正常操作；智能卡則帶有微處理器(CPU)，同時也稱作CPU卡。

　　記者手記

　　不必望“卡”卻步

　　擁有幾十種功能的IC卡帶給老百姓們的便利和實惠顯而易見，雖然某些技術環(huán)節(jié)上尚存在一定的安全隱患，不過相關部門正在著手解決，正在穩(wěn)步推進工作，只要按照專家的建議，老百姓大可放心使用。MI芯片算法遭破解，不過是智能卡發(fā)展道路上的一個小挫折。黑客每時每刻都在窺視我們的電腦，但電腦依然充斥在我們社會的每個角落，這就是最好的證明。有缺陷，就改進，有隱患，就升級。卡的加密和解密時刻都在此消彼長，大眾保持警惕是必要的，但沒有必要杞人憂天，望“卡”卻步。智能卡的應用不過才剛剛起步，一路走下去，還有很長的距離，這需要政府和技術部門的支持，更需要大眾的信任和信心。