【安防知識網】從2008年歐美有研究人士公布Mifare I卡有安全漏洞，可以破解或復制后，引起社會一片嘩然。特別是去年底和今年初，我國有關部門專門針對Mifare I卡的安全性問題下發(fā)有關文件后，使用Mifare I卡的單位，特別是政府機關、軍隊和城市公交一卡通部門給予了高度重視，全面調查Mifare I卡的使用狀況，部分門禁已經停用，城市公交一卡通部門也都在籌劃著各自的升級方案。
其實Mifare I卡的安全性問題是個技術性問題，我們首先要從技術和市場的角度理性地看待分析，從而評估使用Mifare I卡系統(tǒng)的安全性，為尋找正確的解決方案打下基礎。
首先，Mifare I卡是非接觸式的邏輯加密IC卡。IC卡從安全性角度可分為存儲卡、邏輯加密卡和CPU加密卡，而從讀寫接口方式可分為接觸式IC卡和非接觸式IC卡。CPU加密卡內含CPU芯片，它不僅處理卡片內的文件管理，而且也提供加密算法處理，大大提供了卡片的安全性。而邏輯加密卡，從理論上說，一定是能破解，特別是隨著計算機性能的提高和人們對加密算法的研究，破解所需時間不斷縮短。這次Mifare I卡安全性問題的出現(xiàn)正是由于其占絕對優(yōu)勢的市場占有率引起了某些專業(yè)人士的特別關注，甚至從IC電路晶元的深度去研究Mifare I卡的芯片，獲取了其加密的基本機制。市場上同樣的非接觸式邏輯加密卡，其安全水平總體來說是一致的，都存在被破解的可能性。
其次，從用戶角度來說，系統(tǒng)的安全性不僅僅取決于卡片的安全性。IC卡應用系統(tǒng)是由卡片及卡片數(shù)據(jù)結構、讀寫機具及控制軟件、網絡和計算機(服務器或工作站)及管理軟件組成的。系統(tǒng)的安全性是上述各個環(huán)節(jié)的集成。[nextpage]
首先，同樣是Mifare I卡，卡片的基本加密機制是由NXP決定的，但是在具體應用中，不同的系統(tǒng)集成商或機具制造商采用的密鑰體系是不一樣的，可以是整個系統(tǒng)采用一個密鑰、也可能是一個應用采用一個密鑰、還可以是一張卡一個密鑰或一張卡一個扇區(qū)一個密鑰。不同的密鑰體系設計，它們的安全等級是不同的。NXP公司在其關于Mifare I卡的安全性報告中就明確指出，采用卡片密鑰與卡片UID(Unique Identification Number)綁定的方式可以大大提高系統(tǒng)地安全性。
其次，管理軟件的密鑰體系及其數(shù)據(jù)傳輸中的加密機制同樣影響著系統(tǒng)的安全性。如果采用公鑰數(shù)字認證加密系統(tǒng)，加密涵蓋數(shù)據(jù)傳輸、數(shù)據(jù)存儲、卡片讀寫的全過程，包括建立健全系統(tǒng)的管理制度，同樣可以提高系統(tǒng)的安全性。
再次，卡片數(shù)據(jù)結構的設計也是系統(tǒng)的安全性要素之一。通常在安全的消費系統(tǒng)設計時，系統(tǒng)會在每次讀卡消費時在卡片、機具上記錄每張卡各自的消費流水號，并返回數(shù)據(jù)庫。一旦出現(xiàn)完全相同卡片的消費，系統(tǒng)自動驗證消費記錄時就會被發(fā)現(xiàn)，問題卡片將立刻被打入黑名單，用戶的損失可以得到有效控制。
而接觸式CPU卡應用已經形成了一些行業(yè)標準，并且得到了廣泛的應用。在《建設事業(yè)集成電路(IC)卡應用技術規(guī)范(CJ/T166-2006)》(下文簡稱規(guī)范)中，定義CPU卡是指內置CPU、程序存儲空間、數(shù)據(jù)存儲空間、加密邏輯電路以及操作系統(tǒng)(COS，i.e.，Chip Operation System)的微處理器卡。所有的操作都在操作系統(tǒng)的控制之下。數(shù)據(jù)元是指在存儲空間里存儲的每一個獨立的數(shù)據(jù)內容或信息項。規(guī)范同時指出，CPU卡適用于對卡片的防偽性要求高、數(shù)據(jù)安全性高的應用中，能夠非常有效地杜絕對卡片的非法復制、偽造，以及對卡上數(shù)據(jù)的非法讀寫、篡改等，適用于構建一個高安全性的識別與支付的IC卡應用系統(tǒng)。勞動和社會保障部早在2000年頒布的《社會保障(個人)卡規(guī)范》和中國人民銀行頒布的《中國金融集成電路 (IC) 卡應用規(guī)范(PBOC 2.0)》也都對接觸式CPU卡的使用給出了明確的定義和規(guī)范。而非接觸式CPU卡應用的標準隨著非接觸CPU卡產品在近年的誕生還在不斷完善中。
Mifare I卡的安全性問題的出現(xiàn)實際上也是IC卡應用技術不斷發(fā)展，市場應用不斷擴大的必然。我們一定要從技術和市場的角度理性看待。
a&s傳媒是全球知名展覽公司法蘭克福展覽集團旗下的專業(yè)媒體平臺，自1994年品牌成立以來，一直專注于安全&自動化產業(yè)前沿產品、技術及市場趨勢的專業(yè)媒體傳播和品牌服務。從安全管理到產業(yè)數(shù)字化，a&s傳媒擁有首屈一指的國際行業(yè)展覽會資源以及豐富的媒體經驗，提供媒體、活動、展會等整合營銷服務。
粵公網安備 44030402000264號
