非接觸式IC卡核心技術被破解 涉及高校公交及其他公共領域

    核心提示

    日前，工業和信息部發布了《關于做好應對部分IC卡出現嚴重安全漏洞工作的通知》，要求各地各機關和部門開展對IC卡使用情況的調查及應對工作。工信部的這則通知的背景是什么呢？北京晨報記者從專業人士處獲知了驚人的消息:主要應用于IC卡系統的MI芯片的安全算法已遭到破解！目前全國170個城市的約 1.4億張應用此技術的IC卡也都將面臨巨大的安全隱患。

    事件:命門被破

    IC卡

    專家不公布破解方法

    卡的加密與解密永遠都是一枚硬幣的兩面，每天在世界的各個地方，都有無數的科學家、學者和黑客們不停地在研究著各種加密和解密的技術與技巧，成功與失敗也在永遠上演著。2008年，德國研究員亨里克·普洛茨和美國弗吉尼亞大學計算機科學在讀博士卡爾斯滕·諾爾就享受到了成功的喜悅:他們最先利用電腦成功破解了恩智浦半導體的Mifare經典芯片(簡稱MI芯片)的安全算法。但對于這項科研成果，亨里克·普洛茨和卡爾斯滕·諾爾卻在第一時間宣布絕不公布其破解的成果。那么，他們為何對自己的科研成果諱莫如深呢？原來，他們所破解的MI芯片的安全算法，正是目前全世界應用最廣泛的非接觸IC卡的安全算法！可以想見，如果這一科研成果被人惡意利用，那么大多數門禁系統都將失去存在的意義，而其他應用此種技術的IC卡，如各高校學生使用的校園一卡通、高速公路繳費一卡通等也都將面臨巨大的安全隱患。

    掌握技術可修改錢數

    看過美國大片的人都有印象，片中的主角可以利用電腦輕易復制各種卡，隨意出入機關重重的機密場所。MI芯片的安全算法如果被不法分子利用，現實生活中，影片主角的行為可能就發生在你身邊。 

    中國信息產業商會智能卡專業委員會理事長潘利華教授對記者表示，“Mifare非接觸邏輯加密卡的安全性目前確實存在一定問題，這對目前廣泛應用的城市 IC卡項目是一個不小的隱患?！睋私淌诮榻B，一旦不法分子攻破這一技術，“就可以隨意修改自己卡內的信息，比如原來充值10元，他就可以隨意改成 1000元或者10000元，甚至更多。而且一旦復制了別人的卡片，也可以隨意修改信息。這對廣大持卡人來說，無疑是極大的安全隱患?！?

    影響范圍涉及公共領域

    據建設部IC卡應用服務中心常務副主任馬虹介紹，“截至2008年11月，全國共有170余個城市在公共交通領域建立了不同規模的IC卡應用系統，比 2007年增長30%，90%的城市實現了城市IC卡的一卡多用。”值得注意的是，目前，這部分城市均采用邏輯加密卡。Mifare算法遭破解后，引發業界高度關注。潘利華教授認為，卡片信息一旦遭到大規模復制，可能給城市公共事業造成極大安全隱患。所以目前，如何解決這個安全漏洞，是業內和相關部門亟待思考及解決的問題。

    目前城市IC卡正在向“一卡多用”方向發展。在北京，IC卡已擴展到了超市消費領域，“一旦有不法分子復制卡片后惡意充值倒賣或自己消費，后果將不堪設想?！迸私淌谝矊Υ吮硎玖俗约旱膿鷳n。

    應對:等待升級

    IC卡

    政府推廣CPU卡

    據了解，截至目前，我國170余個城市應用了不同規模的公用事業IC卡系統，發卡量已超過1.5億張，約有95%的城市在應用IC卡系統時選擇使用非接觸式邏輯加密卡，相當于約有1.4億張邏輯加密卡在我國城市公用事業IC卡系統中應用。其應用范圍已覆蓋公交、地鐵、出租、輪渡、自來水、燃氣、風景園林及小額消費等領域。Mifare算法遭破解后給我國城市公用事業IC卡系統安全性造成了極大隱患?？ㄆ畔⒁坏┰獾酱笠幠椭?，IC卡系統將會面臨巨大的威脅。如何從根本上解決這個安全漏洞，防止危害的發生，是目前行業亟待思考及解決的重要問題。

   “有效防范Mifare算法破解的根本解決方案就是升級改造現有IC卡系統，并逐步將邏輯加密卡替換為CPU卡?！睋私淌诮榻B。相比邏輯加密卡，雖然 CPU卡出現的時間較晚，但因為CPU卡擁有獨立的CPU處理器和芯片操作系統，可以更靈活的支持各種不同的應用需求，交易也更安全?！捌渖σ哺?，優勢主要體現在幾個方面:數據安全性更高、應用更加靈活、應用能力更多?！蔽掌婀镜闹鼙蟾嬖V記者?！澳壳?，歐洲各國的銀行卡都是采用CPU技術，至今未出現被破解和攻擊等惡性事件，充分說明了CPU卡的優勢所在?！迸私淌诟嬖V記者。

    據潘教授介紹，升級后的新版牡丹交通卡是一張集芯片和磁條于一身的銀聯標準貸記卡，從卡種上來說，就是典型的接觸式CPU卡，安全性也大大提高。從外觀上來說，接觸式CPU卡與非接觸式CPU卡區別就是表面多一個芯片，而非接觸式CPU卡與目前的邏輯加密卡看不出區別。

    為改變目前邏輯加密卡的安全隱患現狀，大力推進CPU卡應用就顯得勢在必行。而國家相關部門也做了大量工作，建設部IC卡應用服務中心在2008年就制訂了兩項國家行業標準，同時向建設部申報三項城市互聯互通卡系列標準，為CPU卡的廣泛應用及實現全國互聯互通建立標準體系。

    記者了解到，目前包括北京在內的全國各大城市都在穩步推進向CPU卡的過渡工作，一些新上項目都被要求采用CPU卡系統，而放棄使用目前的邏輯加密卡。業內一位知情人透露，山東淄博的城市一卡通項目就是一個例子，“原本打算50萬張邏輯加密卡的招標工作都已結束，但隨后還是決定從長遠利益出發，重新招標使用CPU卡?！?

    專家釋疑

    IC卡

    IC公交卡北京最安全

    “安全算法可以被攻破，但只要從系統層面考慮周密，同時注重系統的安全建設，建設時留有足夠的可升級和可拓展空間，那么卡片算法破解后出現的一系列安全隱患都將得到有效遏制。這就如同電腦遭到攻擊后，我們需要下載補丁升級一樣。對于大眾而言，沒有必要過于擔心，更沒有必要棄卡不用?！庇嘘P專家也表示。

    日前在接受北京晨報記者采訪時，北京市政交通一卡通公司總經理汪連啟表示，目前，香港、上海等城市大部分采用的是S50卡，而北京現在已全部置換成S70 卡，擁有48種功能，在全國的IC卡里，北京交通一卡通的安全等級是最高的。而根據國家有關部門的要求，北京正在逐步啟用CPU卡，逐漸取代現在的S70 邏輯加密卡。汪連啟告訴北京晨報記者:“目前市民在一卡通售卡點買到的卡都已經是CPU卡。而原先市民手中的S70卡仍舊可以使用，不會要求市民在較短時間內換卡。”汪總同時表示，“市民手頭的S70卡也沒有必要去更換，因為S70卡目前在全國還是最先進的，安全性能也是最高的?！?

    安全提示

    IC卡

    一次充值別太多

    目前出現的安全隱患是不爭的事實，政府和有關部門正在努力推進這方面的工作，而作為大眾，平時應如何注意用卡安全呢？潘利華教授建議市民:不要給陌生人用卡，防止IC卡被復制信息；注意用卡環境，不要讓卡片離開自己的視線范圍；平時出門，不要把卡隨意放在包的外層或露在外面，不要為了刷卡方便而偷懶，有效避免卡被人讀取信息。最后，潘教授還特別提到“不要一次充太多的錢，即使丟失也不會造成太大損失。”

    限制單筆消費額度

    雖然目前的邏輯加密卡升級到CPU卡，成本是原來的4到6倍，大批量升級系統和更換卡片既需要很大的成本，也需要一定的技術，是一個浩大的工程。但潘教授卻認為這是物有所值的，“從長遠利益看，還是很值得的。因為維護安全的成本遠遠低于系統被破壞后進行系統修復的成本。”潘教授認為，“對于卡片供應商、系統商和用戶來說，采用安全系數更高和應用更多特性的CPU卡是最好的選擇?！?

   而握奇數據系統有限公司的周斌則表示，除了升級到CPU卡之外，在系統上下功夫也是必要的，“如果能從系統上規定單筆消費額度和一個工作日的消費額，也是有效規避風險的方法之一?！?

    新聞內存

    什么是IC卡

    IC卡是集成電路卡的意思，IC卡是一種內藏大規模集成電路的塑料卡片。IC卡通?？煞譃榇鎯ā⒓用芸ê椭悄芸ㄈ悾鎯ㄊ强梢灾苯訉ζ溥M行讀、寫操作的存儲器，加密卡是在存儲卡的基礎上增加了讀、寫加密功能，對加密卡進行操作時，必須首先核對卡中的密碼，密碼正確才能進行正常操作；智能卡則帶有微處理器(CPU)，同時也稱作CPU卡。

    記者手記

    不必望“卡”卻步

    擁有幾十種功能的IC卡帶給老百姓們的便利和實惠顯而易見，雖然某些技術環節上尚存在一定的安全隱患，不過相關部門正在著手解決，正在穩步推進工作，只要按照專家的建議，老百姓大可放心使用。MI芯片算法遭破解，不過是智能卡發展道路上的一個小挫折。黑客每時每刻都在窺視我們的電腦，但電腦依然充斥在我們社會的每個角落，這就是最好的證明。有缺陷，就改進，有隱患，就升級?？ǖ募用芎徒饷軙r刻都在此消彼長，大眾保持警惕是必要的，但沒有必要杞人憂天，望“ 卡”卻步。智能卡的應用不過才剛剛起步，一路走下去，還有很長的距離，這需要政府和技術部門的支持，更需要大眾的信任和信心。