IC卡应用安全的成本与风险探讨

    对m1问题的认识

    m1问题出来后，政府和业界很重视。现有系统是否安全？新系统如何做？我曾参加过几个IC卡应用系统的安全评估，m1对IC卡推广应用做出了很大贡献，估计全球全球有20亿、国内有几亿张正在使用，因此今天想与大家探讨一下IC卡应用安全的成本与风险。

    我认为安全等级定义对老系统升级、新系统建设非常重要。IC卡应用安全是信息安全的具体实现，对IC卡应用安全要有一个正确的认识：

    (1) 安全是一个系统的概念
    (2) 安全技术是相对的
    (3) 安全是要花成本和代价的
    (4) 安全技术是发展的、动态的
    (5) 不同的应用，安全要求是不一样的

    因此，我们只有对IC卡应用安全问题有了正确认识，才会对IC卡应用系统的安全采取哪些措施做出正确的判断和决策。

    IC卡应用分类

    （1）身份识别（约占45%） 

    门禁
    证件(身份证、电子护照等)
    停车场 

    （2）支付（约占35%） 

    公交一卡通
    校园一卡通
    ETC收费 

    （3）其它（约占20%） 

    防伪(对象是物品)

    IC卡应用安全分类

    目前，IC卡应用安全没有统一的分类，不同的应用应该有不同的安全级别。另外是不是所有的都需要用CPU卡？这里应该考虑的因素很多：

    （1）身份识别(人、证一致性，验证时限) 

    门禁(不同的区域安全级别不一样)
    证件(持证人身份不同安全级别不一样)
    停车场(车辆重要性、区域重要性决定安全级别不一样) 

    （2）支付(单一功能或一卡多用，大额或小额支付，区域或全国使用等应该安全级别不一样) 

    公交一卡通
    校园一卡通
    ETC收费 

    （3）其它 

    防伪(防伪对象的价值高低、区域或全国流通，联机或脱机查询)

    安全成本与风险

    2008年底，国务院联合发文要求各行业对IC卡应用安全进行排查，及时发现并解决问题。工信部、公安部、安全部、国密局、建设部、交通部对IC卡应用进行全面、系统的安全检查。其中国内使用m1技术的门禁、一卡通是安全检查的重点。其实这不仅仅是花多少钱的问题，还有很多问题需要考虑到，比如成本与风险的平衡、木头屋与碉堡的关系、政治成本与风险、经济成本与风险、复制、篡改成本的可能性以及安全如何控制？做到什么程度？谁说了算？

    现有系统的安全

    对于我国的城市一卡通、ETC、地铁储值卡等重大IC卡应用系统，特别是采用了m1逻辑加密卡的系统，有专家建议采取以下措施，以防备这种不安全因素所带来的影响：

    （1）进行实时交易数据上传，实时分析处理非正常充值数据，立即采用黑名单实时下达到终端设备；
    （2）将读写终端的黑名单容量扩大到20万以上，可以实时进行增量更新；
    （3）建立以GPRS为主的无线通信方式，保证数据的实时性；
    （4）加强芯片厂家对UID的管理，确保芯片出厂后UID不可更改；
    （5）对充值机严格管理和控制，严禁任何可能的非法数据采集；增加交易数据签名验证；
    （6）优化交易流程，禁止回写功能。

    对于已运行的IC卡系统，可以逐步吸收CPU卡，逐步取代m1的逻辑加密卡，从非记名向记名过渡，固定密钥系统向动态密钥系统发展，做到完全不受逻辑加密卡密码风险的影响。

    新建系统的安全

    这里有三条建议：

    （1）建议慎重采用m1的逻辑加密卡，综合卡片成本、系统性能统一的原则,鼓励采用智能CPU卡作为支付媒介
    （2）最彻底的方法是建立完全自主系统(自主标准、自主算法、自主开发)
    （3）应参照《信息安全等级保护管理办法》的模式，综合各种影响安全的因素，对IC卡应的安全性进行评估，不同的安全级别采用不同的技术，真正做到成本与风险的平衡

    期盼政府出台规范

    本人认为，对于IC卡应用安全问题，通过前一阶段的排查、分析，国家主管部门应该总结经验，出台一套类似《信息安全等级保护管理办法》的指导性文件，这些文件应包括：管理规范、技术标准等。这些文件对指导IC卡应用安全是非常必要的。这里的《信息安全等级保护管理办法》的五个等级可以作为参考：

    《信息安全等级保护管理办法》

    第七条 信息系统的安全保护等级分为以下五级：

    第一级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益造成损害，但不损害国家安全、社会秩序和公共利益。

    第二级，信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安全。

    第三级，信息系统受到破坏后，会对社会秩序和公共利益造成严重损害，或者对国家安全造成损害。

    第四级，信息系统受到破坏后，会对社会秩序和公共利益造成特别严重损害，或者对国家安全造成严重损害。

    第五级，信息系统受到破坏后，会对国家安全造成特别严重损害。