智能卡与COS技术简析

　　不可否认性的意义在于，当发送者用某种密码发送出一份信息后，就已经无法否认他曾经发出该信息。

　　密码算法是多种多样的，主要有两大类密码算法，一类是对称密钥密码算法，如DES，IDEA，AES等，另一类是非对称密码算法，如RSA，DSA等。

　　智能卡的安全性，在于COS中对密码算法的使用，比如持卡人在卡终端上使用卡片，为了保护业主和持卡人双方的利益，应用系统中可设置双向认证过程，终端方面要检查卡片是否合法，卡片方面也要检查终端是否合法，这种检查过程叫做认证，在认证过程中就可以使用密码算法。智能卡对终端的认证步骤可以是这样的，智能卡把一组随机数传送给终端，同时保存这组随机数，终端对随机数进行加密，把密文传送给智能卡，智能卡对密文进行解密，把得到的结果和保存的随机数进行比较，若一致，就可认定终端是合法的，若不一致，就可认定终端是非法的。这里面的道理是，合法的终端是知道认证所用的密钥的，这是应用系统约定好的，于是才可验证一致，而非法的终端没有得到授权，不知道认证密钥，认证不会通过。

　　这里有一个原理，即密码算法的单向性，已知算法、密钥、明文，计算密文很容易。但是反过来计算就很难了，已知算法、明文、密文，是计算不出密钥的。

　　智能卡的资源很有限，远比不上PC机的处理能力，要在智能卡内部实现各种密码算法和相关协议，需要细致的优化，否则运算效率太低或根本没有可用性。

　　智能卡是如何生产的，由谁生产的？这可以从智能卡的生产过程中知道。

　　智能卡生产中的过程之一就是芯片制造，芯片制造是半导体厂家在集成电路生产线上通过特定的制造工艺进行大批量的芯片生产，生产出的是未定型的芯片。芯片的制造，意味着巨额资金的投入、尖端技术的应用、风险的承担。

　　COS开发商从半导体厂家订制智能卡芯片的过程，是把半导体厂商生产的芯片和COS开发商生产的COS结合起来的过程，这个过程叫做掩膜，是在半导体厂家完成的，就是把COS代码批量烧进芯片中集成的ROM中。生产出来的是定型了的产品。所以在智能卡领域，半导体厂商是芯片的供应商，半导体厂商的直接用户是COS开发商。半导体厂商提供的芯片是智能卡的硬件部分。而COS开发商是智能卡产品的供应商，提供给用户的是智能卡产品。

　　智能卡供应商还要把定型了的芯片封装成模块，这个过程叫做模块封装，是在模块封装厂完成的。有的COS开发商有自己的模块封装厂，有的COS开发商要委托选定的模块封装厂进行模块封装。根据ISO7816标准，用于卡片产品的模块有8个触点。制卡是智能卡生产的又一个步骤，是按客户的要求印制塑料基片，即卡基，然后把模块镶嵌到卡基上，制成智能卡，制卡是在卡厂完成的。之后还要进行卡片初始化，卡片初始化是设置卡片的基本参数及安装卡片传输密钥，这是根据客户的需要进行的。

　　智能卡供应商的直接客户是发卡机构、运营商或业主、系统集成商，他们集成自己的应用系统，形成一定规模的智能卡应用环境，向智能卡供应商定购智能卡，把智能卡做个人化处理，然后发放到持卡人手里，投入使用，智能卡的最终用户是持卡人。

　　那么，谁来开发COS呢？

　　COS的研发是复杂的工程，非专业厂家无需自行开发COS，即使是大的智能卡用户、系统集成商、芯片供应商，也是一样。

　　原因在于：

　　COS属于系统软件，从开发到投放市场，需要长期的测试、修改完善过程，还得通过权威机构的认证；在我国，推出智能卡产品首先需要应用行业的测试认可，比如中石化的加油卡、银行的金融卡等都有专门的行业标准，而且还需要国家密码管理委员会办公室的安全认证，被认可为定点生产或定点销售的单位，才可进行智能卡的生产或销售。

　　COS的体系结构和智能卡的安全性直接相关，在具有稳定的开发团队和多年的经验积累条件下，才能够开发出合格的COS，其中包括各种攻击和反攻击的经验积累以及抵抗攻击的措施。

　　正式的智能卡产品必须是硬掩膜的，每种容量、每个版本都需要做掩膜，费用不菲。智能卡芯片技术的不断发展要求COS也要不断升级，不是专业开发商则难以跟踪潮流。

　　智能卡行业是典型的规模型高科技产业，每年没有数千万张以上的销量，开发COS得不偿失。世界著名的半导体厂商一般都不推广自己的COS，而是依靠COS开发商将其智能卡芯片推向市场。

　　因此目前，国内只有介入智能卡行业较早的专业开发商因为经验积累丰富，产品成熟稳定，市场份额较大，才能在技术上达到国际先进水平，与国外的COS相抗衡。