建設事業(yè)IC卡的升級淺析
文章出處：http://psychicreadingswithdeb.com 作者：陳向榮 雷迭生 人氣： 發(fā)表時(shí)間：2011年09月27日
目前國內建設事業(yè)IC卡的應用現狀是以邏輯加密卡為主，伴隨行業(yè)對IC卡應用的安全和多應用產(chǎn)生的更高需求，基于CPU卡的更高的安全性以及更強大的計算和存儲能力，建設事業(yè)IC卡從邏輯加密卡升級為CPU卡已成為必然的趨勢。
十余年來(lái)，IC卡的應用在建設領(lǐng)域得以快速發(fā)展。目前，絕大部分城市發(fā)行的IC卡都是非接觸式邏輯加密卡。眾所周知，邏輯加密IC卡在安全、存儲空間以及多應用拓展等方面都存在著(zhù)一定的局限性。隨著(zhù)IC卡應用在建設領(lǐng)域的不斷深入和拓展，行業(yè)對IC卡的安全和多應用提出了更高的要求，邏輯加密卡升級為 CPU卡已成為建設事業(yè)IC卡應用發(fā)展的必然趨勢。
一、建設事業(yè)IC卡升級的必要性
（一）安全性需求
建設事業(yè)IC卡從最初單一的公交應用逐步拓展到城市一卡通多領(lǐng)域小額支付應用，交易的總額在不斷擴大，這就要求建設事業(yè)IC卡應用系統具備更高的安全性。IC卡作為直接的支付工具，其本身的安全特性很大程度上決定了整個(gè)應用系統的安全性。
下面我們從幾個(gè)方面對CPU卡與邏輯加密卡的安全特性做一個(gè)比較。
1.交易安全性上：
當交易雙方在完成交易之后，收單方有可能擅自修改或偽造交易流水來(lái)達到獲利目的，為了防止終端偽造交易流水，系統要求卡片能夠產(chǎn)生由交易要素生成的交易驗證碼，在后臺清算時(shí)來(lái)對交易的有效性進(jìn)行驗證。邏輯加密卡由于不具有運算能力，就不可能產(chǎn)生交易的驗證碼。
而非接觸式CPU卡則可以在交易結束時(shí)產(chǎn)生個(gè)交易驗證碼TAC，用來(lái)防止偽造交易，從而使得整個(gè)交易系統的安全性更加完整。
2.安全認證的實(shí)現上：
邏輯加密卡在進(jìn)行安全認證時(shí)，由卡片對終端機具送的KeyA(KeyB)進(jìn)行核對一致后方可進(jìn)行交易，雖然現在的系統都要求是一卡一密，但畢竟是一個(gè)致命的弱點(diǎn)。
而CPU具有很強的運算能力，在安全認證時(shí)并不直接使用密鑰來(lái)進(jìn)行計算，通常是經(jīng)過(guò)隨機數處理之后產(chǎn)生的工作密鑰，來(lái)進(jìn)行加解密實(shí)現安全的認證。最大限度上的保護了密鑰本身。
3.交易完整性上
由于邏輯加密在整個(gè)交易過(guò)程中，只是簡(jiǎn)單的提供了交易信息的存儲功能，當發(fā)生斷電時(shí)完全需要終端來(lái)對其相關(guān)信息進(jìn)行維護和恢復等操作，從而使得終端的交易軟件更加復雜。
非接觸式CPU卡則完全可以由內部COS來(lái)實(shí)現斷電保護功能，可以將扣款、寫(xiě)交易信息、交易明細等作為一個(gè)原子事件來(lái)操作，從而保證交易能夠完整的做完，并提供專(zhuān)門(mén)的命令來(lái)用于查詢(xún)交易是否完成（當有斷電發(fā)生時(shí)）。從上面的分析可以看出來(lái)，CPU卡在安全上具備邏輯加密卡無(wú)法比擬的優(yōu)勢。所以，從安全性的角度來(lái)看，建設事業(yè)IC卡從邏輯加密卡升級到CPU卡是一種必然的選擇。
（二）一卡多用、優(yōu)化資源需求
隨著(zhù)社會(huì )信息化程度不斷的深入，IC卡事業(yè)不斷的向前推進(jìn)，發(fā)卡種類(lèi)和數量也越來(lái)越多，同時(shí)一卡多應用的成功應用案例也在國內不斷涌現。
一卡多應用包括，行業(yè)內一卡多應用，跨行業(yè)的一卡多應用，兩者區別主要在于，前者采用同一個(gè)行業(yè)標準規范，且使用的屬于同行業(yè)的密鑰管理體系，后者必須要同時(shí)符合多個(gè)行業(yè)的標準規范并且要跨多個(gè)密鑰體系。
從合理利用社會(huì )資源和方便民眾的角度出發(fā)，一卡多應用將會(huì )是未來(lái)的發(fā)展趨勢。在一卡多應用實(shí)現方面，CPU卡在存儲空間以及運算能力方面都比邏輯加密卡更具有優(yōu)勢，建設事業(yè)IC卡的升級也是一卡多應用，合理優(yōu)化社會(huì )資源的需求和契機。
目前已經(jīng)有同時(shí)符合多個(gè)行業(yè)的建設事業(yè)非接觸式CPU卡產(chǎn)品，為建設IC卡升級提供了有利條件。
（三）交易復雜性需求
建設領(lǐng)域IC卡應用已從單一的公交應用發(fā)展到目前包含公共交通（公交、軌道交通、出租車(chē)等）、燃氣、自來(lái)水、供暖、數字社區、路橋收費、停車(chē)場(chǎng)管理、公園景點(diǎn)等多領(lǐng)域的應用。
隨著(zhù)應用領(lǐng)域的擴展，收費方式也在原有一次性收費方式的基礎上擴充了計次、計時(shí)、計程等多種方式來(lái)實(shí)現分段收費、停車(chē)收費等應用需求。
分段收費、停車(chē)收費的復雜性，遠大于一次性收費，由于邏輯加密卡不具備運算功能，無(wú)法在卡內實(shí)現相應的復合交易功能。如果繼續采用邏輯加密的話(huà)實(shí)現起來(lái)肯定要求終端做更多的事情，甚至有可能不能實(shí)現。這時(shí)如果卡片端能夠做更多的事情，那么實(shí)現起來(lái)就容易得多了。
采用非接觸式CPU卡則可以針對分段收費、停車(chē)收費的應用功能特點(diǎn)，在卡內COS增加相應的復合錢(qián)包處理功能，為實(shí)現這些功能提供更好的卡片平臺。 所以，建設事業(yè)IC卡從邏輯加密卡升級到CPU卡，可以更好地實(shí)現跨行業(yè)多應用的功能實(shí)現。
二、建設事業(yè)IC卡升級的可行性
（一）行業(yè)標準上可行
為規范CPU卡在建設領(lǐng)域的應用，推動(dòng)非接觸CPU卡的創(chuàng )新和科學(xué)發(fā)展，提升CPU卡行業(yè)整體技術(shù)和應用水平，建設部于2007年5月下達了《建設事業(yè)非接觸式CPU卡芯片技術(shù)要求》和《建設事業(yè)非接觸式CPU卡COS技術(shù)要求》國家行業(yè)標準的編寫(xiě)任務(wù)，標準由建設部信息中心和建設部IC卡應用服務(wù)中心共同主編完成。針對標準編寫(xiě)，建設部IC卡應用服務(wù)中心在北京組織參編單位召開(kāi)標準編寫(xiě)工作會(huì )議，對非接觸式CPU卡芯片規范、接觸式CPU卡芯片規范、非接觸式CPU卡兼容M1卡設計、非接觸式CPU卡COS規范、兼容MI卡設計要求、復合電子錢(qián)包交易等內容進(jìn)行了深入探討。
（二）產(chǎn)品技術(shù)上可行
為了促進(jìn)建設事業(yè)非接觸CPU卡的推廣與應用，建設部于2006年6月成立了“建設事業(yè)CPU卡產(chǎn)業(yè)與應用聯(lián)盟”。“聯(lián)盟”于2007年召開(kāi)了三次工作會(huì )議，對建設事業(yè)CPU卡的研發(fā)、操作系統COS設計、交易時(shí)間等方面進(jìn)行了工作部署，以推進(jìn)會(huì )員單位對CPU卡的自主研發(fā)。
目前，聯(lián)盟各理事成員單位已相繼推出符合聯(lián)盟要求的產(chǎn)品，在建設部IC卡應用服務(wù)中心的組織安排下，東信和平等聯(lián)盟理事會(huì )成員的產(chǎn)品已通過(guò)第三方權威檢測機構的物理測試以及建設部的交易功能測試。
（三）產(chǎn)品成本上可行
由于建設事業(yè)IC卡的發(fā)行量一般都比較大，各地在大規模發(fā)行建設事業(yè)IC卡時(shí)，卡片的成本必然是發(fā)行單位必須重點(diǎn)考慮的因素，尤其是一些經(jīng)濟不太發(fā)達的城市。
之前建設事業(yè)IC卡普遍采用邏輯加密卡，一個(gè)很重要的原因就是CPU卡的成本相對邏輯加密卡比較高。
隨著(zhù)芯片工藝和技術(shù)的發(fā)展，芯片的成本在不斷降低，非接觸CPU卡的成本也相應的不斷下降。雖然CPU卡的成本比邏輯加密卡的還是略高，但和以前相比，成本的差距已經(jīng)不是那么不可逾越。
伴隨建設事業(yè)IC卡應用功能的不斷拓寬，以及項目運營(yíng)模式的不斷完善，項目的增值點(diǎn)也不斷增多，卡片成本的影響在收益增加的條件下會(huì )越來(lái)越小。
三、建設事業(yè)IC卡升級的兼容性問(wèn)題
各地發(fā)行的建設事業(yè)IC卡從邏輯加密卡升級到CPU卡，都不可避免的面臨一個(gè)同樣的問(wèn)題：原有的系統軟件和機具如果同時(shí)全面升級，建設費用和建設周期都難以承受，而且已經(jīng)發(fā)放的邏輯加密卡也需要一個(gè)比較長(cháng)的過(guò)渡期來(lái)實(shí)現更換。
基于上述原因，建設部在推廣非接觸CPU卡的同時(shí)，也要求各廠(chǎng)家在卡片COS的設計上實(shí)現CPU卡片模擬邏輯加密卡交易。
卡片實(shí)現兼容的方式一般包括以下兩種，下面對兩種方式的大概原理和安全性進(jìn)行介紹：
1、錢(qián)包同步方式
類(lèi)似于CPU錢(qián)包的一種電子錢(qián)包，本身并不存儲金額。對復合錢(qián)包進(jìn)行消費、充值或讀取余額時(shí)，復合錢(qián)包根據Ka和Kb來(lái)對邏輯加密卡的相應錢(qián)包地址發(fā)送相應指令，然后根據邏輯加密卡返回的數值返給機具。并計算和返回CPU錢(qián)包的應該返回的TAC和MAC2。
其支持的指令集和CPU錢(qián)包完全一致。也就是說(shuō)，對CPU機具來(lái)說(shuō)，無(wú)論是復合錢(qián)包還是CPU錢(qián)包，其消費流程和消費指令都是一樣的。
在發(fā)行卡片的時(shí)候，需要在應用目錄中，同時(shí)建立復合錢(qián)包和CPU錢(qián)包，在邏輯加密卡和CPU兼容期間，機具對卡片發(fā)送CPU指令，只是復合錢(qián)包響應。到以后全部機具都升級到CPU之后，需要關(guān)閉復合錢(qián)包。此時(shí)需要有一個(gè)轉換指令來(lái)保證復合錢(qián)包的錢(qián)正確轉到了CPU錢(qián)包中。
這種方案的優(yōu)點(diǎn)是：CPU錢(qián)包和邏輯加密卡的錢(qián)包永遠是一致的；避免了CPU錢(qián)包和邏輯加密卡錢(qián)包不是真正意義上的同步。缺點(diǎn)是：其實(shí)CPU復合錢(qián)包維護的是邏輯加密卡錢(qián)包，有安全隱患。
2、錢(qián)包不同步方式
類(lèi)似于CPU錢(qián)包的一種電子錢(qián)包，本身存儲金額。對復合錢(qián)包進(jìn)行消費、充值或讀取余額時(shí)，復合錢(qián)包在更新自身金額的同時(shí)并根據Ka和Kb來(lái)對邏輯加密卡的相應錢(qián)包地址發(fā)送相應指令，然后根據自身數值返給機具，并計算和返回CPU錢(qián)包的應該返回的TAC和MAC2。Ka和Kb可放在Key文件中，作特殊的應用標識即可。
其支持的指令集和CPU錢(qián)包完全一致。也就是說(shuō)，對CPU機具來(lái)說(shuō)，無(wú)論是復合錢(qián)包還是CPU錢(qián)包，其消費流程和消費指令都是一樣的。
邏輯加密卡的錢(qián)包不支持充值，即采用CPU卡方式充值。[這部分是最關(guān)鍵的，也是邏輯加密卡的主要被攻擊點(diǎn)之一]同時(shí)邏輯加密卡錢(qián)包中的金額不得大于CPU錢(qián)包中的金額。
在發(fā)行卡片的時(shí)候，需要在應用目錄中建立復合錢(qián)包，在邏輯加密卡和CPU兼容期間，機具對卡片發(fā)送CPU指令，只是復合錢(qián)包響應。到以后全部機具都升級到CPU之后，需要取消邏輯加密卡的錢(qián)包和復合錢(qián)包的掛鉤。
這種方案的缺點(diǎn)是：CPU錢(qián)包和邏輯加密卡的錢(qián)包不總是一致的。在CPU消費后，兩者是一致的，在邏輯加密卡消費后，邏輯加密卡的錢(qián)包金額小于CPU錢(qián)包金額。
優(yōu)點(diǎn)是：安全級別比上一種方案高，而且不允許邏輯加密卡充值，所以充值方面的安全級別類(lèi)似于CPU卡。
非接觸式CPU卡是具備更高安全性和更強大功能的產(chǎn)品，必然會(huì )在建設事業(yè)領(lǐng)域逐步替代邏輯加密卡成為主流產(chǎn)品。近兩年，非接觸CPU卡產(chǎn)品的推廣和應用也取得了卓越成效。一方面，建設部在標準制定和產(chǎn)品符合性測試等工作組織上取得了實(shí)質(zhì)性的進(jìn)展；另一方面，一些試點(diǎn)城市也陸續開(kāi)始實(shí)施應用建設事業(yè)非接觸式 CPU卡，還有許多城市在新的一卡通項目上規劃采用非接觸式CPU卡產(chǎn)品?？傊?，CPU卡替代邏輯加密卡已成為建設事業(yè)IC卡應用發(fā)展的必然趨勢。
本文作者：東信和平智能卡股份有限公司 陳向榮 雷迭生
