1.4億IC卡存安全隱患
2009年04月10日 來源：北京晨報
摘要：主要應用於IC卡系統的MI芯片的安全算法已遭到破解！目前全國170個城市的約1.4億張應用此技術的IC卡也都將面臨巨大的安全隱患。
日前，工業和信息部發布了《關於做好應對部分IC卡出現嚴重安全漏洞工作的通知》，要求各地各機關和部門開展對IC卡使用情況的調查及應對工作。工信部的這則通知的背景是什麼呢？北京晨報記者從專業人士處獲知了驚人的消息：主要應用於IC卡系統的MI芯片的安全算法已遭到破解！目前全國170個城市的約1.4億張應用此技術的IC卡也都將面臨巨大的安全隱患。
事件：命門被破
IC卡 專家不公佈破解方法
卡的加密與解密永遠都是一枚硬幣的兩面，每天在世界的各個地方，都有無數的科學家、學者和***們不停地在研究着各種加密和解密的技術與技巧，成功與失敗也在永遠上演着。2008年，德國研究員亨裏克·普洛茨和美國弗吉尼亞大學計算機科學在讀博士卡爾斯滕·諾爾就享受到了成功的喜悅：他們最先利用電腦成功破解了恩智浦半導體的Mifare經典芯片(簡稱MI芯片)的安全算法。但對於這項科研成果，亨裏克·普洛茨和卡爾斯滕·諾爾卻在第一時間宣佈絕不公佈其破解的成果。那麼，他們爲何對自己的科研成果諱莫如深呢？原來，他們所破解的MI芯片的安全算法，正是目前全世界應用最廣泛的非接觸IC卡的安全算法！可以想見，如果這一科研成果被人惡意利用，那麼大多數門禁系統都將失去存在的意義，而其他應用此種技術的IC卡，如各高校學生使用的校園一卡通、高速公路繳費一卡通等也都將面臨巨大的安全隱患。
掌握技術可修改錢數
看過美國大片的人都有印象，片中的主角可以利用電腦輕易複製各種卡，隨意出入機關重重的機密場所。MI芯片的安全算法如果被不法分子利用，現實生活中，影片主角的行爲可能就發生在你身邊。
中國信息產業商會智能卡專業委員會理事長潘利華 教授對記者表示，“Mifare非接觸邏輯加密卡的安全性目前確實存在一定問題，這對目前廣泛應用的城市IC卡項目是一個不小的隱患。”據潘 教授介紹，一旦不法分子攻破這一技術，“就可以隨意修改自己卡內的信息，比如原來充值10元，他就可以隨意改成1000元或者10000元，甚至更多。而且一旦複製了別人的卡片，也可以隨意修改信息。這對廣大持卡人來說，無疑是極大的安全隱患。”
影響範圍涉及公共領域
據建設部IC卡應用服務中心常務副主任馬虹介紹，“截至2008年11月，全國共有170餘個城市在公共交通領域建立了不同規模的IC卡應用系統，比2007年增長30%，90%的城市實現了城市IC卡的一卡多用。”值得注意的是，目前，這部分城市均採用邏輯加密卡。Mifare算法遭破解後，引發業界高度關注。潘利華 教授認爲，卡片信息一旦遭到大規模複製，可能給城市公共事業造成極大安全隱患。所以目前，如何解決這個安全漏洞，是業內和相關部門亟待思考及解決的問題。
目前城市IC卡正在向“一卡多用”方向發展。在北京，IC卡已擴展到了超市消費領域，“一旦有不法分子複製卡片後惡意充值倒賣或自己消費，後果將不堪設想。”潘 教授也對此表示了自己的擔憂。
應對：等待升級
IC卡 政府推廣CPU卡
據瞭解，截至目前，我國170餘個城市應用了不同規模的公用事業IC卡系統，髮卡量已超過1.5億張，約有95%的城市在應用IC卡系統時選擇使用非接觸式邏輯加密卡，相當於約有1.4億張邏輯加密卡在我國城市公用事業IC卡系統中應用。其應用範圍已覆蓋公交、地鐵、出租、輪渡、自來水、燃氣、風景園林及小額消費等領域。Mifare算法遭破解後給我國城市公用事業IC卡系統安全性造成了極大隱患。卡片信息一旦遭到大規模複製，IC卡系統將會面臨巨大的威脅。如何從根本上解決這個安全漏洞，防止危害的發生，是目前行業亟待思考及解決的重要問題。
“有效防範Mifare算法破解的根本解決方案就是升級改造現有IC卡系統，並逐步將邏輯加密卡替換爲CPU卡。”據潘 教授介紹。相比邏輯加密卡，雖然CPU卡出現的時間較晚，但因爲CPU卡擁有獨立的CPU處理器和芯片操作系統，可以更靈活的支持各種不同的應用需求，交易也更安全。“其生命力也更旺盛，優勢主要體現在幾個方面：數據安全性更高、應用更加靈活、應用能力更多。”握奇公司的周斌告訴記者。“目前，歐洲各國的銀行卡都是採用CPU技術，至今未出現被破解和***等惡性事件，充分說明了CPU卡的優勢所在。”潘 教授告訴記者。
據潘 教授介紹，升級後的新版牡丹交通卡是一張集芯片和磁條於一身的銀聯標準貸記卡，從卡種上來說，就是典型的接觸式CPU卡，安全性也大大提高。從外觀上來說，接觸式CPU卡與非接觸式CPU卡區別就是表面多一個芯片，而非接觸式CPU卡與目前的邏輯加密卡看不出區別。
爲改變目前邏輯加密卡的安全隱患現狀，大力推進CPU卡應用就顯得勢在必行。而國家相關部門也做了大量工作，建設部IC卡應用服務中心在2008年就制訂了兩項國家行業標準，同時向建設部申報三項城市互聯互通卡系列標準，爲CPU卡的廣泛應用及實現全國互聯互通建立標準體系。
記者瞭解到，目前包括北京在內的全國各大城市都在穩步推進向CPU卡的過渡工作，一些新上項目都被要求採用CPU卡系統，而放棄使用目前的邏輯加密卡。業內一位知情人透露，山東淄博的城市一卡通項目就是一個例子，“原本打算50萬張邏輯加密卡的招標工作都已結束，但隨後還是決定從長遠利益出發，重新招標使用CPU卡。”
專家釋疑
IC卡 IC公交卡北京最安全
“安全算法可以被攻破，但只要從系統層面考慮周密，同時注重系統的安全建設，建設時留有足夠的可升級和可拓展空間，那麼卡片算法破解後出現的一系列安全隱患都將得到有效遏制。這就如同電腦遭到***後，我們需要下載補丁升級一樣。對於大衆而言，沒有必要過於擔心，更沒有必要棄卡不用。”有關專家也表示。
日前在接受北京晨報記者採訪時，北京市政交通一卡通公司總經理汪連啓表示，目前，香港、上海等城市大部分採用的是S50卡，而北京現在已全部置換成S70卡，擁有48種功能，在全國的IC卡里，北京交通一卡通的安全等級是最高的。而根據國家有關部門的要求，北京正在逐步啓用CPU卡，逐漸取代現在的S70邏輯加密卡。汪連啓告訴北京晨報記者：“目前市民在一卡通售卡點買到的卡都已經是CPU卡。而原先市民手中的S70卡仍舊可以使用，不會要求市民在較短時間內換卡。”汪總同時表示，“市民手頭的S70卡也沒有必要去更換，因爲S70卡目前在全國還是最先進的，安全性能也是最高的。”
安全提示
IC卡 一次充值別太多
目前出現的安全隱患是不爭的事實，政府和有關部門正在努力推進這方面的工作，而作爲大衆，平時應如何注意用卡安全呢？潘利華 教授建議市民：不要給陌生人用卡，防止IC卡被複制信息；注意用卡環境，不要讓卡片離開自己的視線範圍；平時出門，不要把卡隨意放在包的外層或露在外面，不要爲了刷卡方便而偷懶，有效避免卡被人讀取信息。最後，潘 教授還特別提到“不要一次充太多的錢，即使丟失也不會造成太大損失。”
限制單筆消費額度
雖然目前的邏輯加密卡升級到CPU卡，成本是原來的4到6倍，大批量升級系統和更換卡片既需要很大的成本，也需要一定的技術，是一個浩大的工程。但潘 教授卻認爲這是物有所值的，“從長遠利益看，還是很值得的。因爲維護安全的成本遠遠低於系統被破壞後進行系統修復的成本。”潘 教授認爲，“對於卡片供應商、系統商和用戶來說，採用安全係數更高和應用更多特性的CPU卡是最好的選擇。”
而握奇數據系統有限公司的周斌則表示，除了升級到CPU卡之外，在系統上下功夫也是必要的，“如果能從系統上規定單筆消費額度和一個工作日的消費額，也是有效規避風險的方法之一。”
新聞內存
什麼是IC卡
IC卡是集成電路卡的意思，IC卡是一種內藏大規模集成電路的塑料卡片。IC卡通常可分爲存儲卡、加密卡和智能卡三類，存儲卡是可以直接對其進行讀、寫操作的存儲器，加密卡是在存儲卡的基礎上增加了讀、寫加密功能，對加密卡進行操作時，必須首先覈對卡中的密碼，密碼正確才能進行正常操作；智能卡則帶有微處理器(CPU)，同時也稱作CPU卡。
記者手記
不必望“卡”卻步
擁有幾十種功能的IC卡帶給老百姓們的便利和實惠顯而易見，雖然某些技術環節上尚存在一定的安全隱患，不過相關部門正在着手解決，正在穩步推進工作，只要按照專家的建議，老百姓大可放心使用。MI芯片算法遭破解，不過是智能卡發展道路上的一個小挫折。***每時每刻都在窺視我們的電腦，但電腦依然充斥在我們社會的每個角落，這就是最好的證明。有缺陷，就改進，有隱患，就升級。卡的加密和解密時刻都在此消彼長，大衆保持警惕是必要的，但沒有必要杞人憂天，望“卡”卻步。智能卡的應用不過纔剛剛起步，一路走下去，還有很長的距離，這需要政府和技術部門的支持，更需要大衆的信任和信心。