EDN China > 技术文章 > 嵌入式系统 > 正文
?

业内专家深度剖析非接触式IC应用安全性

EDN China?? 2009年04月20日 ?? 收藏0

近日,针对有关《我国1.4亿张IC卡存安全隐患:掌握技术可改钱数》的媒体报道,本报记者采访了产业链上的不同厂商及分析机构。赛迪顾问半导体产业研究中心咨询师李志中在接受采访时指出:“其实这件事情没有媒体宣传的那么严重,用户不必恐慌。”究其原因,是因为非接触式应用的安全性是端到端的系统型安全性,需要芯片供应商、系统集成商、发卡商等整体考虑,根据整个应用系统的需求,从芯片、后台等不同层面全盘考虑,而不仅仅依赖与卡片或芯片本身。

非接触式IC卡即射频卡或感应卡,其成功地将射频识别技术结合起来,解决了无源和免接触这一难题,是电子器件领域的一大突破。非接触性智能卡内部分为两部分:系统区(CDF)和用户区(ADF),系统区由卡片制造商、系统开发商及发卡机构使用。用户区用于存放持卡人的有关数据信息。

业内专家深度剖析非接触式IC应用安全性

恩智浦智能识别产品大中华区销售与市场总监吕宁

对媒体报道的“MIFARE算法被破解,一旦不法分子攻破这一技术,‘就可以随意修改自己卡内的信息,比如原来充值10元,他就可以随意改成1000元或者10000元,甚至更多’”的说法,恩智浦智能识别产品大中华区销售与市场总监吕宁强调:“这样的说法是站不

住脚的。智能识别行业的同仁一致认为,非接触式应用的安全是个多层次的问题。针对MIFARE经典芯片安全算法的破解仅限于芯片级,并不涉及应用系统的其他层面。卡片上存储的数据一旦改写或者克隆,系统都会发现。另外,自MIFARE上市以来还尚未有破解事件发生或为系统安全带来威胁。”据他估计,目前全球有超过10亿张非接触式智能卡卡在使用,但是目前还未有一例破解事件发生。

?“到目前为止,我们从未接到关于羊城通余额被篡改的投诉。”广州市交委有关人士在获悉报道后也表示,广州市羊城通自2001年12月30日投入试运行至今,总发行量已经突破780万张,日刷卡消费突破300万人次。虽然羊城通公司有时会接到无法刷卡的投诉,但卡内余额被人恶意篡改的现象至今没有出现。

那么,智能卡制造商对此消息是如何看待的呢?在本报记者跟踪采访一家本土智能卡制造商技术总监时,他的观点和恩智浦吕宁不谋而合,他也强调:“智能卡应用方案通常是一个分布式的计算机系统,它由多个子系统组成,每个子系统都具备特定的功能。系统安全由前台营运、前台验证、后台验证、后台审核和系统造假控制组成。设计人员在设计一个系统时必须进行逆向思维,即假设系统可能存在哪些安全漏洞,这些安全漏洞如何才能得到控制。同时,安全必须是系统的整体安全,而不是某一个子系统或是组成部分安全。”

除公交卡外,门禁卡应用也广泛采用MIFARE技术.进入大楼或住宅的门禁管理措施要比其他方面的应用更为复杂,它是由包含多重安全层次的端到端系统构成的。根据各个设施不同的具体安全需求,门禁管理系统通常会与附加的安全措施共同部署,如保安人员、监控摄像头或其他监测可疑活动的措施。而MIFAER产品的功能、性能、安全性及编码力度各有不同,系统集成商可依据芯片的安全性、后端系统及其需求选择合适的解决方案。对于门禁等对安全性要求更高的应用,通常会采用安全性更高的芯片,如恩智浦的Plus、DESFire EV1和Smart MX产品。ABI Research的Jonathan Collins曾表示:“恩智浦的MIFAR技术帮助推动了非接触智能卡在公交票务、支付和门禁管理的应用。Plus为现有的MIFARE非接触公交系统计划针对新的部署和应用升级到新的安全级别和更高的安全性提供了一个已经就绪的途径。” Plus不仅采用强大的AES编码,恩智浦还将为其获取公共标准认证(Common Criteria certification)。

要确保门禁类应用的系统级安全性,用户可以考虑以下两种解决方案:
?1、只使用卡片的唯一序列号通过白名单或者黑名单,通过后台系统进行准入控制,这种系统并没有使用卡片存储数据的安全性,由于卡片的序列号是全球唯一的,所以不存在被复制或者破解的可能性。这是目前大部分门禁使用的方案。
2、使用卡片保存的数据+卡片唯一序列号。通过和大部分门禁系统供应商的讨论,他们的系统中,卡片的密钥都是通过分散的,卡片存储数据本身也有加密,读写器对于卡片的认证通过SAM卡实现,同时也包含白名单和黑名单,这种系统比上述第一种方案更加安全,也不存在复制和破解的可能。
?
不过吕宁也强调:“因为目前国内市场中有多家国内外厂商提供基于同样的MIFARE经典芯片技术的产品。另外我们也不能排除少数门禁系统供应商非专业的使用MIFARE而造成存在复制或者破解的漏洞。在门禁系统中,也有较多的客户使用安全性能较低的其他技术的解决方案,或有一些芯片本身存在安全漏洞,比如序列号不唯一,卡片数据完全没有保护,这些系统可能存在安全漏洞,需要客户具体分析认真对待。”


上一页12下一页
?? ?? ??


打开微信“扫一扫”,打开网页后点击屏幕右上角分享按钮

1.扫描左侧二维码
2.点击右上角的分享按钮
3.选择分享给朋友
?? ??

非接触式IC? RFID? NXP?

相关文章

我来评论
美国的游客
美国的游客 ??? (您将以游客身份发表,请登录 | 注册)
?
有问题请反馈