隨著城市一卡通項(xiàng)目的建設(shè)，卡片應(yīng)用領(lǐng)域擴(kuò)大，對(duì)通卡的安全性也提出了更高的要求。發(fā)卡與密鑰管理系統(tǒng)是城市通卡成敗的關(guān)鍵，也是整個(gè)一卡通系統(tǒng)安全的核心。本文結(jié)合筆者多年的通卡系統(tǒng)開發(fā)與運(yùn)營經(jīng)驗(yàn)對(duì)發(fā)卡與密鑰管理系統(tǒng)的各個(gè)環(huán)節(jié)進(jìn)行了透徹的分析，并提出了相關(guān)的安全控制策略．以期對(duì)通卡運(yùn)營商提供有益的幫助。
　　
　　1．引言
　　
　　隨著社會(huì)經(jīng)濟(jì)的發(fā)展和信息技術(shù)的進(jìn)步，城市一卡通系統(tǒng)已經(jīng)成為各地打造智慧城市的重要基礎(chǔ)設(shè)施和核心系統(tǒng)。IC卡作為城市一卡通系統(tǒng)中電子貨幣的載體．實(shí)現(xiàn)“一卡多用．一卡通用”是系統(tǒng)的基本訴求．這就對(duì)系統(tǒng)的安全性提出了*的要求。保證安全性是城市一卡通系統(tǒng)成敗的關(guān)鍵之一．是統(tǒng)一行業(yè)規(guī)范和管理的前提．能防止出現(xiàn)盜卡和偽卡的產(chǎn)生．保證持卡人的利益不受損害．對(duì)維護(hù)政府的形象和社會(huì)穩(wěn)定起到關(guān)鍵的作用。在IC卡系統(tǒng)中．影響系統(tǒng)安全性的重要因素就是發(fā)卡和系統(tǒng)中密鑰的管理機(jī)制．密鑰是保證IC卡交易安全性的一個(gè)重要手段一旦密鑰泄漏則有可能造成災(zāi)難性的后果因此對(duì)密鑰的生成、存儲(chǔ)、傳遞、分配、發(fā)行、更新、保管、銷毀等方面的管理以及在交易過程中對(duì)密鑰的使用和認(rèn)證都需要以嚴(yán)格安全的手段進(jìn)行控制。因此，可以說：發(fā)卡與密鑰管理系統(tǒng)是整個(gè)城市通卡應(yīng)用系統(tǒng)安全的核心，密鑰的管理和控制是城市通卡應(yīng)用系統(tǒng)的關(guān)鍵．密鑰系統(tǒng)的安全性將直接影響整個(gè)通卡系統(tǒng)的安全性。
　　
　　2．城市通卡個(gè)人化簡介
　　
　　在介紹城市一卡通的個(gè)人化之前．筆者先就智能卡的完整生產(chǎn)制造流程做一個(gè)概要的介紹。智能卡行業(yè)涉及完整的產(chǎn)業(yè)鏈．發(fā)展至今已經(jīng)成為一個(gè)相對(duì)完整和成熟的生態(tài)系統(tǒng)。其中，產(chǎn)業(yè)鏈的上下游包括半導(dǎo)體廠商、卡商、封裝廠商、COS研發(fā)機(jī)構(gòu)、城市通卡運(yùn)營公司等。從芯片設(shè)計(jì)到成品卡的誕生主要包括以下幾個(gè)主要的步驟：芯片設(shè)計(jì)與制造、COS掩膜、模塊封裝、卡基封裝、卡片初始化、卡片個(gè)人化。其中卡片的個(gè)人化工作，可以由通卡運(yùn)營商委托卡商進(jìn)行批量制卡．也可以通過購買發(fā)卡設(shè)備自行完成。具體采用何種方式，需要對(duì)安全和效率之問做一個(gè)全面的評(píng)估。如果委托卡商制卡．意味著必須提供用戶卡發(fā)卡母卡或加密機(jī)給卡商無論安全機(jī)制理論上設(shè)計(jì)的多么完備．也存在卡商惡意截取密鑰制造偽卡的可能性。而發(fā)卡單位自己購買設(shè)備，也存在成本高、效率低的問題。
　　
　　智能卡的個(gè)人化大體可以分成三個(gè)組成部分，分別是：創(chuàng)建卡片結(jié)構(gòu)、安裝密鑰和個(gè)人信息的寫入。為了確保發(fā)卡的成功率和一致性．是同步完成以上三部分工作。如上所述，卡片初始化后．卡內(nèi)已經(jīng)安裝有廠商的制造密鑰即卡片傳輸密鑰。而卡片個(gè)人化的時(shí)候，需要用運(yùn)營商自己的卡片主控取代卡片傳輸密鑰。通過以上的方法．一方面完成卡片來源合法性驗(yàn)證．另一方面也可完成卡片控制權(quán)由卡商向卡運(yùn)營商的交接．也就是通常意義上的“洗卡”。
　　
　　3．密鑰管理
　　
　　密鑰管理系統(tǒng)（KeyManagementSystem）。簡稱KMS，是城市通卡項(xiàng)目安全的核心。如何進(jìn)行密鑰的安全管理．貫穿著IC卡應(yīng)用的整個(gè)生命周期。密鑰管理是密碼技術(shù)的重要環(huán)節(jié)．由于現(xiàn)代密碼學(xué)中加密方法都是公開的．密鑰就成了所有加密系統(tǒng)的關(guān)鍵?，F(xiàn)在的城市通卡系統(tǒng)．理論上都具有很高的安全性．尤其是CPU卡．由于是一卡一密，即使某種卡片的密鑰被攻破．理論上也不會(huì)造成整個(gè)密鑰體系的崩潰。在滿足了理論上的安全性之后，城市通卡的安全性依賴于管理和應(yīng)用本身。因此，非常有必要建立一套、穩(wěn)定的密鑰管理系統(tǒng)。很多業(yè)內(nèi)專家指出．現(xiàn)在加密系統(tǒng)的安全性取決于密鑰及密鑰管理，而跟算法本身及硬件實(shí)現(xiàn)過程的保密沒有太大關(guān)系。密鑰管理涉及到產(chǎn)生、存儲(chǔ)、備份、分配‘、更新、傳遞、保管、使用、銷毀等環(huán)節(jié)，其中密鑰的備份和傳遞是zui大的難題。
　　
　　3．1密鑰生成流程與步驟
　　
　　城市通卡正式運(yùn)行密鑰制作過程指的是從廠商提供的制造密鑰傳輸卡和用戶卡空白卡片直至生成用于初始化制作用戶卡的母卡的這一段過程。密鑰系統(tǒng)中的密鑰按其作用可分為兩類：管理密鑰和業(yè)務(wù)密鑰管理密鑰以主控密鑰為代表，主要用于控制卡片使用、結(jié)構(gòu)創(chuàng)建、密鑰灌裝等，但不參與具體交流流程。業(yè)務(wù)密鑰以消費(fèi)密鑰、圈存密鑰為典型代表．是保證卡片和密鑰在交易過程中的安全認(rèn)證。管理密鑰包括主控密鑰和VI令。主控密鑰采取隨機(jī)方式產(chǎn)生．安裝在系統(tǒng)內(nèi)的所有卡片中通過對(duì)主控密鑰的認(rèn)證．實(shí)現(xiàn)運(yùn)營商對(duì)系統(tǒng)卡片的控制和管理．同時(shí)防止了系統(tǒng)外的非法卡片混入本系統(tǒng)。密鑰管理系統(tǒng)中的卡片口令由系統(tǒng)管理員進(jìn)行維護(hù)。業(yè)務(wù)密鑰的產(chǎn)生相對(duì)復(fù)雜，其安全性直接影響到系統(tǒng)的正常運(yùn)行。密鑰管理系統(tǒng)要保證業(yè)務(wù)密鑰安全的產(chǎn)生以及在出現(xiàn)意外事故后得到及時(shí)恢復(fù)。業(yè)務(wù)密鑰的產(chǎn)生需要密鑰因子和分散因子兩個(gè)部分。
　　
　　1）密鑰因子：分為三部分，由三位部門主管領(lǐng)導(dǎo)確定并掌管。當(dāng)三部分密鑰因子匯齊便可以產(chǎn)生系統(tǒng)的總控密鑰（根密鑰），總控密鑰為業(yè)務(wù)密鑰的產(chǎn)生提供了來源。
　　
　　2）分散因子：即業(yè)務(wù)代碼，由相關(guān)部門的管理人員確定．為總控密鑰分散產(chǎn)生業(yè)務(wù)密鑰提供分散因子。業(yè)務(wù)代碼為多條，每條長度為8個(gè)字符?？偪孛荑€和業(yè)務(wù)代碼的內(nèi)容將決定業(yè)務(wù)密鑰的值．業(yè)務(wù)密鑰的多少取決于業(yè)務(wù)代碼的數(shù)量?？偪孛荑€和業(yè)務(wù)代碼一旦確定，每次分散計(jì)算的結(jié)果即業(yè)務(wù)密鑰的值均相同。因此密鑰因子和分散因子對(duì)于系統(tǒng)產(chǎn)生和恢復(fù)業(yè)務(wù)密鑰是尤為重要的。
　　
　　3．2密鑰的存儲(chǔ)
　　
　　密鑰存儲(chǔ)安全是整個(gè)密鑰系統(tǒng)安全的基礎(chǔ)，一般可采用密鑰卡或加密機(jī)的方式對(duì)密鑰進(jìn)行存儲(chǔ)。由于硬件加密機(jī)具備良好的攻擊防范能力．在為上層應(yīng)用提供安全服務(wù)功能的同時(shí)．也充分考慮了自身的安全性設(shè)計(jì)。在物理方面，采用了物理鎖防拆、防撬設(shè)計(jì)；打開機(jī)蓋密鑰自動(dòng)銷毀：緊急情況下人工毀鑰裝置；在密鑰管理方面．采用用戶訪問權(quán)限控制（密鑰注入管理）以及密鑰在加密機(jī)外的分段備份存放安全機(jī)制．保證了加密機(jī)自身及密鑰的安全。密鑰卡建議只在需要密鑰傳遞、交換等臨時(shí)場景下使用。
　　
　　出于對(duì)整個(gè)密鑰體系安全性的考慮．加密機(jī)中密鑰的加載工作必須在傳輸密鑰的控制下進(jìn)行。從密鑰制作流程中．可以看出業(yè)務(wù)主密鑰卡中存放著包括卡片主控密鑰在內(nèi)的所有密鑰．使用業(yè)務(wù)主密鑰母卡和業(yè)務(wù)主密鑰母卡傳輸卡通過硬件加密機(jī)的IC卡讀寫口灌人加密機(jī)內(nèi)部．用于密鑰的備份和SAM卡的發(fā)行。
　　
　　3．3密鑰的傳遞
　　
　　無論是發(fā)行用戶卡還是制作PSAM卡都會(huì)牽涉到密鑰的傳遞．如果密鑰在傳遞過程中被非法監(jiān)聽或竊取，整個(gè)密鑰系統(tǒng)的安全性就無從談起。因此．密鑰的傳遞是密鑰存儲(chǔ)后確保城市通卡系統(tǒng)安全性的關(guān)鍵所在。鑒于此．密鑰在傳遞過程中一般采用安全報(bào)文的形式來實(shí)現(xiàn)。所謂安全報(bào)文就是密文加MAC．安全報(bào)文可以確保數(shù)據(jù)的可靠性、完整性和對(duì)發(fā)送方的確認(rèn)。
　　
　　在發(fā)行用戶卡的過程中．用戶卡中的密鑰是由加密機(jī)或母卡中的次主密鑰根據(jù)應(yīng)用序列號(hào)asn分散而得到的。因此，理論上每張用戶卡的子密鑰都是*的．這使得整個(gè)密鑰體系同時(shí)兼顧良好的擴(kuò)展性和較高的安全性。發(fā)行用戶卡所需的子密鑰是在硬件加密機(jī)中完成分散和加密保護(hù)．并以安全報(bào)文的形式傳遞給用戶卡，再由卡片COS對(duì)其進(jìn)行解析成明文裝載到卡內(nèi)．在此過程中子密鑰始終不會(huì)以明文形式駐留在計(jì)算機(jī)內(nèi)存中．整個(gè)分配過程是安全可靠的。當(dāng)然，從加密機(jī)角度來看，不同型號(hào)不同版本會(huì)有比較大的差異，建議在具體的密鑰系統(tǒng)實(shí)施過程中要求加密機(jī)廠商封掉明文導(dǎo)出密鑰的程序接口也就是說。加密機(jī)中次主密鑰的導(dǎo)出必須是經(jīng)過其他密鑰保護(hù)后才能以密文的形式導(dǎo)出。PSAM卡的二次發(fā)卡由通卡運(yùn)營商通過專門的SAM卡發(fā)行軟件完成．需要廠商制造密鑰傳輸卡和SAM卡操作員卡配合共同完成，加密機(jī)中密鑰是通過保護(hù)密鑰加密后導(dǎo)出，由于是發(fā)卡機(jī)構(gòu)自己控制．密鑰的安全性是可控的。
　　
　　3．4密鑰的使用
　　
　　次主密鑰導(dǎo)入到母卡或SAM卡后．密鑰就進(jìn)入使用階段。要設(shè)置密鑰的用途，即設(shè)置次主密鑰只能用于分散．或只能用于導(dǎo)出．或既可以分散也可以導(dǎo)出．密鑰系統(tǒng)以此來限制次主密鑰的使用，以進(jìn)一步提高系統(tǒng)的安全性。同時(shí)．在密鑰的使用過程中，可以引入版本（VERSION）和索引（INDEX）的概念．進(jìn)一步加強(qiáng)密鑰系統(tǒng)的安全性。密鑰系統(tǒng)引入VERSION的概念．使得在不同階段發(fā)行的用戶卡對(duì)應(yīng)的次主密鑰不同而INDEX概念的引入．使得在密鑰系統(tǒng)和用戶卡中有多組．即多個(gè)INDEX的密鑰在系統(tǒng)受到攻擊等突發(fā)事故發(fā)生時(shí)?？梢跃o急啟用另一INDEX的密鑰。密鑰系統(tǒng)中密鑰索引的個(gè)數(shù)不宜太多．通常用戶卡有一個(gè)正常的使用周期或有效期．在使用周期內(nèi)或有效期內(nèi)，多組索引全部被攻破的可能性不大。密鑰索引組數(shù)太多．要求用戶卡有更多的空間來存儲(chǔ)多組索引的子密鑰，卡片的成本也將提高。因此．在密鑰的使用過程中應(yīng)綜合考慮密鑰索引組數(shù)的設(shè)置。
　　
　　4．安全性的其他保障
　　
　　城市一卡通系統(tǒng)的安全性除了通過對(duì)密鑰生成、存儲(chǔ)、傳遞等環(huán)節(jié)進(jìn)行進(jìn)行科學(xué)設(shè)計(jì)．達(dá)到理論上的安全保障外，還應(yīng)加強(qiáng)諸如人事、規(guī)程和日常管理制度的健全與完善工作。任何密鑰系統(tǒng)的安全性都不可能依賴于密鑰系統(tǒng)本身．而必須通過強(qiáng)有力的行政管理手段加以配合。具體來說可以通過如下輔助手段。加強(qiáng)密鑰系統(tǒng)的安全完善。
　　
　　1）密鑰管理系統(tǒng)：1令管理。密鑰管理系統(tǒng)KMS安裝在特定的位于數(shù)據(jù)中心的主機(jī)設(shè)備上．其口令可分為KMS主機(jī)的超級(jí)管理員口令和KMS本身的管理員口令。這兩個(gè)口令應(yīng)該由不同的工作人員保存，并進(jìn)行定期的口令更新．口令的設(shè)置必須滿足相關(guān)的復(fù)雜度要求
　　
　　2）SAM卡發(fā)行軟件維護(hù)。SAM卡發(fā)卡需要廠商制作密鑰傳輸卡、SAM卡操作員卡和SAM卡發(fā)行程序協(xié)同配合完成。實(shí)際操作過程中，也要遵循權(quán)力zui小化的原則．即至少需要兩人分別包括發(fā)行SAM卡所需的認(rèn)證卡和SAM卡發(fā)行軟件的口令。實(shí)際發(fā)卡時(shí)，必須由專人監(jiān)督下方可進(jìn)行。
　　
　　3）加密機(jī)安全管控。加密機(jī)本身的系統(tǒng)管理員口令必須更新。同時(shí)，在加密機(jī)使用前必須注入加密機(jī)的本地初始密鑰。本地初始密鑰的設(shè)置可以由三個(gè)領(lǐng)導(dǎo)分別輸人各自的密鑰因子進(jìn)行合成得到．并且可以將初始密鑰存儲(chǔ)保存在的密鑰卡中進(jìn)行備份。本地密鑰也稱主密鑰，主要用來完成對(duì)次主密鑰的加密保護(hù)。如果主密鑰未設(shè)置或者不小心泄露．不法分子*可以利用主密鑰完成對(duì)次主密鑰的加密導(dǎo)出．然后根據(jù)主密鑰對(duì)導(dǎo)出的密鑰進(jìn)行解密．從而使整個(gè)密鑰體系崩潰。所以．主密鑰的設(shè)置和保管就顯得格外重要．必須由專人保管并由不同的人員存放主密鑰的初始密鑰卡口令。
　　
　　5．小結(jié)
　　
　　本文結(jié)合筆者多年的城市通卡系統(tǒng)開發(fā)和運(yùn)營經(jīng)驗(yàn)，對(duì)城市通卡制作流程和密鑰的生產(chǎn)、存儲(chǔ)、傳遞、試用等環(huán)節(jié)進(jìn)行了全面分析．以期對(duì)城市通卡項(xiàng)目的實(shí)施提供有益的借鑒和參考。與此同時(shí)．也必須意識(shí)到．通卡的安全是不存在的。從技術(shù)角度來說不能*杜絕安全隱患．zui重要的是應(yīng)該加強(qiáng)對(duì)員工安全防范意識(shí)的教育．時(shí)刻將安全放在*位。從思想上深刻認(rèn)識(shí)密鑰管理對(duì)通卡運(yùn)營的重要意義，防止玩忽職守．麻痹大意而導(dǎo)致的經(jīng)營風(fēng)險(xiǎn)。

        作者：

       蘇州市城市信息化建設(shè)有限公司龔敏蘇州經(jīng)貿(mào)職業(yè)技術(shù)學(xué)院信息系陸萍
　　
　　參考文獻(xiàn)：
　　
　　1、王黎波．IC卡應(yīng)用中密鑰管理系統(tǒng)研究與開發(fā)．山東大學(xué)，2005。
　　
　　2、建設(shè)部．建設(shè)事業(yè)IC卡應(yīng)用技術(shù)行業(yè)標(biāo)準(zhǔn)．建設(shè)部，2002。
　　
　　3、人社部．社會(huì)保障（個(gè)人）卡規(guī)范．人社部，2000。
　　
　　4、王金寶．銀行系統(tǒng)密鑰管理方案設(shè)計(jì)與應(yīng)用UJ．科技資訊，2010（33）：30-31。
　　
　　5、人民銀行．銀行IC卡聯(lián)合試點(diǎn)密鑰管理系統(tǒng)總體方案．人民銀行，1999。
　　
　　6、閏鴻濱．密鑰管理系統(tǒng)關(guān)鍵技術(shù)研究．南通紡織職業(yè)技術(shù)學(xué)院學(xué)報(bào)，2010（04）：56-59。
　　
　　7、彭旭榮，陽王東．一卡通密鑰管理系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)．計(jì)算機(jī)安全，2010（7）：69-71。