基于商用密码技术的校园卡安全保障系统技术白皮书-华翔腾数码.PDF

基于商用密码技术的校园卡安全保障系统 技术白皮书 华 翔 腾 数 码 科 技 有 限 公 司 地址：长沙麓谷高新区麓龙路 199号标志麓谷坐标 15 楼 邮编：410205 电话：（86）731 传真：（86）731 1 问题的提出 日前，工信部发布了《关于做好应对部分IC 卡出现严重安全漏洞工作的通 知》，要求各地各机关和部门开展对IC 卡使用情况的调查及安全应对工作。工信 部的这则通知的背景是什么呢？据了解：主要应用于IC 卡系统的Mifare 芯片的 安全算法已遭到破解！目前应用此技术的IC 卡也都将面临巨大的安全隐患。 与此同时，教育部也通知各级教育管理机构，要求各部门对IC 卡的使用情 况进行清查，并及时做好安全应对工作。 事实上，早在几个月之前，国家密码管理局就已经发出通知，要求各级密码 管理部门对辖区IC 卡的使用情况进行摸底，并责成使用单位提供安全保障体系 说明，必要时还需要对安全保障体系进行升级。 1.1 什么是 IC 卡 IC 卡即集成电路卡，是一种内藏大规模集成电路的塑料卡片。IC 卡通常可 分为存储卡、逻辑加密卡和智能卡三类。存储卡是可以直接对其进行读、写操作 的存储器；逻辑加密卡是在存储卡的基础上增加了读、写加密功能，对逻辑加密 卡进行操作时，必须首先核对卡中的密码，密码正确才能进行正常操作；智能卡 则带有微处理器(CPU)，同时也称作CPU 卡。 尽管存储卡、逻辑加密卡和智能卡三类IC 卡的安全性依次提高，但成本也 依次提高，所以综合考虑安全性和成本等因素，目前市面上用得最广泛的是逻辑 加密卡。目前各类学校使用最普遍的校园卡也是逻辑加密卡，其中既保存有不频 繁修改的管理信息，如学籍登记信息等，也保存有频繁改动的电子钱包信息。 1.2 逻辑加密卡的存储结构 Mifare 技术是一种 13.56 MHz 非接触式IC 卡技术，目前市面上的逻辑加 密卡基本上都采用了Mifare 技术。 采用了Mifare 技术的IC 卡，通常分成若干个扇区，每个扇区包含若干块， 块是IC 卡的最小操作单位，块包括数据块和控制块。 1 其中数据块可作两种应用： 1. 用作一般的数据保存，可以进行读写操作； 2. 用作数据值，可以进行初始化、加值、减值、读值操作；这种应用模式 通常称之为“值块”。 控制块包括了密码 A 、密码B 和存取控制位。通过存取控制位的组合，可 以确定访问某个数据块是否需要验证密码，以及需要验证密码A 还是验证密码 B ，或者两个密码都需要验证。 1.3 卡信息不再安全 IC 卡卡信息的加密与解密永远都是一枚硬币的两面，每天在世界的各个地 方，都有无数的科学家、学者和黑客们不停地在研究着各种加密和解密的技术与 技巧，成功与失败也在不断地上演着。2008 年，德国研究员亨里克·普洛茨和美 国弗吉尼亚大学在读博士卡尔斯滕·诺尔就享受到了成功的喜悦：他们最先利用 电脑成功破解了Mifare 芯片的安全算法。而他们所破解的Mifare 芯片的安全算 法，正是目前全世界应用最广泛的非接触IC 卡的安全算法！ 对于使用Mifare 技术的IC 卡来说，卡信息是明文存放的，但只有通过卡片 与读卡器的相互认证才有权对卡信息进行读写。换言之，卡信息的安全完全是依 靠存取控制来保障的。这就好像我们家里没有保险柜，没有上锁的抽屉，甚至银 行帐户也没有密码，家庭财产的安全完全依赖于大门的安全。而 Mifare 芯片安 全算法破解技术，就类似于开锁技术。一旦小偷掌握了任意打开我们门锁的技术， 我们家庭财产的安全性也就可想而知了。 可以想象，如果不法分子也掌握了这一 Mifare 芯片安全算法的破解技术， 那么使用Mi