摘  要：随着非接触逻辑加密IC卡的应用越来越普及广泛，非接触逻辑加密IC卡技术的弊端也日益暴露，难以满足更高的安全性和更庞大的多应用的需求。非接触CPU卡智能IC卡技术正在逐步成为一种技术升级的选择。

　　据不完全统计，截至去年年底，国内各土地非接触逻辑加密IC卡的发卡量差不多达成数亿张。早期投入应用的非接触IC卡技术多为逻辑加密卡，譬如著名的Philips公司（现NXP恩智浦）的Mifare 1智能卡片。非接触逻辑加密IC卡技术以其惠而不费的成本，简明的交易流程，较简单的系统架构，敏捷获得了用户的青睐，并获得了快速的应用和发展。

　　随着非接触逻辑加密IC卡的应用越来越普及广泛，非接触逻辑加密IC卡技术的弊端也日益暴露，难以满足更高的安全性和更庞大的多应用的需求。特别是2008年10月，互联网上公布了破解MIFARE CLASSIC IC芯片（以下简称M1芯片）密码的方法，不法分子使用这种方法可以很低的经济成本对采用该芯片的各类“一卡通”、门禁卡进行非法充值或复制，带来很大的社会安全隐患。因此，非接触CPU卡智能IC卡技术正在逐步成为一种技术升级的选择。

　　密钥管理系统（Key Management System），也简称KMS，是IC项目安全的核心。如何进行密钥的安全管理，贯穿着IC卡应用的整个生命周期。

　　1、非接觸式邏輯加密IC卡的安全認證依賴于每個扇區獨立的KEYA和KEYB的校驗，可以通過扇區控制字對KEYA和KEYB的不同安全組合，實現扇區數據的讀寫安全控制。非接觸邏輯加密IC卡的個人化也比較簡單，要紧包括數據和各扇區KEYA、KEYB的更新，在期間所有敏锐數據包括KEYA和KEYB基本上直接以明文的形式更新。

　　由于KEYA和KEYB的校驗機制，只能解決智能卡片對終端的認證，而無法解決終端對智能卡片的認證，即我們俗稱的“僞卡”的風險。

　　非接觸邏輯加密IC卡的密鑰就是一個預設的固定密碼，無論用什麽方法計算密鑰，最後就一定要和原先寫入的固定密碼一致，就可以對被保護的數據進行讀寫操作。因此無論是一卡一密鑰的系統還是統一密碼的系統，經過破解就可以實現對非接觸邏輯加密IC卡的解密。很多人認爲只假如采用了一卡一密鑰、實時在線系統或非接觸邏輯加密IC卡的ID號就能幸免密鑰被解密，其實，非接觸邏輯加密IC卡被解密就意味著M1卡可以被複制，使用在線系統盡可以幸免被非法充值，但是不能保證非法消費，即複制一張一模一樣ID號的M1卡，就可以進行非法消費。現在的技術使用FPGA就可以完全複制。基于這個原理，M1的門禁卡也是紧张全的。目前國內80%的門禁中文产品均是采用原始IC卡的UID號或ID卡的ID號去做門禁卡，全然沒有去進行加密認證或開發專用的密鑰，其安全隱患遠遠比Mifare卡的破解更危險，非法破解的人士只需采用的是專業的技術手段就可以完成破解過程，導致目前國內大多數門禁中文产品都不具備安全性原因之一，是因爲早期門禁中文产品的設計理論是從國外引進過來的，國內大部分廠家長期以來延用國外做法，采用ID和IC卡的只讀特征進行身份識別使用，很少關注卡與機具間的加密認證，缺少鑰匙體系的設計；而ID卡是很容易可複制的載體，導致所有的門禁很容易幾乎可以在瞬間被破解複制；這才是我們國內安防市場最大的災難。

　　2、非接觸式CPU卡智能IC卡與非接觸邏輯加密IC卡相比，擁有獨立的CPU處理器和芯片COS操作系統，因此可以更靈活的支持各種不同的應用需求，更安全的設計交易流程。但同時，與非接觸邏輯加密IC卡系統相比，非接觸CPU卡智能IC卡的系統顯得更爲複雜，需要進行更多的系統改造，譬如密鑰管理、交易流程、PSAM卡以及智能卡片個人化等。密鑰通常分爲充值密鑰（ISAM卡），減值密鑰（PSAM卡），身份認證密鑰（SAM卡）。

　　非接觸CPU卡智能IC卡可以通過內外部安全認證的機制，例如像建設部定義的電子錢包的交易流程，高可靠的滿足不同的業務流程對安全和密鑰管理的需求。對電子錢包圈存可以使用圈存密鑰，消費可以使用消費密鑰，清算可以使用TAC密鑰，更新數據可以使用智能卡片應用維護密鑰，智能卡片個人化過程中可以使用智能卡片傳輸密鑰、智能卡片主控密鑰、應用主控密鑰等，真正做到一鑰一用。

　　非接觸式CPU卡加密算法和隨機數發生器與安裝在讀寫設備中的密鑰認證卡(SAM卡)相互發送認證的隨機數，可以實現以下功能：
　　(1) 通过终端设备上SAM卡实现对卡的认证。
　　(2) 非接触式CPU卡与终端设毕喔赡SAM卡的相互认证，实现对卡终端的认证。
　　(3) 通过ISAM卡对非接触CPU卡进行充值操作，实现安全的储值。
　　(4) 通过PSAM卡对非接触CPU卡进行减值操作，实现安全的扣款。
　　(5) 在终端设备与非接触CPU卡中传输的数据是加密传输。
　　(6) 通过对非接触式CPU卡发送给SAM卡的随机数MAC1，SAM卡发送给非接触CPU的随机数MAC2和由非接触CPU卡返回的随机数TAC，可以实现数据传输验证的计算。而MAC1、MAC2和TAC就是同一张非接触CPU卡每次传输的过程中基本上不同的，因此无法使用空中接收的办法来破解非接触CPU卡的密钥。

　　3、非接觸CPU卡智能IC卡，可以使用密鑰版本的機制，即對于不同批次的用戶卡，使用不同版本的密鑰在系統中並存使用，達到密鑰到期自然淘汰過渡的目的，逐步更替系統中所使用的密鑰，预防系統長期使用帶來的安全風險。

　　非接觸式CPU卡智能IC卡，還可以使用密鑰索引的機制，即對于發行的用戶卡，同時支持多組索引的密鑰，假如當前使用的密鑰被泄漏或存在安全隱患的時候，系統可以緊急激活另一組索引的密鑰，而不用回收和更換用戶手上的智能卡片。

　　非接觸CPU卡智能IC卡系統中，PSAM卡通常用來計算和校驗消費交易過程中出現的MAC碼，同時在計算的過程中，交易時間、交易金額、交易類型等交易信息也都參與運算，使得交易更安全更可靠。某些情況下，非接觸CPU卡智能IC卡系統中的PSAM卡還可以用來支持安全報文更新數據時MAC的計算，以及交易TAC的驗證。因此，與非接觸邏輯加密IC卡系統相比，非接觸CPU卡智能IC卡系統中的PSAM卡支持更廣泛的功能，也更爲靈活、安全和複雜。通常非接觸CPU卡智能IC卡系統的PSAM卡還支持不同的密鑰版本。

　　而非接觸式CPU卡智能IC卡的個人化通常可以分爲智能卡片洗卡和智能卡片個人化兩個獨立的流程，前者創建智能卡片文件結構，後者更新個人化數據，並注入相應的密鑰。在信息更新和密鑰注入的過程中，通常都采用安全報文的方法，保證數據和密鑰更新的正確性和安全性。同时密鑰注入的秩序和相互保護的依存關系，也充分體現了密鑰的安全設計，譬如智能卡片主控密鑰通常被用來保護導入應用主控密鑰，應用主控密鑰通常被用來保護導入其他應用密鑰，譬如消費密鑰等。

　　4、非接觸CPU卡的密鑰實現方法:

　　（1） 硬密钥：即在终端机具中安装SAM卡座，所有的认证基本上由安装在SAM卡座中的SAM卡进行运算的，如此在终端机具维修时，只要取出SAM卡座中的SAM卡，这台终端机具就是空的了。因此所有的银行设备都采用SAM卡的认证模式。

　　（2） 软密钥：终端机具中没有SAM卡座，那个密钥的运算实际上是由终端机具完成的，如此客户的密钥就等同存在终端机具中，厂家拿回终端机具维修时，极易造成密钥流失。

　　綜上所述，M1卡即邏輯加密卡采用的是固定密碼，而采用非接觸式CPU卡智能IC卡采用的是動態密碼，並且是一用一密即同一張非接觸CPU卡智能IC卡，每刷一次卡的認證密碼都不雷同，這種智能化的認證方法使得系統的安全性获得提高，特別是當交易雙方在完成交易之後，收單方有也许擅自修改或僞造交易流水來達到獲利目的，爲了预防終端僞造交易流水，系統要求智能卡片能夠産生由交易要素生成的交易驗證碼，在後台清算時來對交易的有效性進行驗證。

　　非接觸式CPU卡則可以在交易結束時産生個交易驗證碼TAC，用來预防僞造交易。邏輯加密卡由于不具有運算能力，就不也许産生交易的驗證碼。因此，從安全性的角度來看，從邏輯加密IC卡升級到CPU卡是一種必定的選擇。

　　5、目前常用的非接触式CPU智能卡Mifare ProX

    Mifare DESfire 与Mifare Pro 非接触式智能卡遵循14443-4(T=CL)协议标准，ISO14443-4 主假如对非接触式IC 卡的选择应答、传送协议(T=CL)等卡操作过程进行标准化。ISO14443-4 标准的T=CL 传送协议是类似于ISO7816-3 标准T=1 协议的链路层协议，要紧功能是进行读写设备与Mifare 卡之间的链路维护；另外，ISO14443-4 还规定了Type A 类卡的激活序列。Mifare Pro 非接触式CPU智能卡是世界上最早出现的真正的双界面CPU 卡，它集CPU 卡与非接触卡优点于一身，并兼具接触式卡接口，它的出现标志着IC 卡技术达成一个新的高度。读写设备与Mifare Pro 卡链路层(ISO14443-4 规定)处置包含四部分：RATS(Request for Answer To Select)请求及应答、协议和参数选择(PPS—Protocol and Parameter Selection)、TPDU(Transport Protocol Data Unit)交换以及排除激活序列(Deselect)。
   
    明华非接触式IC卡读卡器产品RF-35LT, KRF-35, URF-35, HD, PD等系列产品都支持Mifare DESfire 与Mifare ProX和ISO14443标准的CPU卡；明华还提供各种支持Mifare DESfire 与Mifare ProX和ISO14443标准的CPU卡的嵌入式模块用于客户原有机具和系统的升级。 明华承诺将提供强大的技术支持，为您以及您的系统集成商实现满足各方需求的最佳方案，

文章來源：中國一卡通網論壇