分析IC卡被破解的可能性到底有多大？ - 安防知识网

近日,工业和信息化部发布了《关于做好应对部分IC卡出现严重安全漏洞工作的通知》,要求各地有关部门对IC卡使用情况开展调查,对MI芯片的安全算法可能遭破解予以应对。那么——— 在我国的170多个大小城市，IC卡正在成为许多公用事业和商业服务的“付款单”和“通行证”，使用范围遍及公交、旅游、超市、门禁、水电气表等多个领域。对刚刚享受到持卡便利的消费者而言，IC卡被破解的威胁究竟有多大，目前有没有办法应对？

“安全之卡”缘何遭破解？
IC卡即“集成电路卡”的简称，其存储、处理、传输信息的全部功能都在于压制在塑料卡上的集成电路芯片。按照加密方式的不同，IC卡芯片可分为不加密、逻辑加密和CPU加密三种，各自又可根据使用方式的不同分为接触式和非接触（射频）式。

目前，使用中的大多数IC卡芯片都采用逻辑加密方式。这种芯片不仅存储量大、易于生产，而且由于加密算法复杂，此前被认为是无法破解的，用户使用时也不用输入密码，简单方便。

然而在2008年，德国和美国的两名研究员宣布，他们已利用电脑成功破解了荷兰芯片制造商恩智浦（NXP）的Mifare经典芯片（简称MI芯片）的安全算法，但出于公共利益考虑没有对外公开技术细节。此后，欧洲和美国又数次传出个人成功破解MI芯片的消息，互联网上甚至已有人出售MI芯片的破解软硬件。

“目前全世界掌握IC卡芯片技术的厂商只有三四家，其中恩智浦的MI芯片是应用最广泛的。”赛迪顾问半导体研究中心咨询师李志中表示，我国约有1.4亿张IC卡、包括85%%的公交卡都采用MI芯片。而在全球，这种芯片的使用量多达10亿张。

李志中介绍，通常使用的MI芯片包括48位密钥、32位序列号，就像一个密码保险箱。加之试探次数很少，难以通过常规的穷举法破解密码。但只要掌握相应的算法及技术，砸开芯片的“安全锁”理论上就是可行的。“而且市面上出自各厂家的芯片，产品的安全机制、技术标准大同小异，逻辑加密原理的IC卡芯片安全性都差不多，能够破解的话确实会给使用IC卡的系统造成很大威胁。”

手中的卡还能用吗？
“有点害怕，要是我的IC卡被复制，里面的钱不是被别人花了吗？”“看来以后每次得少充点钱，宁可麻烦也别有什么损失。”IC卡可被破解的消息报道后，许多网民纷纷表示了自己的担忧。

其实，与普通消费者相比，提供IC卡服务的机构和商家更有理由忧虑。如果公交卡、购物卡或电卡的余额可以被轻易复制或修改，就可以有人用卡进行无限制地消费，这对整个营运系统的破坏将是灾难性的。

北京公交一卡通公司工作人员表示，在现有技术条件下，盗用他人卡号或修改余额等行为的可疑IC卡虽然可以发现，但难于追查，因IC卡被盗用而造成经济损失的用户也很难提供足够证据以获得相应索赔。

“人们使用IC卡时一般都是自动刷卡，即便有工作人员也不会仔细核对。”李志中说，“所以一旦有人对IC卡进行不法盗用或修改、复制，隐蔽性极强。”他同时表示，破解IC卡密码一般需要专用设备和卡的实体，破解成本也比较高，普通消费者对此不必忧虑。

至于曾被认为安全性不如IC卡、却仍是国内银行卡和信用卡主流技术的磁条卡，这次反倒未受影响。目前国内绝大多数银行卡、信用卡采用磁条存储方式，密码并不保存在磁条卡上，而是储存在银行系统的数据库里，持卡人使用时将掌握的密码与银行服务器“对暗号”通过后才可使用。如果银行卡不落入他人手中，密码也不被他人发现，不法分子就只有通过网上银行才能盗取他人账户，或者通过在ATM机上加装复制器、摄像头等窃取密码。

能否建起安全“防火墙”？
那么，能不能像电脑软件装升级补丁那样，给现有的逻辑加密IC卡升级呢？李志中认为，这种升级只是加长密钥或更改部分算法，仍不能根本上使目前的破解方法失效。而且这种升级也需要更换卡片，成本上划不来。

所幸的是，采用逻辑加密方式的IC卡芯片正在被CPU芯片所代替。这种芯片有独立的处理器和操作系统，兼具信息存储、运算的功能，因此被称为“智能卡”，安全性和多功能性比逻辑加密卡和磁条卡都强。手机卡和二代身份证上，使用的就是CPU芯片。

据介绍，欧洲各国的银行卡已都采用CPU芯片，至今未出现被破解、攻击等恶性事件；国内一些城市目前也在稳步推进向CPU卡的升级。北京公交一卡通公司工作人员表示，北京市从去年起就已开始发放采用CPU芯片的公交卡，而刷卡系统也经过升级，可以同时兼容逻辑加密芯片和CPU芯片。

不过，目前国内还有不少较老的系统不能兼容CPU芯片，更换的话就需要升级整套读卡设备，成本较高。“此外，CPU卡的生产成本是逻辑加密卡的四五倍，短期内仍不会完全取代逻辑加密卡。”李志中说。

有关专家表示，与常需要在互联网上开通账户的银行卡不同，IC卡只要一直掌握在自己手中，就不必担心被他人盗用或修改。而随着IC卡营运单位对监管手段的完善，为贪便宜而私自修改IC卡信息的不法行为也将得到惩处。