近日,工業(yè)和信息化部發(fā)布了《關(guān)于做好應(yīng)對(duì)部分IC卡出現(xiàn)嚴(yán)重安全漏洞工作的通知》,要求各地有關(guān)部門對(duì)IC卡使用情況開(kāi)展調(diào)查,對(duì)MI芯片的安全算法可能遭破解予以應(yīng)對(duì)。那么——— 在我國(guó)的170多個(gè)大小城市，IC卡正在成為許多公用事業(yè)和商業(yè)服務(wù)的“付款單”和“通行證”，使用范圍遍及公交、旅游、超市、門禁、水電氣表等多個(gè)領(lǐng)域。對(duì)剛剛享受到持卡便利的消費(fèi)者而言，IC卡被破解的威脅究竟有多大，目前有沒(méi)有辦法應(yīng)對(duì)？

“安全之卡”緣何遭破解？
    IC卡即“集成電路卡”的簡(jiǎn)稱，其存儲(chǔ)、處理、傳輸信息的全部功能都在于壓制在塑料卡上的集成電路芯片。按照加密方式的不同，IC卡芯片可分為不加密、邏輯加密和CPU加密三種，各自又可根據(jù)使用方式的不同分為接觸式和非接觸（射頻）式。

    目前，使用中的大多數(shù)IC卡芯片都采用邏輯加密方式。這種芯片不僅存儲(chǔ)量大、易于生產(chǎn)，而且由于加密算法復(fù)雜，此前被認(rèn)為是無(wú)法破解的，用戶使用時(shí)也不用輸入密碼，簡(jiǎn)單方便。

    然而在2008年，德國(guó)和美國(guó)的兩名研究員宣布，他們已利用電腦成功破解了荷蘭芯片制造商恩智浦（NXP）的Mifare經(jīng)典芯片（簡(jiǎn)稱MI芯片）的安全算法，但出于公共利益考慮沒(méi)有對(duì)外公開(kāi)技術(shù)細(xì)節(jié)。此后，歐洲和美國(guó)又?jǐn)?shù)次傳出個(gè)人成功破解MI芯片的消息，互聯(lián)網(wǎng)上甚至已有人出售MI芯片的破解軟硬件。

    “目前全世界掌握IC卡芯片技術(shù)的廠商只有三四家，其中恩智浦的MI芯片是應(yīng)用最廣泛的?！辟惖项檰?wèn)半導(dǎo)體研究中心咨詢師李志中表示，我國(guó)約有1.4億張IC卡、包括85%%的公交卡都采用MI芯片。而在全球，這種芯片的使用量多達(dá)10億張。

    李志中介紹，通常使用的MI芯片包括48位密鑰、32位序列號(hào)，就像一個(gè)密碼保險(xiǎn)箱。加之試探次數(shù)很少，難以通過(guò)常規(guī)的窮舉法破解密碼。但只要掌握相應(yīng)的算法及技術(shù)，砸開(kāi)芯片的“安全鎖”理論上就是可行的。“而且市面上出自各廠家的芯片，產(chǎn)品的安全機(jī)制、技術(shù)標(biāo)準(zhǔn)大同小異，邏輯加密原理的IC卡芯片安全性都差不多，能夠破解的話確實(shí)會(huì)給使用IC卡的系統(tǒng)造成很大威脅。”

手中的卡還能用嗎？
    “有點(diǎn)害怕，要是我的IC卡被復(fù)制，里面的錢不是被別人花了嗎？”“看來(lái)以后每次得少充點(diǎn)錢，寧可麻煩也別有什么損失?！盜C卡可被破解的消息報(bào)道后，許多網(wǎng)民紛紛表示了自己的擔(dān)憂。

    其實(shí)，與普通消費(fèi)者相比，提供IC卡服務(wù)的機(jī)構(gòu)和商家更有理由憂慮。如果公交卡、購(gòu)物卡或電卡的余額可以被輕易復(fù)制或修改，就可以有人用卡進(jìn)行無(wú)限制地消費(fèi)，這對(duì)整個(gè)營(yíng)運(yùn)系統(tǒng)的破壞將是災(zāi)難性的。 

    北京公交一卡通公司工作人員表示，在現(xiàn)有技術(shù)條件下，盜用他人卡號(hào)或修改余額等行為的可疑IC卡雖然可以發(fā)現(xiàn)，但難于追查，因IC卡被盜用而造成經(jīng)濟(jì)損失的用戶也很難提供足夠證據(jù)以獲得相應(yīng)索賠。

    “人們使用IC卡時(shí)一般都是自動(dòng)刷卡，即便有工作人員也不會(huì)仔細(xì)核對(duì)。”李志中說(shuō)，“所以一旦有人對(duì)IC卡進(jìn)行不法盜用或修改、復(fù)制，隱蔽性極強(qiáng)。”他同時(shí)表示，破解IC卡密碼一般需要專用設(shè)備和卡的實(shí)體，破解成本也比較高，普通消費(fèi)者對(duì)此不必憂慮。

    至于曾被認(rèn)為安全性不如IC卡、卻仍是國(guó)內(nèi)銀行卡和信用卡主流技術(shù)的磁條卡，這次反倒未受影響。目前國(guó)內(nèi)絕大多數(shù)銀行卡、信用卡采用磁條存儲(chǔ)方式，密碼并不保存在磁條卡上，而是儲(chǔ)存在銀行系統(tǒng)的數(shù)據(jù)庫(kù)里，持卡人使用時(shí)將掌握的密碼與銀行服務(wù)器“對(duì)暗號(hào)”通過(guò)后才可使用。如果銀行卡不落入他人手中，密碼也不被他人發(fā)現(xiàn)，不法分子就只有通過(guò)網(wǎng)上銀行才能盜取他人賬戶，或者通過(guò)在ATM機(jī)上加裝復(fù)制器、攝像頭等竊取密碼。

能否建起安全“防火墻”？
    那么，能不能像電腦軟件裝升級(jí)補(bǔ)丁那樣，給現(xiàn)有的邏輯加密IC卡升級(jí)呢？李志中認(rèn)為，這種升級(jí)只是加長(zhǎng)密鑰或更改部分算法，仍不能根本上使目前的破解方法失效。而且這種升級(jí)也需要更換卡片，成本上劃不來(lái)。

    所幸的是，采用邏輯加密方式的IC卡芯片正在被CPU芯片所代替。這種芯片有獨(dú)立的處理器和操作系統(tǒng)，兼具信息存儲(chǔ)、運(yùn)算的功能，因此被稱為“智能卡”，安全性和多功能性比邏輯加密卡和磁條卡都強(qiáng)。手機(jī)卡和二代身份證上，使用的就是CPU芯片。

    據(jù)介紹，歐洲各國(guó)的銀行卡已都采用CPU芯片，至今未出現(xiàn)被破解、攻擊等惡性事件；國(guó)內(nèi)一些城市目前也在穩(wěn)步推進(jìn)向CPU卡的升級(jí)。北京公交一卡通公司工作人員表示，北京市從去年起就已開(kāi)始發(fā)放采用CPU芯片的公交卡，而刷卡系統(tǒng)也經(jīng)過(guò)升級(jí)，可以同時(shí)兼容邏輯加密芯片和CPU芯片。

    不過(guò)，目前國(guó)內(nèi)還有不少較老的系統(tǒng)不能兼容CPU芯片，更換的話就需要升級(jí)整套讀卡設(shè)備，成本較高。“此外，CPU卡的生產(chǎn)成本是邏輯加密卡的四五倍，短期內(nèi)仍不會(huì)完全取代邏輯加密卡?！崩钪局姓f(shuō)。

    有關(guān)專家表示，與常需要在互聯(lián)網(wǎng)上開(kāi)通賬戶的銀行卡不同，IC卡只要一直掌握在自己手中，就不必?fù)?dān)心被他人盜用或修改。而隨著IC卡營(yíng)運(yùn)單位對(duì)監(jiān)管手段的完善，為貪便宜而私自修改IC卡信息的不法行為也將得到懲處。