智能卡技术课件

1、第4章 智能卡技术4.1 IC卡概述4.2 存储卡和逻辑加密卡4.3 CPU卡4.4 COS的安全体系4.5 智能卡的应用USB Key14.1.1 IC卡的概念IC卡内部带有微处理器和存储单元具有独立的计算和存储能力可存储示证者的私钥及数字证书等信息能作为计算设备代理示证者参与认证协议客户端部分的计算外形和普通磁卡相似使用和携带方便、计算环境安全和示证者口令一起能构成双因素认证24.1.1 IC卡的概念IC卡(集成电路卡,Integrated Circuit Card),也称智能卡、灵巧卡和智慧卡由法国人Roland Mereno于1974年发明是一个镶嵌了集成电路芯片的塑料卡片，其外形和尺

2、寸都遵循国际标准，并与覆盖磁条的磁卡相似由两个完全不同的部件组成：一个部件带有表面印刷的安全特征,可能有磁条另一个部件包含有芯片模块的卡体3接触式IC卡外形触点编号功能触点编号功能C1C2C3C4 VCC(电源电压)RST(复位信号)CLK(时钟)NC(保留)C5C6C7C8 GND(地)NC(保留)I/O(数据)NC(保留)4IC卡优点采用了最先进的半导体制造技术和信息安全技术:使用方便存储容量大安全性高可靠性高综合成本低5IC卡分类(1)按嵌入IC卡的集成电路芯片类型分类(2)按卡与外界数据传送的形式分类(3)按卡与外界数据交换的格式分类(4)按卡的应用领域分类6(1)按嵌入IC卡的集成电

3、路芯片类型分类非加密存储卡：具有数据存储功能,不具有数据处理功能和硬件加密功能逻辑加密卡：具有加密逻辑电路，通过校验口令来限制外部对卡内数据的访问低层次的安全保护，无法防范恶意攻击，适用于一般保密要求CPU卡：带有微处理器(CPU),存储单元,输入输出单元,芯片操作系统(Chip Operating System, COS)有硬件保护和操作系统的软件支持,安全保密性更好,是IC卡发展的主要方向在认证系统中使用的IC卡主要是CPU卡7(2)按卡与外界数据传送的形式分类接触式IC卡：表面有方型镀金接口，有八个或六个镀金触点，用于与读写器接触，通过电流信号完成读写非接触式IC卡：与接触式IC卡的芯片

4、技术和特性相同有射频信号收发器，在一定距离内即可与读写器通信，和读写器之间没有机械接触，常被称作射频卡或RF(Radio Frequency)卡双界面卡：将接触式IC卡和非接触式IC卡组合到一张卡中双界面卡主要是CPU卡8(3)按卡与外界数据交换的格式分类串行IC卡：数据流按串行方式输入输出当前大多数IC卡接口简单,使用方便,具有国际标准并行IC卡：数据流按并行方式输入输出提高数据交换速度增加存储容量缺乏国际标准,无法大规模应用9(4)按卡的应用领域分类金融卡：信用卡:由银行发行和管理,可使用预先设定的透支限额资金现金卡(储蓄卡):可用作电子存折和电子钱包,不允许透支非金融卡：事物管理,安全管

5、理金融卡之外的所有领域:电信,旅游,教育,公交,税务10IC卡应用金融：可作为信用卡,现金卡,证券卡,电子资金转帐卡目前主要以磁卡为主电信：数字蜂窝电话卡(SIM卡),电话储值卡电子钱包：针对小额支付,不需电话确认,签名,密码在我国的应用刚刚起步政府：工商、税务、公安、海关、人事部门辅助手段11IC卡应用身份证明：我国的第二代身份证（非接触式IC卡）、会员证公用事业：水、电、煤气、有线电视的费用收取交通：公共汽车、地铁、轮渡、高速公路收费系统主要应用非接触式IC卡医疗保健：健康卡、少儿疫苗卡、就诊卡社团、机构内部管理：企业员工卡、校园一卡通124.1.2 IC卡相关的国际标准按照数据传输方式分

6、类:接触式IC卡国际标准非接触式IC卡国际标准13IC卡测试标准质量测试：用于判断IC卡能否使用通常在引入新的卡体、芯片、模块或操作系统之前进行产品测试：快速:满足大量生产中关于短处理时间和高吞吐率的要求主要包括物理和电气特性测试，以及送往智能卡微处理器的命令及响应测试144.1.3 IC卡接口设备IC卡接口设备IFD(Interface Device),或称IC卡读写器或IC卡终端:连接IC卡与应用系统的桥梁性能、可靠性、安全性对整个应用系统有重要影响专用接口设备:一般以一个独立面向应用的应用机具方式出现,如水,电,煤气等的IC卡计费设备,IC卡付费电话,IC卡自动售货机机具的使用方式和功能

7、在出厂前由厂家设置好,用户使用时仅能根据不同的情况进行小范围设定通用接口设备:通常以从设备方式(或称外部设备)与主设备(一般是微机)一起构成IC卡应用机具功能上仅完成面向IC卡的操作,设备本身不针对任何特定应用丰富而灵活的应用接口给应用开发者提供良好的支持,是应用系统中合适的选择15IC卡接口设备分类通用型接口设备:一般只具备读写的功能，以标准数据接口方式与其它设备进行连接可支持数十种卡一般可进行二次开发，所以都有辅助开发应用的开发平台提供给应用开发人员构成IC卡应用系统是一个代价较高的方案，但它提供了一个多场合应用的机制，可更加方便、灵活地组织系统，非常适合于小型应用系统专用型接口设备:可以

8、直接安装使用，并可在内部安装与应用有关的其它设备只针对该系统应用需要，支持一种或几种卡一般不支持二次开发，供用户直接使用16通用型IC卡接口设备的硬件结构17IC卡接口设备分类按照IC卡接口设备的构建方式分类:固定式:采用市电电网供电，或通过数据接口供电分为内置型和外置型读写器便携式(脱机式读卡器):以电池作为电源18IC卡接口设备194.1.4 IC卡的生命周期（1）生产阶段:（2）准备阶段: 把芯片植入预先准备好的卡体后所有跟应用相关数据的准备（3）个人化阶段: IC卡发行商在卡上写入信息,发给持卡人（4）使用阶段: 持卡人对IC卡进行激活和读写（5）回收阶段:20第4章 智能卡技术4.1

9、 IC卡概述4.2 存储卡和逻辑加密卡4.3 CPU卡4.4 COS的安全体系4.5 智能卡的应用USB Key214.2 存储卡和逻辑加密卡存储卡:数据读、写均无安全机制逻辑加密卡:在存储卡的基础上增加了逻辑加密的保护功能用于访问限制，避免卡内数据被非法修改或读取德国Siemens系列存储卡/逻辑加密卡:SLE4404、SLE4406、SLE4412、SLE4418、SLE4428、SLE4432、SLE4436、SLE4442美国Atmel系列：存储卡：AT24C01A、AT24C02、AT24C04、AT24C08、AT24C16、AT24C32、AT24C64逻辑加密卡：AT88SC0

10、6、AT88SC102、AT88SC160422第4章 智能卡技术4.1 IC卡概述4.2 存储卡和逻辑加密卡4.3 CPU卡4.4 COS的安全体系4.5 智能卡的应用USB Key234.3 CPU卡高数据安全性:对存储在卡中的信息的存取作出限制,保护卡内的软件,提高安全性应用灵活性:可同时用于几种不同的应用,卡与系统的互相操作受存放在卡中和系统中的软件控制应用与交易的合法性证实:当卡连到合法的系统以实现某项应用时，通过来自用户的数据（如PIN数据或生物特征）或系统的数据（如加密/解密密钥），可在任何时候对持卡人或系统进行验证244.3 CPU卡多应用能力：CPU卡中有微处理器,可实现一卡

11、多用脱机能力：CPU卡可进行数据合法性检查,能存储交易的详细数据,不必为每一笔交易与中央计算机/数据库进行通信,提高了交易速度,降低了处理费用254.3.1 CPU卡的硬件结构26CPU卡的硬件结构CPU:一般为8位或16位的微处理器,计算能力与最早的IBM/PC相当在COS的控制下，接收从读写设备发来的命令，根据需要控制对存储器的访问，对访问到的数据作进一步的处理，实现卡与外界的信息传输、加密/解密和判别处理等功能EEPROM:是用户访问的存储区，用于保存CPU卡的各种信息:口令、密钥、应用文件一般大小为132 KB27CPU卡的硬件结构ROM:用于存放COS，系统启动时从中读取数据，加载操

12、作系统，管理整个卡上的资源一般大小为332 KBRAM:存放系统的中间处理结果充当卡与读写器间信息交换的中间缓存器一般大小为128 Byte2 KB协处理器(Crypto Analytic Unit):专门用于加密/解密运算DES、三重DES、RSA28CPU卡的存储区的分配制造区/发行区:存放制造和发行商代码、卡的序列号等ROM代码区:存放与COS相关的控制信息保密区:存放与文件操作权限相关的各种密码,密钥及相应描述信息文件区:存放应用数据(文件)文件分配表:存储与文件区中各个文件对应的描述信息,如文件起始地址,长度,权限制造区/发行区ROM代码区RAM保密区文件区文件分配表294.3.2

13、CPU卡芯片操作系统芯片操作系统(Chip Operating System, COS)一般根据所服务的CPU卡的特点开发受CPU卡内微处理器芯片的性能及内存容量影响不同于常见的操作系统COS是专用系统而不是通用系统，一种COS一般只能应用于特定的某种CPU卡中，不同卡内的COS一般不相同COS本质上更加接近于监控程序，而不是一个真正意义上的操作系统30CPU卡芯片操作系统COS的主要功能:控制CPU卡和外界的信息交换管理CPU卡内的存储器并在卡内部完成各种命令的处理COS所遵循的信息交换协议:基于异步字符传输的T=0协议基于异步分组传输的T=1协议31COS的命令处理过程32(1) 传送管理

14、器(Transmission Manager)传送管理：根据CPU卡所用的信息传输协议，对由读写设备发出的命令进行接收，在判断是否正确接收命令后，按照信息传输协议中规定的格式向读写设备进行应答通常采用奇偶校验位或校验和的方法判断命令是否正确接收由于CPU卡只有一个I/O口可以使用，所以卡和读写设备间采用半双工的方式交换信息绝大多数CPU卡的微处理器都在8个触点区中保留了两个I/O端口，全双工的数据交换技术也可能实现33(2) 安全管理器(Security Manager)安全管理器：对所传送的信息进行安全性检查或处理，防止非法的窃听或侵入涉及的安全机制主要有卡的认证与验证，数据的加/解密和文件

15、访问的权限控制该部分为用户提供了一个安全性的保证，是CPU卡的重要组成部分34(3) 应用管理器(Application Manager)对CPU卡接收的命令的可执行性进行判断卡的各个应用都以文件的形式存在实质是文件访问的安全控制问题可把应用管理器看成文件管理器的一部分35(4)文件管理器(File Manager)COS通过给每种应用建立一个对应文件的方法实现对各个应用的存储及管理，所有文件都有唯一对应的文件标识符(File Identifier),以便直接查找所需要的文件文件管理器通过验证命令的操作权限，最终完成对命令的处理364.3.3 COS的命令和响应CPU卡和读写设备(IFD)间的

16、全部数据交换是用应用协议数据单元(APDU)来进行的APDU含有命令信息(Command),将IFD的命令传输给CPU卡APDU含有响应信息(Response),将卡对这些命令的应答传给IFDAPDU可理解为IFD和CPU卡之间一次通信传输的最小信息单位，如某一命令37命令APDUCOS的命令（从IFDCPU卡）APDU由一个4字节的命令头和一个变长的命令体组成:38命令APDU代码名称长度(Byte)描述CLA命令类别1命令的类别INS命令码1命令代码P1参数11命令参数1P2参数21命令参数2Lc命令数据长度可变，0或1在命令的数据字段中呈现的字节数DATA数据可变， =Lc在命令的数据字

17、段中发送的字节串Le 响应数据长度可变，0或1期望在命令响应的数据字段中返回的字节最大数39命令APDU的参数说明CLA：识别应用和专有的命令组，如GSM移动电话的命令使用A0，基于ISO/IEC7816-4标准的命令都用0X编码识别保护出入卡的部分信息的安全信息SM（Secure Messaging）和逻辑通道INS只使用偶数编码命令体在相关数据字段为空时可不存在40响应APDUCOS的响应（从CPU卡IFD）APDU由一个可选的变长返回数据体和一个必备的2 字节的状态字组成:字段名称长度(字节)含义DATA数据字段可变，=Lr实际响应数据SW1状态字节11命令处理状态SW2状态字节2141

18、响应APDU状态字段的含义状态码(16进制)含义备注9000正常结束正常返回61XX正常结束，有XX个数据可读取63CXX为剩余尝试次数错误或警告6581写EEPROM失败6700数据长度错误6901无效的状态6981命令和文件类型不匹配6982不满足安全状态6983密钥已经被锁住42响应APDU状态字段的含义状态码(16进制)含义备注6985使用条件不满足6988安全报文数据项不正确6A80数据域参数不正确6A81功能不支持6A82没有找到文件6A83没有找到记录6A84没有足够空间6A86P1、P2参数不正确6B00参数错误(偏移地址超出了EF文件长度)6D00不正确的INS43响应APD

19、U状态字段的含义状态码(16进制)含义备注6E00不正确的CLA6F00未定义的错误9302MAC不正确9303应用永久锁定9401金额不足错误或警告9403密钥索引不支持9406所需MAC不可用44COS常用命令的指令码指令指令码(INS)说明Select FileA4H文件选择命令Read BinaryB0H读二进制数据命令Read RecordB2H读记录命令Upate BinaryD6H修改二进制数据命令Upate RecordDCH修改记录命令Write BinaryD0H写二进制数据命令Write RecordD2H写记录命令45COS常用命令的指令码Erase Binary0EH

20、删除二进制数据命令Append RecordE2H追加记录命令Verify20HPIN验证命令External Authenticate82H外部认证命令Internal Authenticate88H内部认证命令Get Challenge84H获取随机数命令Get ResponseC0H获取响应命令EnvelopeC2H包装命令464.4 COS的安全 使用伪造的智能卡进入系统冒用他人遗失的或盗用的智能卡，冒充合法用户进入系统主动攻击47安全报文传送机密性保护完整性保护机密性加完整性保护484.5 智能卡技术规范1）ISO 7816智能卡底层接口标准读卡器和智能卡之间如何传递字节流塑料基片的

21、物理和尺寸特性(7816/1)触点的尺寸和位置(7816/2)信息交换的底层协议描述(7816/3)49智能卡技术规范2）PC/SC (Personal Computer/Smart Card )用于Win32平台个人计算机与智能卡之间实现互通信目的在于规范一个开放的Windows接口PC/SC 工作组于1996年5月成立50智能卡技术规范3）OpenCard 框架由IBM, Netscape, NCI, Sun在1997年3月27日提出用于网络环境的智能应用框架目的: 支持智能卡应用程序在网络计算机、PC机、ATM和GSM平台上实现应用互操作提供到PC/SC的接口51智能卡技术规范4）Jav

22、a Card 论坛1996年10月推出Java Card API规范1997年4月27日，Java Card论坛宣布成立成立目的: 完善Java Card API规范，使之最终成为多应用智能卡的首选编程语言52智能卡技术规范Java Card:能够运行Java程序的智能卡加入操作系统, Java Card虚拟机, API类库,可选的applets定义了Java作为一种独立于平台的编程技术在智能卡上的应用Java Card API与正式的国际标准(如ISO7816)和工业规范标准(如Europay/Master Card/Visa)兼容534.6 智能卡的应用USB KeyUSB接口+智能卡技术

23、内置密码芯片可存储用户的私钥、数字证书、公钥算法广泛应用于国内网上银行是公认的较为安全的身份认证技术无需单独的读写设备，读写设备和CPU卡合一，使用方便由通过国家公安部审核并发放生产许可证的专用商用密码产品制造商生产54USB Key特点（1）基于硬件PIN码保护的双因素认证（2）安全的存储介质用户私钥等敏感信息存储在USB Key的安全介质之中，外部用户无法直接读取对密钥文件的读写和修改都必须由USB Key内的程序进行调用（3）硬件实现加密算法常规加密算法、签名算法、散列函数、各种密码协议的客户端部分算法仅在USB Key内部进行（4）加密数据传输和主机之间通过USB接口进行的数据传输可被

24、加密（5）与PKI体系结合保存用户的数字证书和私钥55USB Key使用实例安徽省工商网上年检系统：安徽CA数字证书驱动包网上年检系统数字证书应用电子印章56CA认证在年检系统中的网络结构57安徽CA数字证书驱动包安装企业电子证书由安徽省电子认证管理中心有限责任公司签发，安徽省工商行政管理部门在其内嵌入企业基本注册信息，用于网上证明企业合法身份的电子证书2. 企业领取的企业电子证书介质中包含企业的电子证书、电子执照、电子印章3. 企业电子证书具备身份认证、数字签名及加密传输等功能，以其保密性、完整性、真实性和不可否认性，为企业提供基本的安全与信用保证58安徽CA数字证书驱动包安装1. 首先将安

25、装光盘放入光驱，等待几秒钟，系统会自动弹出主安装界面59安徽CA数字证书驱动包安装打开“我的电脑”，鼠标右击光驱图标。60安徽CA数字证书驱动包安装双击运行“autorun.exe”进入主安装界面61安徽CA数字证书驱动包安装62USB Key使用实例安徽省工商网上年检系统：安徽CA数字证书驱动包网上年检系统数字证书应用电子印章63网上年检系统数字证书应用流程填写和修改报告书查看审核状态否是否是InternetInternet提示：一次填不完，可以下次重新登录后继续填。64网上年检系统数字证书应用流程1. 插入USBkey，打开IE，进入各市工商网上年检首页，点击“安徽CA用户登录”65网上年检系统数字证书应用