1、1第第4章章 智能卡技术智能卡技术4.1 IC卡概述4.2 存储卡和逻辑加密卡4.3 CPU卡4.4 COS的安全体系4.5 智能卡的应用USB Key24.1.1 IC卡的概念卡的概念lIC卡内部带有微处理器和存储单元具有独立的计算和存储能力可存储示证者的私钥及数字证书等信息能作为计算设备代理示证者参与认证协议客户端部分的计算l外形和普通磁卡相似l使用和携带方便、计算环境安全l和示证者口令一起能构成双因素认证34.1.1 IC卡的概念卡的概念lIC卡(集成电路卡,Integrated Circuit Card),也称智能卡、灵巧卡和智慧卡l由法国人Roland Mereno于1974年发明l
2、是一个镶嵌了集成电路芯片的塑料卡片，其外形和尺寸都遵循国际标准，并与覆盖磁条的磁卡相似l由两个完全不同的部件组成：一个部件带有表面印刷的安全特征,可能有磁条另一个部件包含有芯片模块的卡体4接触式接触式IC卡外形卡外形封口胶PCB板(触点向上)过填注涂层集成电路塑料卡基53.98mm塑料卡基卡片触点0.76mm85.6mmC1C4C5C8触点编号功能触点编号功能C1C2C3C4 VCC(电源电压)RST(复位信号)CLK(时钟)NC(保留)C5C6C7C8 GND(地)NC(保留)I/O(数据)NC(保留)5IC卡优点卡优点l采用了最先进的半导体制造技术和信息安全技术:使用方便存储容量大安全性高
3、可靠性高综合成本低6IC卡分类卡分类(1)按嵌入IC卡的集成电路芯片类型分类(2)按卡与外界数据传送的形式分类(3)按卡与外界数据交换的格式分类(4)按卡的应用领域分类7(1)(1)按嵌入按嵌入ICIC卡的集成电路芯片类型分类卡的集成电路芯片类型分类l非加密存储卡：具有数据存储功能,不具有数据处理功能和硬件加密功能l逻辑加密卡：具有加密逻辑电路，通过校验口令来限制外部对卡内数据的访问低层次的安全保护，无法防范恶意攻击，适用于一般保密要求lCPU卡：带有微处理器(CPU),存储单元,输入输出单元,芯片操作系统(Chip Operating System,COS)有硬件保护和操作系统的软件支持,安
4、全保密性更好,是IC卡发展的主要方向在认证系统中使用的IC卡主要是CPU卡8(2)(2)按卡与外界数据传送的形式分类按卡与外界数据传送的形式分类l接触式IC卡：表面有方型镀金接口，有八个或六个镀金触点，用于与读写器接触，通过电流信号完成读写l非接触式IC卡：与接触式IC卡的芯片技术和特性相同有射频信号收发器，在一定距离内即可与读写器通信，和读写器之间没有机械接触，常被称作射频卡或RF(Radio Frequency)卡l双界面卡：将接触式IC卡和非接触式IC卡组合到一张卡中双界面卡主要是CPU卡9(3)(3)按卡与外界数据交换的格式分类按卡与外界数据交换的格式分类l串行IC卡：数据流按串行方式
5、输入输出当前大多数IC卡接口简单,使用方便,具有国际标准l并行IC卡：数据流按并行方式输入输出提高数据交换速度增加存储容量缺乏国际标准,无法大规模应用10(4)(4)按卡的应用领域分类按卡的应用领域分类l金融卡：信用卡:由银行发行和管理,可使用预先设定的透支限额资金现金卡(储蓄卡):可用作电子存折和电子钱包,不允许透支l非金融卡：事物管理,安全管理金融卡之外的所有领域:电信,旅游,教育,公交,税务11ICIC卡应用卡应用l金融：可作为信用卡,现金卡,证券卡,电子资金转帐卡目前主要以磁卡为主l电信：数字蜂窝电话卡(SIM卡),电话储值卡l电子钱包：针对小额支付,不需电话确认,签名,密码在我国的应
6、用刚刚起步l政府：工商、税务、公安、海关、人事部门辅助手段12ICIC卡应用卡应用l身份证明：我国的第二代身份证（非接触式IC卡）、会员证l公用事业：水、电、煤气、有线电视的费用收取l交通：公共汽车、地铁、轮渡、高速公路收费系统主要应用非接触式IC卡l医疗保健：健康卡、少儿疫苗卡、就诊卡l社团、机构内部管理：企业员工卡、校园一卡通134.1.2 IC卡相关的国际标准卡相关的国际标准l按照数据传输方式分类:接触式IC卡国际标准非接触式IC卡国际标准14IC卡测试标准卡测试标准l质量测试：用于判断IC卡能否使用通常在引入新的卡体、芯片、模块或操作系统之前进行l产品测试：快速:满足大量生产中关于短处
7、理时间和高吞吐率的要求主要包括物理和电气特性测试，以及送往智能卡微处理器的命令及响应测试154.1.3 IC卡接口设备卡接口设备lIC卡接口设备IFD(Interface Device),或称IC卡读写器或IC卡终端:连接IC卡与应用系统的桥梁性能、可靠性、安全性对整个应用系统有重要影响l专用接口设备:一般以一个独立面向应用的应用机具方式出现,如水,电,煤气等的IC卡计费设备,IC卡付费电话,IC卡自动售货机机具的使用方式和功能在出厂前由厂家设置好,用户使用时仅能根据不同的情况进行小范围设定l通用接口设备:通常以从设备方式(或称外部设备)与主设备(一般是微机)一起构成IC卡应用机具功能上仅完成
8、面向IC卡的操作,设备本身不针对任何特定应用丰富而灵活的应用接口给应用开发者提供良好的支持,是应用系统中合适的选择16IC卡接口设备分类卡接口设备分类l通用型接口设备:一般只具备读写的功能，以标准数据接口方式与其它设备进行连接可支持数十种卡一般可进行二次开发，所以都有辅助开发应用的开发平台提供给应用开发人员构成IC卡应用系统是一个代价较高的方案，但它提供了一个多场合应用的机制，可更加方便、灵活地组织系统，非常适合于小型应用系统l专用型接口设备:可以直接安装使用，并可在内部安装与应用有关的其它设备只针对该系统应用需要，支持一种或几种卡一般不支持二次开发，供用户直接使用17通用型通用型ICIC卡接
9、口设备的硬件结构卡接口设备的硬件结构IC卡适配插座IC卡接口电路IC卡协议实现单元CPU+ROM+RAM与主机接口单元密码运算处理单元+EEPROM（可选）18IC卡接口设备分类卡接口设备分类l按照IC卡接口设备的构建方式分类:固定式:l采用市电电网供电，或通过数据接口供电l分为内置型和外置型读写器便携式(脱机式读卡器):以电池作为电源19IC卡接口设备卡接口设备固 定 式 内 置 读 卡 器固 定 式 外 置 读 卡 器脱 机 式 读 卡 器204.1.4 IC卡的生命周期卡的生命周期（1）生产阶段:（2）准备阶段:把芯片植入预先准备好的卡体后所有跟应用相关数据的准备（3）个人化阶段:IC卡
10、发行商在卡上写入信息,发给持卡人（4）使用阶段:持卡人对IC卡进行激活和读写（5）回收阶段:21第第4章章 智能卡技术智能卡技术4.1 IC卡概述4.2 存储卡和逻辑加密卡4.3 CPU卡4.4 COS的安全体系4.5 智能卡的应用USB Key224.2 存储卡和逻辑加密卡存储卡和逻辑加密卡l存储卡:数据读、写均无安全机制l逻辑加密卡:在存储卡的基础上增加了逻辑加密的保护功能用于访问限制，避免卡内数据被非法修改或读取l德国Siemens系列存储卡/逻辑加密卡:SLE4404、SLE4406、SLE4412、SLE4418、SLE4428、SLE4432、SLE4436、SLE4442l美国A
11、tmel系列：存储卡：AT24C01A、AT24C02、AT24C04、AT24C08、AT24C16、AT24C32、AT24C64逻辑加密卡：AT88SC06、AT88SC102、AT88SC160423第第4章章 智能卡技术智能卡技术4.1 IC卡概述4.2 存储卡和逻辑加密卡4.3 CPU卡4.4 COS的安全体系4.5 智能卡的应用USB Key244.3 CPU卡卡高数据安全性:对存储在卡中的信息的存取作出限制,保护卡内的软件,提高安全性应用灵活性:可同时用于几种不同的应用,卡与系统的互相操作受存放在卡中和系统中的软件控制应用与交易的合法性证实:当卡连到合法的系统以实现某项应用时，
12、通过来自用户的数据（如PIN数据或生物特征）或系统的数据（如加密/解密密钥），可在任何时候对持卡人或系统进行验证254.3 CPU卡卡多应用能力：CPU卡中有微处理器,可实现一卡多用脱机能力：CPU卡可进行数据合法性检查,能存储交易的详细数据,不必为每一笔交易与中央计算机/数据库进行通信,提高了交易速度,降低了处理费用264.3.1 CPU卡的硬件结构卡的硬件结构27CPU卡的硬件结构卡的硬件结构lCPU:一般为8位或16位的微处理器,计算能力与最早的IBM/PC相当在COS的控制下，接收从读写设备发来的命令，根据需要控制对存储器的访问，对访问到的数据作进一步的处理，实现卡与外界的信息传输、加
13、密/解密和判别处理等功能lEEPROM:是用户访问的存储区，用于保存CPU卡的各种信息:口令、密钥、应用文件一般大小为132 KB28CPU卡的硬件结构卡的硬件结构lROM:用于存放COS，系统启动时从中读取数据，加载操作系统，管理整个卡上的资源一般大小为332 KBlRAM:存放系统的中间处理结果充当卡与读写器间信息交换的中间缓存器一般大小为128 Byte2 KBl协处理器(Crypto Analytic Unit):专门用于加密/解密运算DES、三重DES、RSA29CPU卡的存储区的分配卡的存储区的分配l制造区/发行区:存放制造和发行商代码、卡的序列号等lROM代码区:存放与COS相关
14、的控制信息l保密区:存放与文件操作权限相关的各种密码,密钥及相应描述信息l文件区:存放应用数据(文件)l文件分配表:存储与文件区中各个文件对应的描述信息,如文件起始地址,长度,权限制造区制造区/发行区发行区ROM代码区代码区RAM保密区保密区文件区文件区文件分配表文件分配表304.3.2 CPU卡芯片操作系统卡芯片操作系统l芯片操作系统(Chip Operating System,COS)一般根据所服务的CPU卡的特点开发受CPU卡内微处理器芯片的性能及内存容量影响不同于常见的操作系统lCOS是专用系统而不是通用系统，一种COS一般只能应用于特定的某种CPU卡中，不同卡内的COS一般不相同lC
15、OS本质上更加接近于监控程序，而不是一个真正意义上的操作系统31CPU卡芯片操作系统卡芯片操作系统lCOS的主要功能:控制CPU卡和外界的信息交换管理CPU卡内的存储器并在卡内部完成各种命令的处理lCOS所遵循的信息交换协议:基于异步字符传输的T=0协议基于异步分组传输的T=1协议32COS的命令处理过程的命令处理过程传送管理器（TM)安全管理器（SM）应用管理器（AM）文件管理器（FM）命令响应读写设备CPU卡33(1)传送管理器传送管理器(Transmission Manager)l传送管理：根据CPU卡所用的信息传输协议，对由读写设备发出的命令进行接收，在判断是否正确接收命令后，按照信息
16、传输协议中规定的格式向读写设备进行应答通常采用奇偶校验位或校验和的方法判断命令是否正确接收l由于CPU卡只有一个I/O口可以使用，所以卡和读写设备间采用半双工的方式交换信息l绝大多数CPU卡的微处理器都在8个触点区中保留了两个I/O端口，全双工的数据交换技术也可能实现34(2)安全管理器安全管理器(Security Manager)l安全管理器：对所传送的信息进行安全性检查或处理，防止非法的窃听或侵入涉及的安全机制主要有卡的认证与验证，数据的加/解密和文件访问的权限控制该部分为用户提供了一个安全性的保证，是CPU卡的重要组成部分35(3)应用管理器应用管理器(Application Manag
17、er)l对CPU卡接收的命令的可执行性进行判断l卡的各个应用都以文件的形式存在l实质是文件访问的安全控制问题l可把应用管理器看成文件管理器的一部分36(4)文件管理器文件管理器(File Manager)lCOS通过给每种应用建立一个对应文件的方法实现对各个应用的存储及管理，所有文件都有唯一对应的文件标识符(File Identifier),以便直接查找所需要的文件l文件管理器通过验证命令的操作权限，最终完成对命令的处理374.3.3 COS的命令和响应的命令和响应lCPU卡和读写设备(IFD)间的全部数据交换是用应用协议数据单元(APDU)来进行的APDU含有命令信息(Command),将I
18、FD的命令传输给CPU卡APDU含有响应信息(Response),将卡对这些命令的应答传给IFDAPDU可理解为IFD和CPU卡之间一次通信传输的最小信息单位，如某一命令读写设备IFDCLA INS P1 P2数据LC 数据 LESW1 SW2智能卡命令头命令体响应数据响应状态38命令命令APDUlCOS的命令（从IFDCPU卡）APDU由一个4字节的命令头和一个变长的命令体组成:命 令 头CLAINSP1P2LcLe命 令 体DATA39命令命令APDU代码名称长度(Byte)描述CLA命令类别1命令的类别INS命令码1命令代码P1参数11命令参数1P2参数21命令参数2Lc命令数据长度可变
19、，0或1在命令的数据字段中呈现的字节数DATA数据可变，=Lc在命令的数据字段中发送的字节串Le 响应数据长度可变，0或1期望在命令响应的数据字段中返回的字节最大数40命令命令APDU的参数说明的参数说明lCLA：识别应用和专有的命令组，如GSM移动电话的命令使用A0，基于ISO/IEC7816-4标准的命令都用0X编码识别保护出入卡的部分信息的安全信息SM（Secure Messaging）和逻辑通道lINS只使用偶数编码l命令体在相关数据字段为空时可不存在41响应响应APDUlCOS的响应（从CPU卡IFD）APDU由一个可选的变长返回数据体和一个必备的2 字节的状态字组成:应答数据状态字
20、DATASW1SW2字段名称长度(字节)含义DATA数据字段可变，=Lr实际响应数据SW1状态字节11命令处理状态SW2状态字节2142响应响应APDU状态字段的含义状态字段的含义状态码(16进制)含义备注9000正常结束正常返回61XX正常结束，有XX个数据可读取63CXX为剩余尝试次数错误或警告6581写EEPROM失败6700数据长度错误6901无效的状态6981命令和文件类型不匹配6982不满足安全状态6983密钥已经被锁住43响应响应APDU状态字段的含义状态字段的含义状态码(16进制)含义备注6985使用条件不满足6988安全报文数据项不正确6A80数据域参数不正确6A81功能不支
21、持6A82没有找到文件6A83没有找到记录6A84没有足够空间6A86P1、P2参数不正确6B00参数错误(偏移地址超出了EF文件长度)6D00不正确的INS44响应响应APDU状态字段的含义状态字段的含义状态码(16进制)含义备注6E00不正确的CLA6F00未定义的错误9302MAC不正确9303应用永久锁定9401金额不足错误或警告9403密钥索引不支持9406所需MAC不可用45COSCOS常用命令的指令码常用命令的指令码指令指令码(INS)说明Select FileA4H文件选择命令Read BinaryB0H读二进制数据命令Read RecordB2H读记录命令Upate Bina
22、ryD6H修改二进制数据命令Upate RecordDCH修改记录命令Write BinaryD0H写二进制数据命令Write RecordD2H写记录命令46COSCOS常用命令的指令码常用命令的指令码Erase Binary0EH删除二进制数据命令Append RecordE2H追加记录命令Verify20HPIN验证命令External Authenticate82H外部认证命令Internal Authenticate88H内部认证命令Get Challenge84H获取随机数命令Get ResponseC0H获取响应命令EnvelopeC2H包装命令474.4 COS的安全的安全 l
23、使用伪造的智能卡进入系统l冒用他人遗失的或盗用的智能卡，冒充合法用户进入系统l主动攻击48安全报文传送安全报文传送l机密性保护l完整性保护l机密性加完整性保护494.5 智能卡技术规范智能卡技术规范1）ISO 7816智能卡底层接口标准读卡器和智能卡之间如何传递字节流塑料基片的物理和尺寸特性(7816/1)触点的尺寸和位置(7816/2)信息交换的底层协议描述(7816/3)50智能卡技术规范智能卡技术规范2）PC/SC(Personal Computer/Smart Card)用于Win32平台个人计算机与智能卡之间实现互通信目的在于规范一个开放的Windows接口PC/SC 工作组于199
24、6年5月成立51智能卡技术规范智能卡技术规范3）OpenCard 框架由IBM,Netscape,NCI,Sun在1997年3月27日提出用于网络环境的智能应用框架目的:支持智能卡应用程序在网络计算机、PC机、ATM和GSM平台上实现应用互操作提供到PC/SC的接口52智能卡技术规范智能卡技术规范4）Java Card 论坛1996年10月推出Java Card API规范1997年4月27日，Java Card论坛宣布成立成立目的:完善Java Card API规范，使之最终成为多应用智能卡的首选编程语言53智能卡技术规范智能卡技术规范lJava Card:能够运行Java程序的智能卡加入操
25、作系统,Java Card虚拟机,API类库,可选的applets定义了Java作为一种独立于平台的编程技术在智能卡上的应用Java Card API与正式的国际标准(如ISO7816)和工业规范标准(如Europay/Master Card/Visa)兼容544.6 智能卡的应用智能卡的应用USB KeylUSB接口+智能卡技术内置密码芯片可存储用户的私钥、数字证书、公钥算法广泛应用于国内网上银行是公认的较为安全的身份认证技术无需单独的读写设备，读写设备和CPU卡合一，使用方便由通过国家公安部审核并发放生产许可证的专用商用密码产品制造商生产55USB Key特点特点（1）基于硬件PIN码保护
26、的双因素认证（2）安全的存储介质用户私钥等敏感信息存储在USB Key的安全介质之中，外部用户无法直接读取对密钥文件的读写和修改都必须由USB Key内的程序进行调用（3）硬件实现加密算法常规加密算法、签名算法、散列函数、各种密码协议的客户端部分算法仅在USB Key内部进行（4）加密数据传输和主机之间通过USB接口进行的数据传输可被加密（5）与PKI体系结合保存用户的数字证书和私钥56USB Key使用实例使用实例l安徽省工商网上年检系统：l安徽CA数字证书驱动包l网上年检系统数字证书应用l电子印章57CA认证在年检系统中的网络结构认证在年检系统中的网络结构58安徽安徽CA数字证书驱动包安装
27、数字证书驱动包安装1.企业电子证书由安徽省电子认证管理中心有限责任公司签发，安徽省工商行政管理部门在其内嵌入企业基本注册信息，用于网上证明企业合法身份的电子证书2.企业领取的企业电子证书介质中包含企业的电子证书电子证书、电子执照电子执照、电子印章电子印章3.企业电子证书具备身份认证、数字签名及加密传输等功能，以其保密性、完整性、真实性和不可否认性，为企业提供基本的安全与信用保证59安徽安徽CA数字证书驱动包安装数字证书驱动包安装1.首先将安装光盘放入光驱，等待几秒钟，系统会自动弹出主安装界面60安徽安徽CA数字证书驱动包安装数字证书驱动包安装l打开“我的电脑”，鼠标右击光驱图标。61安徽安徽C
28、A数字证书驱动包安装数字证书驱动包安装l双击运行“autorun.exe”进入主安装界面62安徽安徽CA数字证书驱动包安装数字证书驱动包安装63USB Key使用实例使用实例l安徽省工商网上年检系统：l安徽CA数字证书驱动包l网上年检系统数字证书应用l电子印章64网上年检系统数字证书应用流程网上年检系统数字证书应用流程是否填写完毕填写和修改报告书填写和修改报告书查看审核状态查看审核状态否否是是否否是是InternetInternet提示：一次填不完，可以下次重新登录后继续填。提示：一次填不完，可以下次重新登录后继续填。65网上年检系统数字证书应用流程网上年检系统数字证书应用流程1.插入插入US
29、Bkey，打开，打开IE，进入各市工商网上年检首页，进入各市工商网上年检首页，点击点击“安徽安徽CA用户登录用户登录”66网上年检系统数字证书应用流程网上年检系统数字证书应用流程2.IE弹出证书选择对话框，选择相应的证书67网上年检系统数字证书应用流程网上年检系统数字证书应用流程2.弹出对话框提示用户输入Usbkey的口令，初始口令为123456，正确输入口令后，即可成功登录68网上年检系统数字证书应用流程网上年检系统数字证书应用流程69USB Key使用实例使用实例l安徽省工商网上年检系统：l安徽CA数字证书驱动包l网上年检系统数字证书应用l电子印章70安徽安徽CA数字证书扩展应用：电子印章
30、数字证书扩展应用：电子印章l电子印章：以电子形式存在，依附在电子文件并与其逻辑关联，可用以辨识电子文件签署者身份，保证文件的完整性，并表示签署者同意电子文件所陈述事实的内容l电子印章的认定通过特定的技术方案鉴别当事人的身份及确保交易资料内容不被篡改71电子印章的功能电子印章的功能1.文档印章：能在电子文档上任意地方签署单位公章或个人手写签名 2.文档验证：能对所签文档内容进行完整性认证,一旦修改则验证失败3.文档保护：签署人可以将文档保护起来,以使其他人在阅读时文档不 会被有意无意的改动4.身份认证：通过PKI认证体系认证签署文档的数字证书是否确为所 描述机构所颁发,以确认所接收到的文档的签署
31、人身份是否属实5.查看证书：能查看签署者个人资料信息 6.查看印章时间：能查看签署者签署文档的时间 7.打印设置：可设置复杂的打印控制功能72电子印章基本工作原理电子印章基本工作原理l采用数字签名技术，将签署文本以及签署人印章、数字证书等签章信息通过签署人的密钥进行运算得到签署文档.73验证过程验证过程74电子印章使用过程电子印章使用过程1.插入插入USB-KEY与计算机相连，任务栏的指示灯状态与计算机相连，任务栏的指示灯状态经过以下三种转换至绿灯亮时才可使用经过以下三种转换至绿灯亮时才可使用75电子印章使用过程电子印章使用过程2.打开一篇需要盖章的文档，先将光标移至将要签章的位置，在工具栏中单击ESS按钮，即可插入默认图章76电子印章使用过程电子印章使用过程77电子印章使用过程电子印章使用过程3.移动印章78电子印章使用过程电子印章使用过程4.选择功能菜单上的文档签章,弹出“输入PIN码”的对话框,输入USB-Key的PIN码79电子印章使用过程电子印章使用过程5.输入密码(连续输入5次错误密码,USB-Key将被锁)
