‧ 從一卡通密碼破解，看它的安全性問題

來源: 慧聰安防網

前段時間，一卡通洩露出行資訊被媒體爆出，用戶只需輸入一卡通上面的卡號便可在市政一卡通官方網站上查出出行記錄，此新聞一出立刻引起了人們的爭論，不少網友稱，一卡通洩露出行資訊，讓人感覺隱私被侵犯了；也有網友稱，一卡通不記名，根本不用擔心。那麼洩露用戶出行資訊，一卡通涉嫌侵犯他人隱私嗎？由此事件引出深思，我們又該如何看待一卡通的安全性問題呢。

　　據瞭解目前大陸市面上的公車一卡通，幾乎全部為MIFARE卡。MIFARE卡是非接觸式IC卡，是1994年由荷蘭NXP半導體公司發明的。它成功的將射頻識別技術和IC卡技術相結合。MIFARE卡是目前大陸市場上使用量最大、技術最成熟、性能穩定、記憶體容量大的一種感應式智慧IC卡。

這種卡的操作簡單，由於採用射頻無線通訊，使用時無須插拔卡及不受方向和正反面的限制，所以非常方便用戶使用，完成一次讀寫操作僅需0.1秒，大大提高了每次使用的速度，既適用於一般場合，又適用于快速、高流量的場所。安全性、可靠性也比較高，每張MIFARE卡的序列號是全球唯一的，不可以更改；讀寫時卡與讀寫器之間採用三次雙向認證機制，互相驗證使用的合法性，而且在通訊過程中所有的資料都加密傳輸；此外，卡片各個分區都有自己的讀寫密碼和訪問機制，卡內資料的安全得到了有效的保證。

MIFARE卡與讀寫器之間沒有機械接觸，避免了由於接觸讀寫而產生的各種故障；而且卡中的晶片和感應天線完全密封在標準的PVC中，進一步提高了應用的可靠性和卡的使用壽命。

　　由於MIFARE卡的儲存結構及大容量特點（16分區、1024位元組），能應用於不同的場合或系統，尤其適用於學校、企事業單位、智慧社區的停車場管理、身份識別、門禁控制、考勤簽到、食堂就餐、娛樂消費、圖書管理等多方面的綜合應用，有很強的系統應用擴展性，可以真正做到“一卡多用”。使用的廣泛也就註定了安全性問題也將成為討論的話題，不僅業界人士給予了很大的關注，同時在政府的推動下，使用部門對IC卡也有了更多的瞭解。

　　前幾年發現了MIFARE卡有安全漏洞，可以破解或複製後，引起社會一片譁然，特別是政府機關、城市公車一卡通等部門給予了高度重視，各個部門都重新整改漏洞，升級系統方案。

其實MIFARE卡首先是非接觸式的邏輯加密IC卡，IC卡從安全性角度可分為儲存卡、邏輯加密卡和CPU加密卡，而從讀寫介面方式可分為接觸式IC卡和非接觸式IC卡。CPU加密卡內涵CPU晶片，它不僅處理卡片內的檔管理，而且也提供加密演算法處理，大大提供了卡片的安全性。其次如果從用戶角度來說，系統的安全性不僅僅取決於卡片的安全性。

IC卡應用系統是由卡片及卡片資料結構、讀寫機具及控制軟體、網路和伺服器及管理軟體一起組成的，系統的安全性是各個環節的集成。MIFARE卡的安全性不如CPU加密卡，但是用於一般場合是沒有多大問題的，破解MIFARE卡獲得利益的風險遠遠大於能夠得到的好處。

2011年9月24日，奇虎公司的兩名網路工程師利用專業知識破解了4張市政一卡通內晶片的系統密碼，之後惡意充值2600餘元，並多次刷卡消費被抓獲就說明了這個問題。由於一卡通目前是不記名，其暴露個人隱私的可能性很小，而且可以採用相應的措施進一步減小風險。社會的不斷發展，技術會日新月異，所以我們要正確地看待一卡通的安全性問題，處理好由此而帶來的安全隱患，避免給社會帶來大的損失。