智能卡的安全与鉴别

1、第第7章章 智能卡的安全与鉴别智能卡的安全与鉴别 本章主要内容：本章主要内容：l身份鉴别技术身份鉴别技术l报文鉴别技术报文鉴别技术l密码技术密码技术l数字签名数字签名return7.1 IC卡面临的安全问题卡面临的安全问题7.2 物理安全物理安全7.3 逻辑安全逻辑安全7.4 密码技术密码技术7.5 IC卡的安全使用卡的安全使用第第7章章 智能卡的安全与鉴别智能卡的安全与鉴别 return 7.1 IC卡面临的安全问题卡面临的安全问题l如何保证如何保证IC卡的内部信息在存储和交易工卡的内部信息在存储和交易工程中的完整性、有效性和真实性程中的完整性、有效性和真实性l使用伪造使用伪造IC卡（在个人

2、化过程进行伪造）卡（在个人化过程进行伪造）l主动攻击（对交换过程的信息进行截听、主动攻击（对交换过程的信息进行截听、修改）修改）l盗盗/冒用冒用IC卡卡return7.2 物理安全物理安全l增强机械强度增强机械强度l加强电气保护加强电气保护l增加伪造难度增加伪造难度 （制造设备的高精尖、（制造设备的高精尖、 IC卡技术难度和专有、卡技术难度和专有、 参数保密性）参数保密性）l控制制造过程控制制造过程 （技术、管理、授权）（技术、管理、授权）return 7.3 逻辑安全逻辑安全用户鉴别用户鉴别存储区域安全存储区域安全通信安全通信安全return用户鉴别（个人身份鉴别）用户鉴别（个人身份鉴别）

3、验证持卡人的身份。验证持卡人的身份。方法：验证个人识别号方法：验证个人识别号PIN（personal identification number）；）； 生物特征；生物特征； 下意识特征；下意识特征；returnl读卡器与卡间以明码传输，在读卡器与卡间以明码传输，在IC卡内卡内部完成部完成PIN的鉴别；（图的鉴别；（图7.1）1. PIN 密码运算鉴别方法密码运算鉴别方法键入键入PIN提交明码提交明码指令指令检查明码检查明码内部所内部所存密码存密码PIN明码明码PIN卡片卡片是否用户用户终端机终端机returnl带密码运算的带密码运算的PIN鉴别（鉴别（ CPU卡）卡）键入键入PIN用户用户P

4、IN产生随机产生随机数指令数指令密码运算密码运算Mf(N PIN,AK)提交结果提交结果M,AK产生随机产生随机数数N解密运算解密运算Nf(M,AK) 检查N PIN=NM，AK参数参数是否终端机终端机卡片卡片return2. 生物鉴别方法生物鉴别方法 拒绝失败率拒绝失败率 接受失败率接受失败率生物鉴别方法生物鉴别方法拒绝失败率拒绝失败率接受失败率接受失败率动态手写签名动态手写签名1.00.5手形手形1.01.5指纹指纹1.00.025语音语音3.01.0视网膜视网膜1.0可忽略可忽略return把智能卡的数据存储器划分为若干区，把智能卡的数据存储器划分为若干区，对每个区都设定各自的访问条件；

5、只有对每个区都设定各自的访问条件；只有符合设定的条件，才允许对数据存储区符合设定的条件，才允许对数据存储区进行访问。进行访问。表表 7.2return 存储区划分后，普通数据和重要数存储区划分后，普通数据和重要数据被有效分离，各自接受不同程度的保据被有效分离，各自接受不同程度的保护，提高了逻辑安全的强度。护，提高了逻辑安全的强度。return通信方面对信息的修改有以下方式：通信方面对信息的修改有以下方式：return保证信息交换过程保证信息交换过程returnreturn加加 密密 鉴别过程的安全性取决于鉴别算法的密鉴别过程的安全性取决于鉴别算法的密钥管理的安全性。钥管理的安全性。return

6、l鉴别算法鉴别算法DSA算法算法（1）DSA算法算法在收发双方同时利用两个十位长的任选的十在收发双方同时利用两个十位长的任选的十进制数进制数b1和和b2，作为密钥。，作为密钥。将被鉴别的信息看成十进制数串，然后分组，将被鉴别的信息看成十进制数串，然后分组，十位一组。十位一组。每次运算（加法）取一组，两个运算流并行每次运算（加法）取一组，两个运算流并行进行，直到所有信息组运算完毕，得到鉴别进行，直到所有信息组运算完毕，得到鉴别码。码。return（2）DSA算法举例算法举例用用R（X）D表示对表示对D循环右移循环右移X位，如位，如D1234567890，则，则R（3）D8901234567。用用

7、S（3）D表示相加之和：表示相加之和： S（3）D R（3）DD（mod1010）。）。其中其中：R（3）D8901234567 D1234567890S（3）D0135802457return 假设信息假设信息M1583492637 52835869，鉴别码，鉴别码的计算如下：的计算如下：1. 先将信息分成十位一组，最后一组不先将信息分成十位一组，最后一组不足十位时补足十位时补0；2. 即：即：m1= 1583492637， m2= 5283586900；3. 任选密钥：任选密钥： b1= 5236179902， b2= 4893524771；4. 两个运算流同时运算。两个运算流同时运算。r

8、eturn运算流运算流1运算流运算流2m1 1583492637m1 1583492637 b1 5236179902 b2 4893524771 R(4)p= 2539681967p = 6819672539q = 6477017408 R(5)q= 1740864770 S(4)p= 9359354506 S(5)q= 8217882178 m2 5283586900 m2 5283586900 R(8)u= 4294140646u = 4642941406v = 3501469078 R(2)v= 7835014690 S(8)u= 8937082052 S(2)v= 133648376

9、8return 至此，两组信息组运算完毕，得到至此，两组信息组运算完毕，得到两个十位长的十进制数，再组合一下，两个十位长的十进制数，再组合一下，将它们按模将它们按模1010相加。相加。 S(8)u= 8937082052 S(2)v= 1336483768 0273565820鉴别码鉴别码return 练习：练习：假设信息假设信息M2851392637 43715687，如何计算，如何计算DSA算法的鉴别码？算法的鉴别码？return通过对报文时间性的鉴别，保证所传送的通过对报文时间性的鉴别，保证所传送的消息是唯一的。消息是唯一的。随后重发的消息是非法的。随后重发的消息是非法的。return实

10、现方法：实现方法：收发方预先约定一个时间变量，然后收发方预先约定一个时间变量，然后用它作为初始化向量对所发送的报文用它作为初始化向量对所发送的报文加密；加密；收发方预先约定一个时间变量，然后收发方预先约定一个时间变量，然后在发送的每份报文中插入该时间变量，在发送的每份报文中插入该时间变量，保证报文的唯一性。保证报文的唯一性。return对报文发送方和接收方的鉴别。对报文发送方和接收方的鉴别。智能卡和主机之间的相互鉴别是消息认证智能卡和主机之间的相互鉴别是消息认证和电子签名的基础。和电子签名的基础。 报文中加入发送者的标识号；报文中加入发送者的标识号； 通过报文加密实现，而且卡和通过报文加密实现

11、，而且卡和读卡器采用不同的密钥进行加读卡器采用不同的密钥进行加密。密。return 利用密码技术对信息进行加密处理，以利用密码技术对信息进行加密处理，以掩盖真实信息，到达保密的目的。掩盖真实信息，到达保密的目的。 也是最安全、最有效的措施。也是最安全、最有效的措施。return 7.4 密码技术密码技术如最早的密码变换规则：如最早的密码变换规则： 3 mod 26密文密文明文明文密钥密钥return被伪装的信息称为被伪装的信息称为“明文明文”；伪装后的信息称为伪装后的信息称为“密文密文”；加密时所采用的信息变换规则称为加密时所采用的信息变换规则称为“密码算密码算法法”；把密文转变为明文的过程称

12、为把密文转变为明文的过程称为“解密解密”。加密加密解密解密明文明文密文密文PC原明文原明文PE(P)D(C)加密解密流程图加密解密流程图return解密解密明文明文密文密文PC原明文原明文PE(P)D(C)加密加密 E(P)C D(C)P即：即：D(E(P)Preturn密码体制密码体制密码算法：公式、法则和程序密码算法：公式、法则和程序密钥密钥Kl现代密码学总是假定密码算法是公开的，现代密码学总是假定密码算法是公开的，真正需要保密的是密钥。真正需要保密的是密钥。l算法是相对稳定的，变化的只是密钥。算法是相对稳定的，变化的只是密钥。return使用密钥使用密钥K后，加密后，加密/解密表达式为：

13、解密表达式为：l与加密对应的是密码分析，也叫与加密对应的是密码分析，也叫“破破译译”。是指非授权者通过各种方法窃。是指非授权者通过各种方法窃取密文，并通过各种方法推导出密钥，取密文，并通过各种方法推导出密钥，从而读懂密文的操作过程。从而读懂密文的操作过程。l衡量一个加密系统的不可破译性的尺衡量一个加密系统的不可破译性的尺度称为保密强度。度称为保密强度。return returnreturnDES算法是一种分组密码算法；算法是一种分组密码算法；是是IBM公司于公司于1975年公开发表的；年公开发表的；开创了公开全部算法的先河；开创了公开全部算法的先河；1977年美国国家标准所批准年美国国家标准所

14、批准DES用于非国用于非国家保密机关，称为数据加密算法家保密机关，称为数据加密算法DEA；之后，出现了专门的之后，出现了专门的DES加密算法的硬件。加密算法的硬件。关于关于DES算法算法returnreturn return58 50 42 34 26 18 10 260 52 44 36 28 20 12 462 54 46 38 30 22 14 664 56 48 40 32 24 16 857 49 41 33 25 17 9 159 51 43 35 27 19 11 361 53 45 37 29 21 13 563 55 47 39 31 23 15 7return ),(i1i

15、1ii1iiKRfxorLRRL return 利用放大换位表利用放大换位表E，将，将32位的位的R扩展成扩展成48位；位；放大换位表放大换位表E32 1 2 3 4 54 5 6 7 8 98 9 10 11 12 1312 13 14 15 16 1716 17 18 19 20 2120 21 22 23 24 2524 25 26 27 28 2928 29 30 31 32 18个个6位位长长return 与子密钥与子密钥k按位以模按位以模2相加；相加； 把结果分为把结果分为8个个6位位长的数据块长的数据块（48位）；位）； 再分别经选择函数（把再分别经选择函数（把6位转化为位转化为

16、4位输出）位输出）S 、S 、S 的变换，的变换，产生产生8个个4位位长的块，合为长的块，合为32位位 ； 最后经单纯换位最后经单纯换位P得到输出。得到输出。return例：例：（1）利用放大换位表）利用放大换位表E，将，将32位的位的R 扩展扩展成成48位；位；放大换位表放大换位表EE1E2E3E4E5E6E7E832 1 2 3 4 54 5 6 7 8 98 9 10 11 12 1312 13 14 15 16 1716 17 18 19 20 2120 21 22 23 24 2524 25 26 27 28 2928 29 30 31 32 18个个6位位长长return（2）与子

17、密钥）与子密钥k 按位以按位以模模2相加；相加；（3）把结果分为）把结果分为8个个6位位长的数据块（长的数据块（48位）；设结果如下：位）；设结果如下：B1B2B3B4B5B6B7B81 0 0 1 0 10 1 0 0 1 01 1 0 1 1 1 1 1 0 1 1 11 0 1 1 0 10 1 0 0 1 01 0 0 1 0 10 1 1 0 1 18个个6位位长长return（4）再分别经选择函数（把）再分别经选择函数（把6位转化为位转化为4位输位输出）出）S 、S 、S 的变换，产生的变换，产生8个个4位位长长的块，合为的块，合为32位位 ；B1b1b2b3b4b5b610010

18、1hb2b3b4b500102Rb1b6113查表查表7.6得得S181000returnB1B2B3B4B5B6B7B81 0 0 1 0 10 1 0 0 1 01 1 0 1 1 1 1 1 0 1 1 11 0 1 1 0 00 1 0 0 1 00 0 0 1 0 10 1 1 0 1 1h=2h=9h=11h=11h=6h=9h=2h=13R=3R=0R=3R=3R=2R=0R=1R=1S1=81000S2=70111S3=141110S4=141110S5=70111S6=131101S7=111011S8=14111032位位48位位经放大换位并与子密钥模经放大换位并与子密钥模

19、2运算的结果运算的结果经选择函数运算经选择函数运算的结果的结果return（5）最后经单纯换位）最后经单纯换位P得到输出得到输出f。S1S2S3S4S5S6S7S81000 0111 1110 1110 0111 1101 1011 11108个个4位位长长单纯换位表单纯换位表P16 7 20 21 29 12 28 171 15 23 265 18 31 102 8 24 1432 27 3 919 13 30 622 11 4 25 return40 8 48 16 56 24 64 3239 7 47 15 55 23 63 3138 6 46 14 54 22 62 3037 5 45

20、 13 53 21 61 2936 4 44 12 52 20 60 2835 3 43 11 51 19 59 2734 2 42 10 50 18 58 2633 1 41 9 49 17 57 25return57 49 41 33 25 17 9 1 58 50 42 34 26 18 10 2 59 51 43 35 27 19 11 3 60 52 44 36 63 55 47 39 31 23 15 7 62 54 46 38 30 22 14 6 61 53 45 37 29 21 13 5 28 20 12 4 87return迭代次数迭代次数 1 2 3 4 5 6 7 8

21、 9 10 15 16 左移位数左移位数 1 1 2 2 2 2 2 2 1 2 2 1return14 17 11 24 1 5 3 28 15 6 21 10 23 19 12 4 26 8 16 7 27 20 13 2 41 52 31 37 47 55 30 40 51 45 33 48 44 49 39 56 34 53 46 42 50 36 29 32 缩小选择换位缩小选择换位PC2return DES的解密算法与加密算法一样，只的解密算法与加密算法一样，只是第一次迭代的过程中使用密钥是第一次迭代的过程中使用密钥k ，第，第二次使用二次使用k迭代次数迭代次数 1 2 3 4 5

22、 6 7 8 9 10 15 16 左移位数左移位数 1 1 2 2 2 2 2 2 1 2 2 1returnreturn序号序号 弱密钥值（初值，弱密钥值（初值，56位）位）加上校验位的初始密钥加上校验位的初始密钥值（值（64位）位）10000000 000000001010101 010101012FFFFFFF FFFFFFF FEFEFEFE FEFEFEFE30000000 FFFFFFF01010101 FEFEFEFE4FFFFFFF 0000000FEFEFEFE 01010101return 对称密码体制的密钥使用了一段时间以对称密码体制的密钥使用了一段时间以后就需要更换，

23、加密方需通过某种秘密渠后就需要更换，加密方需通过某种秘密渠道把新密钥传送给解密方。道把新密钥传送给解密方。return 由于对称密码体制的加密密码和解由于对称密码体制的加密密码和解密密码相同，因此：密密码相同，因此：当密钥使用一段时间后，需要修改，存当密钥使用一段时间后，需要修改，存在密钥传递的过程，可能容易泄漏。在密钥传递的过程，可能容易泄漏。其次，发送方和接收方都可以利用密码其次，发送方和接收方都可以利用密码修改信息，产生信息的不真实，而第三修改信息，产生信息的不真实，而第三方也无从考证何方正确。方也无从考证何方正确。returnl加密密钥与解密密钥不同；加密密钥与解密密钥不同；l且不能用

24、加密密钥推出解密密钥，从而且不能用加密密钥推出解密密钥，从而使加密密钥可以公开传递。使加密密钥可以公开传递。returnl密钥分发简单；密钥分发简单；l秘密保存的密钥量减少；秘密保存的密钥量减少；l公钥的出现使得非对称密码体制可公钥的出现使得非对称密码体制可以适应开放性的使用环境；以适应开放性的使用环境；l可以实现数字签名安全。可以实现数字签名安全。return利用加密技术实现的一种数据传送方式。利用加密技术实现的一种数据传送方式。优点：优点： 接收方能对公证的第三方证明接收方能对公证的第三方证明其收到的报文的真实性；其收到的报文的真实性； 发送源也能够说明其真实性。发送源也能够说明其真实性。

25、return 保密强度远远达不到对称密码体制；保密强度远远达不到对称密码体制； 保密强度建立在某一个特定的数学问题保密强度建立在某一个特定的数学问题的求解的困难上；的求解的困难上； RSA算法算法分组密码算法，其分组密码算法，其安全性是建立在大整数的素数因子分安全性是建立在大整数的素数因子分解的困难性上的。解的困难性上的。return 任选两个大素数任选两个大素数p、q，计算乘积，计算乘积n； npq 相应的欧拉相应的欧拉Euler函数；函数； （n）（）（p1）（）（q1） 任选一个与任选一个与（n）互素的整数）互素的整数e作为加作为加密密钥，再根据密密钥，再根据e求出解密密钥求出解密密钥d

26、，d满满足：足： de1 mod （n）return 加密过程加密过程：先将明文（先将明文（m）数字化：（）数字化：（用二进用二进制数据表示明文）制数据表示明文）；分割：把明文分成长度小于分割：把明文分成长度小于logn位位的明文块，以确保每个明文块值的明文块，以确保每个明文块值不超过不超过n。return注意：注意： 在参数在参数p、q、n、 （n）、）、e、d， p、q、 （n）、）、d是保密的，是保密的， n、 e则是公则是公开的；开的； 计算中计算中P、q不再需要，可以舍去，但绝不再需要，可以舍去，但绝不能泄露。不能泄露。明文和密文的对应关系：明文和密文的对应关系： cE（m）me m

27、od n； 解密过程解密过程： m D（c） cd mod n；returnRSA算法举例：算法举例：（1）设计密钥）设计密钥设素数设素数p=5，q=17，公开密钥，公开密钥e19。计算：计算：npq51785 （n） （p1）（）（q1）64其中，其中，p、q、 （n）是保密的，）是保密的， n和和e是公开的是公开的：n85，e19。return（2）计算解密密钥）计算解密密钥d采用转辗相除法：采用转辗相除法：首先令：首先令： G（0） （n），）， G（1） e, V（0） 0， V（1）1，然后计算：然后计算：G（i1） G（i1）G（i1）/ G（i） G（i）V（i1） V（i1）G

28、（i1）/ G（i） V（i）商取整数商取整数return 一直进行到一直进行到G（k）1为止为止，此时的，此时的V（k）即为解密密钥即为解密密钥d。 G（0） （n）64， G（1） e19 V（0） 0， V（1）1， G（2） G（0）G（0）/ G（1） G（1） 6464/19 197商取整数商取整数return V（2） V（0）G（0）/ G（1） V（1） 064/19 13 G（3） G（1）G（1）/ G（2） G（2） 1919/7 75 V（3） V（1）G（1）/ G（2） V（2） 119/7 37return G（4） G（2）G（2）/ G（3） G（3） 77

29、/5 52 V（4） V（2）G（2）/ G（3） V（3） 37/5 710 G（5） G（3）G（3）/ G（4） G（4） 55/2 21return V（5） V（3）G（3）/ G（4） V（4） 75/2 1027即密码的即密码的解密密钥解密密钥d V（5） 27。returnc 219 （mod 85） （216 ） （mod 85） 23 （mod 85） （28 ）2 （mod 85） 23 （mod 85） 1 8 （mod 85） 8 （mod 85）（3）用密钥）用密钥e将明文转换成密文将明文转换成密文c设明文为数字设明文为数字“2”，则密文：，则密文：cE（m）me

30、mod n 219 （mod 85）取余数取余数returnm 827 （mod 85） （281 ） （mod 85） （28 ）10 （mod 85） 2 （mod 85） 1 2（mod 85） 2 （mod 85）（4）用密钥）用密钥d将密文转换成明文将密文转换成明文mmD（c）cd mod n 827 （mod 85）得到明文得到明文“2”。return（5）RSA算法的缺点算法的缺点l密钥的产生过于麻烦，受到素数生密钥的产生过于麻烦，受到素数生成技术的限制；成技术的限制；l为保证安全性，为保证安全性，密钥密钥n要求在要求在500位位以上，从而降低运算速度。以上，从而降低运算速度。r

31、eturn（6）RSA算法的优点算法的优点l发送方不知道接收方的解密密钥；发送方不知道接收方的解密密钥；l发送方不可能伪造或修改发方的报发送方不可能伪造或修改发方的报文，可解决数字签名的问题。文，可解决数字签名的问题。return IC卡采用哪种密码体制，涉及到密钥卡采用哪种密码体制，涉及到密钥的管理问题。由于密钥是可变的，密钥成的管理问题。由于密钥是可变的，密钥成了加密系统的关键。了加密系统的关键。Question：IC卡中采用哪种密码体制，关键是什么？卡中采用哪种密码体制，关键是什么？Answer：return2. 有何标准？有何标准？ 国际标准化组织开展了密钥管理的标准化国际标准化组织开

32、展了密钥管理的标准化工作，制订了密钥管理标准工作，制订了密钥管理标准DIS-8732。1. 何谓密钥管理？何谓密钥管理？return3. 密钥管理系统密钥管理系统基本思想：基本思想：l用密钥来保护密钥；用密钥来保护密钥；l用第用第i层的密钥层的密钥ki 来保护第（来保护第（i+1）层）层的密钥的密钥 Ki+1；lKi 本身也受到本身也受到 ki-1 层的保护；层的保护；l下层的密钥可按某种协议不断变化；下层的密钥可按某种协议不断变化；l密钥管理系统是动态变化的。密钥管理系统是动态变化的。return（1）三层密钥管理系统的结构）三层密钥管理系统的结构主密钥主密钥子密钥子密钥会晤密钥会晤密钥（1

33、）（2）（3）（2）三层密钥管理系统的举例）三层密钥管理系统的举例设采用对称密码体制（设采用对称密码体制（IC卡和读写器的加卡和读写器的加密过程）密过程）对称密码体制，主密钥相同。对称密码体制，主密钥相同。主密钥对某些指定的数据加密后生成子密钥，主密钥对某些指定的数据加密后生成子密钥，return 用子密钥对另一些数据进行加密，加密用子密钥对另一些数据进行加密，加密的结果即为会晤密钥。一个会晤密钥仅使的结果即为会晤密钥。一个会晤密钥仅使用一次。用一次。如何保证每次使用，会晤密钥是不同的呢？如何保证每次使用，会晤密钥是不同的呢？Question：return参考方案：参考方案：l每张卡的芯片制造

34、商的标识码的序列号或每张卡的芯片制造商的标识码的序列号或应用序列号是不相同的，且都设置在应用序列号是不相同的，且都设置在IC卡内，因此可利用序列号进行加密生成子卡内，因此可利用序列号进行加密生成子密钥；密钥；l用子密钥对交易时间或命令计数器进行加用子密钥对交易时间或命令计数器进行加密生成会晤密钥，这样即使是同一张卡，密生成会晤密钥，这样即使是同一张卡，每次使用时的会晤密钥就不同，或做不同每次使用时的会晤密钥就不同，或做不同的操作，会晤密钥也不同。的操作，会晤密钥也不同。从会晤密钥的生成方式着手考虑。从会晤密钥的生成方式着手考虑。return4. 主密钥的生成和下载主密钥的生成和下载（1）主密钥

35、的生成）主密钥的生成l由几个可信任的人彼此独立提出数据；由几个可信任的人彼此独立提出数据；l组合成一个密钥；组合成一个密钥；l然后对随机数进行加密运算而获得。然后对随机数进行加密运算而获得。这样主密钥的生成和变化规律就很难估计。这样主密钥的生成和变化规律就很难估计。return（2）主密钥的下载（）主密钥的下载（IC卡）卡） 主密钥的下载是在卡个人化时进行。个主密钥的下载是在卡个人化时进行。个人化是在专门设备上进行，下载的环境应人化是在专门设备上进行，下载的环境应保证安全。保证安全。 还要保证还要保证IC卡上的触点的信息不能被窃卡上的触点的信息不能被窃取，主密钥下载后，不能再读出，这由硬取，主

36、密钥下载后，不能再读出，这由硬件（熔丝）和软件（件（熔丝）和软件（COS卡内操作系统）卡内操作系统）来保证。来保证。主密钥的下载主密钥的下载IC卡卡读写器读写器return（3）主密钥的下载（读写器）主密钥的下载（读写器） 读写器内部读写器内部没有没有COS，不能保证主密，不能保证主密钥不被读出，常采用安全存取模块钥不被读出，常采用安全存取模块SAM，密钥下载到密钥下载到SAM模块中，加密模块中，加密/解密算法解密算法也在也在SAM中进行。中进行。return7.5 IC卡的安全使用卡的安全使用 IC卡使用时，要与读写器相互确认，卡使用时，要与读写器相互确认，以防止伪卡或插错卡。使用过程：以防止伪卡或插错卡。使用过程：1. 插卡：读写器向卡加电源，并发复位插卡：读写器向卡加电源，