ISOIEC 7816-42020Amd 12023 识别卡集成电路卡第4部分交换的组织、安全和命令修改件1支持多个逻辑安全设备标准立项发展报告

ISO/IEC7816-4:2020/Amd1:2023识别卡集成电路卡第4部分：交换的组织、安全和命令修改件1：支持多个逻辑安全设备标准立项发展报告StandardizationDevelopmentReport:IdentificationCards—IntegratedCircuitCards—Part4:Organization,SecurityandCommandsforInterchange—Amendment1:SupportofMultipleLogicalSecurityDevices摘要随着物联网、移动支付、区块链钱包及多应用融合卡等场景的快速普及，一张物理集成电路卡（ICC）需要同时承载多个安全域和多种业务应用的现实需求日益迫切。ISO/IEC7816-4:2020作为识别卡领域核心技术标准，规定了卡片与终端之间交换的组织、安全结构和命令接口，其运行模式长期基于"单一安全上下文"假设，难以满足多应用并发和多安全域隔离的部署要求。为此，国际标准化组织于2023年10月31日正式发布ISO/IEC7816-4:2020/Amd1:2023修改件，引入"多个逻辑安全设备（MultipleLogicalSecurityDevices,MLSD）"支持机制。本报告系统梳理了该修改件的立项背景、技术内容、关键创新及其对全球智能卡产业的影响。报告指出，MLSD机制通过定义安全上下文标识、扩展安全管理命令和重构安全通道协议，实现了在同一物理卡上并行管理多个相互隔离的逻辑安全域。该标准的发布标志着智能卡从"一卡一应用"向"一卡多安全域"架构演进的重要里程碑，为数字货币、5GSIM、医疗健康卡以及政务一卡通等前沿应用提供了标准化支撑。报告同时对该标准在我国的转化实施和产业落地提出了建议与展望。关键词：集成电路卡；逻辑安全设备；多应用安全域；ISO/IEC7816；安全通道；标准化；智能卡互操作Keywords:Integratedcircuitcards;Logicalsecuritydevices;Multi-applicationsecuritydomain;ISO/IEC7816;Securechannel;Standardization;Smartcardinteroperability1.引言1.1立项背景集成电路卡（IntegratedCircuitCard,ICC）自20世纪80年代问世以来，已广泛应用于金融支付、电信鉴权、电子身份认证、公共交通、医疗健康等关键信息基础设施领域。作为智能卡领域最基础和最具影响力的国际标准系列，ISO/IEC7816系列标准由国际标准化组织（ISO）和国际电工委员会（IEC）联合技术委员会JTC1/SC17（识别卡及相关设备分技术委员会）负责制定和维护。其中，ISO/IEC7816-4是系列标准中规定卡片与终端间交换信息的组织架构、安全机制和命令集合的核心规范，构成了智能卡应用层互操作的技术基石。ISO/IEC7816-4:2020版本于2020年发布，系统规定了文件系统组织结构（DF/EF层级）、安全报文（SecureMessaging）机制、访问控制规则、以及应用协议数据单元（APDU）的命令—响应交互框架。然而，该版本的安全模型本质上是围绕"单个安全上下文"设计的，即在一张卡片上通常只存在一个活跃的安全环境，各应用之间通过文件访问权限和密钥分散实现有限的隔离。1.2修订动因与需求分析近年来，以下技术趋势和产业需求催生了对"多逻辑安全设备"支持能力的迫切要求：（1）多应用融合卡的趋势加速。城市一卡通、多功能市民卡、金融与交通双应用卡等融合应用逐步普及，一张物理卡上承载多个发卡方（Issuer）的多个应用成为常态。这些应用分别属于不同的业务域，需要独立的安全密钥、独立的安全状态和独立的数据隔离。传统基于单个安全上下文的模型要求各应用共享卡片主密钥或依赖发卡方之间的信任背书，在安全性和部署灵活性方面存在明显不足。（2）物联网和eSIM的爆发式增长。消费级和车载级eSIM（嵌入式SIM卡）需要在同一物理芯片上为多个移动网络运营商（MNO）提供独立的证书和安全域。GSMA（全球移动通信系统协会）的SGP.22规范已明确要求eSIM芯片支持多个安全域（SecurityDomains）的隔离。这一需求亟需ISO/IEC7816-4标准层面的规范化支撑。（3）安全芯片能力的显著提升。当前主流安全芯片的运算能力、存储容量和密码算法性能大幅提高，已经具备在同一物理芯片上同时运行多个隔离安全环境（如基于ARMTrustZone或多独立安全内核）的能力。标准的滞后反而制约了芯片潜力的释放。（4）数字货币和区块链钱包的应用需求。数字人民币、央行数字货币（CBDC）等新型支付载体需要在同一卡片中同时维护多个钱包地址、多组密钥对和多层安全策略。加密货币硬件钱包的高安全性要求同样催生了对标准化的多安全域隔离能力的需求。在上述背景下，ISO/IECJTC1/SC17/WG4工作组于2021年初正式立项，针对ISO/IEC7816-4:2020发起修改件（Amendment）编制工作，核心目标是引入"多个逻辑安全设备"支持机制，确保标准适应新一代多应用、多安全域的智能卡部署场景。2.标准制修订过程ISO/IEC7816-4:2020/Amd1:2023修改件的制定遵循ISO/IECJTC1的标准化工作程序，经历了如下阶段：|阶段|时间节点|工作内容||------|----------|----------||新工作项提案（NWIP）|2021年Q2|WG4工作组正式立项，确定MLSD需求范围||工作草案（WD）|2021年Q3-Q4|起草MLSD概念模型、命令扩展框架||委员会草案（CD）|2022年Q1|各国家成员体反馈意见，完善安全协议细节||国际标准草案（DIS）|2022年Q3|完成技术验证，通过各成员国投票||最终国际标准草案（FDIS）|2023年Q2|最终编辑性修订||正式发布|2023年10月31日|ISO/IEC7816-4:2020/Amd1:2023发布|在标准制定过程中，来自中国、德国、法国、美国、日本、韩国等国家的专家参与了深入讨论，重点解决了逻辑安全设备的编址方式、安全通道的多路复用、密钥管理的冲突消解等关键技术难题。3.标准主要技术内容ISO/IEC7816-4:2020/Amd1:2023对原标准进行了系统性的补充和修订，主要体现在以下几个方面：3.1逻辑安全设备（LogicalSecurityDevice,LSD）概念模型修改件首次在ISO/IEC7816系列标准中正式定义了"逻辑安全设备"（LSD）的抽象概念。一个逻辑安全设备代表卡片中一个独立的安全执行环境，具备以下特征：-独立的安全状态：每个LSD维护自身的安全状态（SecurityStatus），包括当前认证级别、活跃密钥标识和安全标志位；-独立的安全上下文：包括密码算法集合、密钥存储空间和会话安全参数；-明确的资源边界：每个LSD对应卡片中的特定物理或虚拟资源区域（如NVM分区、加密协处理器的时隙分配等）；-支持嵌套关系：LSD之间可以存在层次化父子关系，父级LSD可对子级LSD进行资源配额管理和安全策略下发。修改件规定，卡片必须支持至少一个LSD（即原有单一安全上下文可视为默认LSD），支持多个LSD则是可选能力。若卡片支持MLSD，则应在ATS（AnswertoSelect）或卡能力信息中予以声明。3.2安全管理命令的扩展为实现对多个LSD的生命周期管理，修改件对原有安全管理命令进行了扩展，新增了以下命令类别（或对现有命令进行扩展）：（1）LSD管理命令（LSDManagementCommands）-CREATELSD：在卡片上创建一个新的逻辑安全设备，指定资源配额、安全策略和访问控制规则；-DELETELSD：删除指定LSD及其关联的密钥和数据；-ACTIVATE/DEACTIVATELSD：激活/停用指定LSD，使其可被外部终端访问或暂时隔离；-LISTLSDs：枚举卡片上当前已创建的所有LSD及其状态。（2）增强的SELECT命令修改件对SELECT命令的扩展允许通过新增的"DDF（DirectoryDefinitionFile）限定符"或新增的LSD标识字段来定向选择特定逻辑安全设备下的文件系统。这意味着终端可以在同一物理卡上切换访问不同的逻辑安全域，而无需执行卡片复位（WarmReset/ColdReset）。（3）扩展的VERIFY命令VERIFY命令（外部认证口令校验）被扩展为可携带LSD标识信息，使认证操作可以针对特定的LSD执行，而不会影响其他LSD的安全状态。3.3安全通道协议的多路复用支持这是本修改件的核心技术突破之一。原有ISO/IEC7816-4定义的安全报文（SecureMessaging）机制基于单一会话安全上下文，即一次安全通道的建立对应一个加密会话。修改件引入了"安全通道上下文标识"（SecureChannelContextIdentifier,SCCI）机制：-终端在与卡片建立多条安全通道时，每条通道绑定一个唯一的SCCI；-SCCI被编码在安全报文头部（Authenticated/ProtectedDataHeader）中，确保命令的完整性和机密性保护可以针对不同的LSD独立进行；-同一物理链路上可同时维护多条安全通道，每条通道对应一个LSD的独立安全上下文（会话密钥、计数器和密码算法参数）；-修改件定义了SCCI的取值范围（通常为字节值0x01至0x7F），并保留了扩展空间以兼容未来的多通道演进。3.4密钥管理的扩展修改件对密钥的安全属性（SecurityAttributes）进行了扩展，使每个密钥条目可以关联到特定的LSD。具体而言：-密钥归属标记：每条密钥记录增加LSD归属标识，限定该密钥仅在所属LSD的上下文中可使用；-密钥传输与更新：对原有PUTKEY命令进行扩展，允许在目标LSD的安全上下文中完成密钥的装载、替换和删除操作，且可通过SSCI指定目标LSD；-密钥使用审计：修改件建议（推荐性条款）LSD管理器可查询各LSD的密钥使用日志，增强安全审计能力。3.5文件系统访问控制扩展每个LSD可以拥有与其逻辑边界对应的文件系统子树。修改件扩展了文件控制参数（FCP,FileControlParameters）中的访问规则描述，新增"LSD作用域"标志位，明确规定特定DF（DedicatedFile）或EF（ElementaryFile）仅可被指定LSD上下文中的命令访问。这种细粒度的访问控制为多租户应用场景提供了标准化的隔离机制。4.主要参与单位ISO/IEC7816-4:2020/Amd1:2023的编制由ISO/IECJTC1/SC17/WG4（卡与安全设备互操作工作组）主导，来自全球20余个国家的标准化机构和产业界代表参与了投票与技术讨论。其中，中国电子技术标准化研究院（ChinaElectronicsStandardizationInstitute,CESI）作为我国在ISO/IECJTC1/SC17的国内技术对口单位（归口单位）和成员体代表，在该修改件的制定过程中发挥了突出的实质性参与作用。4.1中国电子技术标准化研究院机构概况中国电子技术标准化研究院（以下简称"电子标准院"）创建于1963年，是工业和信息化部直属事业单位，也是全国信息技术标准化技术委员会（TC28）秘书处承担单位。电子标准院是我国电子信息领域标准化工作的国家级核心机构，长期承担ISO/IECJTC1国内技术归口管理工作，在国际标准化事务中代表我国产业利益和技术立场。在智能卡与识别卡领域，电子标准院同时是全国信息安全标准化技术委员会（TC260）相关WG的成员单位，以及全国智能卡标准化工作的主要引领力量。参与工作与实际贡献在ISO/IEC7816-4:2020/Amd1:2023的制定过程中，电子标准院主要开展了以下工作：（1）需求征集与提案提炼。电子标准院依托国内智能卡产业链资源（包括芯片设计企业、卡片制造商、系统集成商、运营商和应用方），系统收集了国内在数字货币、eSIM、多应用市民卡等场景下对多安全域隔离的标准化需求，向WG4提交了多份技术输入文件。（2）技术方案论证与贡献。电子标准院组织国内专家针对LSD编址框架、SCCI的编码分配策略、多安全通道下的防重放机制等关键技术点提交了多篇技术提案（TechnicalContribution），部分建议被采纳进入标准文本。特别是对于LSD标识符与现有AID（ApplicationIdentifier）体系的兼容性设计，电子标准院联合国内芯片企业提出了基于扩展AID注册机制的平滑过渡方案，有效缓解了新旧体系间的冲突。（3）国内试验验证。电子标准院联合国内主流安全芯片厂商和卡商，搭建了基于MLSD功能的互操作测试环境，对修改件草案中的关键命令流程和安全通道协议进行了验证测试，并将测试结果和反馈意见反馈至WG4会议，为标准技术成熟度的提升做出了贡献。（4）标准转化与产业推广。电子标准院在标准发布后同步启动了国家标准采标工作，推动GB/T16649.4（对应ISO/IEC7816-4）的修订立项。截至本报告发布时，该标准已纳入我国智能卡标准化"十四五"滚动修订计划，并计划于2025年前完成转化为国家标准送审稿。（5）测试工具与认证服务。电子标准院下属的赛西实验室（CESILab）基于该修改件内容开发了MLSD功能一致性测试套件，为国内智能卡产品的标准和认证提供了检测依据，支撑了金融、电信、政务等领域智能卡产品的质量保障。5.标准应用前景与产业影响5.1多应用融合卡的标准化推动ISO/IEC7816-4:2020/Amd1:2023的发布为多应用融合智能卡的开发提供了统一的国际标准接口。城市一卡通、校园卡等多功能卡可实现不同业务应用在不同LSD中的独立运行，互不干扰，且任一应用的安全缺陷不会波及其他LSD中的数据和密钥。5.2数字货币钱包的安全底座在我国数字人民币的试点推广中，硬件钱包（包括可视卡、穿戴设备等形态）作为重要的支付载体之一，其安全架构要求支持多钱包账户隔离（如个人钱包与对公钱包并存）。MLSD机制为数字人民币硬件钱包的一卡多账户、多密钥隔离提供了标准化的技术路径。未来，数字人民币硬件钱包产品有望依据该修改件进行设计优化和适配合规。5.3eSIM与物联网安全模块在eSIM和物联网安全模块领域，ISO/IEC7816-4修改件与GSMA规范形成了互补关系。MLSD机制可以支撑eUICC（嵌入式通用集成电路卡）上的多个运营商配置文件安全域间的隔离，简化了多MNO场景下的证书管理和切换流程。5.4政务一卡通与电子证照在全国一体化政务服务平台建设中，身份证电子化、医保电子凭证、驾驶证电子化等多证合一的应用需求日趋强烈。基于MLSD机制，可在同一张安全芯片上为不同政务机构分配独立的LSD，实现"一卡承载多证、一证对应一安全域"的部署模式，兼顾了数据安全和业务高效的平衡。6.转化实施建议6.1国家标准采标建议我国尽快启动GB/T16649.4的同步修订工作，将ISO/IEC7816-4:2020/Amd1:2023的核心内容转化为国家标准，并重点补充以下适配性说明：-我国商用密码算法（SM2/SM3/SM4）在MLSD安全通道中的应用映射；-与GB/T36319等金融IC卡行业标准的衔接；-与银联、网联等支付清算机构的技术规范的兼容性。6.2行业应用推广建议金融、通信、政务等垂直行业在技术标准和采购规范中适时引入MLSD能力要求，引导产业升级。芯片厂商应在新一代安全芯片产品中设计对MLS