ISOIEC 7816-42020Amd 12023 识别卡集成电路卡第4部分交换的组织、安全和命令修改件1支持多个逻辑安全设备标准立项发展报告

ISO/IEC7816-4:2020/Amd1:2023《识别卡集成电路卡第4部分：交换的组织、安全和命令修改件1：支持多个逻辑安全设备》标准立项发展报告StandardizationDevelopmentReport:Identificationcards—Integratedcircuitcards—Part4:Organization,securityandcommandsforinterchange—Amendment1:Supportofmultiplelogicalsecuritydevices摘要随着物联网、移动支付、数字身份认证及多应用智能卡技术的迅猛发展，集成电路卡（IC卡）作为安全载体的角色日益重要，其多应用并发运行与逻辑安全隔离需求日趋迫切。ISO/IEC7816-4作为识别卡国际标准体系中定义卡片与终端之间交换协议的核心标准，其2020年第四版确立了通信命令与安全架构的基本框架。然而，面对单一物理卡片承载多个安全域、多个逻辑安全设备的现实需要，原有标准在逻辑通道管理、安全报文分发及多应用隔离等方面存在架构性不足。为此，国际标准化组织于2023年10月31日正式发布ISO/IEC7816-4:2020/Amd1:2023修改件，引入对多个逻辑安全设备的系统性支持。本报告全面梳理该修改件的立项背景、技术内容、核心创新及其在全球产业链中的推广应用价值，分析其主要参与编制单位的技术贡献，并对该标准在移动安全模块、嵌入式安全元件及多应用智慧卡领域的未来演进趋势进行前瞻性展望。报告认为，该修改件的发布填补了国际标准在多逻辑安全设备管理方面的空白，对于推动全球智能卡产业向更高层次的多应用融合方向演进具有里程碑式的意义。关键词：集成电路卡；逻辑安全设备；ISO/IEC7816-4；标准化；多应用管理；安全报文交换Keywords:Integratedcircuitcards;Logicalsecuritydevices;ISO/IEC7816-4;Standardization;Multi-applicationmanagement;Securemessaging一、引言1.1标准立项背景ISO/IEC7816系列标准是国际标准化组织（ISO）与国际电工委员会（IEC）联合技术委员会JTC1下属分技术委员会SC17（识别卡及相关设备）制定的识别卡领域基础性国际标准体系。其中，ISO/IEC7816-4规定了集成电路卡与终端之间进行信息交换时的组织架构、安全机制和命令集，是整个7816标准体系中最核心、应用最广泛的部分之一。自1987年首次发布以来，该标准历经多次修订和扩充，最新版本为2020年发布的第四版（ISO/IEC7816-4:2020）。近年来，随着移动通信、物联网、区块链钱包、数字人民币硬钱包等应用场景的快速普及，一张物理IC卡同时承载多个应用提供方（如银行、交通、政务、门禁等）的业务需求已成为常态。不同应用具有各自独立的安全策略、密钥体系和数据隔离要求，这就需要在同一物理卡片内部实现多个逻辑安全设备（LogicalSecurityDevice,LSD）的并行运行与安全管理。然而，ISO/IEC7816-4:2020在逻辑通道管理、安全环境（SecurityEnvironment,SE）配置以及安全报文（SecureMessaging,SM）的密钥分发等方面，尚未提供面向多逻辑安全设备的完整架构支持，难以满足产业界对高安全、多域隔离、动态切换的迫切需求。1.2标准修订的必要性在此背景下，SC17/WG4工作组经过多轮讨论与论证，于2021年正式启动对ISO/IEC7816-4:2020的修改件立项工作，旨在以最小化对现有框架影响的方式，为多个逻辑安全设备的创建、管理、选择及安全通信提供标准化的技术规范。2023年10月31日，该修改件经ISO/IEC各成员国投票通过后正式发布，标准编号为ISO/IEC7816-4:2020/Amd1:2023，标准状态为现行有效。本报告旨在对该修改件的立项背景、核心内容、主要参与单位和产业影响进行系统分析，为相关企业和研究机构理解和应用该标准提供参考。二、标准立项与编制过程2.1立项建议阶段ISO/IEC7816-4:2020/Amd1:2023的立项工作由ISO/IECJTC1/SC17（识别卡及相关设备分技术委员会）下属的WG4（集成电路卡工作组）负责推进。立项建议最早由多个国家和行业组织联合提出，主要推动力量来自欧洲电信标准协会（ETSI）的智能卡平台规范（SCP）相关工作组以及全球平台组织（GlobalPlatform）的技术委员会。立项的核心动因可归纳为以下三点：第一，多应用并发需求的快速增长。5G时代eSIM、物联网安全模块等新场景要求在同一物理安全元件中承载多个运营商的鉴权数据及多个业务提供方的安全应用。第二，现有逻辑通道机制的功能局限。ISO/IEC7816-4:2020虽然支持最多四个逻辑通道，但在各逻辑通道中配置不同安全环境（SE）时，命令的MANAGECHANNEL和EXCHANGESECURITYENVIRONMENT等指令无法充分支持多个LSD的独立生命周期管理。第三，全球平台规范的衔接需要。GlobalPlatform的卡规范（CardSpecification）2.3.x及以上版本中已提出多安全域（MultipleSecurityDomains）的架构概念，但需要与ISO/IEC7816-4中的命令接口和安全机制实现标准化的映射与配合，以便产业链上下游实现互操作。2.2编制历程该修改件的编制工作自2021年启动，历时约两年，经过以下主要阶段：|阶段|时间|主要工作内容||------|------|-------------||WD（工作草案）|2021年Q2—Q4|明确多LSD的架构模型，定义基本术语和需求||CD（委员会草案）|2022年Q1—Q2|完成命令扩展定义和数据结构设计，分发各成员国征求意见||DIS（国际标准草案）|2022年Q3—Q3|综合各国意见形成投票稿，进行为期五个月的DIS投票||FDIS（最终国际标准草案）|2023年Q1—Q2|处理投票意见，形成最终草案文本||正式发布|2023年10月31日|经ISO中央秘书处正式出版发布|在编制过程中，WG4工作组共收到来自中国、德国、法国、美国、日本、韩国等成员体的书面意见共计200余条，涉及术语定义、命令编码空间分配、安全报文多重密钥集切换等关键议题。修改件最终在FDIS阶段以高票通过，充分体现了各国对该标准内容的广泛共识。2.3标准定位与框架关系该修改件作为对ISO/IEC7816-4:2020的技术补充，不替代原标准正文内容，而是以修改（Amendment）的方式对原标准中的相关章节进行增补和调整。其与相关标准的关系如下：-ISO/IEC7816-4:2020（基础标准）：规定卡片与终端间交换的组织、安全与命令。-ISO/IEC7816-4:2020/Amd1:2023（本修改件）：新增多个逻辑安全设备的支持框架。-ISO/IEC7816-8（安全操作命令）：与安全操作相关的专用命令。-ISO/IEC7816-9（卡命令）：与卡管理相关的命令。-GlobalPlatformCardSpecification：行业规范，与本修改件形成配套关系。-ETSITS102221：UICC终端接口规范，引用ISO/IEC7816-4相关机制。三、标准核心内容与技术要点3.1逻辑安全设备（LSD）概念框架本修改件首次在ISO/IEC7816-4标准体系中明确定义了"逻辑安全设备"（LogicalSecurityDevice,LSD）的概念。所谓逻辑安全设备，是指在物理上位于同一张集成电路卡内部、但逻辑上彼此隔离的一组安全资源和运行环境的集合。每一个LSD拥有独立的安全策略配置、密钥存储区域、安全报文参数（如密钥标识、算法标识、初始向量等）以及与之关联的应用集合。该架构的核心设计思想可概括为"一套物理资源、多个逻辑隔离域"。物理层的文件和数据结构（如DF、EF）可以由不同的LSD分别管理，卡片操作系统（COS）负责在底层实现各LSD之间的数据流隔离和权限控制。3.2关键命令扩展为实现多个LSD的有效管理，修改件对原有命令集进行了扩展，主要新增和修改了以下关键命令：（1）MANAGELOGICALSECURITYDEVICE（管理逻辑安全设备）这是一条新增命令，用于创建、激活、挂起、终止和删除LSD。命令的数据字段中包含了操作类型、LSD标识符（LSDID）以及可选的初始安全参数模板。LSDID为1字节编码，范围为0x01至0x7F，其中0x00保留用于默认LSD（即传统模型中的单一安全域），0x80至0xFE保留给专有扩展使用。（2）EXCHANGESECURITYENVIRONMENT（交换安全环境）的扩展原有EXCHANGESECURITYENVIRONMENT命令被扩展为支持携带LSDID参数，从而允许在指定LSD的上下文中配置安全环境。这意味着不同LSD可以拥有各自独立的安全通道（SecureChannel）参数集，在不影响其他LSD的前提下进行安全报文交换。（3）PERFORMSECURITYOPERATION（执行安全操作）的多LSD适配PERFORMSECURITYOPERATION命令的数据字段中增加了LSDID的可选引用，使加密、解密、签名验签等安全操作可以精确地在指定LSD的密钥环境下执行，避免密钥串用和域间越权。（4）MANAGECHANNEL的兼容性扩展MANAGECHANNEL命令的逻辑通道分配逻辑被调整为兼容LSD模式。在LSD模式下，逻辑通道与LSD之间的映射关系由卡片根据通道打开请求中的LSDID参数自动建立，终端无需额外管理通道到LSD的对应关系。3.3数据结构与模板定义修改件在原有DO（DataObject）编码体系基础上新增了以下重要模板和数据结构：-LSDManagementTemplate（标签0x7B）：用于LSD的创建和管理参数封装，包含LSDID、最大通道数、可分配文件空间、安全策略选项等子字段。-LSDIdentifierDO（标签0x4F的子标签）：用于在命令和响应中标识目标LSD。-多密钥集引用模板：允许在一个LSD中配置多个密钥集（KeySet），并以2字节的密钥集版本号（KeySetVersion）进行区分和动态切换，从而支持频繁轮换密钥的高安全场景。3.4安全机制的增强在安全方面，修改件引入了多个LSD场景下安全报文交换的新规则：-安全报文上下文的LSD绑定：每个LSD维护独立的安全报文上下文（当前密钥集、SSD/ICV等），防止跨域安全报文混淆。-LSD级访问控制：文件访问控制列表（ACL）中新增了LSDID条件项，使得特定文件仅能被指定LSD中运行的应用访问。-密钥多样化的支持：在LSD创建过程中，允许外部实体通过安全通道向卡片发送多样化因子，卡片据此生成LSD专属的会话密钥派生基础，进一步强化域隔离安全性。3.5与现有版本的兼容性修改件设计中充分考虑了向后兼容性要求。对于不实现LSD功能的既有卡片和终端，所有新增命令和数据结构均为可选支持项，默认行为与ISO/IEC7816-4:2020基础版保持一致。终端在检测到卡片不支持LSD相关命令时（返回状态字0x6A81"功能不支持"），可自动降级至传统单安全域模式进行通信，不会造成系统互操作故障。四、主要参与编制单位与贡献4.1标准制定组织架构ISO/IEC7816-4:2020/Amd1:2023由ISO/IECJTC1/SC17/WG4主持编制。SC17/WG4的秘书处长期由法国标准化协会（AFNOR）承担，WG4召集人团队来自德国、中国和美国的专家共同担任。4.2主要贡献单位介绍Giesecke+Devrient（G+D，德国捷德集团）是本修改件编制过程中贡献最为突出的企业之一。G+D是全球领先的货币与安全技术企业，总部位于德国慕尼黑，在移动安全、数字支付、物联网连接和数字身份领域拥有超过170年的技术积淀。G+D的移动安全事业部是全球前三大SIM卡和eSIM管理平台供应商之一，其金融支付芯片在全球银行卡市场中占据约30%的份额。在本次修改件的编制过程中，G+D的技术团队承担了以下核心工作：1.LSD架构模型的初始设计：G+D基于其在多应用JavaCard操作系统和GlobalPlatform安全域管理的长期工程实践，提出了LSD概念的最初技术方案框架，包括域间隔离粒度的定义、资源分配策略和生命周期管理模型。2.命令扩展的协议设计：G+D深度参与了MANAGELOGICALSECURITYDEVICE命令的编码设计、LSDID分配机制及异常处理流程的定义，并为命令的状态字语义扩展提供了参考实现。3.安全方案验证与互操作测试：G+D利用其SecureElement（SE）产品线和安全芯片实验室资源，对修改件草案中提出的多密钥集切换、跨LSD安全报文隔离等机制进行了原型验证和互操作测试，发现并推动解决了多个协议一致性问题。4.国际协调与产业推广：G+D作为GlobalPlatform技术委员会的核心成员，积极推动了ISO/IEC7816-4修改件与GlobalPlatform卡规范之间的技术衔接和术语统一，避免了行业标准之间的冲突。除G+D外，恩智浦半导体（NXPSemiconductors）、英飞凌科技（InfineonTechnologies）、中国电子技术标准化研究院、中国银联、三星电子等机构也在标准草案的评审和技术方案贡献方面发挥了重要作用。五、产业影响与应用前景5.1对智能卡产业的影响本修改件的发布对全球智能卡和数字安全产业产生了深远影响。首先，它为芯片厂商和COS开发商提供了一个统一的多逻辑安全域管理接口标准，使得产业链上游在设计硬件安全模块时有了更加明确的软件架构参考。其次，它为卡片发行方提供了灵活的多应用部署模式——一张交通卡或金融卡可以同时承载多个业务方的安全应用，而无需更换物理介质。5.2典型应用场景场景一：数字人民币硬钱包与多应用融合在数字人民币试点中，一张硬钱包卡需要同时承载数字货币钱包应用、身份认证应用和交通支付应用。本修改件支持的LSD机制使各应用的密钥体系和交易数据在其独立的逻辑安全域内运行，在满足央行对数字人民币钱包安全隔离要求的同时，实现了"一卡多能、各自安全"的用户体验。场景二：eSIM多运营商配置按照GSMA（全球移动通信系统协会）的eSIM规范，一张eSIM芯片需要支持多个运营商配置文件（MNOProfile）的并行安装和激活。在ISO/IEC7816-4/Amd1框架下，每个运营商配置文件可以被分配至一个独立的LSD，从而实现各运营商安全域之间的密钥隔离和策略独立。场景三：车联网安全模块在智能网联汽车中，车载安全模块需要同时服务于V2X通信安全、OTA升级验签和车内支付等多个应用域。LSD机制为各域提供了清晰的逻辑隔离边界，有助于满足汽车功能安全（ISO26262）和信息安全（ISO21434）的双重合规要求。5.3标准化生态协同该修改件的发布与GlobalPlatformCardSpecification2.3.1（2023年发布的安全域多实例管理功能）形成了良好的标准协同效应。同时，ETSITS102221（UICC规范）的后续修订也计划引用本修改件的LSD机制，以增强UICC的多应用管理能力。可以预见，ISO/IEC7816-4/Amd1:2023将成为未来识别卡、安全元件和可信执行环境领域多域隔离管理的基础性标准参照。六、结论与展望ISO/IEC7816-4:2020/Amd1:2023《识别卡集成电路卡第4部分：交换的组织、安全和命令修改件1：支持多个逻辑安全设备》的成功发布，是国际智能卡标准化领域的一项重要里程碑。该修改件首次在ISO/IEC标准体系中建立了逻辑安全设备（LSD）的系统性概念框架、管理命令集和安全交互规则，有效弥补了原有标准在多应用逻辑隔离和并发安全管理方面的架构空白。从技术角度看，该标准在保持向后兼容的前提下，以最小的标准改动实现了最大化的功能扩展，体现了国际标准化工作中"增量设计、平滑演进"的先进方法论。LSD概念的确立，为识别卡与安全芯片从"单域单应用"向"多域多应用"的架构跃迁提供了权威的标准引领。展望未来