ETC系統(tǒng)中金融IC卡安全性研究與實踐.pdf

1、隨著我國金卡工程的深入開展，銀行業(yè)掀起了金融IC卡取代磁條卡的升級浪潮，各種基于金融IC卡的行業(yè)應(yīng)用不斷推出。除了基本的存取款及刷卡消費等功能外，金融IC卡還可以用于乘坐公交、便利店購物、醫(yī)院掛號等，十分方便。ETC交通卡是近年來出現(xiàn)的典型的銀行卡跨行業(yè)應(yīng)用，不同于以往由高速公路管理局進行發(fā)卡，銀行與高管局合作推出具有ETC繳費功能的金融IC卡，受到有車一族的歡迎。
　　金融IC卡的功能越來越強大，應(yīng)用也越來越普及，針對IC卡攻擊

2、的安全問題日益凸顯。金融IC卡安全的核心問題是交易信息的安全傳輸及IC卡與交易終端的認證問題。本文以金融IC卡在ETC自動收費領(lǐng)域的應(yīng)用為切入點，聚焦ETC系統(tǒng)與銀行IC卡系統(tǒng)跨領(lǐng)域信息交換安全，通過對PBOC標準采用的加密算法的深入分析，結(jié)合國家商用密碼管理條例和國家金融領(lǐng)域信息安全建設(shè)總體要求，研究將國家商用密碼標準算法應(yīng)用到金融IC卡行業(yè)應(yīng)用信息保護當中。同時，分析了ETC系統(tǒng)車載單元（OBU）與IC卡認證協(xié)議過程的不足和潛在的攻

3、擊風險，給出了改進方案和防范措施。論文的最后，結(jié)合作者所在單位XX銀行與XX省高速公路管理局聯(lián)合發(fā)行的“隴原交通卡”項目，討論了具體的實現(xiàn)方案。
　　本文的研究工作主要體現(xiàn)在以下幾個方面：
　　1.在深入分析比較PBOC2.0與PBOC3.0的基礎(chǔ)上，本文提出在ETC系統(tǒng)建設(shè)中采用PBOC3.0標準的必要性。由于PBOC3.0標準在行業(yè)內(nèi)并未強制推行，本文對國密算法在ETC儲值卡的信息安全保護方面提出了前瞻性的分析和應(yīng)用設(shè)計

4、，將SM2、SM3算法應(yīng)用于IC卡的合法性認證，SM4算法用于交易報文的安全傳輸。
　　2.盡管現(xiàn)有ETC系統(tǒng)已采取多種技術(shù)手段防范盜卡者騙逃通行費，但是從IC卡本體安全角度采取的措施較少。本文分析了ETC儲值卡遺失后存在的盜用風險，提出一種在OBU設(shè)備上增加PIN碼輸入功能以識別持卡人身份的設(shè)計方案。
　　3.針對增加PIN碼輸入環(huán)節(jié)的解決方案，進一步分析了中間人攻擊可能造成的潛在影響，討論了方案的進一步完善。