隨著我國信息化的快速發展，IC卡已廣泛應用于金融、交通、電信、電力、旅游、醫療、教育等多個領域，成為我國信息化和信息安全體系中的重要內容。IC卡及衍生產品與其他IT產品一樣，存在安全問題。IC卡雖然體積不大，其功能很多、應用廣泛。IC卡也經歷了金融磁條卡（非IC卡）、存儲IC卡、邏輯IC卡、智能IC卡不同的發展階段，其安全性不斷提高。

一、IC卡安全問題凸顯

早期，許多人在使用銀行磁條卡“外出”旅游時，回來卻發現自己銀行卡賬戶中的資金不翼而飛了，針對銀行磁條卡的威脅陡然增大，金融業開始研究安全性更高的IC卡產品。本世紀初，市場流行IC卡（存儲卡或邏輯IC卡）做門禁、食堂購餐等應用，人們會發現樓道門禁卡在大街上隨便可以復制，安全性仍然較低。帶算法、高復雜性的準“智能IC卡”相繼誕生，如飛利浦公司生產的MIFARECLASSIC卡（簡稱M1卡）廣泛用于城市公交“一卡通”、門禁、電子錢包、護照等，提高了黑客的攻擊成本，安全性大幅度提升。嚴格意義上講，這種不帶CPU的IC卡不能叫真正的智能IC卡。2008年，在一次互聯網黑客大會上，某國參會代表視頻展示了如何利用羽毛球拍套做偽裝，內置一個無線感應器，靠近路人的書包、口袋，把他人隨身帶的IC卡信息盜走，破解身份認證密碼，隨后復制他人的IC卡，可以大搖大擺地進出大樓門禁，混入公司內部。當然盜刷他人IC卡（電子錢包）上資金的風險也很高。智能卡也叫CPU卡，他的出現阻止了隨意復制的問題，在密鑰保護方面明顯增強，其衍生產品USBKey在銀行網銀系統中廣泛應用。人們會使用銀行在柜臺免費發放的一個叫“U盾”的電子“鑰匙”，在進入銀行網銀系統時做強身份認證或在資金交易時做“簽名認證”，以此來保證客戶賬戶資金的安全，進一步提高黑客攻擊成本。然而，黑客仍會采用木馬和“U盾”綁架技術來實現對網銀客戶資金的非法轉賬，甚至可以采用更深的技術手段獲取“U盾”芯片內部用戶密鑰，實現更深層次的客戶資金非法轉賬。

“魔高一尺，道高一丈”，各商業銀行按照主管部門要求和技術標準紛紛采取技術、管理和宣傳教育措施，在防范金融詐騙，網站釣魚，網銀非法轉賬等方面取得了明顯的成效，安全性再一次大幅度提升，并委托專業測評機構進行安全性分析和漏洞挖掘，IC卡及衍生產品和應用逐步得到人們信賴。下一代銀行智能IC卡以芯片為核心，內部具有運算器、控制器、存儲器、嵌入式操作系統、輸入輸出電路、安全保護措施以及天線等其他外圍電路模塊，可以單界面或雙節面應用，也可以接觸式或非接觸式使用，是一個典型的微型計算機，這類IC卡將全面取代銀行磁條卡。

為了保證下一代金融IC卡的安全性，國家相關主管部門出臺政策規定，不斷完善技術標準，國內IC卡商、芯片廠商、應用單位也紛紛提出安全解決方案，采用國際、國內相關技術標準進行安全檢測驗證，有效保證了IC卡和應用系統的安全性。可以肯定的說，國產IC卡芯片技術已基本成熟，產業動力強勁，可以形成量產，市場需求旺盛，已經具備大規模應用推廣的基礎條件。

二、建立IC卡芯片安全檢測機制，助力國產IC卡應用健康發展

為了保證IC卡安全和應用的健康發展，國家相關主管部門批準，在國家信息技術安全研究中心設立了“國家IC卡芯片安全檢測中心”，開展IC卡芯片安全檢測。經過三年多的籌備建設，已經具備了IC卡芯片安全檢測能力，形成了安全檢測標準規范，開展了金融行業和卡商、芯片廠商產品/系統的安全檢測評估。

我們必須清醒認識到，由于我國集成電路產業起步較晚，核心技術缺失，致使國家“863”、“核高基”等國家重大專項研發和涉及國計民生的基礎信息網絡和重要信息系統的信息技術產品中，所使用的核心芯片90%以上采用國外主流芯片，采購國外集成電路芯片達上千億美金。由此看出，我國對國外芯片依賴程度很高，短期內仍然無法擺脫對國外先進技術和核心產品的依賴。同時，也暴露出我國信息技術產品基礎性領域的短板。在信息安全檢測評估領域，國內關注的信息安全焦點主要集中在操作系統、數據庫、WEB網站、應用軟件、網絡通信、數據保護等層面，忽視了芯片本身的安全問題。由于芯片檢測技術門檻較高，國內能開展芯片測試的機構寥寥無幾。芯片作為信息技術產品的“心臟”，是所有安全的基礎。在芯片設計中植入惡意功能模塊、后門或邏輯炸彈等，其隱蔽性更強，危害性更大。在“不得不用”的現狀下，重點加強對整機、板卡、關鍵部件和核心芯片的安全檢測，挖掘后門漏洞，排除安全隱患，形成安全可控解決方案，建立國內芯片安全測評技術體系和備案管理制度，完善檢測手段，提升國內相關檢測機構的安全檢測能力。公平、公正、公開、規范地開展測評工作，減輕企業負擔，促進國產集成電路芯片產業發展，為我國各行業IC卡的推廣應用提供芯片安全檢測技術服務。

三、進一步完善集成電路芯片檢測手段和標準規范

一是持續研究智能卡與芯片檢測技術和檢測標準：主要針對國內重點行業IC卡應用系統，對國內外的IC卡芯片、操作系統、應用系統、密碼等安全問題進行跟蹤研究，不斷豐富和提高IC卡芯片及其衍生產品的檢測技術，制定和完善IC卡安全檢測標準體系架構和相關安全檢測標準；二是開展IC卡密碼技術工程實現層面上的安全性檢測：重點提高對IC卡檢測分析平臺的密碼漏洞分析以及脆弱性檢測等能力；三是開展嵌入式操作系統層面的安全檢測分析：利用結構共性構建的COS操作系統檢測平臺，通過接口分析、代碼分析、綜合安全性分析等手段，正向功能符合檢測與逆向滲透攻擊檢測相結合的方法，評估IC卡操作系統的規范性和安全性，尋找存在的安全漏洞（后門）和安全隱患；四是開展智能IC卡應用層面的安全檢測：針對各種應用系統、應用協議、IC卡讀寫終端，進行安全檢測，以及移動支付、近場支付產品和USBKey、Etoken等其他IC卡類衍生產品進行安全性檢測；五是開展芯片安全綜合檢測：通過能量分析、電磁分析、時間分析、故障引入分析等非侵入式和半侵入式穿透性檢測分析手段對IC卡芯片及其衍生產品進行安全性檢測分析。深入驗證IC卡芯片安全功能標準符合性，查找安全機制脆弱性，并挖掘芯片可能存在的漏洞（后門）；六是開展IC卡芯片侵入式分析檢測：通過芯片解剖，電路提取，芯片探測等技術手段來深入檢測IC卡芯片安全功能符合性，查找安全機制脆弱性，并挖掘芯片可能存在的漏洞（后門）。包括芯片工藝分析與物理防護脆弱性評估、芯片電路邏輯還原與安全性檢測、芯片電路模擬仿真與漏洞挖掘、芯片探測分析與漏洞驗證等。

在技術手段建設過程中，要在充分研究CC、EMVco、FIPS140-2、ISO/IEC27001-17025-2005、GB/T20276-2006《信息技術安全技術智能卡嵌入式軟件安全技術要求（EAL4增強級）》、GB/T22186-2008《信息安全技術具有中央處理器（IC）卡芯片安全技術要求（EAL4增強級）》等國際組織及國內相關行業標準的基礎上，從分借鑒國外技術和經驗，利用已有技術成果，完善《IC卡通用安全檢測標準》等標準規范，保證集成電力芯片安全檢測的科學性、嚴謹性和可操作性。