CN201742425U - 非接触式cpu卡一卡多应用安全认证加密系统 - Google Patents

Abstract

本实用新型提供一种符合ISO14443标准的非接触式CPU卡一卡多应用安全认证加密系统，包括射频发送加密的用户身份信息的CPU卡、接收所述加密的用户身份信息进行解密得到原始用户身份信息并将其发送的读卡装置以及接收所述原始用户身份信息并根据其权限执行相应操作的控制装置。本实用新型由于前端信息读取模块与后端信息解密模块可进行远程通信，因此，后端信息解密模块可与控制装置设在隐蔽的位置处，在此链路中传输的均是加密的用户身份信息，从而增大了非法获取用户身份信息的难度。由于CPU卡上具有COS系统，可以植入加密算法，并叠加一个随机数，使得每次加密生成的加密的用户身份信息相应也是随机的。

Description

非接触式CPU卡一卡多应用安全认证加密系统

技术领域

本实用新型涉及CPU卡，具体而言涉及非接触式CPU卡一卡多应用安全认证加密系统。

背景技术

目前市面上出现的IC卡(Integrated Card集成电路卡)从器件技术上分，可分为非加密存储卡、加密存储卡及CPU卡。非加密卡没有安全性，可以任意改写卡内的数据。而加密存储卡在普通存储卡的基础上加了逻辑加密电路，成了逻辑加密存储卡。逻辑加密存储卡由于采用密码控制逻辑来控制对EEPROM的访问和改写，在使用之前需要校验密码才可以进行写操作，所以对于芯片本身来说是安全的，但在应用上是不安全的。现有的一卡通产品大多是基于菲利普公司生产的Mifare 1而研制开发的，在过去的十几年里，它们一直占据着主导优势。但在最近，国家政府部门提出基于Mifare 1卡的所有产品具有安全性问题，特别是在消费领域，其加密系统容易被犯罪分子非法破解，从而造成公众的财产被恶意侵占。它主要存在有以下不安全性因素：

1、密码在线路上是明文传输的，易被截取；

2、对于系统商来说，密码及加密算法都是透明的。

3、逻辑加密卡是无法认证应用是否合法的。

例如，假设有人伪造了ATM，我们无法知道它的合法性。当插入信用卡，输入PIN的时候，信用卡的密码就被截获了。再如INTENET网上购物，如果用逻辑加密卡，购物者同样无法确定网上商店的合法性。正是由于逻辑加密卡使用上的不安全因素，促进了CPU卡的发展。

CPU卡可以做到对人、对卡、对系统的三方的合法性认证。CPU卡具有三种认证方法：持卡者合法性认证，即PIN校验；卡合法性认证，即内部认证；系统合法性认证，即外部认证。一般与CPU卡配合使用的还有一个SAM(Secure Access Module)安全访问模块，它们大多嵌入到读卡装置中，与外部CPU卡片实现双向身份认证，这样做大大提高了原有一卡通系统的安全性。但在有的系统中，例如门禁控制系统，通常读卡装置与控制装置是分体设计的，通过SAM安全访问模块传输的用户资料或密钥信息在到达控制装置的过程中仍可能被截获，因此仍然存在一定的安全性问题。

发明内容

本实用新型为解决现有技术中CPU卡应用时用户资料或密钥信息容易截获的缺点，提出了一种将信息认证模块置于后端靠近控制装置的非接触式CPU卡一卡多应用安全认证加密系统。

本实用新型的技术方案是：提供一种非接触式CPU卡一卡多应用安全认证加密系统，所述系统包括射频发送加密的用户身份信息的CPU卡、接收所述加密的用户身份信息进行解密得到原始用户身份信息并将其发送的读卡装置以及接收所述原始用户身份信息并根据其权限执行相应操作的控制装置，其中所述读卡装置还包括：射频接收所述加密的用户身份信息的前端信息读取模块；和串行连接在所述前端信息读取模块上以远程接收并解密所述加密的用户身份信息的后端信息解密模块。

由于前端信息读取模块与后端信息解密模块可进行远程通信，因此，后端信息解密模块可与控制装置一同设在隐蔽的位置处，如弱电井中，在此远程通信链路中传输的均是加密的信息，从而增大了非法获取用户身份信息的难度。

根据本实用新型的一个实施例，所述CPU卡包括：文件存储单元、加密算法单元、随机数产生单元、射频收发单元以及通过控制总线协调文件存储单元、加密算法单元、随机数产生单元、射频收发单元执行以下操作的中央控制处理单元：

与所述后端信息解密模块相互进行系统认证，如果系统认证成功，则获取所述文件存储单元中的所述用户身份信息，如果不成功则结束操作；

通过所述加密算法单元采用第一加密算法对所述用户身份信息和所述随机数产生单元产生的随机数x进行运算，得到所述加密的用户身份信息；

所述射频收发单元发送所述加密的用户身份信息和所述随机数x。

根据本实用新型的一个实施例，所述系统还包括与所述CPU卡射频通信并与系统应用软件串行通信的发卡装置，所述发卡装置串行接收所述系统应用软件发送的用户身份信息和访问密钥，通过射频方式将所述访问密钥和所述用户身份信息分别以安全文件类型和基本文件类型写入所述CPU卡的文件存储单元中。

由CPU卡本身的安全访问机制来保证该用户身份信息的安全性，利用对所述访问密钥的认证来获取所述用户身份信息。通常如果外部读卡装置是合法的，则在该外部读卡装置中必须存储了该访问密钥和对应的加密算法。在本实用新型中，对CPU卡的访问符合ISO14443标准，并且在安全认证方面符合ISO7816标准。

根据本实用新型的一个实施例，所述前端信息读取模块包括射频收发单元、串行收发单元、存储单元以及通过控制总线协调控制所述射频收发单元、串行收发单元、存储单元工作以完成以下操作的中央控制处理单元：

射频接收所述CPU卡的所述加密的用户身份信息和所述随机数；以及

串行发送所述加密的用户身份信息和所述随机数。

根据本实用新型的一个实施例，所述后端信息解密模块包括串行收发单元、安全访问单元、韦根输出单元以及通过控制总线协调控制所述串行收发单元、安全访问单元、韦根输出单元工作以完成以下操作的中央控制处理单元：

将串行接收的所述加密的用户身份信息和随机数x发送给所述安全访问单元；

由所述安全访问单元采用与所述第一加密算法相反的逻辑对所述加密的用户身份信息和随机数x进行运算得到所述原始的用户身份信息；以及

遵照韦根协议将所述原始的用户身份信息发送给所述控制装置。

由上述技术方案可知，本实用新型的读卡装置采用后端信息解密模块与前端信息读取模块分体设计的方式，并将后端信息解密模块与控制装置就近设置在隐蔽的地方(如弱电井中)，后端信息解密模块与前端信息读取模块之间采用RS-485协议进行远程通信，在此通信链路以及CPU卡与前端信息读取模块的射频通信链路上均传输叠加了随机数的加密的用户身份信息。此外，CPU卡与后端解密模块进行系统认证，防止不是本系统的设备进行读卡操作，或防止使用不是本系统的CPU卡。在信息加密过程中，附加CPU卡序列号以及装置序列号可以增强加密的用户身份信息的安全性。因此，该系统可保证用户身份信息的高度安全。

附图说明

图1是根据本实用新型的实施例的读卡装置分体设计的结构框图；

图2是根据本实用新型的实施例的CPU卡的内部结构示意图；

图3是根据本实用新型的实施例的后端解密模块的内部结构示意图；

图4是根据本实用新型的实施例的CPU卡的文件存储类型图；

图5是根据本实用新型的实施例的发卡装置的结构框图；

图6是根据本实用新型的实施例的前端信息读取模块的内部结构示意图；

图7是根据本实用新型的实施例CPU卡中的用户身份信息加密传输的流程图；

图8是根据本实用新型的实施例获取CPU卡中的用户身份信息的系统认证流程图。

具体实施方式

如图1所示，其中显示了一种非接触式CPU卡一卡多应用安全认证加密系统，它包括CPU卡11、读卡装置12以及控制装置13，读卡装置12包括前端信息读取模块14和后端信息解密模块15，前端信息读取模块14用于射频接收CPU卡11的加密的用户身份信息，其中，CPU卡11射频发送加密的用户身份信息，读卡装置12中的前端信息读取模块14接收该加密的用户身份信息，并以串行通信方式发送给后端信息解密模块15，由其解密该用户身份信息，并以韦根方式发送给控制装置13，控制装置13接收解密的用户身份信息并根据其权限执行相应操作。在本实施例中，前端信息读取模块14与后端解密模块的通信采用RS-485串行通信方式，通信距离可达1200米。但本实用新型不限于此，只要满足远程通信条件即可。在本实施例中，控制装置13是门禁控制器，它根据解密的用户身份信息判断用户是否有出入权限，并执行开锁和闭锁的操作。

如图2所示，其中显示了CPU卡11的内部结构，包括：文件存储单元32、加密算法单元33、随机数产生单元34以及射频收发单元35，文件存储单元32、加密算法单元33、随机数产生单元34以及射频收发单元35通过控制总线连接在中央控制处理单元31上，通过加载COS(Chip Operation System芯片操作系统)系统来对上述各个部件进行控制：

与后端信息解密模块15相互进行系统认证，如果系统认证成功，则获取文件存储单元32中的用户身份信息，如果不成功则结束操作；

通过加密算法单元33采用第一加密算法对用户身份信息和随机数产生单元34产生的随机数x进行运算，得到加密的用户身份信息；

射频收发单元35向读卡装置12发送加密的用户身份信息和随机数x。

由于CPU卡11自带COS系统，可以植入加密算法，并叠加一个随机数，使得每次加密生成的加密的用户身份信息相应也是随机的。因此，在射频链路上很难获取用户身份信息。

在本实施例中，第一加密算法可以是3DES算法或RSA算法，但本实用新型不限于此。

CPU卡11与普通逻辑加密卡的最大不同点在于带有操作系统，并且信息是按照文件格式存放的。

CPU卡11作为信息的载体，在卡片里必须能存储信息，比如说，存放用户的身份信息在CPU卡11上(包括姓名、年龄、工作单位、职务、电话等)。现在的CPU卡一般都是最多只支持三层目录文件的，有的国外的卡只支持两层目录文件。此外，CPU卡还与常规文件操作有以下不同点：CPU卡创建一个文件时必须先声明创建的文件的类型以及创建文件的空间大小；CPU卡创建完一个文件后不可以删除。(测试发卡的时候可以例外，但删除的是MF(Master File)，即删除卡片中的所有文件和目录)；CPU卡文件类型只有很少几种，没有后缀名；CPU卡创建文件、写文件必须通过向卡片发送APDU报文的方式进行，并且每次写的字节数不能超过256字节。

下面详细介绍CPU卡的文件结构：

CPU卡的文件类型有两种

1、MF(Master File主文件)：根目录，是卡片文件系统的根，相当于DOS的根目录，每张卡有且只有一个MF文件。不同卡片厂商的MF的创建方式是不同的。主要有两种方式：在卡片个人化过程中由发卡方创建；或者厂商提供卡片的时候已经创建，发卡方不能再创建。

2、DF(Dedicated File目的文件)：DF相当于DOS的子目录。

DDF和ADF：我们把包含下级目录的DF称之为DDF，不包含下级目录的称之为ADF。

在CPU卡中，定义了三种基本文件(EF，Elementary File)类型

一、透明文件：基本文件存储了各种应用的数据和管理信息，它存在于MF和DF下。文件数据是通过连续空间中的字节地址进行存取。如CPU卡的序列号

二、基本文件：数据是以记录的方式存放在文件中的。

三、安全文件，此类文件是和安全有关的文件，所以对文件的访问控制就特别严格，对文件只能进行写入，文件是不可读的。文件内存放有关卡片安全的密钥和口令。例如，在本实用新型中，该文件中存储了访问密钥。而本实用新型的用户身份信息存储在基本文件中。

如图3所示，显示了根据本实用新型的实施例的CPU卡中文件存储单元的结构图。

如图4所示，后端解密模块15包括串行收发单元42、安全访问单元43、存储单元44、韦根输出单元45以及通过控制总线协调控制串行收发单元42、安全访问单元43、存储单元44、韦根输出单元45工作以完成以下操作的中央控制处理单元41：

先与CPU卡11进行系统认证，认证通过，则可访问CPU卡中的用户身份信息；

将串行接收的所述加密的用户身份信息和随机数x发送给所述安全访问单元43；

由所述安全访问单元43采用与所述第一加密算法相反的逻辑对所述加密的用户身份信息和随机数x进行运算得到所述原始的用户身份信息；

以及

遵照韦根协议将用户身份信息发送给控制装置13。

控制装置13根据用户身份信息的权限执行相应操作。

CPU卡11在最初到用户那里时，需要由用户管理员通过系统应用软件利用发卡装置将各个用户的身份信息以及访问密钥写入CPU卡11和读卡装置12中。如图5所示，其中显示了发卡装置22的结构框图。发卡装置22与CPU卡11射频通信，并与系统应用软件25串行通信。发卡装置22串行接收所述系统应用软件25发送的用户身份信息和访问密钥，通过射频方式将访问密钥和用户身份信息分别以安全文件类型和基本文件类型写入CPU卡11的文件存储单元32中。在系统初始化时，写入CPU卡11中的访问密钥应该也要写入针对该卡的读卡装置12中的后端信息解密模块15中，以用于系统认证。本实用新型适用于任何方式的写入。

这里，系统应用软件25与发卡装置的串行通信可采用RS-232协议，但本实用新型不限于此。

如图6所示，其中显示了前端信息读取模块14的内部结构示意图。前端信息读取模块14包括射频收发单元54、串行收发单元52、存储单元53以及通过控制总线协调控制所述射频收发单元54、串行收发单元52、存储单元53工作以完成以下操作的中央控制处理单元51：

射频接收CPU卡11的加密的用户身份信息和随机数；以及

串行发送加密的用户身份信息和随机数。

由于本实用新型所采用的CPU卡是符合ISO14443标准的卡，并且安全访问机制符合ISO7816标准。因此，在进行系统认证过程中，需要读卡装置12和CPU卡双方协调工作。

后端信息解密模块15通过加密算法对安全访问单元43中预先存储的访问密钥和随机数产生单元的随机数y的运算得到报文鉴别码MAC1，并发送该随机数y。在CPU卡中也作相同的操作，即，采用相同的加密算法对安全文件中存放的访问密钥和接收的随机数y进行运算得到另一MAC2并发送，然后在后端信息解密模块卡中比较MAC1和MAC2是否相同，如果相同，认证通过，则认为卡片合法，可以获取CPU卡中存储的用户身份信息；如果不同，认证不通过，结束访问操作。

如图7所示，其中显示了根据本实用新型用于认证CPU卡中的用户身份信息的流程图。该流程包括以下步骤：

S101CPU卡11与后端信息解密模块15进行系统认证，如果认证成功则获取CPU卡中预先存储的用户身份信息并执行步骤S102，如果不成功，则执行步骤S106结束操作；

S102CPU卡11采用第一加密算法对用户身份信息和随机数x进行运算，得到加密的用户身份信息，然后以射频方式发送加密的用户身份信息和随机数x；

S103前端信息读取模块14接收加密的用户身份信息和随机数x，并以串行方式发送；

S104后端信息解密模块15接收加密的用户身份信息、随机数x并采用与第一加密算法相反的逻辑进行运算得到用户身份信息；

S105后端信息解密模块15遵照韦根协议将用户身份信息发送给控制装置13；

S106结束本次操作。

如图8所示，系统认证还包括以下步骤：

S101a后端信息解密模块15中的安全访问单元43将其预先存储的访问密钥和随机数y用第二加密算法进行运算，得到报文鉴别码MAC1，并发送所述随机数y；

S101bCPU卡11接收随机数y，并与存储在安全文件中的访问密钥用第二加密算法进行运算，得到另一报文鉴别码MAC2，发送另一报文鉴别码MAC2；

S101c后端信息解密模块15接收另一报文鉴别码MAC2，由其中的安全访问单元43比较另一报文鉴别码MAC2与报文鉴别码MAC1是否相同，如果相同，系统认证成功，执行步骤S102，如果不相同，系统认证不成功，结束操作。

根据本实用新型的一个方法实施例，优选地，所述方法还包括初始化发卡步骤：

S201串行接收用户通过系统应用软件25发送的用户身份信息和访问密钥；

S202通过射频通信方式将用户身份信息存入CPU卡11的文件存储单元32的基本文件中，将访问密钥存储在安全文件中。

优选地，加密用户身份信息时还可附加装置序列号和CPU卡序列号，在系统认证步骤成功之后，CPU卡11与后端信息解密模块15相互传送各自的序列号。在加密用户身份信息时，除采用随机数x、用户身份信息外，在附加上装置序列号和CPU卡序列号，使得加密得到的用户身份信息更加安全，不易破解。

根据本实用新型的一个方法实施例，在执行步骤S103时，前端信息读取模块14串行发送加密的用户身份信息和随机数采用RS-485协议。在本实用新型中，对CPU卡的访问符合ISO14443标准，并且在安全认证方面符合ISO7816标准。

根据本实用新型的方法实施的系统可应用于各种具有高度安全要求的出入访问控制系统中，它能够做到对系统商、对卡以及对设备三方面的安全加密认证，因此具有很高的安全性。

本实用新型不限于上述具体化的实施例，在不背离本实用新型的精神和范围情况下，可以对其进行任意的修改和变形。这些修改和变形的实施方式依然落于本实用新型的保护范围内，因此，本实用新型仅由所附的权利要求来限定。

Claims (2)

1.一种非接触式CPU卡一卡多应用安全认证加密系统，其特征在于，包括：

通过射频方式发送加密的用户身份信息的CPU卡(11)；

用于接收所述加密的用户身份信息、并进行解密得到原始用户身份信息的读卡装置(12)，以及

接收所述读卡装置(12)发送的所述原始用户身份信息、并根据其权限执行相应操作的控制装置(13)，其中所述读卡装置(12)还包括：

通过射频方式接收所述加密的用户身份信息的前端信息读取模块(14)和串行连接在所述前端信息读取模块(14)上以远程接收并解密所述加密的用户身份信息的后端信息解密模块(15)。

2.如权利要求1所述的非接触式CPU卡一卡多应用安全认证加密系统，其特征在于，所述系统还包括与所述CPU卡射频通信并与系统应用软件(25)串行通信的发卡装置(22)，所述发卡装置(22)串行接收所述系统应用软件(25)发送的用户身份信息和访问密钥，通过射频方式将所述访问密钥和所述用户身份信息分别以安全文件类型和基本文件类型写入所述CPU卡(11)的文件存储单元(32)中。 

Images