工信部李国俊：智能卡产品安全性评价

本文是根据 工信部计算机安全技术检测中心产品测评部部长李国俊在“2009中国国际智能卡与RFID博览会” 银行卡的创新发展与应用拓展专题论坛上的主题发言整理编发的，供业界朋友参考。

各位领导、各位专家：下午好！

今天我给大家交流的题目是“智能卡产品安全性评价”，主要包括以下几部分内容：智能卡产品的安全、安全标准以及安全性评价的要求。

我们首先了解一下智能卡产品的安全问题，鉴于智能卡产品的特殊性，包括智能卡产品延伸出来的RFID有关产品，由于这些产品最终应用环境的特殊性，避免可能存在的各种威胁，我们通常谈的智能卡产品有CPU芯片、芯片操作系统、读卡器以及相应的非接触式产品设备几种类型。

为什么要保护这种产品呢？因为这种产品里包含一些重要的信息和数据。有哪些信息和数据对于我们来讲是要在这个产品里进行保护的。首先是产品里存储和处理的用户数据、存储和处理的安全功能数据、逻辑设计信息，物理设计信息、开发工具与技术、测试和特征有关的数据、初始化数据和预个人化数据；其它重要资产（随机数）、应用数据、设计及其说明、实现和相关文档，这些都是非常重要的资产和数据，这些内容是需要我们进行保护。由于这些重要的信息和数据在它的生命周期过程中可能会遭到破坏或者攻击，这种攻击可能是逻辑的，也可能是物理形式的，开发中和使用过程中都可能出现这些情况。比如一些重要数据遭到篡改、泄露、滥用，这些都会影响产品的安全性，对于这个产品来讲就有一系列安全需求。我们要保护相应产品的安全性，从常见的威胁来讲，为了保证它在使用和运行过程中不受到非授权信息的泄露，也就是保证信息的机密性，还有可能受到非授权系的篡改，以及合法的用户要使用这些数据，就要保证可用性。因此在研发、生产、数据加载、交付使用等等产品生命周期里都需要保证相应数据的安全，这样才能为最终用户提供可靠安全的使用保证。

目前智能卡相关的差别由于一些特殊的技术和设备，智能卡里边有关的信息和数据频频发生破解、盗用、篡改等问题，这些问题是客观现实存在的，因为有着更先进的分析技术，比如BN通道的攻击，以及EMA等等，可能对智能卡相关的产品中的重要信息和数据造成破坏，对于最终用户来讲，你考虑产品的安全性，首先要考虑这个产品里边重要价值、秘密到底是什么，要保护的资产是什么，为什么要保护它，到底有什么样的风险，这些资产如果遭到破坏，破坏的代价是什么，我要进行全方面衡量。另外我们要知道，任何信息技术产品绝对的安全是不存在的。

安全标准，如何评价产品的安全性？如何执行评价标准？依据什么标准才能说产品的安全性达到了某种要求。我们简单回顾一下信息安全评估的发展历程，从美国 1985年发布的TCSET标准中提出的原则，然后演变到欧洲的安全性评价准则，在今后加拿大等国又进一步的增加了一些评价手段，1996年国际组织 ISO把通用准则CC吸纳为国际标准，ISO15408的形成，2001年发布了GB/T18336，这个标准发布之后，指导了大多数产品，不管是相关的 IC卡、芯片里边的操作系统，以及其他的IT产品，进行了大量的信息安全评估，按照不同的等级进行了评估，这个标准分三部分，给出了不同的要求和评价方法。将评估分为七级，根据不同要求和产品需求，从1级到7级逐渐增高。

如何建立安全？对于任何产品来讲，最终要保护的是产品中最有价值的数据、密钥，这些是我们的重要资产。我们要分析资产所可能受到的一些威胁，作为资产的所有者要通过一系列对策减少可能的脆弱性，降低资产遭到破坏的风险。对于信息技术产品来讲，这也是整个ISO15408的思想，通过安全目的进一步转化为具体的安全要求，其中一部分从产品功能上提出要求，还有一部分从产品保证能力上提出要求，涉及到产品的设计、研发、生产、交付、使用等各个阶段。

对于安全性评价相应的要求，从国际上可以看到国际智能卡联盟统计的有关智能卡产品的一些安全性要求，这些标准和要求的思路大致都是如此，首先建立一系列安全需求，分析威胁、产品预期使用环境，做一定假设，之后提出一系列安全目的，这些安全目的包括产品本身的TOE的安全目的和环境的安全目的，由这些安全目的进一步提出对于产品的要求、对于IT环境的要求以及其他非IT的安全要求，最终用这些IT安全要求评价产品安全保障能力，为了评价产品整个生命周期的安全保障需求，还有一系列保证的要求，比如在开发阶段、在交付运行阶段，以及在生命周期里使用的工具，以及开发线上，包括指导性文档，产品的使用手册等，不同级别有不同的要求。

评价的内容，首先对于产品最初的安全目标进行评价，任何一个产品为了达到一个安全性，都有安全目标，有了安全目标，就设计了一定的功能，有功能规范，接下来从高层设计映射到低层设计，这些环节是一一对应的，对这些内容进行严格评价，以及各个环节里的对应性，包括产品的测试，最后到产品的手册，以及产品测试性分析，包括安全缺陷的跟踪，以及生产商到使用者之间交付的安全，以及生命周期模型所使用的开发工具、所使用的开发现场的安全措施等等。通过对整个产品一系列评价，最后给出产品的安全级别。涉及到智能卡以外的安全产品也是这样的思路，这是信息安全产品评价的通用方法。

今天我就讲这些，如果有问题，会后可以继续交流，感谢大家！