工学论文：探讨智能燃气表IC卡的信息安全管理

 　　1、概述

　　燃气表是实现燃气计量管理的重要设备。其中，膜式燃气表因具有计量准确、量程比宽、结构简单、安装方便以及价格便宜等诸多优点，在世界民用燃气计量管理方面得到了广泛应用。我国早期燃气计量管理采用机械式膜式燃气表，存在入户难、抄表难、收费难的问题。为解决此问题，市场上出现了IC卡燃气表，通过IC卡实现了燃气的预付费管理。目前，IC卡燃气表是我国民用燃气计量管理中使用的主流产品。虽然IC卡燃气表解决了传统的机械式膜式燃气表入户难、抄表难、收费难的问题，但是燃气信息安全又成了燃气计量管理的新问题［1－3］。

　　本文针对IC卡燃气表的信息安全管理问题，介绍一种由笔者及团队开发的具有信息安全管理功能的IC卡智能燃气表。该IC卡智能燃气表通过嵌入信息安全管理模块，并采用3DES信息加密、信息校验、ID管理等技术手段，使其具有可靠的信息安全管理功能。该技术已获得国家发明专利［4］。

　　2、IC卡燃气表的信息安全管理问题分析

　　信息安全是燃气计量管理的重要环节，直接关乎燃气公司和燃气用户的切身利益。对于IC卡燃气表的信息安全管理，国家标准GB/T6968-2011《膜式燃气表》以及城镇建设行业标准CJ/T112-2008《IC卡膜式燃气表》中均未作相关的规定，而各燃气表生产厂商的信息安全管理技术参差不齐，这就造成市场上有许多类型的IC卡燃气表的信息安全得不到保障，给燃气公司和燃气用户的经济利益带来了不同程度的损失和安全隐患。IC卡燃气表的信息安全主要受IC卡燃气表的安全性、IC卡的安全性以及信息交换的安全性等因素的共同影响和制约。

　　2．1、IC卡燃气表的安全性

　　①相同技术设计方案的IC卡燃气表可以用各自的售气管理系统进行相互售气。若不同的生产厂家采用相同的电路板装配IC卡燃气表，则技术参数是相同的，会导致售气管理系统可以通用，即IC卡燃气表可以用各自的售气管理系统进行相互售气，造成IC卡燃气表脱离燃气公司的掌控。

　　②同一生产厂家的IC卡燃气表在不同燃气公司的售气管理系统可以进行相互售气。若IC卡燃气表存在一表一卡密码对应设计不严密、加密方式有缺陷，或者IC卡协议不合理的问题时，燃气用户在一家燃气公司开户购气后，可以再到另一家不同的燃气公司网点购气并上表使用;甚至某一家燃气公司制作的工具卡，可以对其他燃气公司管理的同一品牌IC卡燃气表进行操作，导致燃气公司业务管理混乱。

　　③使用IC卡燃气表对应的售气管理系统，可以脱离燃气公司任意售气。若IC卡燃气表售气管理系统的设计存在缺陷，售气管理系统数据一旦泄露后，可以被随意复制，然后给燃气用户进行违法降价售气。

　　④破译加密算法和IC卡数据协议后，可以脱离燃气公司售气管理系统任意售气。IC卡燃气表通常采用密文加密方式。对于这种加密方式，别人能通过相应的技术手段，获取IC卡中数据进行分析，破译加密算法和IC卡数据协议后，编写出相应配合IC卡燃气表使用的程序进行制卡售气，即可脱离燃气公司售气管理系统进行任意售气。

　　⑤通过转存卡可以私下变更IC卡预付费控制装置的数据，给管理造成不便。由于部分IC卡燃气表质量控制得不到保障，电路板容易出现故障，在这种情况下设计了转存卡。而不法分子可以不通过售气管理系统，私下将一只表上的数据通过转存卡直接转到另外一只表或控制电路板上，导致燃气公司管理不便。

　　⑥其他用户的用户卡可以在初始化状态的IC卡燃气表上使用。部分IC卡燃气表的设计存在缺陷，当IC卡燃气表处于初始状态时，使用其他用户的用户卡可以将用户卡上的气量信息输入该IC卡燃气表中，造成一卡多表的现象。

　　2．2、IC卡的安全性

　　IC卡燃气表的IC卡类型有接触式和非接触式两种。接触式IC卡因具有与燃气表连接安全可靠、抗干扰能力强、保密性好、功耗低等优点而成为市场上的主流产品。非接触式IC卡则因抗电磁干扰能力差、功耗大等缺点而基本不再使用。接触式IC卡按照嵌入芯片的不同，分为接触式存储卡、接触式逻辑加密存储卡和接触式CPU卡三种，它们在信息安全防护上具有不同的等级。

　　2．2．1、接触式存储卡

　　接触式存储卡一般由存储芯片制成，可以向其中写入任何信息，也可以从其中读出所有信息。接触式存储卡功能简单，没有或很少有安全保护逻辑，能够被随意地复制和改写。接触式存储卡由于价格低廉、开发使用简便而在某些简单应用场所、内部信息无须保密或不允许加密的场所(如急救卡)有较广泛的应用。在燃气计量管理方面，接触式存储卡显然不能满足信息安全性的要求，因此，基本不采用。

　　2．2．2、接触式逻辑加密存储卡

　　接触式逻辑加密存储卡由逻辑加密存储器芯片制成，包含安全逻辑控制单元和非遗失逻辑存储器。逻辑加密存储器芯片的加工过程和运输过程均采取较好的安全保护措施，不像接触式存储卡那样可以被任意地复制或改写，具有一定的安全保密性。因此，许多生产厂家的IC卡燃气表选择使用接触式逻辑加密存储卡。

　　接触式逻辑加密存储卡虽然能够满足燃气计量管理基本的信息安全要求，但是仍然存在一些安全缺陷。例如，该类型的存储卡具有"无须核对密码，全部数据可读，不可改写"的特性。该特性决定了可以不需要密码即可以将存储卡中所有的数据读出，这虽然方便了读卡操作，减少了错卡的概率，但是也方便了其他人获取IC卡信息，大大地降低了信息被破译难度，增加了信息被破译的风险。此外，接触式逻辑加密存储卡的数据没有进行分区，不能对所写的数据进行写保护，这就可能导致在快速插拔时回写数据出现位置错误，致使售气管理系统写入的购气数据发生改变，最终导致错卡或将错误的购气信息充入IC卡燃气表中。

　　2．2．3、接触式CPU卡

　　接触式CPU卡的集成电路中包括中央处理器、只读存储器、随机存取存储器、电可擦除可编程只读存储器等主要部分，含有随机数发生器和硬件数据加密算法(DES)、三重数据加密算法(3DES)。在硬件结构、操作系统以及加工制作工艺等方面采取多层安全措施，保证了极强的安全防伪能力，不仅可以验证卡和持卡人的合法性，而且可以鉴别读写终端。该类型的IC卡主要使用在安全保密性特别敏感的场所，例如金融信用卡、手机SIM卡等方面。随着燃气信息安全管理的发展需要，一些IC卡燃气表生产厂商也开始使用接触式CPU卡作为IC卡燃气表的信息传输媒介，希望通过这种方法来保证燃气信息的安全性。但是，在IC卡燃气表方面，IC卡本身已是信息相对最安全的环节，若只是一味地提高IC卡的安全性，而没有提高IC卡燃气表、信息交换过程等环节的安全性，则对整个IC卡燃气表计量管理系统的燃气信息安全的保障没有实质意义。

　　2．3、信息交换的安全性

　　①IC卡数据交换错误，导致IC卡燃气表通过IC卡获取的数据与售气管理系统数据不相符。

　　若售气管理系统与IC卡燃气表在设计上存在缺陷，没有对IC卡上的数据进行数据校验和回读验证，则可能导致写入IC卡的数据或从IC卡上读出的数据与实际数据不相符，出现IC卡燃气表充值数据与实际数据不相符的故障现象。

　　②售气管理系统数据写入错误(例如，多写或少写等现象)，导致IC卡上的数据与售气管理系统上的数据不一致，造成报表数据错误。若售气管理系统写卡不科学或者数据库设计存在缺陷，则可能导致写入IC卡上的数据正确，但是写入数据库的数据多写或少写，出现售气管理系统的报表数据与实际数据不相符的现象。

　　③若数据协议设计有缺陷，没有购气量和购气次数等验证技术，则可能导致如下后果:

　　a．补气(例如，用户在IC卡充值后未及时将购气量充入IC卡燃气表，IC卡便丢失，此时用户要求燃气公司补气)时，气量能随意充值，产生严重的安全漏洞，操作员可以利用免费补气进行私下售气。

　　b．在对IC卡燃气表进行充值时，快速插拔IC卡，可能使购气信息充入IC卡燃气表中，而IC卡中的数据信息仍然全部或部分存在，从而导致已经完成向IC卡燃气表充值的IC卡还可以继续向其他的IC卡燃气表进行重复充值，造成燃气公司的经济损失。

　　c．一旦IC卡密码被破译，则在不需要进行数据破译的情况下，就可以大量地复制购气信息到其他IC卡上，所有复制的IC卡均可以将购气信息充入IC卡燃气表中。

　　④若使用具有较弱加密方式的IC卡作为信息载体，购气信息以明文进行传递，购气信息被截获后不用破解就能够很容易篡改购气信息。

　　⑤若售气管理系统采用一般密文算法对数据进行加密，虽然具有一定的安全防范措施，但是在近几年，只需要付出很小的代价就可以进行破解。

　　⑥在售气管理系统与IC卡燃气表安全措施做得较好，采用高级密钥加密算法的情况下，虽然加密信息不容易被破解，但是如果密钥固化到表端，当加密工具和密钥被偷盗后，则可以在外售气。当燃气公司发现异常后，无法对现有市场上的存量IC卡燃气表更换密码，只能全部更换新的IC卡燃气表，这将给燃气公司造成巨大的经济损失。

　　3、IC卡燃气表的信息安全管理技术措施

　　为解决IC卡燃气表的信息安全管理问题，笔者及团队研发了一种具有信息安全管理功能的IC卡智能燃气表。该IC卡智能燃气表的功能结构原理见图1。它主要由计量单元、燃气表终端控制器、信息安全管理模块、IC卡信息交换模块、控制阀控制电路、信号预处理电路、液晶显示电路等部分组成。

　　其中，计量单元中安装有机电信号转换单元和控制阀，并且机电信号转换单元通过信号预处理电路与燃气表终端控制器连接，控制阀则通过控制阀控制电路与燃气表终端控制器连接。

图1IC卡智能燃气表功能结构原理

　　4、结语