Nghiên cứu thẻ thông minh và ứng dụng vào an toàn trong thông tin di động

... Nghiên cứu thẻ thông minh ứng dụng vào an toàn thông tin di động DANH MỤC CÁC BẢNG BIỂU Sinh viên: Cù Hải Đăng – AT6B – Khoa ATTT Nghiên cứu thẻ thông minh ứng dụng vào an toàn thông tin di động. .. án nghiên cứu đề cập đến kiến thức thẻ thẻ thông minh, việc ứng dụng thẻ thông minh, đặc biệt ứng dụng an toàn thông tin di động Sau nghiên cứu thân có hiểu biết thẻ thông minh, ứng dụng thẻ thông. .. ATTT 10 Nghiên cứu thẻ thông minh ứng dụng vào an toàn thông tin di động CHƯƠNG 1: TỔNG QUAN VỀ THẺ THÔNG MINH Tóm tắt Trong chương trình bày tổng quan thẻ thông minh, loại thẻ thông minh, đặc

MỤC LỤC

MỤC LỤC 1

CÁC TỪ VIẾT TẮT 5

DANH MỤC CÁC BẢNG BIỂU 7

DANH MỤC CÁC HÌNH VẼ 8

LỜI CẢM ƠN 9

LỜI NÓI ĐẦU 10

CHƯƠNG 1: TỔNG QUAN VỀ THẺ THÔNG MINH 14

1.1 Giới thiệu 14

1.2 Các loại thẻ thông minh 16

1.2.1 Thẻ nhớ và thẻ chip 17

1.2.2 Thẻ thông minh có tiếp xúc 18

1.2.3 Thẻ thông minh không tiếp xúc 18

1.2.4 Thẻ lưỡng tính 20

1.3 Đặc điểm của thẻ thông minh 20

1.4 Chip dùng cho thẻ thông minh 22

1.5 Tổ chức phát hành kiểm soát thẻ thông minh 24

1.6 Các ứng dụng hiện tại của thẻ thông minh 26

1.6.1 Ứng dụng thẻ thông minh trong điện thoại di động 27

1.6.2 Ứng dụng thẻ thông minh trong an ninh máy tính 28

1.6.3 Ứng dụng thẻ thông minh trong tài chính 29

1.6.4 Ứng dụng thẻ thông minh trong chứng minh thư hoặc các thẻ tương tự 29

1.6.5 Ứng dụng thẻ thông minh trong trong giao thông 30

1.6.6 Ứng dụng thẻ thông minh trong thanh toán điện tử 31

1.7 Phát triển ứng dụng thẻ thông minh 33

1.8 Phát hành và vấn đề quản lý vòng đời 34

1.9 Kết luận chương 1 36

CHƯƠNG 2: TÍNH NĂNG AN TOÀN CỦA THẺ THÔNG MINH 37

2.1 Giới thiệu 37

2.2 Thuật toán mật mã 37

2.2.1 Mã hoá khoá đối xứng 38

2.2.2 Mã hoá khoá công khai 39

2.3 Tính năng bảo mật thẻ thông minh 39

2.3.1 Giao thức xác thực với thẻ thông minh 41

2.3.2 Bảo toàn dữ liệu với thẻ thông minh 43

2.3.3 Bảo toàn và bảo mật dữ liệu với thẻ thông minh 45

2.3.4 Thiết lập khoá phiên với thẻ thông minh 47

2.4 Hệ điều hành thẻ thông minh 49

2.4.1 Các file hệ thống trong thẻ thông minh 49

2.4.2 Truy cập file 51

2.5 Tấn công phân tích side channel 53

2.5.1 Tấn công phân tích timing attacks 53

2.5.2 Tấn công phân tích năng lượng tiêu thụ (power analysis) 55

2.5.3 Tấn công kênh bên theo phương pháp phân tích bức xạ điện từ 56

2.6 Tấn công phân tích lỗi 57

2.6.1 Các cơ chế gây lỗi 57

2.6.2 Mô hình hóa ảnh hưởng của lỗi 58

2.6.3 Lỗi trong thuật toán mật mã 58

2.6.4 Biện pháp đối phó 59

2.7 Kết luận chương 2 61

CHƯƠNG 3: ỨNG DỤNG THẺ THÔNG MINH TRONG ĐIỆN THOẠI DI ĐỘNG 62

3.1 Giới thiệu 62

3.2 Tiêu chuẩn SIM/USIM 63

3.3 Nhận dạng thuê bao và xác thực 67

3.3.1 Quá trình xác thực và hoạt động của SIM 67

3.3.2 Các thuật toán xác thực trong SIM/USIM 70

3.3.3 Giao diện SIM- Thiết bị di động(ME) 75

3.3.4 Mô hình an ninh trong mạng GSM 77

3.3.5 Cơ chế an ninh trong mạng GSM 78

3.3.6 Các kỹ thuật bảo đảm an ninh 79

3.4 Các tính năng chung 82

3.4.1 Các chức năng của SIM 82

3.4.2 Các thủ tục liên quan đến bộ ứng dụng SIM 84

3.4.3 Danh bạ điện thoại 85

3.4.4 Chuyển vùng 86

3.4.5 Thiết lập và lưu trữ SMS 87

3.4.6 Danh sách gọi gần nhất 87

3.4.7 Kiểm soát truy cập lớp 87

3.5 Các loại tập tin 88

3.6 Một số so sánh thực tế SIM và USIM 89

3.7 Dịch vụ giá trị gia tăng 90

3.8 Sử dụng USIM như môđun an toàn của điện thoại di động 94

3.9 Sự phát triển của USIM trong tương lai 94

3.10 Việc ứng dụng thẻ thông minh trong di động ở Việt Nam 96

3.11 Kết luận chương 3 97

KẾT LUẬN 99

TÀI LIỆU THAM KHẢO 101

PHỤ LỤC 102

CÁC TỪ VIẾT TẮT

3G: third-generation technology: công nghệ truyền thông thế hệ thứ 3

APDU: Application Protocol Data Units: đơn vị dữ liệu giao thức ứng dụng

AES: Advanced Encryption Standard: chuẩn mã hoá tiên tiến

ATM: Automatic Teller Machine: máy rút tiền tự động

AuC: Authentication Centre: trung tâm xác thực

CPU: Central Processing Unit: bộ xử lý trung tâm

CLA: Class: “lớp” chỉ thị

DF: Dedicated File: thư mục chuyên dụng

DES: Data Encryption Standard: chuẩn mã hoá dữ liệu

EEPROM: Electrically Erasable Programmable Read Only Memory: bộ nhớ

có thể ghi bằng tín hiệu điện

EF: Elementary File: file cơ bản

GSM: Global System for Mobile Communications: hệ thống thông tin di độngtoàn cầu

GPRS: General Packet Radio Service: dịch vụ truyền phát mã hoá gói tin

HLR: Home Location Register: đăng ký vùng chủ

ISO: International Standards Organization: hiệp hội tiêu chuẩn quốc tế

IMSI: International Mobile Subscriber Identity: định danh thuê bao di động

quốc tế

MF: Master file: thư mục gốc

ME: Mobile Equipment: thiết bị di động

MAC: Message Authentication Codes: mã xác thực thông điệp

PIN: số định danh cá nhân

ROM: Read Only Memory: bộ nhớ chỉ cho phép đọc

RAM: Random Access Memory: bộ nhớ truy cập ngẫu nhiên

RE: Receiver Entity: thực thể nhận

RA: Receiver Application: ứng dụng nhận

SIM: Subscriber Identity Module: thẻ thông minh mang định danh thuê bao

SAT: Sim Application Toolkit: bộ ứng dụng SIM

SA: Send Application: ứng dụng gửi

SE: Send Entity: thực thể gửi

SM: Secure Message: thông điệp bảo mật

SP: Secure Packet: gói tin bảo mật

SMS: Short Message Service: dịch vụ tin nhắn ngắn

TM: Transport Mechanism: kiến trúc giao vận

TMSI: Temporary Mobile Subscriber Identity: định danh thuê bao di động

URL: Uniform Resource Locator: định vị tài nguyên thống nhất

VLR: Visitor Location Register: đăng ký vùng viếng thăm

DANH MỤC CÁC BẢNG BIỂ

Bảng 1.1: Tóm tắt các điểm mạnh và điểm yếu thẻ thông minh 21

Y Bảng 3.1: Tiêu chuẩn chung 2G/GSM 66

Bảng 3.2: Tiêu chuẩn chung 3G/UMTS 67

Bảng 3.3: So sánh sử dụng SIM / USIM 90

Bảng 3.4: Bộ công cụ SIM 91

DANH MỤC CÁC HÌNH V

Hình 1.1: Thẻ thông minh có tiếp xúc 18

Hình 1.2: Thẻ thông minh không tiếp xúc 19

Hình 1.3: Một sơ đồ sắp xếp các điểm tiếp xúc 22

Hình 1.4: Bộ vi xử lý thẻ thông minh 23

Hình 1.5: Điện thoại và SIM 28

Hình 2.1: Các vết thu được từ một SPA trên một thẻ thông minh sử dụng DES 16 vòng 54

Hình 2.2: Vết SPA từ hai phép tính trên thẻ thông minh chỉ xuất hiện ở vòng thứ 6 56

Hình 3.1: Thẻ SIM điện thoại 63

Hình 3.2: Tiêu chuẩn thẻ thông minh cho viễn thông 64

Hình 3 3: Thủ tục xác thực 69

Hình 3.4: COMP128 70

Hình 3.5: Mạng xác thực thiết bị di động 71

Hình 3.6: Mã dòng A5/1 74

Hình 3.7: Sơ đồ nguyên lý bộ sinh khóa A5/1 75

Hình 3 8 Hoạt động bảo đảm an ninh trong mạng GSM 78

Hình 3.9: Ảnh chụp màn hình lựa chọn trong bộ công cụ SIM 92

Đặc biệt em xin gửi lời cảm ơn đến thầy TS Nguyễn Hồng Quang, ngườithầy đã cho em những định hướng và ý kiến quý báu, thầy đã tận tình giúp đỡ,trực tiếp chỉ bảo, hướng dẫn em trong suốt quá trình hoàn thành đồ án tốtnghiệp Trong thời gian làm việc với thầy, em không ngừng tiếp thu thêmnhiều kiến thức bổ ích mà còn học tập được tinh thần làm việc, thái độ nghiêncứu khoa học nghiêm túc, hiệu quả, đây là những điều rất cần thiết cho emtrong quá trình học tập và công tác sau này

Em xin được gửi lời cảm ơn sâu sắc tới gia đình và bạn bè, những ngườiluôn kịp thời động viên, khích lệ giúp đỡ em vượt qua những khó khăn để em

có thể hoàn thành nhiệm vụ của mình

Do còn hạn chế về nhiều mặt nên đồ án không thể tránh khỏi những thiếusót Rất mong nhận được sự chỉ bảo, góp ý của thầy cô và các bạn

LỜI NÓI ĐẦU

Trước đây con người phải trao đổi thông tin với nhau một cách trực tiếp.Nhưng cùng với sự phát triển của xã hội và đặc biệt là tốc độ phát triển củacông nghệ thông tin, đã có nhiều hình thức trao đổi thông tin một cách nhanhchóng, tiện dụng và hiện đại ra đời, hình thức trao đổi bằng thông tin di động

là phổ biến nhất Trong đó ứng dụng thẻ thông minh vào an toàn trong thôngtin di động được sử dụng nhiều và rộng rãi

Thẻ thông minh với những ưu điểm vượt trội là một môi trường an toàncung cấp tính bảo mật dữ liệu cao có khả năng lưu giữ khoá bí mật và thựchiện các thuật toán mã hoá… Thêm vào đó, thẻ thông minh lại nhỏ gọn, dễdùng nên rất thuận lợi cho người sử dụng có thể dùng nó ở mọi lúc, mọi nơi.Thẻ thông minh ngày nay đã được ứng dụng rộng rãi trong đời sống Thẻthông minh hiện nay là cơ sở và là một phần quan trọng của bất kỳ một hoạtđộng phân phối nào, cho phép các sản phẩm và các dịch vụ đựơc phân phốimột cách thuận lợi, an toàn và hiệu quả Thẻ thông minh được ứng dụng trênrất nhiều lĩnh vực của đời sống Thẻ thông minh được dùng bởi chính phủ đểchống gian lận tài chính, được dùng bởi các tổ chức trả tiền để đảm bảo antoàn cho việc trả tiền qua điện thoại hoặc qua mạng Internet, được dùng bởicác công ty điện thoại để đảm bảo an toàn cho việc truy cập vào các dịch vụcủa họ, được dùng bởi các nhà quản lý mạng Việc ứng dụng và phát triển củathẻ thông minh ngày càng được yêu cầu cao hơn, an toàn và hiện đại hơn ở tất

cả mọi lĩnh vực mà thẻ thông minh có thể ứng dụng trong cuộc sống đó cũng

là những thách thức

Thông tin di động là một lĩnh vực rất quan trọng trong cuộc sống, ứngdụng và những lợi ích mà thông tin di động đem lại trong đời sống vô cùng tolớn, là phương tiện liên lạc rất hữu ích giúp con người trao đổi thông tin vớinhau một cách trực tiếp hay gián tiếp qua mạng, có thể sử dụng trong khônggian rộng Tại thời kỳ phát triển hiện nay điện thoại di động là một thiết bịkhông thể thiếu trong cuộc sống, là thiết bị quan trọng để đảm bảo thông tin,ngoài chức năng thực hiện và nhận cuộc gọi Điện thoại di động còn vô vànnhững tính năng rất hữu ích giúp người dùng có thể sử dụng nhiều tiện ích,tính năng như: nhắn tin, báo thức, lưu số điện thoại, chụp ảnh lưu giữ kỉ niệm,

giải trí bằng cách nghe nhạc hay chơi game, sử dụng những ứng dụng trêninternet Bên cạnh những ưu điểm vượt trội tuy nhiên hình thức trao đổithông tin liên lạc qua di động vẫn có và mang lại nhiều rủi ro cho người sửdụng Tình trạng nghe lén, đánh cắp , giả mạo thông tin… luôn luôn rình rập

Sự cần thiết đặt ra trong vấn đề thông tin di động là làm sao để mỗi cánhân, tổ chức khi tham gia vào mạng di động không bị trùng lặp, nhận dạngriêng biệt và đảm bảo được sự an toàn cho mỗi thuê bao đó… Sử dụng thẻthông minh trên điện thoại di động đem lại những ưu thế lớn, lưu trữ nhữngthông tin như số điện thoại, mã số mạng di động, số PIN, cung cấp các dịch

vụ ứng dụng thêm như dịch vụ phi thoại, sổ điện thoại cá nhân và các thôngtin cần thiết khác khi sử dụng điện thoại di động thẻ thông minh sử dụng trênđiện thoại di động hay còn được gọi là thẻ SIM Nhờ có SIM mà người dùng

có thể thay đổi điện thoại di động dễ dàng, không cần đến sự hỗ trợ của nhàcung cấp dịch vụ di động, cũng như việc đảm bảo an toàn cho mỗi thuê bao

Với mỗi người dùng khi đăng kí với mỗi nhà cung cấp mạng di động vàchấp nhận những điều khoản của nhà cung cấp mạng di động đó sẽ được sửdụng những tiện ích của nhà mạng đó Mọi hoạt động, tính năng đã đượcđồng ý người dùng mới có thể sử dụng thông qua thẻ SIM mà nhà cung cấpnhận dạng được SIM còn chứa các dữ liệu khác của thuê bao như các mã số,

số của trung tâm dịch vụ nhắn tin, danh bạ…Các nhà kinh doanh và khai thácmạng di động đã phát triển hơn nữa về các thiết bị di động cũng như việc đápứng được yêu cầu của người dùng, giả sử như khi người dùng thay đổi điệnthoại di động vẫn phải đảm bảo được liên lạc và giữ được số liên lạc… Vớinhững yêu cầu từ thực tế như vậy thẻ thông minh đã được ứng dụng vàothông tin di động đặc biệt ở trên điện thoại di động để giải quyết những yêucầu trên

Tuy ứng dụng của thẻ thông minh vào các lĩnh vực ở Việt Nam chưa thật

sự mạnh mẽ nhưng bên cạnh đó thì việc phát triển của công nghệ thông tinđặc biệt là thông tin di động thì việc ứng dụng của thẻ thông minh vào điệnthoại di động là vô cùng lớn

Với những ưu điểm và thế mạnh mà thẻ thông minh ứng dụng trong thôngtin di động đem lại ngày càng cao Việc đảm bảo các tiêu chuẩn an toàn, nhỏ

gọn, các cơ chế bảo mật, khả năng đáp ứng linh hoạt các yêu cầu… của thẻthông minh với thông tin di động là vô cùng cần thiết Chính vì vậy đây là lí

do mà em chọn đề tài “Nghiên cứu thẻ thông minh ứng dụng vào an toàntrong thông tin di động” một trong những lĩnh vực ứng dụng thẻ thông minhnhiều nhất không chỉ ở nước ta mà trên toàn thế giới

Nội dung của đồ án gồm lởi nói đầu, 3 chương và kết luận

Lời nói đầu: Giới thiệu và lý do chọn đề tài, mục đích nghiên cứu của đềtài, nêu những nội dung sẽ tìm hiểu nghiên cứu trong đồ án, dự kiến kết quả

Chương 1: Tổng quan về thẻ thông minh: chương này trình bày về thẻthông minh, các đặc điểm, ứng dụng của thẻ thông minh.Tổ chức phát hànhkiểm soát thẻ thông minh Phát triển ứng dụng thẻ thông minh, phát triểntương lai của thẻ thông minh

Chương 2: An toàn trong thẻ thông minh: chương này đưa ra những tínhnăng bảo mật, phương pháp giúp đảm bảo an toàn và an ninh cho thẻ thôngminh, thuật toán mật mã, giao thức xác thực với thẻ thông minh, bảo toàn dữliệu với thẻ thông minh, những tấn công tác động đến thẻ thông minh và biệnpháp đối phó tấn công

Chương 3: Ứng dụng thẻ thông minh trong điện thoại di động: chương nàytìm hiểu và trình bày về thẻ thông và những ứng dụng an toàn trong thông tin

di động, hướng phát triển Các tiêu chuẩn về SIM, USIM nhận dạng thuê bao

và xác thực, vai trò an ninh của thẻ trong mạng di động Các cấu trúc file,chức năng của SIM, cơ chế an ninh trong mạng di động, hướng phát triểntrong tương lai

Kết luận: Tổng kết lại những nội dung đã làm của đồ án, đánh giá kết quả,

ý nghĩa của đồ án., hướng phát triển tiếp của đồ án

Sau khi hoàn thành đồ án kết quả dự kiến đạt được

Đồ án nghiên cứu và đề cập đến các kiến thức cơ bản về thẻ thẻ thôngminh, việc ứng dụng thẻ thông minh, và đặc biệt là ứng dụng an toàn trongthông tin di động Sau khi nghiên cứu bản thân đã có những hiểu biết về thẻthông minh, ứng dụng thẻ thông minh trong an toàn thông tin di động Hy

vọng đồ án sẽ giúp người đọc, những người muốn nghiên cứu về thẻ thôngminh sẽ tìm thấy những thông tin hữu ích trong đồ án.

Do hầu hết tài liệu tham khảo chủ yếu bằng tiếng Anh, trình độ còn hạnchế nên một số thuật ngữ chuyên môn dùng trong đồ án còn chưa thực sựchính xác Rất mong nhận được sự góp ý của các thầy giáo và các bạn

Em xin chân thành cảm ơn!

CHƯƠNG 1: TỔNG QUAN VỀ THẺ THÔNG MINH

Tóm tắt

Trong chương này sẽ trình bày tổng quan về thẻ thông minh, các loại thẻthông minh, những đặc điểm, tính năng, chip thẻ thông minh, các tổ chức pháthành quản lí thẻ, phát triển thẻ và ứng dụng của thẻ thông minh trong các lĩnhvực đời sống

1.1 Giới thiệu

Thẻ gắn chip tự động đầu tiên được phát minh vào năm 1968 bởi khoa họcgia tên lửa người Đức Helmut Grottrup và đồng nghiệp của ông là JurgenDethloff; bằng sáng chế này cuối cùng cũng được công nhận vào năm 1982.Lần đầu tiên dùng thẻ loại này với số lượng lớn là ở Pháp, dùng trong việcthanh toán điện thoại công cộng dùng thẻ hoặc xu ở Pháp, bắt đầu vào năm1983) Roland Moreno đăng ký bằng sáng chế về thẻ nhớ vào năm 1974 Năm

1977, Michel Ugon thuộc công ty Honeywell Bull phát minh ra thẻ thôngminh vi xử lý đầu tiên Năm 1978, Bull đăng ký bằng sáng chế về SPOM đưa

ra được một kiến trúc cần thiết để tự động lập trình lên một chip trên thẻ Banăm sau, chi đầu tiên dùng cho thẻ mang tên "CP8" được Motorola sản xuấtdựa trên bằng sáng chế này Vào thời đó, Bull đã có 1200 bằng sáng chế liênquan đến thẻ thông minh Năm 2001, Bull bán bộ phận CP8 của họ và tất cảcác bằng sáng chế liên quan cho Schlumberger Schlumberger ghép bộ phận

về thẻ thông minh của họ với CP8 và đặt tên là Axalto Đến năm 2006, Axalto

và Gemplus, là hai nhà máy sản xuất thẻ thông minh lớn nhất thế giới vàothời điểm đó, kết hợp lại với nhau và lấy tên là Gemalto

Việc tích hợp chip vào trong tất cả các thẻ tài khoản của Pháp (CarteBleue) hoàn tất vào năm 1992 Khi thanh toán ở Pháp bằng Carte Bleue,người ta nhét thẻ vào trong một trạm đầu cuối của ngân hàng, rồi nhập tiếpPIN trước khi quá trình thanh toán được chấp nhận Chỉ có rất ít qui trìnhthanh toán được chấp nhận mà không phải khai báo PIN (chẳng hạn như việcthanh toán lệ phí cầu đường với số tiền nhỏ)

Các hệ thống thanh toán điện tử dựa trên thẻ thông minh (mà trong các hệthống này, số dư tài khoản được lưu trữ ngay trên chip của thẻ, không cần

phải lưu trên một tài khoản bên ngoài tại ngân hàng, điều này cho phép cáctrạm đầu cuối quyết định luôn việc chấp nhận thanh toán từ thẻ hay không màkhông cần phải nối mạng về trung tâm ở ngân hàng) đã được thử nghiệm ởChâu Âu từ giữa những năm 1990, đặc biệt là ở Đức (Geldkarte), Úc (Quick),

Bỉ (Proton), Pháp (Moneo), Hà Lan (Chipknip and Chipper), Thụy sĩ (Cash),

Na uy (Mondex), Thụy điển (Cash), Phần Lan, Anh (Mondex)…

Sự bùng nổ dùng thẻ thông minh bắt đầu trong thập niên 90, khi có sự xuấthiện của SIM dùng trong thiết bị điện thoại di động GSM ở Châu Âu Cùngvới việc mạng di động mở rộng khắp Châu Âu, thẻ thông minh ngày càng trởnên thông dụng

Năm 1993 các đại gia trong ngành thanh toán quốc tế như MasterCard,Visa, và Europay thỏa thuận cùng hợp tác để xây dựng nên chuẩn kỹ thuậtcho việc dùng thẻ thông minh trong các thẻ thanh toán ở cả hai loại thẻ tàikhoản và thẻ tín dụng

Phiên bản đầu tiên của hệ thống EMV này được công bố vào năm 1994.Đến năm 1998, một phiên bản khác tin cậy hơn ra đời EMVco, công ty màchịu trách nhiệm bảo trì lâu dài hệ thống này, đã nâng cấp chuẩn kỹ thuật vàonăm 2000 và một lần nữa gần đây nhất là năm 2004 Mục tiêu của công tyEMV là phải đảm bảo với các tổ chức tài chánh và các đại lý rằng các chuẩn

kỹ thuật dù phát triển nhưng vẫn phải giữ được tương thích với phiên bản1998

Ngoại trừ một số nước như Mỹ, nhìn chung trên toàn thế giới đã có nhữngbước phát triển đáng kể trong việc xây dựng các thiết bị tại các điểm bán tuânthủ theo EMV cũng như việc phát hành các thẻ tín dụng và thẻ tài khoản thỏamãn các yêu cầu kỹ thuật của EMV

Thẻ thông minh với giao tiếp không cần tiếp xúc đã trở nên ngày càng phổbiến trong các ứng dụng thanh toán và mua vé, chẳng hạn trong bài toán bán

vé vận tải công cộng Hiện nay, Visa và MasterCard đã đồng ý thực hiện mộtphiên bản tại Mỹ (2004 – 2006) Nhìn toàn cảnh thế giới, các hệ thống thu phígiao thông dùng thẻ thông minh không tiếp xúc hiện đang được triển khainhiều Nhiều chuẩn khác nhau xuất hiện ở nhiều địa phương khác nhau và

thường không tương thích với nhau, mặc dầu hiện nay thẻ theo chuẩnMIFARE của Philips đang có một thị phần đáng kể ở cả Mỹ và Châu Âu.

Thẻ thông minh hiện đang bắt đầu được dùng trong các dự án làm thẻchứng minh nhân dân cũng như các loại giấp phép ở các mức vùng, toàn quốchay toàn cầu Các dự án làm thẻ công dân, giấy phép lái xe, thẻ bệnh nhântrên cơ sở thẻ thông minh ngày càng nhiều Lấy ví dụ, ở Malaysia dự án thẻchứng minh nhân dân trong nước, mang tên MyKad, là một loại thẻ bắt buộcmọi người dân phải làm Thẻ chứng minh này có 8 ứng dụng khác nhau vàcung cấp đến 18 triệu người dùng Thẻ thông minh không tiếp xúc hiện đangđược tích hợp vào giấy thông hành sinh trắc ICAO để tăng cường tính an ninhtrong phạm vi quốc tế

1.2 Các loại thẻ thông minh

Thẻ thông minh, thẻ gắn chip, hay thẻ tích hợp vi mạch ( integrated circuitcard -ICC) là loại thẻ bỏ túi thường có kích thước của thẻ tín dụng, bên trongchứa một mạch tích hợp có khả năng lưu trữ và xử lý thông tin Nó có thểđóng vai trò như thẻ căn cước, thực hiện việc xác thực thông tin, lưu trữ dữliệu hay dùng trong các ứng dụng thẻ

Có hai loại thẻ thông minh chính các thẻ nhớ (Memory card) chỉ chứa cácthành phần bộ nhớ bất biến (non-volatile memory), và có thể có một số chứcnăng bảo mật cụ thể Thẻ vi xử lý chứa bộ nhớ khả biến(volatile memory) vàcác thành phần vi xử lý Thẻ làm bằng nhựa, thường là PVC, đôi khi ABS.Thẻ có thể chứa một ảnh 3 chiều (hologram) để tránh các vụ lừa đảo Thẻthông minh:

1 Có thể tham gia vào một giao dịch điện tử tự động

2 Được sử dụng chủ yếu để tăng an ninh

3 Không dễ dàng giả mạo hoặc sao chép

4 Có thể lưu trữ dữ liệu một cách an toàn

5 Có thể lưu trữ, chạy một loạt các thuật toán bảo mật và chức năng.Định nghĩa này sẽ được áp dụng cho một vài loại thẻ nổi tiếng đểkiểm tra chúng có thật sự “thông minh”

Thẻ thông minh cho phép thực hiện các giao dịch kinh doanh một cáchhiệu quả theo một cách chuẩn mực, linh hoạt và an ninh mà trong đó conngười ít phải can thiệp vào

Thẻ thông minh thực hiện việc kiểm tra và xác nhận chặt chẽ mà khôngphải dùng thêm các công cụ khác như mật khẩu…Chính vì thế, có thể thựchiện hệ thống dùng cho việc đăng nhập sử dụng máy tính, máy tính xách tay,

dữ liệu bảo mật hoặc các môi trường kế hoạch sử dụng tài nguyên của côngty…với thẻ thông minh là phương tiện kiểm tra và xác nhận duy nhất

Mạch tích hợp trong thẻ gồm các thành phần được sử dụng cho truyền, lưutrữ và xử lý dữ liệu

Thẻ thông minh có thể có một vùng dập nổi trên một mặt và dải từ trênmặt kia

Thể hiện vật lý và đặc tính của thẻ thông minh được định nghĩa trongchuẩn ISO 7816 phần 1 Đó là tài liệu cho ngành công nghiệp thẻ thông minh.Thông thường thẻ thông minh không chứa thiết bị cung cấp nguồn, hiển thịhay bàn phím Để tương tác với thế giới bên ngoài, thẻ thông minh được đặttrong hay gần thiết bị chấp nhận thẻ, được nối với máy tính

1.2.1 Thẻ nhớ và thẻ chip

Thẻ thông minh sớm nhất được sản xuất theo số lượng lớn là thẻ nhớ Thẻnhớ chưa thực sự là thẻ thông minh vì chúng không có vi xử lý Chúng đượcnhúng trong chip nhớ hoặc chip kết hợp với bộ nhớ nhưng không lập trìnhđược

Do thẻ nhớ không có CPU, nên việc xử lý dữ liệu được thực hiện bởi một

số mạch đơn giản, có khả năng thực hiện một vài lệnh được lập trình trước.Cũng do số chức năng của một mạch là giới hạn, được cố định trước nênkhông thể lập trình để thay đổi các chức năng đó Tuy nhiên thẻ nhớ có thể dễdàng làm giả

Ưu điểm của thẻ nhớ là đòi hỏi công nghệ đơn giản do đó giá thành thấp

Thẻ vi xử lý, có khả năng bảo mật cao và khả năng tính toán Với thẻ vi xử

lý, dữ liệu không được phép truy xuất tuỳ ý vào bộ nhớ Bộ vi xử lý kiểm soát

dữ liệu và việc truy nhập bộ nhớ thông qua các điều kiện (mật khẩu, mã hóa

…) và các lệnh từ ứng dụng bên ngoài

Nhiều loại thẻ vi xử lý hiện nay được thiết kế hỗ trợ việc mã hóa Các thẻ

đó đặc biệt hữu ích cho các ứng dụng cần bảo mật dữ liệu Các chức năng củathẻ chủ yếu bị giới hạn bởi dung lượng bộ nhớ và sức mạnh tính toán CPUtrong thẻ

Thẻ vi xử lý được dùng rộng rãi trong kiểm soát truy nhập, ứng dụng ngânhàng, thẻ viễn thông, thẻ khách hàng thường xuyên…

Nhìn chung thuật ngữ “thẻ thông minh” bao gồm cả thẻ nhớ và thẻ vi xử

lý

1.2.2 Thẻ thông minh có tiếp xúc

Loại thẻ thông minh có tiếp xúc có một diện tích tiếp xúc, bao gồm một sốtiếp điểm mạ vàng và có diện tích khoảng 1 cm vuông Khi được đưa vào máyđọc, con chip trên thẻ sẽ giao tiếp với các tiếp điểm điện tử và cho phép máyđọc thông tin từ chip và viết thông tin lên nó

Hình 1.1: Thẻ thông minh có tiếp xúc

1.2.3 Thẻ thông minh không tiếp xúc

Một loại thẻ thứ hai là thẻ thông minh không tiếp xúc, đây là loại thẻ màchip trên nó liên lạc với máy đọc thẻ thông qua công nghệ cảm ứng RFID (với

tốc độ dữ liệu từ 106 đến 848 kbit/s) Những thẻ này chỉ cần đặt gần mộtanten để thực hiện quá trình truyền và nhận dữ liệu

Chúng thường được dùng trong các tình huống truyền nhận dữ liệu thậtnhanh hay khi người chủ thẻ cần rảnh tay, chẳng hạn ở các hệ thống giaothông công cộng mà có thể sử dụng không cần rút thẻ ra khỏi ví

Hình 1.2: Thẻ thông minh không tiếp xúc

Chuẩn thông tin cho thẻ thông minh không tiếp xúc là ISO/IEC 14443,phát hành năm 2001 Nó qui định hai kiểu thẻ không tiếp xúc ("A" and "B"),cho phép liên lạc với khoảng cách lên đến 10 cm

Cũng có một vài chuẩn khác như ISO 14443 kiểu C, D, E và F mà đã bịloại bỏ bởi International Organization for Standardization Một chuẩn kháccủa thẻ thông minh là ISO 15693, cho phép thông tin ở khoảng cách lên đến

50 cm

Một số ví dụ điển hình của việc dùng thẻ thông minh không tiếp xúc là thẻOctopus của Hồng Kong, và thẻ Suica của Japan Rail mà đã xuất hiện trướckhi có chuẩn ISO/IEC 14443 Thẻ không tiếp xúc truyền dữ liệu tới thiết bịchấp nhận thẻ thông qua trường điện từ

1.2.4 Thẻ lưỡng tính

Thẻ lưỡng tính: kết hợp các đặc điểm của thẻ tiếp xúc và thẻ không tiếpxúc Dữ liệu được truyền hoặc bằng cách tiếp xúc, hoặc không tiếp xúc Thẻlưỡng tính đắt hơn rất nhiều so với 2 loại trên

1.3 Đặc điểm của thẻ thông minh

Thẻ thông minh có một số đặc điểm như sau:

 Là một thẻ nhựa được gắn một bộ mạch tích hợp (thẻ chip) cho phépđáp ứng các nhu cầu về lưu trữ dữ liệu, bảo vệ dữ liệu, cũng như các nhucầu về tính toán phức tạp như mã hóa và xác thực dữ liệu, đảm bảo tínhbảo mật và tính toàn vẹn dữ liệu trên đường truyền Dung lượng bộ nhớkhá lớn, thông thường là từ 64K – 128K

 Thường kích thước cỡ một thẻ tín dụng Chuẩn ID-1 của ISO/IEC

7810 qui định là 85,60 × 53,98 mm Một kích thước khác cũng khá thôngdụng là ID-000 tức cỡ 25 x 15 mm Cả hai kích thước này đều có bề dày là0,76 mm

 Chứa một hệ thống an ninh có các đặc điểm tính chất nhằm chống giảmạo (chẳng hạn, một vi xử lý chuyên dụng dùng cho bảo mật, một hệthống an ninh quản lý file

 Tài nguyên trên thẻ được quản lý bởi một hệ thống quản trị trung tâm

mà cho phép trao đổi thông tin và cấu hình cài đặt với thẻ thông qua hệthống an ninh nói trên

 Dữ liệu trên thẻ được truyền đến hệ thống quản trị trung tâm nhờ vàocác thiết bị đọc thẻ, chẳng hạn máy đọc vé, ATM…

Tuy nhiên một trong những ưu điểm lớn nhất của thẻ thông minh là dữ liệulưu trữ có thể được bảo vệ khỏi sự truy nhập trái phép từ bên ngoài Vì dữliệu chỉ có thể được truy nhập thông qua các giao diện nối tiếp điều khiển bởi

hệ điều hành nên dữ liệu bí mật có thể được ghi vào trong thẻ theo cách màbên ngoài không thể đọc được Dữ liệu như vậy chỉ có thể được đọc bởi CPUcủa thẻ

Tính năng Hạn chế

CPU (>32bit) Không có sự hỗ trợ khi đơn lẻ

ROM(>200kb) Các hạn chế về tiêu thụ điện năng

EEROM(>64kb) Không có giao diện người dùng

Có bộ vi xử lý mật mã tùy chọn không có đồng hồ

Kích thước rất nhỏ Hạn chế (so sánh với máy tính)

Đã được chuẩn hóa Không linh hoạt trong việc kế thừa

Có hệ điều hành Các thẻ mới đòi hỏi việc triển khai

Có sẵn công cụ phát triển

Có nhiều nhà cung cấp

Nhất quán và điều khiển được

Bảng 1.1: Tóm tắt các điểm mạnh và điểm yếu thẻ thông minh

Một nhược điểm của thẻ thông minh là khả năng hư hỏng Thẻ nhựa màchip đặt trên nó là khá dẻo, dễ uốn, và do đó chip càng lớn thì càng dễ bị gãy.Thẻ thông minh thường được bỏ trong ví, đây là một môi trường khá khắcnghiệt đối với chip điện tử Tuy nhiên, đối với một số hệ thống ngân hàng lớn,chi phí quản lý bảo hành thẻ có thể chấp nhận được so với chi phí giảm giảmạo và lừa đảo Dùng thẻ thông minh cho giao thông công cộng cũng có mộtchút rủi ro về quyền tự do cá nhân, bởi vì với hệ thống như vậy thì ngườiquản lý giao thông có thể dò theo hành trình của cá nhân Thẻ thông minh

dùng để xác nhận khách hàng là một trong những cách an ninh nhất, có thểdùng trong những ứng dụng như giao dịch ngân hàng qua internet, nhưng mức

độ an ninh không thể đảm bảo 100% Trong trường hợp giao dịch ngân hàngqua internet, nếu PC bị nhiễm bởi các phần mềm xấu, mô hình an ninh sẽ bịphá vỡ Phần mềm xấu có thể viết đè lên thông tin (cả thông tin đầu vào từbàn phím và thông tin đầu ra màn hình) giữa khách hàng và ngân hàng Nó cóthể sẽ sửa đổi giao dịch mà khách hàng không biết Có những phần mềm xấunhư vậy, chẳng hạn như Trojan Silentbanker) Các ngân hàng như Dexia ở Bỉdùng một thẻ thông minh chung với một máy đọc thẻ không nối mạng nhằmgiải quyết vấn đề trên Khách hàng nhập một thông tin đánh giá từ trang webcủa ngân hàng, PIN của họ, và tổng số tiền giao dịch vào một máy đọc thẻ,máy đọc thẻ sẽ trả lại một chữ ký 8 chữ số Chữ ký này sẽ được khách hàngnhập bằng tay vào PC và được kiểm chứng bởi ngân hàng

Bên cạnh việc chạy đua kỹ thuật cũng là sự thiếu hẳn một chuẩn thốngnhất về chức năng và an ninh của thẻ thông minh Để giải quyết vấn đề này,

dự án ERIDANE đã được khởi động bởi The Berlin Group để phát triển một

“khung chức năng và an ninh cho những thiết bị bán lẻ đầu cuối dùng thẻthông minh”

1.4 Chip dùng cho thẻ thông minh

Hình 1.3: Một sơ đồ sắp xếp các điểm tiếp xúc

Thẻ thông minh có 8 điểm tiếp xúc, chức năng của chúng như hình trên.Hướng và vị trí các điểm tiếp xúc được mô tả trong phần 2 của ISO 7816

 Điểm Vcc cung cấp nguồn cho chip hiệu điện thế 3 hoặc 5 volts, với sai

số 10% Thẻ thông minh trong các máy di động thường là 3 volts

 Điểm RST được dùng để gửi tín hiệu để reset bộ vi xử lý – được gọi làkhởi động nóng (warm reset) Khởi động nguội (cold reset) được thựchiện chuyển nguồn cung cấp tắt hoặc bật.

 Bộ xử lý thẻ thông minh không thực hiện việc tạo tín hiệu đồng hồ bêntrong Điểm CLK cung cấp tín hiệu đồng hồ bên ngoài, từ đó tạo ra tínhiệu đồng hồ bên trong

 Điểm GND dùng như mức hiệu điện thế chuẩn, giá trị xem như bằng 0

 Điểm Vpp là tùy chọn và chỉ dùng trong các thẻ cũ Khi được sử dụng,

nó cung cấp hai mức hiệu điện thế lập trình Mức thấp được gọi là trạngthái ngủ (idle state), mức cao là trạng thái kích hoạt ( active state) Thayđổi mức điện thế là cần thiết để lập trình bộ nhớ EEPROM trong một sốthẻ thông minh cũ

 Điểm I/O được dùng để chuyển dữ liệu và lệnh giữa thẻ thông minh vàthế giới bên ngoài theo chế độ bán song công (half – duplex mod) Cónghĩa là tín hiệu và lệnh chỉ được truyền theo một hướng duy nhất ởmột thời điểm

 Các điểm RFU để dành cho tương lai

Bộ vi xử lý được tìm thấy trong một thẻ thông minh khác hẳn với bộ vi xử

lý tìm thấy trong một máy tính hiện đại mặc dù cốt lõi của chip thẻ thôngminh là không khác mấy so với của máy tính Chip thẻ thông minh có xuhướng rất nhỏ Thẻ có gắn một bộ vi xử lý, bộ vi xử lý này có kích thước rấtnhỏ nhưng có cấu tạo gồm bộ nhớ EEPROM, bộ nhớ chỉ đọc (ROM), bộ nhớtruy cập ngẫu nhiên (RAM), CPU Các chi tiết của nó có vai trò giống như vaitrò của các bộ phận tương tự trong một máy tính

Hình 1.4: Bộ vi xử lý thẻ thông minh

Thẻ thông minh thường gồm ba loại bộ nhớ ROM, EEPROM, RAM

 ROM (Read-Only-Memory bộ nhớ chỉ đọc) được dùng để lưu trữcác chương trình cố định của thẻ Nó có thể lưu trữ dữ liệu khinguồn đã tắt và không thể ghi sau khi thẻ được sản xuất ROM củathẻ thông minh có thể chứa hệ điều hành cũng như dữ liệu vàchương trình cố định Quá trình ghi mã nhị phân vào ROM được gọi

là làm mặt nạ, được thực hiện trong quá trình sản xuất chip

 CPU chức năng của CPU là điều khiển các bộ phận khác, xử lýthông tin, và thực hiện các phép tính Cấu tạo của CPU rất đa dạng,nhưng nói chung gồm 1 bộ xử lý đảm nhận những chu trình cơ bảncủa CPU như đọc 1 chỉ thị và thực hiện nó, giải mã, lưu trữ, đảmnhận chức năng ALU, quản lý thanh ghi, quản lý bộ nhớ(registers, RAM, ROM)

 EEPROM (bộ nhớ chỉ đọc có thể lập trình bằng tín hiệu điện) Loại

bộ nhớ này giống ROM ở chỗ là thông tin lưu trữ vẫn nguyên vẹn,ngay cả khi card bị ngắt khỏi nguồn năng lượng EPPROM có thêm

1 lợi thế là có thể cùng lúc ở mode đọc hoặc ghi Giống ROM, dunglượng EPPROM vào khoảng vài trăm KB, do thiếu không gian.Ngày nay, sự xuất hiện của những công nghệ mới như bộ nhớ Flash,

hoặc RAM sắt điện (FeRAM) (với thời gian đọc, ghi, xóa ngắn hơnnhiều, và kích thước của bit nhớ cũng nhỏ hơn) đã tăng dung lượngnhớ của thẻ thông minh lên rất nhiều.

 RAM (bộ nhớ truy nhập ngẫu nhiên): dùng để lưu trữ những thôngtin cần xử lý nhanh nhưng mang tính tạm thời, không được lưu lạikhi nguồn đã tắt

1.5 Tổ chức phát hành kiểm soát thẻ thông minh

Việc tạo ra các chuẩn quốc tế và quốc gia cho thẻ thông minh là một yêucầu bắt buộc đối với việc đưa thẻ thông minh ứng dụng rộng rãi trong cuộcsống hàng ngày Các chuẩn đặc biệt quan trọng đối với việc mở rộng phạm vi

sử dụng của thẻ thông minh Thẻ thông minh chỉ là một thành phần trongnhiều thành phần của một hệ thống phức tạp Điều này có nghĩa là giao diệngiữa thẻ và phần còn lại của hệ thống phải được đặc tả chính xác và phù hợpvới nhau Việc này tất nhiên là có thể làm được cho mỗi hệ thống tuỳ theotừng trường hợp mà không cần quan tâm đến hệ thống khác Tuy nhiên, điềunày cũng có nghĩa là các loại thẻ khác nhau sẽ cần cho các hệ thống khácnhau Người dùng do đó sẽ phải mang nhiều loại thẻ thông minh cho các ứngdụng Để tránh điều này, cần phải tạo ra được một chuẩn độc lập ứng dụngcho phép thẻ đa chức năng có thể được phát triển

Dưới đây là một số tổ chức tham gia vào các chuẩn của thẻ thông minh:

 ISO (International Standard Organization) Chuẩn ISO 7816 là chuẩnquốc tế cho các loại thẻ mạch tích hợp (thẻ thông minh) dùng tiếpxúc điện Bất kỳ ai muốn hiểu được về mặt kỹ thuật của thẻ thôngminh đều cần phải biết đến ISO 7816

 NIST(National Institute of Standards and Technology) NIST đã xuấtbản tài liệu FIPS 140-1, “Yêu cầu bảo mật đối với module mật mã”.Tài liệu này liên quan đến khía cạnh an ninh vật lý của chip thẻthông minh, được định nghĩa như là một loại module mật mã

 Europay, MasterCard và Visa Europay, MasterCard và Visa đã tạo

ra “Đặc tả thẻ mạch tích hợp cho hệ thống trả tiền” Đặc tả này có

mục đích tạo ra một cơ sở kỹ thuật cho thẻ và việc thực thi của hệthống lưu trữ giá trị

 Microsoft có một chuẩn cho thẻ thông minh và PC (PersonalComputer) là đặc tả PC/SC

 CEN và ETSI (European Telecomunications Standards Institute).CEN và ETSI tập trung chủ yếu vào lĩnh vực viễn thông với GSMSIM cho điện thoại di động

Thẻ thông minh được viết theo chuẩn IS0 7816 Chuẩn ISO 7816 có 6phần Một số phần đã hoàn thiện, nhưng cũng còn một số phần mới đangtrong giai đoạn bản thảo

 Phần 1: Các đặc tính vật lý - ISO 7816-1: Định nghĩa chiều các tiếpxúc vật lý của thẻ thông minh và sự chịu đựng của chúng với điệntĩnh, với phóng xạ từ, và sức ép cơ học

 Phần 2: Chiều và vị trí của các tiếp xúc - ISO 7816-2: định nghĩa vịtrí,mục đích và các tính chất điện của các tiếp xúc

 Phần 3: Giao thức truyền thông và tín hiệu điện - ISO 7816-3: địnhnghĩa điện thế, các yêu cầu dòng điện cho các tiếp xúc điện

 Phần 4: Các lệnh công nghiệp cho sự trao đổi - ISO 7816-4: thiết lậpmột tập lệnh cho thẻ để cung cấp sự truy cập, tính bảo mật và sựtruyền thông của dữ liệu trong thẻ

 Phần 5: Hệ thống đánh số và thủ tục đăng ký cho các định danh ứngdụng - ISO 7816-5: thiết lập chuẩn cho định danh ứng dụng (AID)

 Phần 6: Thành phần dữ liệu công nghiệp- ISO 7816-6: mô tả các quytắc mã hoá cho dữ liệu dùng trong ứng dụng như tên, ảnh của người

sở hữu, ngôn ngữ yêu thích…

1.6 Các ứng dụng hiện tại của thẻ thông minh.

Phần lớn các nghiên cứu về thẻ thông minh được bắt nguồn từ châu Âu, do

đó cũng không ngạc nhiên khi vào thời điểm hiện tại, người châu Âu chiếmmột phần lớn trong số những người sử dụng thẻ thông minh Vào năm 2007,

châu Âu chiếm khoảng 80% thị trường thẻ thông minh trong đó Pháp là nước

đi tiên phong

Làn sóng đầu tiên của thẻ thông minh diễn ra vào năm 1983 khi FranceTélécom đưa vào thị trường những thẻ điện thoại trả trước đầu tiên “lestélécartes”, dùng trong các trạm điện thoại công cộng Sau đó, vào năm 1986,với việc tích hợp các vi mạch, thẻ ngân hàng Pháp “la carte bleue”, đã thaythế các thẻ từ Sự bùng nổ của thẻ thông minh ở mức độ toàn cầu diễn ratrong những năm 90 với sự xuất hiện của thẻ SIM dùng trong các điện thoại

 Ngân hàng : thẻ ngân hàng, ví điện tử Moneo

 Viễn thông : thẻ SIM, thẻ trả trước

 Bảo mật và mạng : thẻ xác nhận, thẻ kiểm soát, chữ ký điện tử, thẻ

TV, Internet bảo mật

 Chính phủ : thẻ ID, thẻ bảo hiểm y tế, bằng lái xe

 Giao thông : thẻ giao thông điện tử, thẻ khách hàng

1.6.1 Ứng dụng thẻ thông minh trong điện thoại di động

Chương 3 sẽ cung cấp một nghiên cứu chuyên sâu về SIM, USIM trongđiện thoại di động, tuy nhiên trong phần này sẽ giới thiệu một cái nhìn nhanhtổng quan sự hữu ích để hiểu lý do tại sao có những thẻ thông minh trong điệnthoại di động và ứng dụng vào thông tin di động ngày càng phát triển mạnh

mẽ Tìm hiểu lịch sử trước khi kỹ thuật GSM tiêu chuẩn điện thoại được giớithiệu, tại Anh có một hệ thống điện thoại di động tương tự đưa vào sử dụng

Là một hệ thống đi đầu tiên phong trọng tâm ban đầu là làm cho các đài phát

thanh, hệ thống truyền thông công trình làm việc Thực tế điều này đã đạtđược những thành tựu với công nghệ của thời đại là mộ hình thành công đángkinh ngạc, nhưng bên cạnh đó các vấn đề khác như quyền riêng tư, bảo mật làkhá thô sơ Cơ bản là một điện thoại di động nắm giữ hai định danh được sửdụng để xác thực điện thoại và người sử dụng mạng Một là số điện thoạithông thường và hai là cho các thiết bị cầm tay Khi người dùng muốn thựchiện cuộc gọi có một tín hiệu trao đổi liên quan đến việc hai định danh nếumạng đánh giá các thông số được chính xác và phù hợp thì hợp lệ để chứngthực người sử dụng Trong thực tế với một máy thu radio kẻ nghe trộm có thểnghe bất kỳ cuộc gọi vì không có mã hóa Nó cũng có thể xác định bênMSISDN được truyền đi Rõ ràng điều này là rất nguy hiểm, mất an toàn từgóc độ bảo mật và tính riêng Chưa kể đến kẻ nghe trộm cũng có thể nhậnđược ESN Vì thế các nhà khai thác di động quyết định rằng trong thế hệ tiếptheo điện thoại (GSM ) họ sẽ nhúng một module bảo mật trong các hình thứccủa thẻ SIM.

SIM tích hợp một số tính năng đã khắc phục các vấn đề của hệ thốngtương tự trước đó, (trong chương 3 sẽ mô tả chi tiết hơn ) Thứ nhất nắm giữđược thông tin di động làm cho khó khăn hơn để xác định ai là người thựchiện một cuộc gọi Bên cạnh đó SIM cũng tổ chức 2 thuật toán và một khóa bímật được sử dụng để mã hóa khóa đối xứng Việc đặt tên của các thuật toánkhông phải là từ cảm hứng mà liên quan đến các thuật toán được xem xét bởi

ủy ban tiêu chuẩn

Các thuật toán A3 được sử dụng để xác thực thiết bị di động, A8 được sửdụng để hỗ trợ tạo khóa và thuật toán A5 để mã hóa dữ liệu

Hình 1.5: Điện thoại và SIM

Nhà điều hành mạng di động có một máy chủ ( gọi là trung tâm xác thựcAuC ) có bản sao của tất cả các thẻ cũng như các thuật toán Lưu ý rằng mộtnhà điều hành thiết kế và sử dụng các thuật toán A3/A8 độc quyền riêng của

họ GSM đã được thành công đáng kể và sự phát triển thế hệ USIM 3G saunày đã loại bỏ một số điểm yếu trong 2G Tất cả sự phát triển ngày nay màđiện thoại di động có được có sự ứng dụng rất lớn từ thẻ SIM

1.6.2 Ứng dụng thẻ thông minh trong an ninh máy tính

Trình duyệt web Mozilla Firefox có thể dùng thẻ thông minh để lưutrữ chứng nhận dùng cho việc duyệt web một cách an ninh Một vài hệ thống

mã hóa đĩa, chẳng hạn như FreeOTFE, có thể dùng thẻ thông minh để giữ cáckhóa mã một cách an ninh, và cũng để thêm một lớp nữa cho việc mã hóa cácphần quan trọng nhất của đĩa cần bảo mật

1.6.3 Ứng dụng thẻ thông minh trong tài chính

Các ứng dụng của thẻ thông minh trong lĩnh vực tài chính bao gồm : thẻtín dụng hay thẻ ATM, thẻ đổ xăng, SIM cho điện thoại di động, thẻ truyềnhình cho các kênh phải trả tiền, các thẻ dùng cho điện thoại công cộng hoặc

giao thông công cộng Thẻ thông minh cũng có thể dùng như ví điện tử Chiptrên thẻ thông minh có thể được nạp sẵn một số tiền mà có thể dùng tiêu xàitại các trạm đỗ xe và các máy bán hàng tự động Một số ví dụ như Proton,Geldkarte, Chipknip Thẻ Geldkarte của Đức cũng có thêm tính năng kiểm tratuổi của người mua để cho phép mua thuốc lá tại các máy bán hàng tự độnghay không Hay như thẻ EMV là sản phẩm thẻ tín dụng quốc tế được pháthành trên nền tảng thẻ chip (hay thẻ thông minh) Đây là sản phẩm thẻ đượcgắn chip điện tử với bộ vi xử lý như một máy tính thu nhỏ đa chức năng vàứng dụng Thẻ có khả năng lưu trữ các thông tin quan trọng được mã hóa với

độ bảo mật cao (dữ liệu thẻ được bảo mật nhiều tầng bằng các lớp mã hóa vàkhóa hệ thống) Thẻ EMV được thiết kế khác biệt, thể hiện được tính côngnghệ, hiện đại và rất an toàn khi khách hàng chi tiêu và thanh toán cần tuyệtđối bảo mật thông tin thẻ

1.6.4 Ứng dụng thẻ thông minh trong chứng minh thư hoặc các thẻ

tương tự

Một ứng dụng đang ngày càng phát triển rất nhanh đó là dùng trong cácthẻ chứng minh nhân dân kỹ thuật số Trong ứng dụng này, thẻ thông minhđược dùng như một bằng chứng để xác minh Một ví dụ thường gặp nhất là sửdụng thẻ thông minh cùng với một PKI Thẻ thông minh sẽ lưu trữ một chứngnhận số đã mã hóa từ PKI cùng với các thông tin liên quan và cần thiết vềngười chủ thẻ Các hệ thống hiện có như thẻ ra vào dùng chung (CAC) của

Bộ quốc phòng Mỹ, và hệ thống chứng minh nhân dân tại nhiều nước áp dụngcho toàn thể công dân của họ Khi dùng chung với các đặc trưng sinh trắchọc, thẻ thông minh có độ tin cậy và an ninh tăng gấp hai đến ba lần

Hệ thống giấy phép lái xe dùng thẻ thông minh đầu tiên trên thế giới đượcgiới thiệu vào năm 1995 tại Mendoza, một tỉnh của Argentina Mendoza lànơi có tỉ lệ tai nạn giao thông cao, số người vi phạm giao thông nhiều và tỉ lệđóng phạt lại thấp Giấy phép lái xe dùng thẻ thông minh sẽ lưu trữ và cậpnhật thông tin vi phạm và số tiền phạt chưa đóng của tài xế Nó cũng lưuthông tin cá nhân, loại và số giấy phép cũng như hình chụp của người chủ thẻ.Ngoài ra các thông tin cần thiết cho cấp cứu như nhóm máu, dị ứng, và sinhtrắc học (dấu tay) cũng được lưu vào trong chip nếu người chủ thẻ yêu cầu

Trường hợp Ấn độ, năm 1999 Gujarat là tiểu bang đầu tiên đưa vào sử dụngsmart card license system Hiện nay, chính phủ Gujarat đã phát hành 5 triệugiấy phép lái xe dùng thẻ thông minh đến công dân của họ Về cơ bản, đây làloại thẻ nhựa theo chuẩn ISO/IEC 7810 có khả năng lưu trữ và kiểm tra thôngtin về chủ thẻ.

Thẻ thông minh đã và đang được quảng cáo như một phương tiện phù hợpcho các nhiệm vụ xác minh cá nhân, bởi chúng được thiết kế và chế tạo nhằmtránh giả mạo Chip được nhúng trên thẻ thông minh thường được cài thêmmột số thuật toán bảo mật Thông tin về giải thuật bên trong chỉ có thể biếtđược nếu biết chính xác thời gian và dòng điện tiêu thụ của việc mã hóa vàgiải mã Một số nghiên cứu cũng đã đưa ra tính khả thi của việc tấn công lấycắp thông tin trên thẻ và cũng đã đưa ra nhiều biện pháp đối phó Bắt đầu từnăm 2009 toàn bộ dân số của Tây Ban Nha và Bỉ sẽ có thẻ chứng minh nhândân số Các thẻ này có hai chức năng: xác minh và chữ ký điện tử Chữ kýnày được công nhận hợp pháp Ngày càng có nhiều quốc gia sử dụng thẻchứng minh nhân dân số như là bằng chứng hợp pháp cho nhiều dịch vụ khácnhau

1.6.5 Ứng dụng thẻ thông minh trong trong giao thông

Thẻ thông minh trong hệ thống thu lệ phí (cầu, đường) điện tử Trong một

số nước, người ta phải trả tiền cho việc sử dụng một số đoạn đường khi điqua đoạn đường đó Số tiền phải trả phụ thuộc vào loại phương tiện và số lần

đi qua Cho đến nay, lệ phí qua cầu, đường thường được trả tại một số trạmtrên cầu, đường đó Những hệ thống này có hạn chế là chúng làm cản trởluồng giao thông vì các phương tiện phải dừng lại để trả tiền Ở Đức năm

1993, người ta đã cho thử nghiệm một hệ thống thu tiền tự động Hệ thốngnày sử dụng thẻ thông minh để lưu giữ số tiền điện tử Với hệ thống này, cácphương tiện đi lại phải được gắn thêm một thiết bị gọi là OBU (onboard unit)hoặc IVU (in-vehicle unit) OBU có chứa một Terminal OBU liên kết vớibên ngoài thông qua sóng cực ngắn (microwave) Các trạm điều khiển đượcđặt trên đường ở các vị trí cần thiết Khi phương tiện đi qua trạm điều khiểnđầu tiên, OBU và thẻ thông minh được kích hoạt Tiếp đó, phương tiện đượcphân loại để có thể tính lệphí Việc phân loại này được thực hiện bằng cách

đo chiều cao của phương tiện khi nó đi qua trạm Khi phương tiện trong vùngphủ sóng của trạm kiểm soát thứ hai, một liên kết được nối với thẻ thông quaOBU Trạm kiểm soát thứ hai kiểm tra lệ phí cầu đường được khởi tạo bởitrạm đầu tiên đã thành công hay chưa Nếu chưa, phương tiện sẽ bị chụp ảnhnhờ vào hệ thống camera được đặt tại các trạm Người đăng ký xe do đó sẽ bịphạt tiền Nếu thành công, số tiền điện tử trong thẻ thông minh sẽ được giảmđi.

1.6.6 Ứng dụng thẻ thông minh trong thanh toán điện tử

Có 3 mô hình cơ bản cho việc thanh toán điện tử sử dụng thẻ thông minh:

mô hình dùng thẻ credit, trong đó việc trả tiền diễn ra sau khi dịch vụ đượcthực hiện, mô hình dùng thẻ debit, trong đó việc trả tiền diễn ra trong khi dịch

vụ thực hiện, mô hình dùng ví điện tử, trong đó việc trả tiền diễn ra trước khidịch vụ thực hiện

 Thẻ tín dụng

Nguyên tắc thanh toán bằng thẻ tín dụng rất đơn giản: Người sử dụng

sẽ thanh toán bằng thẻ của mình, sau đó số lượng tiền tương ứng sẽ

được lấy ra từ tài khoản của người dùng

 Thẻ ghi nợ

Thẻ ghi nợ cho phép số lượng tiền được thanh toán chuyển đến tàikhoản của các nhà cung cấp dịch vụ như là một phần trực tiếp của quátrình thanh toán

 Ví điện tử

Với ví điện tử, ‘tiền điện tử’ được tải vào trong thẻ trước bất kỳ mộtcuộc trả tiền nào Khi việc mua hàng diễn ra, số tiền trong thẻ sẽ đượcgiảm đi một lượng bằng với số tiền mua hàng, và cùng một thời điểm,

số lượng tiền trong ví của nhà cung cấp dịch vụ cũng tăng lên mộtlượng tương ứng với số tiền mua hàng Nhà cung cấp dịch vụ sau này

có thể đưa số tiền điện tử này tới các nhà cung cấp hệ thống thanh toánđiện tử để có thể lấy tiền mặt Người dùng thẻ muốn có thêm số tiềnđiện tử trong chiếc ví sẽ phải dùng tiền mặt để đổi lấy tiền điện tử

Kiến trúc hệ thống của một hệ thống thanh toán điện tử sử dụng thẻ thông

minh có thể là hệ thống tập trung hoá hoặc phi tập trung hoá Với các hệthống cụ thể, vấn đề an ninh của hệ thống là vấn đề được đặt lên hàng đầu Do

đó hệ thống tập trung hoá thường hay được sử dụng hơn vì những người quảntrị hệ thống có thể kiểm soát toàn bộ hệ thống

Hệ thống tập trung hoá nói đến một hệ thống trực tuyến trong đó mọi họat

động thanh toán đều được thực hiện trực tiếp và diễn ra trực tuyến bởi hệ

thống nền Nếu đường truyền thông không được thiết lập, việc thanh toánkhông thực hiện được Các hệ thống tập trung có một số ưu điểm Ví dụ nhưcác phiên giao dịch đến có thể được so sánh trực tiếp với danh sách đen ở thờigian thực, việc trao đổi khoá có thể được tiến hành một cách trực tiếp màkhông có sự trì hoãn nào

Các phần mềm trong Terminal và các tham số chung trong thẻ thông minh

có thể được cập nhật một cách trực tiếp mà không phải tốn thêm nhiều côngsức Tuy nhiên hệ thống tập trung hoá rất khó được ứng dụng rộng rãi vì sựphức tạp của việc triển khai Trong rất nhiều nước, cước phí truyền thông làtương đối cao nên sẽ không thích hợp với các nhà doanh nghiệp cho việc duytrì một đường truyền lâu dài với hệ thống nền Ở một số khu vực, mạng điệnthoại không đủ tin cậy để cho phép đường kết nối trực tuyến trong các phiêngiao dịch

Với đặc điểm của mình, thẻ thông minh khá thích hợp cho các hệ thống phitập trung vì nó chứa một phần sự an toàn của hệ thống Thực tế, việc dùng víđiện tử trong các thiết bị tự động hoá, ví dụ như máy bán hàng tự động, luôn

sử dụng hệ thống phi tập trung vì chiếc ví điện tử có thể hoạt động độc lậptrong nhiều ngày, nhiều tuần mà không cần phải liên hệ với một hệ thốngtruyền thông nào cả Hệ thống phi tập trung do đó được ưa thích hơn Hệthống phi tập trung có một ưu điểm hơn so với hệ thống tập trung đó là khi hệthống nền bị hỏng, với hệ thống tập trung, toàn bộ mọi việc trả tiền điện tử sẽkhông thực hiện được, còn đối với hệ thống phi tập trung, mọi phiên giao dịchvẫn có thể thực hiện được

Hệ thống phi tập trung cũng có một số nhược điểm, đặc biệt là trong lĩnhvực quản lý hệ thống Đó là vì việc kết nối trực tuyến chỉ được thực hiện vào

một số thời điểm nhất định và mọi việc đều do Terminal quyết định Tuynhiên, để đảm bào cho tính an ninh của hệ thống, Terminal luôn phải dùngdanh sách đen hiện tại Đây là một trong những lý do tại sao nhiều hệ thốngđòi hỏi các Terminal phải thiết lập đường kết nối đến hệ thống nền ít nhất mỗingày một lần Việc kết nối này giúp Terminal chuyển các dữ liệu giao dịchtích luỹ đến hệ thống nền và giúp hệ thống nền chuyển các loại dữ liệu quảntrị tới Terminal

Một số ví dụ của dữ liệu quản trị đó là các phần mềm mới, tập khoá mới,danh sách đen hiện tại, và dữ liệu được tải vào thẻ của người dùng

1.7 Phát triển ứng dụng thẻ thông minh

Từ các văn bản nói trên có thể thấy rằng thẻ thông minh là một vi điềukhiển an toàn đã được sử dụng thành công trong một loạt các ứng dụng Cácnhà phát triển đã tìm thấy nền tảng trong các hình thức của thẻ Java, phổ biến

vì nó trừu tượng hóa các môi trường lập trình từ cơ bản trên nền tảng chip, cónghĩa là các ứng dụng về lý thuyết nguyên bản chạy trên thẻ Java được cungcấp bởi các nhà cung cấp thẻ khác nhau và sử dụng các chip khác nhau Thẻthông minh thường được sử dụng cho các thuộc tính bảo mật MULTOSkhông phải là nhà phát triển với thẻ Java, đặc biệt nó là một trong những ngônngữ mà có thể được sử dụng để phát triển Lý do một phần là do thực tếMULTOS được thiết kế với các tiêu chuẩn bảo mật cao nhất đó có nghĩa làquá trình phát triển ứng dụng toàn bộ đã được kiểm soát, đòi hỏi phải chấpthuận sự khác nhau cùng với chứng chỉ và kèm theo giấy tờ trước khi một nhàphát triển ứng dụng có thể sử dụng khi đã được phê duyệt và nạp vào thẻ Đối với thẻ thông minh sử dụng chíp vi xử lý, cũng giống như máy tính cánhân (PC), cần có hệ điều hành để quản lý, thực thi các ứng dụng và trao đổi

dữ liệu với thiết bị đọc thẻ Hiện tại trên thị trường có 3 loại hệ điều hànhchính hỗ trợ đa ứng dụng là: Javacard, MULTOS, Windows for SmartCards.Những hệ điều hành này và các ứng dụng được đưa vào thẻ trong quá trình cáthể hóa thẻ

Open Platform API cho phép các ứng dụng truy cập các dịch vụ quản lýcủa Card manager Đối với Open Platform, ứng dụng trong thẻ thông minh đaứng dụng có thể được chia thành 2 lớp Lớp đầu tiên là các ứng dụng không

thay đổi Các ứng dụng này được tải vào thẻ trong quá trình hoàn thiện Thẻvàgiữnguyên ở dạng cố định Lớp thứ hai là lớp ứng dụng thay đổi Các ứngdụng này được tải, cài đặt, và tháo bỏ khi thẻ đã hoàn thiện hoặc đã được cấpphát Một trong chức năng quan trọng của Open Platform là “quản lý được uỷquyền” Điều này nói đến chức năng cho phép các nhà cung cấp ứng dụng tảicác ứng dụng vào Thẻ thông minh, cài đặt ứng dụng và xoá ứng dụng, tất cảđều độc lập với nhà cấp phát thẻ

1.8 Phát hành và vấn đề quản lý vòng đời

Phát triển phần mềm cho thẻ thông minh là một trong nhiều khía cạnhphức tạp không giống bất kỳ phát triển phần mềm khác Khi thiết kế các nộidung dữ liệu và chức năng của một thẻ thông minh nên nắm bắt tất cả các yêucầu trong tương lai với hiện tại và dự đoán được các khả năng sẽ xảy ra Thiết

kế linh hoạt để thực hiện thay đổi và thêm nhiều dữ liệu, chức năng trongtương lai Công nghệ thẻ từ đã được cải tiến mạnh trong nhiều năm qua đểtăng cường khả năng chống lại các hoạt động tội phạm thẻ Điều này đã khiếncác tổ chức thẻ phải nghiên cứu công nghệ mới dành cho thẻ trong thế kỷ 21.Công nghệ thay thế đem lại nhiều lợi điểm là thẻ thông minh sử dụng một conchíp máy tính được gắn lên thẻ nhựa với kích thước tương tự như chiếc thẻ từ.Khác biệt duy nhất mà chủ thẻ thấy được là một vùng kim loại nhỏ trên mặtthẻ, chứa tiếp xúc điện tử Giữa những năm 80, châu Âu đã triển khai nhữngchiếc thẻ thông minh đầu tiên, những chiếc thẻ điện thoại trả trước sử dụngthẻ nhớ Từ đây, phạm vi ứng dụng của thẻ thông minh đã được mở rộng ranhiều ngành bao gồm tài chính, viễn thông, các chương trình chính phủ, bảomật thông tin, bảo mật truy cập vật lý, giao thông, hệ thống bán lẻ, v.v

Thẻ thông minh cung cấp rất nhiều tính năng vượt trội so với thẻ từ truyềnthống như khả năng lưu trữ, khả năng bảo mật an toàn thông tin, hỗ trợ nhiềuứng dụng và đảm bảo an toàn cho các dữ liệu lưu trên thẻ Ngoài ra thẻ thôngminh rất bền, có tuổi thọ khá cao (các nhà cung cấp cho biết thẻ có thể đượcđọc và ghi lại tới 10.000 lần trước khi bị hỏng)

Việc thử nghiệm trước khi đưa thẻ vào sử dụng là vô cùng quan trọng Vínhư một đơn đặt hàng lớn đạt tới 1 triệu thẻ với chi phí £ 1.000.000 Nếu để

có một lỗi nghiêm trọng cần phải làm lại và thay thế các thẻ một quá trình

được biết đến kèm theo tổn thất rất lớn và nghiêm trọng Đây là một trongnhững lý do nên xây dựng trong việc thử nghiệm và quản lý từ xa Có thểquyết định ứng dụng và không thay đổi với một số lỗi nhỏ, nhưng điều nàychỉ có ý nghĩa khi vòng đời của thẻ ngắn Còn chẳng hạn như thẻ SIM không

có ngày hết hạn hoặc vòng đời của nó là lâu dài thì thực sự đáng quan tâm longại Một công ty sẽ muốn có một dịch vụ mới kiểu dáng mới tuyệt vời đểđạt được tất cả khách hàng của mình Những nhà cũng cấp với dịch vụ kémkhông cập nhật những tính năng cũng như ứng dụng thường xuyên sẽ không

có khách hàng

Thẻ thông minh không chỉ phải đối mặt với vấn đề có nhiều định dạngkhác nhau mà phần cứng cũng là vấn đề cần giải quyết Những quầy bán lẻkhông thể có tình trạng có nhiều thiết bị đọc khác nhau Một vấn đề đau đầukhác là tính riêng tư Những đặc điểm y học hay thông tin cá nhân lưu trên thẻ

có thể giảm bớt khối lượng hồ sơ lưu trữ, có điều nếu thông tin này rơi vàotay những kẻ xấu thì có thể gây tổn hại cho người dùng Các nhà quản trịCNTT cần phải đặt vấn đề này với những nhà quản trị doanh nghiệp để cóchính sách bảo vệ dữ liệu nhằm xoa dịu nỗi e ngại của khách hàng Một sốnhóm công nghiệp đang hợp tác và cạnh tranh nhau trong việc thiết lập cáctiêu chuẩn, có thể kể ra như Hiệp Hội Thẻ Thông Minh (SCIA), Diễn ĐànThẻ Thông Minh (SCF) và Liên Minh Thẻ Có Chip Toàn Cầu (GCA) và đều

có định chế tài chính riêng cho các thành viên của mỗi nhóm Nhiệm vụ củanhững nhóm này là thúc đẩy mạnh hơn nữa việc dùng thẻ thông minh ở Mỹ,châu Âu nhưng họ không thống nhất được về các tiêu chuẩn cho thiết bị đọcthẻ, mạng bảo mật và định dạng dữ liệu Ba nhóm này đã gặp nhau vào tháng11/98 để thảo luận về phương thức hợp tác tốt hơn Cho đến nay chỉ mới cócác công ty về thẻ tín dụng là đã hiện thực công nghệ này Chẳng hạn, VisaInternational đang khảo sát ba chương trình thử nghiệm cho phép người dùnggắn thẻ vào các thiết bị đọc gắn với PC để mua hàng trên Net

1.9 Kết luận chương 1

Ở chương này em đã nghiên cứu một cách tổng quan về thẻ thông minhcác loại thẻ thông minh, Chip của thẻ, các đặc điểm, ứng dụng, tổ chức pháthành quản lý, phát triển ứng dụng… của thẻ thông minh Thẻ thông minh cho

phép thực hiện các giao dịch kinh doanh một cách hiệu quả theo một cáchchuẩn mực, linh hoạt và an ninh

Thẻ thông minh giúp chúng ta thực hiện việc kiểm tra và xác nhận chặt chẽ

mà không phải dùng thêm các công cụ khác như mật khẩu…Chính vì thế, cóthể thực hiện hệ thống dùng cho việc đăng nhập sử dụng máy tính, máy tínhxách tay, dữ liệu bảo mật hoặc các môi trường kế hoạch sử dụng tài nguyêncủa công ty với thẻ thông minh là phương tiện kiểm tra và xác nhận duynhất

Bên cạnh những tính năng vượt trội và hữu ích của thẻ thông minh thì vấn

đề được quan tâm hàng đầu đó chính là vấn đề an toàn trong thẻ thông minh

Để hiểu rõ hơn về cơ chế an ninh trong thẻ thông minh trong chương 2 sẽtrình bày về an toàn và cơ chế bảo mật của thẻ thông minh

CHƯƠNG 2: TÍNH NĂNG AN TOÀN CỦA THẺ THÔNG MINH

Tóm tắt

Trong những năm gần đây, thẻ thông minh được sử dụng ngày càng rộngrãi với nhiều ứng dụng khác nhau : thẻ ngân hàng, thẻ SIM, hộ chiếu điện tử,thẻ bảo hiểm y tế… Trong mỗi ứng dụng, thẻ thông minh hướng tới các đốitượng và các mục đích khác nhau nhưng trong mọi hoàn cảnh, bảo mật luôn

là một vấn đề quan trọng hàng đầu Trong chương này em sẽ tìm hiểu, nghiêncứu và cung cấp một cái nhìn tổng quát về vấn đề đảm bảo an toàn, nhữngtính năng bảo mật của thẻ thông minh, các phương pháp tấn công vào thẻthông minh và phương pháp đối phó tấn công

2.1 Giới thiệu

Một chiếc thẻ thông minh khi đến tay người sử dụng phải trải qua nhiềucông đoạn với sự tham gia của nhiều nhân tố Trước hết là quá trình sản xuấtchip tại các nhà sản xuất chip Tiếp theo là việc phát triển phần mềm tươngứng với các ứng dụng của sản phẩm tại các nhà sản xuất thẻ Trước khi đếntay người sử dụng, thẻ được cá thể hóa tại các nhà cung cấp dịch vụ Như vậy,khi xem xét vấn đề bảo mật của thẻ thông minh, chúng ta phải xem xét đến tất

cả các công đoạn, cũng như các nhân tố tham gia và môi trường của từngcông đoạn Một tấn công hoàn toàn có thể thực hiện trên một chiếc thẻ đượcđánh giá là có độ an toàn cao khi người sử dụng không tự bảo vệ thẻ của mình(ví dụ làm lộ mã PIN) hay khi nhà cung cấp dịch vụ không đảm bảo độ antoàn của các thông tin liên quan đến người sử dụng mà họ quản lý (ví dụ làm

lộ cơ sở dữ liệu của khách hàng) Ngay cả khi người sử dụng và nhà cung cấpdịch vụ đã thắt chặt công tác bảo mật dữ liệu, thẻ thông minh vẫn có thể bị tấncông khi bản thân chiếc thẻ (phần cứng và phần mềm) lại không được bảo vệ.Như vậy, thẻ thông minh chỉ thực sự được bảo vệ khi mọi mắt xích trongvòng đời của thẻ đạt đến một độ an toàn nhất định

Thuật toán mã hoá bất đối xứng dùng hai khóa - một để mã hoá và một để giải

mã Nó còn được gọi là thuật toán mã hoá khoá công khai Các thuật toán mãhoá đối xứng thực hiện nhanh Nhưng trên thực tế cùng một khoá dùng cho

mã hoá và giải mã thường gặp khó khăn về giữ bí mật Bên gửi và nhận phải

có cùng khoá Chỉ có bên nhận biết khoá của bên gửi để đảm bảo tính riêng tưcủa việc truyền tin Bên nhận phải biết khoá của tất cả các bên gửi tiềm năng

để có thể giải mã các thông điệp đến Khi số thực thể trong mạng lớn thì giảipháp này là khó khả thi Giải pháp cho vấn đề này là kết hợp thuật toán đốixứng và không đối xứng

2.2.1 Mã hoá khoá đối xứng

2.2.1.1 Thuật toán mã hoá DES

Thuật toán chuẩn mã hoá dữ liệu (Data Encryption Standard – DES) làthuật toán mã hoá khối, nó chia dữ liệu được mã hoá thành các khối và thaotác với một khối ở một thời điểm DES dùng khối kích thước 64 bit và khoá

có kích thước 56 bit Thực tế, khoá DES được giới thiệu 64 bit, nhưng bitthấp nhất của mỗi byte được dùng để kiểm tra mã chẵn lẻ và không dùngtrong thuật toán Nền tảng xây dựng khối của DES là sự thay thế kế tiếp củahoán vị trong một vòng lặp DES có 16 vòng lặp, như vậy có 16 thay thế vàhoán vị được áp dụng cho khối 64 bit Bởi vì tính chất lặp lại của nó, DES cóthể dễ dàng thực hiện bởi phần cứng Kích thước khoá 56 bit được dùng trongthuật toán DES là khá nhỏ Với các máy tính hiện đại ngày nay, thuật toánDES trở nên tầm thường về mặt bảo mật Ở hội nghị RSA năm 1999, DESđối mặt với thông báo rằng khoá 56 bit bị phá dưới 24 giờ dù rằng hơn 50%không gian khoá phải dùng đến nhiều máy tính cùng xử lý để tìm ra

2.2.1.2 Thuật toán mã hóa AES

Tiêu chuẩn mã hoá tiên tiến ( Advanced Encryption Standard – AES ) là sự

kế thừa của hệ mã hoá DES Rất nhiều thuật toán đã được đưa ra như làchuẩn mới và qua quá trình lựa chọn rộng rãi Trong năm thuật toán lọt vàovòng cuối cùng, NIST chọn thuật toán Rijndael được thiết kế bởi JoanDaemen và Vincent Rijmen

Rijndael là thuật toán mã hoá khối với độ dài khối thay đổi và khoá có độdài 128, 192 hoặc 256 bit để mã hoá khối với độ dài 128, 192 hoặc 256 bit.Tất cả chín sự kết hợp độ dài khoá với độ dài khối có thể được thực hiện trongRijndael và nó có thể mở rộng cả độ dài khoá và độ dài khối tới bội số của 32bit Lựa chọn những tuỳ chọn trên, AES cho phép kích thước khối 128 bit và

độ dài khoá 128, 192 hoặc 256 bit, các tuỳ chọn khác không được chấp nhậntrong chuẩn Thuật toán AES có thể thực hiện một cách hiệu quả bởi phầnmềm cũng như phần cứng

2.2.2 Mã hoá khoá công khai

+ Hệ mã hoá RSA

Ý tưởng cơ bản dẫn đến mã hoá khoá công khai là cặp khoá, một cho mãhoá và một cho giải mã, đồng thời khó thể tính được một khoá nếu biết khoákia Khái niệm này được phát minh đồng thời bởi Whitfield Diffie và MartinHellman và độc lập bởi Ralph Merkle

Rất nhiều thuật toán đã được đưa ra nhưng hầu hết không an toàn hoặckhông khả thi Các thuật toán mã hoá khoá công khai rất chậm so với thuậttoán mã hoá khoá bí mật Thuật toán RSA chậm hơn 1000 lần so với DESkhi thực hiện bởi phần cứng và 100 lần khi thực hiện bằng phần mềm Tuyvậy thuật toán mã hoá khoá công khai có ưu điểm rất lớn khi được dùng đểđảm bảo tính riêng tư của kết nối Thuật toán khoá công khai dùng các khoákhác nhau cho việc mã hoá và giải mã Khoá bí mật chỉ được người sở hữubiết và giữ bí mật Nó có thể dùng để tạo chữ ký điện tử và giải mã thông tin

đã được mã hoá bởi khoá công khai Khoá công khai dùng để kiểm tra chữ kýđiện tử hoặc để mã hoá thông tin Không cần phải giữ bí mật khoá công khai,

vì khó có thể tính được khoá bí mật nếu biết khoá công khai

2.3 Tính năng bảo mật thẻ thông minh

Tiêu chuẩn chung về đánh giá bảo mật của các công nghệ thông tin(Common Criteria for Information Technology Security Evaluation) thườngđược gọi tắt là Common Criteria hay CC là một chuẩn quốc tế (ISO/IEC15408) về chứng nhận bảo mật máy tính CC bảo đảm rằng quá trình xâydựng đặc điểm kỹ thuật, thực hiện và đánh giá của một sản phẩm bảo mật