現(xiàn)在，在我國(guó)的380余個(gè)城市啟動(dòng)了“一卡通”應(yīng)用，根據(jù)發(fā)卡記錄估計(jì)使用“一卡通”的人數(shù)超過(guò)2億，已經(jīng)有三個(gè)特大城市“一卡通”的發(fā)卡突破2000萬(wàn)張。這說(shuō)明“一卡通”的使用在我國(guó)城市區(qū)域已經(jīng)非常普及，因此其所產(chǎn)生的影響也越來(lái)越廣泛，但是近期卻連續(xù)發(fā)生了三起與“一卡通”有關(guān)的安全事件。一是9 月份案發(fā)的奇虎公司兩名網(wǎng)絡(luò)工程師利用專業(yè)知識(shí)破解了4張北京市政“一卡通”內(nèi)芯片的系統(tǒng)密碼，之后惡意充值，并多次刷卡消費(fèi)。目前嫌犯楊某及其同事林某因盜竊罪分別被法院判處拘役6個(gè)月及5個(gè)月，緩刑5個(gè)月;二是臺(tái)灣某科技公司資訊安全工程師吳某，利用讀卡機(jī)篡改悠游卡余額，在臺(tái)北市內(nèi)湖區(qū)一家超市進(jìn)行扣款交易，后經(jīng)悠游卡安全防護(hù)系統(tǒng)偵察，共攔截吳使用的3張異常交易票卡，配合超市錄影監(jiān)視設(shè)備，交叉比對(duì)出吳嫌影像及相關(guān)使用紀(jì)錄，將相關(guān)證據(jù)轉(zhuǎn)交臺(tái)北市刑大偵辦，并最終逮捕吳某;三是10月份發(fā)生的，北京市政“一卡通”被指不安全泄露用戶位置信息，質(zhì)疑網(wǎng)友發(fā)消息稱，只需要將北京市政一卡通卡號(hào)輸入 “一卡通”官方網(wǎng)站上，用戶的消費(fèi)信息就會(huì)一覽無(wú)余。并稱這種現(xiàn)象和手機(jī)竊聽一樣，對(duì)用戶的信息安全構(gòu)成威脅。通過(guò)登陸“一卡通”官方網(wǎng)站查詢發(fā)現(xiàn)，暴露的信息主要包括用戶的消費(fèi)時(shí)間，消費(fèi)金額，卡內(nèi)余額，乘客換乘的車次以及上下站車站等。
目前這三件事情基本有了結(jié)果，前兩件事以涉案犯最終歸案而結(jié)束，第三件事以一卡通網(wǎng)站暫停公布“一卡通”查詢數(shù)據(jù)庫(kù)而告終。雖然個(gè)體事件基本終結(jié)，但這些事件的影響卻遠(yuǎn)未結(jié)束，第一個(gè)案件直接引發(fā)了工信部的介入調(diào)查，而圍繞第三件事的網(wǎng)上討論依舊沒(méi)有停止。雖然這三起事件并沒(méi)有引起嚴(yán)重的后果，但是卻給我們“一卡通”管理單位提出了警示，那就是 “一卡通”應(yīng)用系統(tǒng)管理環(huán)節(jié)亟待加強(qiáng)安防。
類似的事件在去年10月份發(fā)生過(guò)一次，就是在青島地區(qū)的竊取“一卡通”充值系統(tǒng)，該事件是盜竊分子盜取了公交公司的充值系統(tǒng)給自己的卡片充值，這說(shuō)明隨著“一卡通”應(yīng)用的越來(lái)越廣泛，針對(duì)“一卡通”犯罪的案件在進(jìn)一步增加。鑒于此，筆者認(rèn)為目前“一卡通”系統(tǒng)管理單位有必要加強(qiáng)“一卡通”系統(tǒng)的安全防范工作。
根據(jù)檢方指控，2010年12月下旬，奇虎公司楊某研究發(fā)現(xiàn)北京市市政“一卡通”充值系統(tǒng)存在漏洞，便用自己的“一卡通”試手，在成功地破解了卡內(nèi)芯片帶有的系統(tǒng)密碼后，楊某發(fā)現(xiàn)卡上金額可以隨便改動(dòng)。2010年 12月下旬至今年3月24日，楊某在奇虎公司內(nèi)，分別往自己及宋某、張某(兩人另案處理)的3張市政“一卡通”內(nèi)非法充值1600余元，為林某的“一卡通”充值1000余元。之后，楊某、林某便多次伙同宋某、張某等人去飯店等場(chǎng)所刷卡消費(fèi)1700余元。今年3月，“一卡通”公司發(fā)現(xiàn)有些卡出現(xiàn)了不是在指定充值點(diǎn)充值的交易記錄，而且每次充值的金額都比較大，便懷疑卡被惡意充值，于是報(bào)警。警方接報(bào)后，立即連同“一卡通”公司追蹤了幾張嫌疑卡的消費(fèi)記錄，很快鎖定了嫌疑人，并于2011年3月25日將楊某等人抓獲歸案。從此次事件的過(guò)程來(lái)分析，這是一起類似于黑客的入侵行為，首先是案犯發(fā)現(xiàn)了“一卡通”充值系統(tǒng)的漏洞，并破解了“一卡通”芯片密碼，然后實(shí)行了充值。后因“一卡通”公司發(fā)現(xiàn)非指定地點(diǎn)較大額度充值才被懷疑并發(fā)現(xiàn)，案犯從作案到案發(fā)，期間經(jīng)過(guò)了近半年時(shí)間，如果我們作一個(gè)假定，案犯通過(guò)黑客行為篡改充值地點(diǎn)，并在“一卡通”公司允許的額度內(nèi)充值，是不是就有可能不被發(fā)現(xiàn)呢，從該案的發(fā)生與破案過(guò)程來(lái)看，完全有這種可能，因此，這就提醒我們的“一卡通”系統(tǒng)管理單位，有必要確立更加嚴(yán)格的防范機(jī)制并迅速對(duì)一卡通使用的異常行為做出反應(yīng)，才能更有效保障“一卡通”應(yīng)用的安全。并且我們可以發(fā)現(xiàn)，如果出現(xiàn)問(wèn)題，受到傷害最大的是“一卡通”管理單位。
臺(tái)灣優(yōu)游卡安全事件，是案犯通過(guò)私買讀卡器進(jìn)行篡改卡片金額，這實(shí)際上是在網(wǎng)絡(luò)上叫賣的修改卡片數(shù)值讀卡器的一個(gè)翻版，不過(guò)也從側(cè)面提醒我們的“一卡通”管理單位，及時(shí)的升級(jí)芯片卡是多么的重要，好在目前最新的CPU卡片已基本解決了M1卡片的安全問(wèn)題。
至于質(zhì)疑北京市政“一卡通”的泄露隱私問(wèn)題，雖然網(wǎng)上對(duì)此評(píng)論明顯分為兩派，一派支持，另一派認(rèn)為大驚小怪。不過(guò)，筆者認(rèn)為我們的“一卡通”管理單位最好還是采取審慎的態(tài)度，不要急于撇開問(wèn)題，也要正視質(zhì)疑的聲音，畢竟我們網(wǎng)上“一卡通”數(shù)據(jù)庫(kù)可以查到每一張卡片的運(yùn)動(dòng)軌跡，就像公安機(jī)關(guān)可以根據(jù)卡片信息鎖定嫌疑持卡人一樣，同樣的信息若是被犯罪分子加以利用仍可以給持卡者帶來(lái)一定的安全威脅。雖然目前的“一卡通”采用無(wú)記名方式，但是并不能排除卡號(hào)一旦泄露的漏洞。因此“一卡通”公司暫時(shí)關(guān)閉相關(guān)查詢或許是明智的舉動(dòng)。
目前“一卡通”在我國(guó)的應(yīng)用范圍越來(lái)越廣，并且全國(guó)互聯(lián)互通漸成趨勢(shì)，為了使“一卡通”能夠更好的為人民服務(wù)，有關(guān)單位有必要加強(qiáng)“一卡通” 系統(tǒng)的安全防范工作，以免給犯罪分子以可乘之機(jī)。雖然從整體上來(lái)看，我國(guó)的“一卡通”系統(tǒng)安全形式整體上還是比較安定的，但是隨著“一卡通”在全國(guó)范圍的更進(jìn)一步推廣，“一卡通”管理系統(tǒng)所面臨的安全挑戰(zhàn)也將越來(lái)越多，我們的相關(guān)單位只有加強(qiáng)安全管理，未雨籌繆才能真正的做到防患于未然，為公眾創(chuàng)造一個(gè)更加安全的“一卡通”應(yīng)用環(huán)境。
a&s傳媒是全球知名展覽公司法蘭克福展覽集團(tuán)旗下的專業(yè)媒體平臺(tái)，自1994年品牌成立以來(lái)，一直專注于安全&自動(dòng)化產(chǎn)業(yè)前沿產(chǎn)品、技術(shù)及市場(chǎng)趨勢(shì)的專業(yè)媒體傳播和品牌服務(wù)。從安全管理到產(chǎn)業(yè)數(shù)字化，a&s傳媒擁有首屈一指的國(guó)際行業(yè)展覽會(huì)資源以及豐富的媒體經(jīng)驗(yàn)，提供媒體、活動(dòng)、展會(huì)等整合營(yíng)銷服務(wù)。
粵公網(wǎng)安備 44030402000264號(hào)
