現(xiàn)在，在我國的380余個城市啟動了“一卡通”應(yīng)用，根據(jù)發(fā)卡記錄估計使用“一卡通”的人數(shù)超過2億，已經(jīng)有三個特大城市“一卡通”的發(fā)卡突破2000萬張。這說明“一卡通”的使用在我國城市區(qū)域已經(jīng)非常普及，因此其所產(chǎn)生的影響也越來越廣泛，但是近期卻連續(xù)發(fā)生了三起與“一卡通”有關(guān)的安全事件。一是9 月份案發(fā)的奇虎公司兩名網(wǎng)絡(luò)工程師利用專業(yè)知識破解了4張北京市政“一卡通”內(nèi)芯片的系統(tǒng)密碼，之后惡意充值，并多次刷卡消費(fèi)。目前嫌犯楊某及其同事林某因盜竊罪分別被法院判處拘役6個月及5個月，緩刑5個月;二是臺灣某科技公司資訊安全工程師吳某，利用讀卡機(jī)篡改悠游卡余額，在臺北市內(nèi)湖區(qū)一家超市進(jìn)行扣款交易，后經(jīng)悠游卡安全防護(hù)系統(tǒng)偵察，共攔截吳使用的3張異常交易票卡，配合超市錄影監(jiān)視設(shè)備，交叉比對出吳嫌影像及相關(guān)使用紀(jì)錄，將相關(guān)證據(jù)轉(zhuǎn)交臺北市刑大偵辦，并最終逮捕吳某;三是10月份發(fā)生的，北京市政“一卡通”被指不安全泄露用戶位置信息，質(zhì)疑網(wǎng)友發(fā)消息稱，只需要將北京市政一卡通卡號輸入 “一卡通”官方網(wǎng)站上，用戶的消費(fèi)信息就會一覽無余。并稱這種現(xiàn)象和手機(jī)竊聽一樣，對用戶的信息安全構(gòu)成威脅。通過登陸“一卡通”官方網(wǎng)站查詢發(fā)現(xiàn)，暴露的信息主要包括用戶的消費(fèi)時間，消費(fèi)金額，卡內(nèi)余額，乘客換乘的車次以及上下站車站等。
目前這三件事情基本有了結(jié)果，前兩件事以涉案犯最終歸案而結(jié)束，第三件事以一卡通網(wǎng)站暫停公布“一卡通”查詢數(shù)據(jù)庫而告終。雖然個體事件基本終結(jié)，但這些事件的影響卻遠(yuǎn)未結(jié)束，第一個案件直接引發(fā)了工信部的介入調(diào)查，而圍繞第三件事的網(wǎng)上討論依舊沒有停止。雖然這三起事件并沒有引起嚴(yán)重的后果，但是卻給我們“一卡通”管理單位提出了警示，那就是 “一卡通”應(yīng)用系統(tǒng)管理環(huán)節(jié)亟待加強(qiáng)安防。
類似的事件在去年10月份發(fā)生過一次，就是在青島地區(qū)的竊取“一卡通”充值系統(tǒng)，該事件是盜竊分子盜取了公交公司的充值系統(tǒng)給自己的卡片充值，這說明隨著“一卡通”應(yīng)用的越來越廣泛，針對“一卡通”犯罪的案件在進(jìn)一步增加。鑒于此，筆者認(rèn)為目前“一卡通”系統(tǒng)管理單位有必要加強(qiáng)“一卡通”系統(tǒng)的安全防范工作。
根據(jù)檢方指控，2010年12月下旬，奇虎公司楊某研究發(fā)現(xiàn)北京市市政“一卡通”充值系統(tǒng)存在漏洞，便用自己的“一卡通”試手，在成功地破解了卡內(nèi)芯片帶有的系統(tǒng)密碼后，楊某發(fā)現(xiàn)卡上金額可以隨便改動。2010年 12月下旬至今年3月24日，楊某在奇虎公司內(nèi)，分別往自己及宋某、張某(兩人另案處理)的3張市政“一卡通”內(nèi)非法充值1600余元，為林某的“一卡通”充值1000余元。之后，楊某、林某便多次伙同宋某、張某等人去飯店等場所刷卡消費(fèi)1700余元。今年3月，“一卡通”公司發(fā)現(xiàn)有些卡出現(xiàn)了不是在指定充值點(diǎn)充值的交易記錄，而且每次充值的金額都比較大，便懷疑卡被惡意充值，于是報警。警方接報后，立即連同“一卡通”公司追蹤了幾張嫌疑卡的消費(fèi)記錄，很快鎖定了嫌疑人，并于2011年3月25日將楊某等人抓獲歸案。從此次事件的過程來分析，這是一起類似于黑客的入侵行為，首先是案犯發(fā)現(xiàn)了“一卡通”充值系統(tǒng)的漏洞，并破解了“一卡通”芯片密碼，然后實(shí)行了充值。后因“一卡通”公司發(fā)現(xiàn)非指定地點(diǎn)較大額度充值才被懷疑并發(fā)現(xiàn)，案犯從作案到案發(fā)，期間經(jīng)過了近半年時間，如果我們作一個假定，案犯通過黑客行為篡改充值地點(diǎn)，并在“一卡通”公司允許的額度內(nèi)充值，是不是就有可能不被發(fā)現(xiàn)呢，從該案的發(fā)生與破案過程來看，完全有這種可能，因此，這就提醒我們的“一卡通”系統(tǒng)管理單位，有必要確立更加嚴(yán)格的防范機(jī)制并迅速對一卡通使用的異常行為做出反應(yīng)，才能更有效保障“一卡通”應(yīng)用的安全。并且我們可以發(fā)現(xiàn)，如果出現(xiàn)問題，受到傷害最大的是“一卡通”管理單位。
臺灣優(yōu)游卡安全事件，是案犯通過私買讀卡器進(jìn)行篡改卡片金額，這實(shí)際上是在網(wǎng)絡(luò)上叫賣的修改卡片數(shù)值讀卡器的一個翻版，不過也從側(cè)面提醒我們的“一卡通”管理單位，及時的升級芯片卡是多么的重要，好在目前最新的CPU卡片已基本解決了M1卡片的安全問題。
至于質(zhì)疑北京市政“一卡通”的泄露隱私問題，雖然網(wǎng)上對此評論明顯分為兩派，一派支持，另一派認(rèn)為大驚小怪。不過，筆者認(rèn)為我們的“一卡通”管理單位最好還是采取審慎的態(tài)度，不要急于撇開問題，也要正視質(zhì)疑的聲音，畢竟我們網(wǎng)上“一卡通”數(shù)據(jù)庫可以查到每一張卡片的運(yùn)動軌跡，就像公安機(jī)關(guān)可以根據(jù)卡片信息鎖定嫌疑持卡人一樣，同樣的信息若是被犯罪分子加以利用仍可以給持卡者帶來一定的安全威脅。雖然目前的“一卡通”采用無記名方式，但是并不能排除卡號一旦泄露的漏洞。因此“一卡通”公司暫時關(guān)閉相關(guān)查詢或許是明智的舉動。
目前“一卡通”在我國的應(yīng)用范圍越來越廣，并且全國互聯(lián)互通漸成趨勢，為了使“一卡通”能夠更好的為人民服務(wù)，有關(guān)單位有必要加強(qiáng)“一卡通” 系統(tǒng)的安全防范工作，以免給犯罪分子以可乘之機(jī)。雖然從整體上來看，我國的“一卡通”系統(tǒng)安全形式整體上還是比較安定的，但是隨著“一卡通”在全國范圍的更進(jìn)一步推廣，“一卡通”管理系統(tǒng)所面臨的安全挑戰(zhàn)也將越來越多，我們的相關(guān)單位只有加強(qiáng)安全管理，未雨籌繆才能真正的做到防患于未然，為公眾創(chuàng)造一個更加安全的“一卡通”應(yīng)用環(huán)境。
a&s傳媒是全球知名展覽公司法蘭克福展覽集團(tuán)旗下的專業(yè)媒體平臺，自1994年品牌成立以來，一直專注于安全&自動化產(chǎn)業(yè)前沿產(chǎn)品、技術(shù)及市場趨勢的專業(yè)媒體傳播和品牌服務(wù)。從安全管理到產(chǎn)業(yè)數(shù)字化，a&s傳媒擁有首屈一指的國際行業(yè)展覽會資源以及豐富的媒體經(jīng)驗(yàn)，提供媒體、活動、展會等整合營銷服務(wù)。
粵公網(wǎng)安備 44030402000264號
