智能卡銀行代理業務系統

 概述      本項目是在銀行、郵電局、供電局等相關單位現有計算機系統基礎上開發的，以用戶持有的IC卡作為電子貨幣，通過銀行來統一結算費用的一種計算機繳費代理業務。
    包括石油、自來水、天然氣、電力、通訊等能源及服務的供應單位都可以授權銀行作為繳費代理。從而持卡人可以在加油站持卡加油、在自來水公司持卡交納水費、在天然氣公司和電力局持卡交納氣費和電費、到電信局交納電話費用等等，代替原先的現金支付方式。這樣就可避免各單位自行投入發行各種交費卡，進行重複建設，而且卡不能通用，形成“金卡滿天飛”的混亂局面。

開發背景
    我國上馬“金卡工程”的目標就在於緊跟世界金融電子化潮流，普及信用卡。但目前我國許多金融非金融單位發行了各種與金融相關但用途各異的卡：提款卡、存款卡、加油卡、就餐卡、乘車卡等，形成了數目巨大的“持卡一族” 。這樣不僅重複建設，而且各種卡不能通用，形成了“金卡滿天飛”的局面。這時銀行就理應參與和協調各家單位的行動，統一發行交費卡，以金融背景為卡提供信用擔保，為用戶（持卡人）和各單位提供結算服務。

網絡環境
    城市IC卡系統在中心機房採用多用戶結構，基於Unix組網，能夠通過TCP/IP協議，支持與Windows NT、WFW、Netware等多種網絡系統的無縫連接。授權網點與中心機房的遠程數據傳輸通過遠程登錄進行。這樣，城市IC卡系統在使用範圍內形成一城域網。

智能卡選型
    系統與IC卡及IC卡讀寫設備的接口根據ISO7816系列標准開發。系統適用邏輯加密存儲卡和CPU卡（2Kb以上可用存儲單元）。前者已能達到較好的安全性能，功能上也能滿足城市IC卡系統現有要求，CPU卡則能夠提供更多功能，方便以後的功能拓展。但兩者價格相差數倍，銀行可以根據情況選用。

讀寫設備
    系統支持通用IC卡讀寫設備。

系統設計

一系統概述
    IC卡支付系統，其特點在於使用IC卡代替現金成為人們日常消費的支付手段。首先是公用事業領域的費用支付，例如城市居民需要定時繳納的水費、電費、電話費用以及有線電視收視費用，還有各項保險費、交通罰款、交通規費等等，其次可以包括日 ​​常消費如商場購物、乘坐公共汽車、出租汽車等等，可以說其功能是無限擴展的。

    城市IC卡由銀行發行。當城市IC卡應用於公用事業領域的費用支付，並且要求銀行代繳時，它具備專用帳戶的功能；當城市IC卡應用於一些需要及時支付的費用時，由於技術上可以保證無須獲得銀行的授權即可進行支付，它相當於現金，即所謂“電子貨幣”。

二設計目標
    我們確定以下原則作為系統規範設計方案的取捨標準。

安全性（Security）
    由於系統應用於金融領域，需要保證系統及數據的安全性，在系統設計一級盡可能防止針對金融業務的偽造、篡改、抵賴及其它非法行為。

穩定性（Stability）
    系統可以24小時穩定運行，對可能出現的故障具有預見性，提供監控功能，提供遠程維護功能，對由於管理及人為原因造成的災難性事故提供修復的可能性。

開放性（Open）
    系統是開放的，具備多方面意義：層次性設計，可以進行功能擴展；與硬件無關，支持多種硬件平台；形成開放體系，在一定條件下允許通過開放標準和其它系統兼容；

三系統總體設計
中心機房
    城市IC卡系統通過中心機房對城市IC卡持卡人和各授權網點實現完全管理。

    從硬件上看，中心機房由兩台或多台服務器以EtherNet方式組成一小型局域網（LAN），並根據城市IC卡系統與銀行現有網絡之間約定的數據交換方式，連接進銀行現有網絡。

    從軟件上看，中心機房主要實現：

    交易清算功能：定時對由城市IC卡支付產生的交易進行結算，輸出結算文件或者結算報表（根據數據交換方式確定），提交銀行業務部門以便處理。

    網點管理功能：增加、刪除授權網點，設置網點操作權限，發放網點電子鑰匙；

    操作員管理功能：發行操作卡，設置其級別及權限。

授權網點
    授權網點可以包括銀行營業大廳及其附屬網點（各分理處、儲蓄所、支行），電信局各收費網點、自來水公司各收費網點、加油站等等，還可以包括商場、酒店。

    授權網點的硬件組成比較簡單，可以根據網點所在單位的要求及網點功能情況進行配置。一般由兩種方案：一種基於Unix終端，採用集成型Unix終端，附帶IC卡讀寫器、MODEM、X.25專線、簡易票據打印機；一種基於普通微機，再配上IC卡讀寫機，調製解調器（MODEM）、票據打印機等分立設備。

    網點功能由銀行授權確定。當有關單位或商戶向銀行申請授權時，銀行通過發放電子鑰匙指定網點的功能權限。這些功能包括：

發行城市IC卡：包括發行和補發城市IC卡；
城市IC卡掛失處理：掛失的申請，掛失的撤消等；
卡上餘額查詢：查詢城市IC卡卡上有關信息；
持卡付費：允許持卡人刷卡支付本網點涉及的有關費用。
通訊聯結
    授權網點與中心機房之間通過公用電話網絡（PSTN）或者公用分組數據網（CHINAPAC）進行數據傳輸。這些由中國電信提供的電信服務的分佈範圍完全可以滿足城市IC卡系統的要求。

    由於IC卡良好的安全性能，持卡交易時，授權網點無須與中心機房實時連接，而是定時向中心機房傳輸交易數據，比如每隔4小時或24小時（具體根據業務量及網點的要求而定），這樣可以大大降低系統運行時在通訊方面的開銷。

安全體系

一概述
    本部分論述城市IC卡系統的安全體系。由於牽涉眾多利益主體，針對城市IC卡系統的非法企圖是客觀存在的。綜觀城市IC卡系統的整個工作過程，以下環節存在被攻擊的可能性，這種攻擊可能是利益驅動下的惡意的非法企圖，也可能是由使 ​​用環境導致的無意的故障：

偽造城市IC卡或操作卡：自行購卡，寫入數據，進行消費或操作；
複製多張城市IC卡：將有效城市IC卡上內容複製到已失效的城市IC卡上；
篡改卡上數據：修改有效城市IC卡上數據以獲取實際利益；
偽造交易數據：授權網點偽造交易數據發送至中心機房；
篡改交易數據：授權網點篡改現有交易數據；
系統級故障：由於管理、操作、斷電等原因導致數據損壞、系統故障等等。
    建立完整的安全體系還在於明確事故發生後的責任承擔者。如果持卡人將身份證明、用戶密碼全部交給他人，由此引起的盜用顯然應由持卡人自己承擔，而不能視為銀行的責任或系統的設計缺陷。這樣，系統牽涉的利益主體必須制訂嚴格的管理措施。

二系統安全性
    城市IC卡系統採用系統密碼、電子鑰匙、操作IC卡三層機制對系統存取進行控制（Access Control）。

2.1系統密碼
    運行於任何終端或服務器上的城市IC卡系統軟件，均設有系統密碼，操作員在啟動系統時，都需要輸入系統密碼，在核對正確後，才允許進一步操作。

    如果系統屬於初次運行，在啟動後，操作員會被要求建立一系統密碼。

系統密碼對非法使用合法系統建立第一道屏障。

2.2操作IC卡
    對必須操作城市IC卡系統的人員，經各部門或單位提出申請，由銀行發給操作IC卡。卡上存有操作員姓名、操作權限等有關信息。操作IC卡由城市IC卡發行銀行進行審批、發行、撤消及權限設置，並建立操作人員檔案進行統一管理。

    操作員在執行任何有效操作之前，必須進行登錄（Login）。登錄就是插入有效的操作IC卡。操作員如果暫時離開系統一定時間，會被要求重新登錄。操作員在關閉系統時，必須正確登出（Logout）方為有效。

    在操作員正確登錄後，所有操作都會帶有該操作員代號數據，便於事後監督及責任承擔。

    操作IC卡建立了防止非法使用合法系統的第二道屏障。由於銀行統一管理操作IC卡，大大降低了由內部人員參與作案的可能性。

 
三數據安全性
    城市IC卡系統中可能會受到攻擊需要進行安全防護的數據分為三類：卡上數據（包括城市IC卡和操作IC卡）、途中數據和系統所在地數據（包括各網點終端和中心機房）。系統對這三類數據根據其特點分別採取安全措施。

3.1卡上數據
    對於卡上數據，系統存在三層防護措施：

用戶密碼
    用戶密碼是由不超過10個的數字和字符組成的序列。用戶在申請城市IC卡時（即銀行發行該卡之時），需要自己指定用戶密碼。此後用戶（即持卡人）每次持卡消費時，必須正確輸入該用戶密碼。用戶也可以在有關授權網點自行修改該用戶密碼，修改密碼時，必須先正確輸入原來的用戶密碼。

    系統根據用戶密碼生成該卡的存取密碼用於讀寫IC卡。

    用戶密碼可以有效地防止無授權使用城市IC卡。

存取密碼
    存取密碼（PIN）是IC卡獨有的安全機制。PIN一般是2-4位的數據串，具體由所選卡型確定。系統在讀寫數據前，首先必須進行PIN校驗。如果連續進行3次（或者4次）錯誤的PIN校驗，IC卡將自毀，無法繼續使用。這樣IC卡可以防止通過嘗試多次獲得存取密碼的行為。

    IC卡的存取密碼機制可以有效的防止偽造、複製城市IC卡等行為。

數據加密和校驗
    卡上數據採用DES加密算法進行加密。DES即Data Encryption Standard（數據加密標準）的簡稱。DES算法由IBM公司提出，於1977年由美國國家標準局（NBS）頒布作為數據加密算法標準，是國際上廣泛使用的、極其安全的數據加密算法。

    同時，卡上數據分塊使用CRC循環冗餘校驗，保證數據的完整性。

    有效的數據加密和校驗可以防止非法篡改城市IC卡上數據的行為。

3.2途中數據
    途中數據需要對付的主要有以下事件：偽造假冒等非法企圖、抵賴行為以及由於線路、丟失等故障。對途中數據，主要採用數字簽名技術和數據加密校驗技術。

數字簽名
    數字簽名技術（Digital Signature）是密碼學的最新進展之一，它可以具有任何其它人無法偽造簽名、簽名者事後無法否認、可以進行仲裁等特點。城市IC卡系統對途中數據採用數字簽名技術，可以實現以下目標：

    確認數據發方真實性：當中心機房接收數據時，可以保證數據來源於授權網點，同樣，網點在接收數據時，可以確信數據來源於中心機房，這樣可以防止偽造假冒授權網點的行為；

    防止事後抵賴：授權網點不能否認自己向中心機房發送的交易數據，中心機房也無法否認接收到有關交易數據，避免引起結算糾紛；

    可以仲裁：如果數據收發雙方關於簽名真偽發生爭執，可以在公正的仲裁面前通過驗證簽名進行鑑別。

    系統採用公開密鑰體制RSA算法實現數字簽名。

數據校驗
    途中數據同樣採用CRC校驗，可以保證數據被非法篡改或故障丟失後，不被接收。

3.3本地數據
    授權網點和中心機房的數據主要要防止人為破壞和操作事故。系統設計使得操作人員並不直接面對本地數據，也無須了解系統所涉及到的各種數據的結構，這樣可以防止出現誤操作，並對防止人為破壞起到一定作用。另一方面，系統重要數據全部存在數據庫中，並可以充分利用數據庫技術提供的各種防護手段。雖然系統對本地數據採用了各種防護手段，但是對操作人員進行職業道德和業務培訓應該是最主要的措施。

存取密碼
    操作人員只有通過城市IC卡系統才能面對系統數據，如果有人企圖直接面對數據庫，就需要輸入數據庫存取密碼。數據庫存取密碼由城市IC卡系統設計人員在設計時指定。

數據加密
    數據庫內數據經過加密運算，這樣可以阻止操作人員或其他人以二進制方式查看或者修改數據庫文件。

數據修復
    中心機房服務器和授權網點機器需要採用RAID技術、雙機熱備份或者硬盤鏡像技術，如果由於斷電、機器原因或者操作系統出錯引起數據出錯，數據可以實行修復操作

四日誌記錄
    系統設計了完整的日誌記錄功能，能夠跟踪城市IC卡系統的整個運行流程。日誌記錄是系統運行過程中發生的事件的集合。一條日誌記錄包括事件代號、事件描述、事件參數、事件發生時間等內容。

4.1事件分類
    城市IC卡記錄的日誌事件可以分為三類：

一般事件：諸如通訊出錯、線路忙、讀寫器連接出錯、打印出錯等；
系統事件：系統啟動、操作員登錄登出、數據交換、密碼驗證等；
嚴重事件：密碼驗證出錯、交易撤消、數據校驗出錯等。
4.2日誌選項
    系統級操作員可以更改日誌選項，這些選項包括：

事件類別：確定一般事件或系統事件是否需要記錄；
自動清除：是否定期自動清除過期事件記錄；
4.3日誌管理
    操作員可以瀏覽日誌記錄。系統級操作員可以及時清除過期記錄。

五事故恢復能力

    城市IC卡系統事故大致可以分為兩類：系統由於機器設置或者環境配置等原因無法啟動，數據在系統中或在傳輸途中損壞。

5.1系統事故
    對於系統事故，需要仔細分析原因，考慮是由於機器（服務器、終端或者網絡）引起的，還是由於系統參數設置不當引起的。對於後者，操作員首先可以通過瀏覽日誌記錄獲得事故發生前的操作記錄，為分析故障原因提供依據。還可以通過瀏覽參數設置，對故障原因進行分析。

    對於系統事故的恢復，有以下解決辦法：

如果能夠迅速找出事故原因，可以在更正後重新啟動；
如果採用雙機熱備份技術，可以迅速啟動備份機器；
在參數設置工具軟件裡選擇“缺省配置”，重新啟動系統；
還可以要求進行遠程維護；
5.2數據事故
    數據事故可能發生在傳輸過程中，也可能發生在本地。

    對於傳輸過程中的數據事故，收發雙方會再次協商，進行重發，直到正確接收為止。

    對於在本地發生的數據事故，修復方法首選是根據數據熱備份進行恢復數據；

5.3遠程維護
    城市IC卡系統提供遠程維護功能。系統發生事故後，操作人員可以與我公司緊急聯繫，提供維護所需的登錄口令，我公司維護人員遠程登錄至系統主機，對系統進行維護。

六管理措施
    在安全體系建立方面，技術上的努力只是一部分，甚至是很小的一部分，主要在於嚴格的管理措施。這些管理措施包括：

職業道德培訓：選擇合適的人員接觸本系統；
技術業務培訓：盡可能避免誤操作或其它失誤；
資料保密：讓不同級別的人接觸相應的系統技術資料；
密碼管理：經常更換密碼，特別是職位有變動時。
運行管理

一概述
    本部分從運行管理的角度出發簡要介紹城市IC卡系統的運行過程。

二系統工作台
    在城市IC卡系統內，需要從城市IC卡系統工作台上啟動，因此城市IC卡系統具備統一的操作界面。

    系統工作台包括基本功能塊和指定功能塊兩部分。

    基本功能有操作員登錄、登出、日誌瀏覽、操作卡上信息瀏覽、工作台設置、幫助以及退出工作台等功能。

    指定功能包括由網點申請銀行授權的城市IC卡功能，可以是發行、預付、掛失處理等等，還可以包括其他特定的應用軟件，例如，電信局話費結算系統：話費交納軟件、話費查詢軟件、應用註冊軟件等等。

三中心機房
    3.1系統啟動
    操作員開機後，將操作卡插入IC卡讀寫器後，選擇“操作員登錄”功能，進行登錄。系統在操作員正確登錄後，才允許操作員執行其它功能。

    3.2操作卡發行
    中心機房通過操作卡發行軟件管理城市IC卡系統的所有操作員（包括中心機房以及授權網點）

    3.3交易結算
    中心機房通過交易結算管理軟件完成交易結算功能。操作員需要定時運行交易結算軟件。結算輸出可以以報表的形式或者電子文件的形式提交給銀行業務部門。

四授權網點
    4.1系統啟動
    操作員開機後，啟動城市IC卡系統，將操作卡插入IC卡讀寫器後，選擇“操作員登錄”功能，進行登錄。系統在操作員正確登錄後，才允許操作員執行其它功能。

    4.2持卡交易
    系統通過銀行指定功能或者特定應用程序，對持卡人進行服務，包括發行、預付、掛失處理、持卡消費等。

    4.3數據傳輸
    交易數據可以通過多種渠道傳輸至銀行中心機房。如果通過電話網絡或者專線進行遠程連接，數據可以實時或者定時傳輸，也可以人工通過磁盤或磁帶進行傳輸。

    4.4交易結算
    結算在網點將交易數據發送至中心機房後由中心機房自動進行。

五持卡人

    5.1申請城市IC卡
    城市IC卡的申請可以在銀行有關規定下進行。

    申請人可以到發行銀行及其網點申領城市IC卡。申請時，需要提交身份證明，並設定卡的用戶密碼。

    持卡人到銀行或者授權預付網點往卡內存入一定費用後，即可在各網點刷卡付費了。

    5.2持卡消費
    在授權網點持卡消費時，持卡人需要出具身份證明（由銀行規定），在正確輸入用戶密碼後，可以用卡支付有關費用。

    5.3服務
    持卡人在銀行及其授權網點可以獲得以下服務：

查詢卡上餘額：了解卡上有關信息如發行時間、有效期、卡上餘額；
更改用戶密碼：輸入原來的密碼後，設置新的用戶密碼；
申請掛失：在城市IC卡丟失後，出具申領證明，可以掛失；
撤消掛失：掛失後，又找到，可以撤消掛失，繼續使用；
申請補發：掛失後，要求銀行補發，卡上餘額不變；
自動付費；可在公用事業付費方面要求自動付費，每月只須到臨近銀行網點，就可以一次交納所有公用事業費用，包括電話費、電費、水費等。