1、IC卡身份证系统设计方案IC卡身份证系统设计方案摘要 随着社会发展，公民身份证防伪倍受社会各界的关注，利用信息技术实现防伪验证是当今安全领域研究的一个热点。本文简单的介绍CA认证和数字签名技术的发展并结合IC卡技术，探讨IC卡公民身份证系统的基本工作原理，及系统总体设计方案。关键词 IC卡，身份证，防伪验证，设计方案 一、背景及需求分析1背景随着社会的发展，目前公安系统的身份证管理系统中存在不少问题，已不能适应社会的要求。其中最关键、最迫切需要解决的问题是：防伪问题及身份证信息量偏少;手工操作的人口信息相对现实人口信息的滞后，不能保证人口信息的准确性和实时性；纸介质的信息载体，无法实现多个管理
2、部门的信息共享。身份证作为公民的身份识别证件，其最主要也是最重要的功能是识别公民的身份，从而帮助有关部门进行有效的管理工作。尽管现在身份证已有激光防伪标志，但假身份证仍亦步亦趋的大量出现，给各部门的管理工作带来很大困扰，且给不法分子的违法活动提供了可乘之机。同时，现有的纸基身份证能够承载的信息量非常有限，已不能满足进行身份管理的需求。为此，我国公安机关开始探索采用基于IC卡技术的新一代公民身份证系统，并于2004年内在部分省市进行试点工作。2需求分析IC卡身份证管理系统能够实现身份证管理的全部业务功能，且充分利用IC卡的的特点，建立起完整的安全、可靠、功能强大且使用简便的身份证管理系统。具体要
3、求如下：（1） 每位公民持有一张IC卡公民身份证，电子信息记录公民姓名、性别、民族、出身年月日、籍贯、血型、公民身份证号码、彩色照片等个人特征信息，以及发证机关及证件有效期限;（2） 公安机关有一套管理发证子系统;（3） 有一个全国性的开放的信息中心供机构或个人查询;（4） 身份证验证设备供机构或个人使用,可以准确验证公民身份证的真伪。要求身份证系统具有一定的抗伪造能力。根据我国的公民身份证实际使用情况，我国现有人口13亿左右，公民身份证的换发涉及到老百姓的切身利益，因此IC卡公民身份证成本应该尽量低一些，身份证的发放工作应该由县一级公安机关负责实施，同时实现身份证的全国统一管理和查询。同时，
4、查验身份证的真伪应该有多种方式，诸如使用专用设备进行检测、网络验证等多种途径以满足不同发展水平地区、和不同行业的实际需要。根据上述实际情况，选用价格较低的逻辑加密卡作为IC卡身份证的基本载体，卡内存储公民姓名、性别、民族、出身年月日、籍贯、血型、公民身份证号码、彩色照片等个人特征信息，以及发证机关及证件有效期限。卡内有效存储空间0.5KB左右即可（其中200dpi照片信息约2kbit=256Byte左右，数字签名采用RSA算法存储1024bit=128Byte信息，其它信息几十字节）。第二代身份证采用了非接触式IC卡技术，它的基底材料也采用的是一种无污染、使用期限长的有机材料PET，基底材料里
5、内嵌一个特殊的逻辑加密存储器芯片，而没有采用CPU芯片。不采用CPU基于以下考虑：一是成本的考虑，带CPU芯片的价格是普通芯片的若干倍；二是安全性并非因用上CPU芯片就能绝对的保证安全。而且，我们有一个观点：越是简单的，才越可靠。一个产品的安全性不能简单的寄托在一个主要的部件上，而应该扩展到整个系统，应该针对第二代IC卡身份证设计一个安全机制，把这个安全工作分散到几个方面中去，这样多方面地承担了安全的工作，首先从身份证的物理特性考虑，材料、印刷、工艺、加密防伪、标记等，这样保证身份证的安全可靠，这是第一必须考虑的。第二是芯片上的，采用基于CA认证的数字签名技术从多方面构成一个安全可靠的防伪机制
6、。当前的逻辑加密卡能够满足第二代身份证项目的需要，当然，我们也不排除随着微电子技术水平的发展，芯片性价比大幅度提高的情况下实时进行更换。IC卡身份证与第一代身份证的根本区别在于包含了两部分信息：视读信息和机读信息。视读信息和现行身份证上的基本一致，但新身份证的个人相片将采用彩色。新的身份证应该考虑到了个人的隐私问题，只能读而不能往里改写，保护公民的个人权利，包括隐私权利。建立一个全国性开放信息中心，提供验证速度应该达到每秒验证50万笔的速度，这样确保用户能够方便快捷地查询身份证的真伪。二、系统基本工作原理、RSA算法RSA公钥密码算法的数学形式分为两个过程： 由明文转换为密文的过程： 由密文转
7、换为明文的过程： 其中：M是明文，C是密文，（N，e）是公钥，d是私钥，N是1024比特的数。此算法使用两个密钥：公开密钥（public key）和私有密钥（private key）分别用于对数据的加密和解密,即如果用公开密钥对数据进行加密，只有用对应的私有密钥才能进行解密；如果用私有密钥对数据进行加密，则只有用对应的公开密钥才能解密。、 签名和验证过程 （）发送方首先用公开的单向函数对报文进行一次变换，得到数字签名，然后利用私有密钥对数字签名进行加密后附在报文之后一同发出。 （）接收方用发送方的公开密钥对数字签名进行解密变换，得到一个数字签名的明文。发送方的公钥是由一个可信赖的技术管理机构即
8、验证机构（CA: Certification Authority）发布的。 （）接收方将得到的明文通过单向函数进行计算，同样得到一个数字签名，再将两个数字签名进行对比，如果相同，则证明签名有效，否则无效。 这种方法使任何拥有发送方公开密钥的人都可以验证数字签名的正确性。由于发送方私有密钥的保密性，使得接收方既可以根据验证结果来拒收该报文，也能使其无法伪造报文签名及对报文进行修改，原因是数字签名是对整个报文进行的，是一组代表报文特征的定长代码，同一个人对不同的报文将产生不同的数字签名。3、数字证书的格式数字证书是认证中心颁发并进行数字签名的数字凭证，它是数字签名技术最重要的应用领域。数字证书是网
9、络中各个实体的网上身份证明，它证明实体所宣称的身份与其持有的公钥的匹配关系，使得实体中的身份于证书中的公钥相互绑定。在IC卡公民身份证系统中，数字证书采用ISO于1998年公布的X.509协议，它规定每个用户都有一个与其他用户不相同的名字，并由CA分配并签发一个包含用户名字和公钥的证书。X.509证书（第三版）包括：证书版本；证书序列号；证书算法标志符；发行人；有效期限；证书持有人（用户明）；证书持有人的公钥；发行人的唯一标志；证书持有人的唯一标志；扩展信息（包括密钥及证书策略信息、主体及发行人属性、证书的约束等）签名（将上述所有字段内容的散列值用CA的私钥加密，包含算法的标志符）三、系统组成
10、1、发证子系统IC卡身份证的发放工作应该由县级公安机关负责实施，利用公安专网实现权限的管理和职能的划分。县级公安机关负责发证的具体工作，这些工作包括：发证的权限设定，公钥私钥的保管;公民身份证的发放申请；公民个人数据、照片的采集录入；公民身份证数字签名的生成；公民IC卡身份证的生成；身份证印刷、加工制作；数据的备案及备份。县级公安机关发放身份证需要经过公安部专用密钥加密授权的证书。发证部分软件框图如下：2、脱机验证设备脱机验证设备主要是满足籍贯和个人用户验证身份证的真伪之用，根据用户的使用目的和是用场合不同，脱机验证设备的规格和指标也有所不同。脱机验证设备是一个典型的嵌入式系统。针对脱机验证设
11、备的设计我们应该遵循嵌入式系统设计的核心思想：以通用计算机系统为参照，以满足特定应用要求为准则，采用各种可能的方法、技术和产品，使专用电子信息系统达到最优的性能/价格比。由于脱机验证设备使用场合多种多样，设计出来的产品也各不相同，我们这里只就2种脱机验证设备进行一般原理性设计，其他产品设计原理基本相同。（1）用于银行、机场等大型机构的脱机验证设备。由于银行、机场等机构机场需要对顾客身份证进行验证和录入公民的部分个人信息，并需要进行顾客信息的统计工作。民航、银行员工经常使用这种设备，而且顾客流量大，对验证速度，使用方便程度，视觉效果等要求较高。这些机构对设备的成本一般要求不太苛刻。因此，针对这一
12、类客户我们设计了一种台式验证设备，原理框图如下图所示：CPU采用Intel的X86系列即可，单笔验证在1-2秒即可满足要求；键盘可采用5X4键盘，定义常用操作键即可；监视器可采用5”彩色液晶显示器；能够清晰显示公民身份证存储的彩色照片信息即可;系统提供USB接口，可以连接打印机及其它外设提供于其它设备的接口，以便于打印和信息的存储统计。根据系统功能RAM采用32兆，共享显示内存。IC卡读卡器与身份证卡相匹配。电源采用传统开关电源，220V供电；（2）用于个人用户的便携式脱机验证设备。CPU采用Intel的51系列即可，单笔验证在1-2秒即可满足要求；键盘可采用4X3键盘，定义常用操作键即可；监
13、视器可采用LED显示器；能够清晰显示公民身份证验证结果的文字信息即可;根据系统功能RAM采用256KB;IC卡读卡器与身份证卡相匹配；电源采用3V直流电源(2节5号电池),以减小体积和重量便于携带。脱机验证设备软件原理框图如下：3、公安部全国公民身份证认证中心认证中心是数字证书的签发机构，是公钥基础设施（PKI）的核心。它对某个主体的公钥进行公证，以证明该主体的身份与它的公钥相匹配。认证中心对自己颁发的数字证书进行签名（利用根私钥），从而保证了其颁发证书的合法性与权威性。认证中心的公钥是公开的，但是私钥是高度机密。（1）认证中心的职责：验证并标志基层公安机关证书持有者的身份；确保根CA用于证书
14、签名的私钥的质量；确保签名过程及根私钥的安全性；证书资料信息的管理，证书序列号、标识符等；确定并检查证书的有效性；确保证书主体标志的唯一性；发布维护证书撤销表；证书签发过程的日志记录；向申请人发出通知。（2）认证中心的功能：证书的颁发证书的归档证书的查询（3）认证中心的结构按照我国现有的行政管理体制建立三级CA认证体制。根CA由公安部负责管理，省级、县级CA分别由当地公安机关进行管理。公安部CA认证中心担负全国网络认证查询工作。中心物理网络结构图如下：（4）网络及硬件指标要求：认证中心完成每秒50万笔的验证速度，按照IC卡公民身份证数据信息量0.5KB左右的信息量。验证一个身份证信息传输带宽0
15、.5X8=4kbit/s，验证50万笔网络传输信息量4X500000=2000000kbps=2000Mbps=2Gbps。CA机房验证算法芯片按照每秒完成2000次加密运算，每个验证需要计算2次，因此每秒完成50万笔的运算至少需要密码算法芯片数量（500000*2）/2000=1000片，按照每个扩展插槽可以安装64片密码算法芯片，供需16个扩展插槽。对应的网络和服务器的网卡等指标要符合上述要求，必要是可以采用并行服务器阵列以提高处理能力。（5）软件基本模块框图四、结束语 本系统只是进行了原理性的一般说明，与具体实践还有比较大的差距，由于水平所限可能还存在许多错误和不足之处，请予以批评指正。 2004年2月
