信用卡芯片的“指紋”

陳英

芯片上的獨(dú)特“指紋”

隨著諸如手機(jī)支付等各項(xiàng)功能的全面鋪開，你是否也曾對(duì)網(wǎng)絡(luò)安全、信用卡安全等產(chǎn)生過(guò)一絲隱憂呢？最近在美國(guó)，一些銀行客戶們的信箱里多了一封信，這封信來(lái)自銀行，里面有一張新的信用卡/借記卡。與之前的卡有所不同的是，這張卡上多了一塊小芯片。這塊芯片標(biāo)志著一項(xiàng)增強(qiáng)互聯(lián)網(wǎng)信息安全的新技術(shù)的誕生。同其他互聯(lián)網(wǎng)信息安全系統(tǒng)一樣，它能夠在用戶不知不覺中，為用戶日常的互聯(lián)網(wǎng)設(shè)備使用安全性保駕護(hù)航。

這些美國(guó)銀行向它的客戶供應(yīng)的卡片芯片，使用了目前被認(rèn)為物理上無(wú)法克隆的技術(shù)——Physically Unclonable Function，簡(jiǎn)稱為PUF，在IT界被稱為“不可復(fù)制功能技術(shù)”。事實(shí)上，這項(xiàng)技術(shù)最早于2008年便由verayo公司宣布推出。但是直到最近，它才得以在芯片上得到利用，得益于其日益降低的價(jià)格與增強(qiáng)的便捷性等各方面原因。每一個(gè)硅晶體構(gòu)成的芯片都擁有屬于自己的獨(dú)一無(wú)二的“指紋”，這在它們被生產(chǎn)出來(lái)的那一刻就隨即生成了，各不相同，而且?guī)缀鯚o(wú)法復(fù)制。

“某種程度上，這相當(dāng)于一種生物識(shí)別特征?！盉oris Kennes說(shuō)道，他就職在一家位于荷蘭的Eindhoven的Intrinsic-ID公司，這是一家老牌PUF技術(shù)公司。Intrinsic-ID的首席執(zhí)行官Pim Tuyls指出：“人們對(duì)于各式的芯片的安全疑慮一直在加深，這都是因?yàn)槿找娣簽E的高難度入侵工具與技術(shù)。黑客用這些入侵性工具破解過(guò)去的保護(hù)裝置，假冒、篡改密碼和電子簽名。我們相信，我們的PUF技術(shù)就非常適合用來(lái)克服這個(gè)問(wèn)題?！?/p>

想象一下我們生活在這樣一個(gè)信息化社會(huì)中，我們的冰箱可以為我們?cè)诰€點(diǎn)餐，或者我們的浴缸在得到我們手機(jī)的指示后，會(huì)在我們到家前十分鐘就自動(dòng)運(yùn)行起來(lái)。PUF的確可以成為一種有力保護(hù)我們信息安全的方式。

這家公司正在使用PUF技術(shù)來(lái)為信用卡芯片增強(qiáng)安全性?！皟H僅我們生產(chǎn)的芯片就有112種安全特征?！彼f(shuō)。

低價(jià)格 高安全

目前最好的安全系統(tǒng)，諸如蘋果的“secure enclave”技術(shù)，它有效阻止了FBI破解蘋果手機(jī)系統(tǒng)。但它很昂貴，而且要求工程師進(jìn)行大量復(fù)雜工作。如今每天都有數(shù)十億計(jì)的設(shè)備連接互聯(lián)網(wǎng)，其中很多都是一次性設(shè)備，這就意味著在設(shè)備的安全性保障上，人們需要一種更為便宜的選擇。

PUF就是那個(gè)便宜的選擇。芯片上的硅晶體一旦被生產(chǎn)時(shí)，其硅片獨(dú)特的物理特性加上制造過(guò)程的變異不確定性就同時(shí)造就了它的“指紋”。通上電流，使用1或者0的二進(jìn)制編碼組合編譯，便能產(chǎn)生一個(gè)密碼模式，被計(jì)為該芯片的電子簽名。

誠(chéng)如人類指紋一旦被讀取，警方就能迅速識(shí)別出此人的身份一樣，PUF技術(shù)也是利用其獨(dú)特的生產(chǎn)模式，來(lái)達(dá)到加密的手段。它的讀取方式也很簡(jiǎn)單，將芯片通電，便能讀取其電子簽名，然后用以標(biāo)記信息，并發(fā)往目的地。

不僅如此，因?yàn)樾酒摹爸讣y”僅僅在有電流流過(guò)的時(shí)候才會(huì)產(chǎn)生，這導(dǎo)致了這個(gè)系統(tǒng)比如今任何系統(tǒng)都要更加安全——至少理論而言如此。對(duì)于智能手機(jī)而言，它們的加密設(shè)備一般來(lái)說(shuō)都建立在手機(jī)硬盤上，以電子鑰匙為基礎(chǔ)的安全系統(tǒng)上。這就意味著一個(gè)雖小但不容忽視的風(fēng)險(xiǎn)——即使在手機(jī)關(guān)機(jī)狀態(tài)下，電子鑰匙同樣可能被黑客所復(fù)制。對(duì)比之下，PUF系統(tǒng)在沒有電流通過(guò)的時(shí)候，“指紋”就會(huì)自動(dòng)消失。

但是，在PUF技術(shù)大范圍普及以前，它仍然必須通過(guò)安全部門的審核。在2012年的一份調(diào)查中，德國(guó)達(dá)姆斯塔特技術(shù)大學(xué)的調(diào)查者們就評(píng)估了不同種類的PUF。他們發(fā)現(xiàn)其中三種芯片在溫度升高的時(shí)候會(huì)變得易于黑客攻擊——所幸的是，如今在美國(guó)銀行客戶手中的信用卡里的PUF芯片并不在此列。Owen表示，在他看來(lái)，這項(xiàng)技術(shù)并不是為了替代現(xiàn)存安全系統(tǒng)而產(chǎn)生的，相反，它只是一個(gè)添加劑，用以幫助人們，使用更低的價(jià)格提高更多的安全性。