1 引言
城市一卡通系統是以一卡通" title="城市一卡通" target="_blank">城市一卡通結算中心為核心、以各行業(公交、出租、自來水、煤氣等)為分中心， 以各收費終端、充值查詢終端為信息點，構建建設事業收費網絡，將城市公共事業的多個收費系統建設成為以IC卡作為支付手段， 以公共通訊網絡為連結紐帶，以計算機系統為信息處理方法的現代化信息管理系統，一方面提高服務效率和工作效率，全市通用、方便市民、提高服務質量，另一方面快速自動地處理系統內各行業的營運信息、準確結算，保障各行業利益，為城市的建設提供科學的決策支持系統。
城市一卡通收費系統是一個關系到廣大市民切身利益，和公交公司、出租車公司、地鐵、輕軌、銀行以及加入到系統中的各企業的利益，是一套牽涉面很廣的系統，對安全保密有著較高的要求，而系統具有規模大，網點分散，流動范圍大等的特點，如何保證系統安全可靠運行是一個重大課題。
2 系統安全涉及的范圈及要求
(1)系統安全涉及的范圍：城市一卡通系統主要涉及卡片、網絡通信、系統數據、系統操作、系統運行的安全等幾個方面。
(2)系統安全的要求
① 卡片的安全。只有經過城市一卡通系統或認可(授權)的實體發行的卡才能在本系統使用；只有通過城市一卡通系統或認可(授權)的實體認證的終端可以合法消費，否則消費不予認可；只有通過城市一卡通系統認證的終端可以進行充值交易，否則系統拒絕使用該卡。
② 網絡通信安全。通訊數據在傳輸過程中不能被篡改、偽造和遺棄，未通過認證數據無法進入系統；保證外部網絡無法直接訪問內部系統，唯一的數據交換通道通過專用接口實現，開發者必須保證該接口不能有損壞系統的行為。
③ 系統數據的安全。因為系統運行的交易數據直接與金錢有直接的聯系，并涉及到多個行業的結算。因此在交易數據的完整性、唯一性、可恢復性等方面有嚴格的要求。
④ 系統操作的安全。保證所有終端經授權認證后才能開始工作，防止非法用戶直接使用終端；通過專用協議保證非授權終端無法接入系統，終端不接受非授權系統；各種操作均根據安全級別設定操作權限(采用密碼認證和IC卡認證等方式)：各種操作均有系統日志進行記錄，以備查驗。
⑤系統運行的安全。系統運行采用雙機熱備、磁盤陣列等方式防止系統意外停機。采用UPS設備、自備柴油發電機等設備，防止因停電導致系統意外停止運行的情況。
3 系統安全體系設計
城市一卡通系統安全體系由四部分構成：基于建設部安全體系的交易體系用來保證卡的安全；基于數據冗余和磁帶技術等備份技術的數據安全體系來保證數據的安全；基于加密技術、防火墻、VPN技術的通信網絡安全體系來保證網絡通信的安全；基于高可靠性的系統安全運行環境體系來保證系統的安全可靠運行。體系結構圖如圖1所示：
3．1建設部安全體系
(1)建設部安全體系功能。本系統的作用就是安全地產生部級各類密鑰和城市級各類子密鑰，并將城市子密鑰安全地下發給城市，用來產生用戶卡和操作員卡的各種密鑰。并確保以上所有環節中密鑰的安全性和一致性，逐步實現集中式的密鑰管理。
本系統主要由兩大模塊組成：①建設部密鑰管理模塊，功能是生成全國和各地的消費(扣款)主密鑰，密鑰卡的形式傳送到各地應用行政主管部門。②城市密鑰管理模塊，功能為生成和安裝用戶卡、充值SAM卡上的各種密鑰。
(2)建設部密鑰管理系統安全機制。本系統采用的IC卡為CPU卡，使用多種密鑰類型：認證密鑰，傳輸密鑰，主控密鑰，密鑰替換密鑰和MAC密鑰。加密算法則使用DES和3DES3算法。IC卡的認證機制分為內部認證和外部認證。內部認證主要是為了驗證用戶卡的合法性和真實身份，具體流程如圖2所示：終端比較Dl和D2，D1和D2的值一致表示內部認證成功，否則內部認證失敗。
充值機作為整個一卡通系統中的一個組成部分，主要完成用戶卡的發售、充值、激活等方面工作，它的安全保障對整個系統能正常運行具有很重要的意義。充值機系統安全是建立在建設部ISAM卡認證密鑰體系基礎之上。對用戶卡片的操作都是在通過ISNd卡正確認證的前提下進行，可以有效的防止非法卡。對授權卡的使用授權由上位機來認證，確保操作員是該卡的合法擁有者；ISNd卡通過外部認證確定授權卡合法性。
3．2數據的安全
(1)交易記錄的安全。用戶卡的消費和充值數據涉及到整個系統中各個單位之間的資金劃撥問題，用戶卡消費和充值數據的安全性必須得到強有力的保證。首先用戶卡的消費和充值數據包括了終端編號，PSAM卡號，用戶卡唯一代碼，交易類型標志，交易流水號，城市代碼，卡型，交易前金額，交易金額，交易日期，交易時間。交易計數器，保留字節，TAC組成。在生成消費和充值記錄前必須經過黑名單、SAM卡，卡啟用標志，卡型，城市代碼和行業代碼的校驗。其中PSAM卡號由建設部保證是唯一的，終端編號由廠家在出廠設置為唯一的，在終端安裝時保證記錄終端和PSAM卡號的一一對應，并在管理中心進行記錄。
(2)多行業應用數據不相互影響。由于城市一卡通系統是一個多運用的系統，系統涉及多個公用行業企業，在系統的設計上必須考慮到多運用，并且要保證各運用獨立運行，相互的數據和程序不能交換，這些是通過CPU卡來保證，在CPU卡的文件結構上采用每個運用建立一個專門的文件，相應的記錄等文件都存儲在專門的運用目錄中。每個行業目錄都只有合法的本行業設備才能使用，即通過設備中的SAM卡提供訪問專門目錄的密鑰，進行權限控制。
(3)軟件系統操作安全。對于不同級別的用戶分配不同的用戶級登錄權限，在操作系統中作不同的操作限制。數據庫文件由系統級安全管理保護，數據庫的用戶權限按角色分級管理。數據庫管理員密碼由數據庫系統管理員設置。服務端應用軟件一經安裝便跟隨操作系統一起啟動和停止，只有操作系統管理員才有權力對其進行中止、啟動運行，客戶端所有連接都要經過身份及來源驗證，服務端才接受其信息。對于客戶端的應用軟件，在與數據庫建立連接后或與服務端應用程序建立連接后要根據用戶級別進行權限分配，應用軟件根據不同的權限來開放或回收應用軟件的部分或全部功能。應用軟件運行后所有關系到數據的操作及重要的操作都進行日志記錄。應用軟件都有自身完整性校驗功能，一旦被病毒感染或非法修改都在日志中記錄供系統管理員參考。
(4)系統數據的安全性。在系統數據的存儲上采用磁盤冗余技術保證數據的完整性，通過在線備份系統保證數據可以完全恢復，采用系統問互為備份輔助數據完整安全。
系統采用日常的數據備份管理、重要文件的定期歸檔、分級存儲管理、存儲介質管理、數據庫應用的在線備份系統、災難恢復等安全策略，來保證系統數據的安全性。
3．3系統網絡通信安全
對于城市一卡通系統的網絡安全，包括了多個層面的內容，包括了網絡系統的冗余備份、故障快速恢復、內部安全體系管理及防止外部攻擊等。系統采用已成熟應用的星型結構組網。
3．4系統運行環境的安全
系統運行環境需要考慮穩固可靠的機房建筑、穩定可靠的電力供應，符合設備要求的溫度、濕度環境、安全可靠的防雷措施以及故障發生時及時的恢復等等。
4 安全體系建設
系統安全問題不僅是技術的問題，安全是策略、技術與管理的綜合過程，是一項系統工程。因此，建立城市一卡通系統安全體系，實施城市一卡通系統安全體系工程不能單純從安全技術與產品出發，需要綜合考慮風險分析、需求分析、安全策略、技術標準、管理規范、體系架構、工程監理、意識教育與技術培訓等問題，充分在范圍與目標、標準與規范、體系與架構、技術與管理等方面進行深入細致地研究與綜合分析，只有這樣，才能建立一個積極的、高效的、性能價格比最佳的安全防護體系。
5 結語
城市一卡通系統安全體系的建設是一個復雜的系統工程，他需要從技術的先進性、可用性、可靠性、建設成本等多方面綜合考慮，而不僅僅是簡單的幾項技術和各種設備的簡單疊加。目前已正式運行兩年的某省會城市的城市一卡通系統就是按照本安全體系進行建設和運行管理，還未出現任何安全問題。