S čipovou kartou v různých formách se většina z nás již setkala. V nejjednodušším případě se mohlo jednat třeba o předplacenou telefonní kartu s pamětí a pevnou logikou. Řada uživatelů platebních karet dnes z důvodu vyšší bezpečnosti přechází z karet s magnetickým proužkem na čipové karty a každý majitel mobilního telefonu běžně používá tzv. SIM kartu. Stále častěji se setkáváme i s použitím bezkontaktních čipových karet s radiovým přenosem, zejména v případě přístupových systémů budov, docházkových systémů, aplikací pro stravování a v hromadné dopravě. Čipová karta se stává nejen běžnou součástí našeho života, ale i prostředkem hojně využívaným v bezpečnostní infrastruktuře podniku.

Co tvoří čipovou kartu

Základem každé čipové karty je polovodičový čip vyvinutý speciálně pro konstrukci čipové karty nebo podobného zařízení (kryptografického předmětu). Pro využití v rámci bezpečnostní infrastruktury jsou nejzajímavější mikroprocesorové (smart) karty, které obsahují podobné komponenty jako celý počítač – procesor, specializované kryptografické koprocesory, různé typy pamětí a vstupně/výstupní kanály integrované na jediném čipu. Moderní čipy mají implementovánu řadu bezpečnostních mechanismů, které ztěžují různé typy útoků na bezpečnost a jsou odolné proti útokům invazivním (použití chemikálií a mechanických nebo fyzikálních interakcí) i neinvazivním (například použití diferenciální analýzy spotřeby DPA). Neméně důležitou částí čipové karty je zabudovaný software – operační systém, který je zpravidla umístěn v paměti ROM čipu. Právě kombinace možností čipu a funkcí operačního systému je podstatou konkrétní čipové karty. Čipová karta je specializovaný miniaturní kryptografický počítač, který komunikuje s PC nebo terminálem prostřednictvím kontaktního nebo radiového přenosu a bezpečně realizuje kryptografické a datové operace.

Kontaktní čipová karta

Kontaktní čipová karta má kontaktní plošku s osmi kontakty, jejichž funkce a umístění na čipové kartě je standardizováno normou ISO/IEC 7816-2. Jednotlivé kontakty slouží pro napájení čipu, sériovou komunikaci, přivedení externího taktovacího signálu a programovacího napětí. Důležité rozšíření komunikačních možností čipové karty specifikuje relativně nový standard ISO/IEC 7816-12, na jehož základě jsou již dnes vyráběny karty integrující USB rozhraní přímo na čipu, označované USB-ICC. Jejich hlavní výhodou je možnost eliminace čtečky čipových karet, která je nahrazena standardním USB rozhraním počítače, ke kterému je připojen kontaktní adaptér obsahující čipovou kartu v SIM formátu.

Bezkontaktní čipová karta

Bezkontaktní radiová komunikace s čipovou kartou na krátkou vzdálenost (do deseti centimetrů) využívá frekvenci 13,56 MHz a je definována čtyřdílným standardem ISO/IEC 14443. V současné době probíhá standardizace vyšších přenosových rychlostí až na hodnotu 848 Kb/s a existují dokonce laboratorní vzorky s rychlostí až 5 Mb/s. Vysoká přenosová rychlost je nutná pro rychlý zápis a čtení větších objemů dat, zejména v oblasti biometrické identifikace a verifikace. V minulosti byla hlavní překážkou využití sofistikovaných kryptografických možností čipových karet prostřednictvím radiového přenosu příliš vysoká energetická náročnost čipů. V současné době lze, díky pokračující miniaturizaci a snižující se spotřebě, realizovat pohodlně i komplexní kryptografické operace založené na algoritmech RSA nebo ECC s využitím radiového přenosu, je však nutno řešit nová bezpečnostní rizika spojená s radiovým přenosem (neoprávněné čtení, odposlouchávání, přesměrování).

Výrobci a dodavatelé

Mezi významné výrobce čipů určených pro čipové karty patří například společnosti Atmel, Infineon, Philips, Samsung a STM. Operační systémy a vlastní čipové karty vyrábějí například společnosti Gemalto, G&D, OCS a další. Dodávky čipových karet koncovým zákazníkům (firmám, veřejné správě a jednotlivcům) realizují nejčastěji dodavatelé programového vybavení nebo integrátoři. Důvodem je skutečnost, že čipová karta musí být doprovázena specializovaným programovým vybavením a službami pro inicializaci, personalizaci, integraci do operačních systémů a aplikací a následnou správu životního cyklu.

Využití čipových karet v bezpečnostní infrastruktuře podniku

Čipová karta poskytuje služby pro identifikaci a verifikaci držitele, autentizaci uživatele informačního nebo komunikačního systému, vytvoření zaručeného elektronického podpisu a obecně pro bezpečné uložení informace.

Fyzický přístup

Nejčastěji se v současnosti lze setkat s využitím čipových karet pro řízení fyzického přístupu v rámci přístupových systémů místností a budov. Téměř výhradně se využívá bezkontaktní RF komunikace, poskytující triviální identifikační funkci, založenou na vyslání unikátního identifikačního čísla čipu (UID), které nepřímo identifikuje držitele karty. Zatímco tato identifikace je zpravidla akceptovatelná v běžném přístupovém systému, pro vyšší bezpečnostní požadavky je třeba ji doplnit o verifikaci držitele, založené na zadání kódu PIN, nebo na porovnání biometrického vzorku – zpravidla fotografie, otisku prstu nebo geometrie dlaně. Není bez zajímavosti srovnat úroveň identifikace a dobu potřebnou pro její provedení u běžného podnikového přístupového systému s úrovní identifikace, kterou poskytují elektronické cestovní pasy s biometrickými prvky ve státním hraničním „přístupovém“ systému. Identifikační funkci čipové karty je dále možné využít v docházkových systémech pro evidenci pracovní doby a jejích přerušení, v systémech podnikového stravování pro objednávání a výdej stravy včetně bezhotovostního nákupu v kantýně a pro evidenci čerpání různých zaměstnaneckých výhod. Nutnou podmínkou pro (zpravidla různé) dodavatele je sjednocení platformy všech čtecích zařízení a karet na jediný systém; nejpoužívanější v této oblasti je technologie Mifare

Logický přístup

Poněkud náročnější, a proto dosud méně rozšířenou oblast tvoří využití kryptografických možností čipových karet. V prvé řadě se jedná o řízení logického přístupu k informačním a komunikačním systémům na základě silné autentizace uživatele čipové karty. V nejjednodušším případě může karta sloužit jako bezpečné úložiště autentizačních hesel s vysokou entropií, jejichž použití je vázáno na zadání kódu PIN. Stále větší množství systémů i aplikací umožňuje pro autentizaci využít certifikáty a privátní klíče umístěné na čipové kartě. Mezi takové nejrozšířenější systémy patří Windows Active Directory, web servery a prohlížeče využívající protokol SSL/TLS, směrovače a přístupové servery s technologií VPN i řada populárních aplikací, jako Microsoft Office, Lotus Notes a SAP. Při využití kvalitního programového vybavení pro integraci čipových karet (tzv. middleware) je jejich využití ve všech systémech a aplikacích zcela transparentní a intuitivní. Implementace certifikátů a čipových karet je v tomto případě úloha více administrativní než technická.

Elektronický podpis

Důležitou kryptografickou operací je vytvoření zaručeného elektronického podpisu. Tento podpis umožňuje autentizovat dokumenty, ověřit jejich integritu a zaručit nepopiratelnost podepisující osoby. Na rozdíl od operací identifikace nebo autentizace osoby, které mají víceméně jednorázový charakter, je platnost elektronického podpisu permanentní. Tím naléhavější je potřeba využití bezpečného zařízení pro vytvoření (ale i ověření) elektronického podpisu. Čipová karta s podporou asymetrické kryptografie umožňuje vygenerovat potřebné kryptografické klíče přímo na čipu a využít privátní klíč pro vytvoření elektronického podpisu, samozřejmě pouze po úspěšné verifikaci podepisující osoby. Podepisující osoba má jistotu, že bez jejího vědomí (tedy bez držení karty a současně znalosti kódu PIN) není možné elektronický podpis vytvořit.

Šifrování a dešifrování

Ochrana dat před neoprávněným přístupem je řešitelná pomocí různých opatření, mezi nejsilnější patří správně implementovaná kryptografická ochrana. Potřebné hlavní klíče jsou generovány a uloženy v bezpečném systému pro správu klíčů a následně importovány na čipovou kartu pro rutinní použití. Čipová karta a programové vybavení umožňuje bezpečně šifrovat a dešifrovat pracovní šifrovací klíče, které jsou následně využity k vlastnímu šifrování nebo dešifrování dat. Při poruše nebo ztrátě karty je možné hlavní klíče importovat na náhradní kartu.

Vše na jedné kartě

Zkušenosti z praktického nasazení ukazují, že optimální volbou pro bezpečnost systémů i pohodlí uživatelů je kombinované využití čipové karty pro více podnikových systémů a aplikací. Čipová karta může být běžně osazena jedním nebo dvěma čipy se dvěmi, nebo dokonce i třemi rozhraními (kontaktní ISO sériové, USB, bezkontaktní RF). Tato kombinace umožňuje použít jednu kartu pro fyzický i logický přístup, elektronický podpis i šifrování. Karta se tak stává „generálním klíčem“, který doslova i obrazně otevírá přístup k prostředkům a informacím podniku, úřadu i jiné organizace.

Autor je ředitelem vývojové divize ve společnosti OKsystem a současně působí jako expert v oblasti čipových karet.