Podstawowe cechy
- Karta inteligentna posiada wbudowany mikroprocesor realizujący takie operacje jak - szyfrowanie, podpisywanie cyfrowe i inne,
- Możliwość rozszerzania funkcjonalności poprzez dodawanie własnych danych i aplikacji,
- Możliwość personalizacji graficznej i elektronicznej - karta inteligentna może zostać nadrukowana wg dowolnego projektu,
- Siła zabezpieczeń dostosowana do potrzeb (standardy FIPS, Common Criteria),
- Komunikacja poprzez czytniki stykowe (USB, PCMCIA) oraz zliżeniowe (na przyklad w systemach Kontroli Dostępu i Rejestracji Czasu Pracy),
- Wymiary karty kredytowej lub karty SIM (formaty ID-1 i ID-000 ISO/IEC 7813:2003)
Opis
Dlaczego karta inteligentna jest inteligenta?
Określenie karta inteligentna (z ang. Smart Card) jest jak najbardziej uzasadnione w przypadku tego urządzenia. Żeby jednak zrozumieć zasady działania tego urządzenia należy zapomnieć o tradycyjnych plastikowych kartach z paskiem magnetycznym. Poniżej przedstawiono ogólny opis budowy i działania karty, który przybliża funkcjonowanie kart inteligentnych.
Budowa karty:
Karta inteligentna najczęściej występuje w dwóch postaciach:
W postaci plastikowej karty wielkości karty kredytowej (format ID-1 standardu ISO/IEC 7810:2003) lub w postaci małej karty wielkości karty SIM (format ID-000 standardu ISO/IEC 7810:2003).
Najistotniejszym elementem karty jest mikroprocesor wtopiony w plastik bądź inne tworzywo. Mikroprocesor jest specjalnie zaprojektowany na potrzeby związane z bezpieczeństwem i ochroną danych. Karta inteligentna posiada również system operacyjny kontrolujący dostęp do jej danych oraz funkcjonalności, który może również umożliwiać instalowanie własnych aplikacji na karcie.
Komunikacja z kartą:
Komunikacja z kartą inteligentną odbywa się poprzez interfejs stykowy lub zbliżeniowy. Oba rodzaje interfejsów pracują zgodnie z przyjętymi standardami więc nie ma problemów z zastosowaniem karty z różnymi czytnikami.
Bezpieczeństwo
Istotnym aspektem pracy karty jest bezpieczeństwo operacji. Wszystkie operacje kryptograficzne wykonywane są na karcie w taki sposób, że nikt z zewnątrz nie ma dostępu do takich danych jak klucz prywatny. Dzieje się to w następujący sposób:
Chcąc wykonać operacje utworzenia pary kluczy, podpisu cyfrowego czy też odszyfrowania danych - urządzenie zewnętrzne na polecenie użytkownika wysyła odpowiednią komendę do karty np.:
"
utwórz klucze", karta w takim wypadku generuje parę kluczy z czego klucz publiczny zostaje odesłany do urządzenia oraz do użytkownika a prywatny zostaje zachowany na karcie.
Operacje odszyfrowania realizowane są w podobny sposób - do karty wysyłane jest polecenie "
odszyfruj dane" i przekazywana porcja danych, karta ma zachowany klucz i na jego podstawie odsyła odszyfrowaną paczkę danych. W każdym przypadku karta inteligentna weryfikuje najpierw tożsamość posiadacza prosząc o PIN.
O jakości zabezpieczeń karty inteligentnej świadczą certyfikaty wystawione przez uznane centra certyfikacji. Stamdardy będące podstawą do wydania certyfikatu, na których można opierać wybór karty są:
- FIPS 140-2 - Amerykański standard bezpieczeństwa systemów kryptograficznych. FIPS 140-2 jest skalą 5-cio stopniową gdzie level 1 jest najniższym poziomem bezpieczeństwa. Dobre karty inteligentne powinny być zgodne z co najmniej poziomem 3. tego standardu (FIPS 140-2 level 3).
- FIPS 201 PIV - Dosyć nowy standard rozwiązań dotyczących jakości zabezpieczeń w mechanizmach cyfrowej tożsamości. W Stanach Zjednoczonych zgodność ze standardem FIPS 201 oznacza możliwośc wykorzystania produktu w identyfikacji osoby w skali całego kraju (prawa jazdy, legitymacje ubezpieczeniowe itp)
- Common Criteria - (ISO 15408) - Europejski standard bezpieczeństa systemów teleinformatycznych. Siła zabezpieczeń określana jest w stopniach EAL (Evaluation Assurance Level). Common Criteria przyjmuje 7 stopni w skali EAL gdzie 1 jest najniższym. Posiadanie cerfyfikatu CC nie gwarantuje że produkt jest bezpieczny pod każdym względem - zapewnia jedynie o działaniu wszystkich zadeklarowanych przez producenta zabezpieczeń. Sam certyfikat daj bez profilu ochrony opisującego zastosowane zabezpieczenia. Dla różnych produktów istnieją ustandaryzowane profile ochrony. Karta z certyfikatem EAL4+ oraz z profilem ochrony CEN/ISSS Protection Profile SSCD type 3 jest urządzeniem bezpiecznym do składania podpisu cyfrowego zarówno w świetle europejskicj dyrektyw jak i polskiego prawa.
Zarówno standardy FIPS jak i Common Criteria z profilem ochrony poświadczają nie tylko jakość zabezpieczeń produktów ale również potwierdzają bezpieczny procedurę produkcji i dostarczenia kart intelignentnych.
Przy wyborze karty należy zwracać szczególną uwagę na jakość zabezpieczeń. Wiele produktów na rynku nie może wskazać żadnych certyfikatów, a w praktyce może się okazać, że porządne rozwiązanie jest niewiele droższe. Wdrożenie kart z wysokim poziomem bezpieczeństwa może być atutem przy ubieganiu się o certyfikaty bezpieczeństwa dla firm i organizacji.
Zastosowanie
Karty inteligentne są dedykowane do zastosowań związanych z cyfrową tożsamością oraz infrastrukturą klucza publicznego PKI, w związku z czym stanowią bardzo wygodny i bezpieczny, elektroniczny dowód tożsamości. Zastosowanie takiego dowodu jest bardzo wszechstronne:
- Identyfikatory korporacyjne,
- Urządzenia do e-podpisu,
- Cyfrowy dowód osobisty,
- Legitymacje studenckie,
- Legitymacje ubezpieczeniowe,
- Programy partnerskie,
- Karty miejskie,
- i wiele innych….