一直以來，傳統非接觸式IC卡定位于快速支付應用，主要基于13.56MHz射頻技術實現短距離非接觸式讀寫操作，以及采用基于卡內錢包的脫機交易形式，因而得以實現安全、快速的交易應用，典型交易時間約250ms-300ms，能夠滿足公共交通特別是軌道交通的大容量客流快速通過場景的應用需求，因此在公共交通行業得到了普遍、成熟的應用，其中尤其以中國為典型應用代表。

　　一、NFC支付應用相關背景

　　國內城市規模龐大，人口流動頻繁，超千萬人口城市比比皆是，由于生活及工作區域相對分散，城市居民對公交通勤具有巨大的需求。以北上廣及香港為例，每日地鐵客流量均已逼近或超過1000萬人次，對應公交通勤卡發卡量均超過4000萬張，日交易量均超過1000萬筆;國內行業總發卡量超過4億張，總體應用規模居全球之首。由于公交通勤卡應用具有額度小、頻率高、使用廣等特點，因此得以成為應用規模最大、應用模式最成熟的快速支付應用。

　　金融行業同時也在大力推廣非接觸式支付應用。中國銀聯主推的閃付（QuickPass）、VISA主推的payWave、MasterCard主推的PayPass，都采用了同樣的射頻技術和類似的技術標準。以中國銀聯為例，在國內已部署受理閃付終端超過400萬臺，組織各成員銀行發行金融IC卡超過10億張。

　　隨著移動通訊技術的發展，通過將非接觸式IC卡技術與移動通訊技術融合的NFC手機支付技術成為市場的熱點。其實NFC技術最早自2005年即開始發展，諾基亞、三星就是首批推出NFC手機的廠商。由于NFC手機支付應用產業鏈條比較長，包括NFC芯片廠商、手機廠商、移動運營商、支付機構等，涉及各方利益較為復雜，技術標準及應用模式各有分歧，導致實際應用情況尚不理想，比如時下的NFC全終端、NFC-SIM兩種主要模式，分別對應由支付機構和移動運營商主導和推動，最終結果就是典型的“理想很豐滿，現實很骨感”，支持NFC技術手機比例不足10%，應用規模則更小。日前Apple強勢推出ApplePay，以獨特的安全和體驗優勢，開啟了NFC支付應用的新局面。

　　隨著移動互聯網的普及，以及可穿戴產品的興起，通過非接觸式IC卡技術與藍牙4.0（BLE）低功耗通訊技術融合的外置式NFC支付產品也逐漸成為市場熱點。由于藍牙BLE技術已經基本普及和成熟，不會受到手機終端的制約，而且外置式NFC支付產品產業鏈條短、應用模式靈活，并且成本低廉，可以直接成為現有非接觸式IC卡的升級和替代，具有大規模應用的爆發條件。

　　二、外置式NFC支付產品安全分析

　　NFC支付應用與現有非接觸式IC卡支付應用之間，有一點最大的差異，就是封閉和開放的區別。現有傳統IC卡支付應用近乎處于一個封閉的應用環境，消費在專用的金融POS或公交收費終端上完成，圈存在專用的ATM、自助終端或人工網點完成，所有設備處于封閉的專線內網或者VPN網絡內部，可以確保環境、設備及操作安全;即便可以通過互聯網操作，也采用專門定制的設備和專用的協議，具有類似的封閉效果。NFC支付應用部署在用戶的手機終端和外設產品上，設備、環境、用戶均不受制約，安全性受到較大的制約和挑戰。

　　外置式NFC支付產品作為與NFC手機的互補性產品，兩者同樣定位于實現NFC移動支付應用，有必要做一個比較簡單的對比分析。

　　外置式NFC支付產品結構比較簡單，與NFC手機具有較大差別。

　　NFC手機通過基帶控制器分別連接SE和NFC控制器，NFC控制器再與非接觸式射頻天線（含主動或被動射頻天線組件）連接;NFC手機處理器具有相當于PC處理器的處理能力，能夠勝任各種復雜的業務邏輯和安全計算任務;NFC手機具有成熟的、工業級的操作系統，具有非常完善的權限控制和訪問規則，可以從OS層、應用層等多個層級進行防范，保證整體安全性。

　　外置式NFC支付產品通過藍牙BLE芯片或附加MCU直接連接IC卡芯片的7816接口，IC卡芯片再與非接觸式射頻天線（含主動或被動射頻天線組件）連接;由于產品形態以手環、手表等形式為主，依賴電池供電，對產品的功耗、體積具有比較嚴格的限制，MCU處理能力有限，因此難以實現比較復雜的業務邏輯和安全計算任務，只能采用啞終端的思路，即產品固件不包括業務邏輯，通過將IC卡指令和數據在遠程系統與IC卡芯片之間互相傳送，實現指令的遠程控制和本地執行。遺憾的是，如果對通過藍牙透傳IC卡操作指令和數據不采取安全防護處理，產品固件只是簡單控制組件的訪問，將為產品和系統帶來較大的安全隱患。

　　可能有人要說了，IC卡芯片內部本身包括安全芯片及COS，具有非常高的安全性，具有EAL5+等安全認證證書，怎么不安全了？其實問題出在操作訪問距離上。非接觸式支付（近場支付）技術的刷卡操作距離不超過10cm，并非受到射頻技術的能力限制，而是出于交易安全的考慮。深圳等地采用的基于2.4G的RCC（限域通信）非接觸式支付技術，為了防止空中非法操縱和竊取交易指令和數據，更是采取技術手段主動將操作距離降至10cm以內。在這種近距離下，用戶必須直接參與交易行為并視為對交易授權，這也是近場支付的由來。

　　外置式NFC支付產品基于藍牙BLE技術實現無線連接及操作指令傳送，最遠可達100米，相當于將近場支付的操作距離擴大了1000倍，其實已經相當于遠程支付了。眾所周知，IC卡支付應用普遍采用“嚴進寬出”模式（原因你懂的），就是對錢包充值的操作控制相對比較嚴格，采用聯機交易方式;而對錢包消費的操作控制相對比較寬松，采用脫機交易方式。這意味著稍有技術背景的攻擊者在獲得訪問權限后，可隨意扣除用戶卡的錢包余額，以及讀取卡內數據，包括PAN號等敏感數據。

　　三、外置式NFC支付產品安全對策建議

　　筆者認為，由于外置式NFC支付產品本身的計算和處理能力有限，僅靠產品本身難以維護支付安全性，應該從整體的系統化思路進行考慮，由遠程系統和外置式NFC支付產品之間相互配合，采取在兩者之間建立安全通道的方式，保障IC卡指令和數據的安全傳輸，防止空中截獲及篡改指令和數據或者發起非授權交易。

　　安全通道技術主要包括兩種：

　　1.COS安全通道

　　通過改造IC卡內部的COS軟件，增加特殊定制指令，通過定制指令建立遠程系統和IC卡芯片之間的安全通道，與交易相關的APDU指令和數據全部通過定制指令以密文方式在遠程系統和IC卡芯片之間傳輸，中途即使截獲數據也無法解碼或篡改，從而保障空中交易的安全性。

　　COS安全通道方式與GP采用安全通道實現空中發卡的原理類似，需要卡片支持JAVA，對COS應用進行開發和測試，以及對密鑰系統、發卡系統、充值系統進行開發調整。據筆者了解，中國銀聯藍牙卡暨可穿戴產品移動支付方案采用COS安全通道方式。

　　2.終端安全通道

　　通過改變產品設計，在產品硬件設計中額外增加具有PKI或對稱加解密算法的安全芯片，通過額外安全芯片建立遠程系統和產品固件之間的安全通道，所有IC卡APDU指令和數據全部通過安全通道以密文方式在遠程系統和產品固件之間傳輸，中途即使截獲數據也無法解碼或篡改，從而保障空中交易的安全性。

　　終端安全通道方式與目前網銀采用安全通道實現銀行卡網上支付的原理類似，需要對安全芯片進行管理和發行，以及對充值系統進行開發調整。

　　兩種安全通道方式對比，COS安全通道建立方式層級更低，通道位于IC卡COS層面，會話密鑰位于IC卡芯片內部不可導出，安全性非常高，但對系統影響較大，牽涉多個基礎系統的修改和調整，工作量較大，而且原則上要求卡片采用JAVA卡;終端安全通道建立方式層級較高，通道位于產品固件層面，會話密鑰位于安全芯片內部不可導出，安全性較高，但對系統影響較小，支持Native卡，無需對卡片及COS進行調整，需要建立額外建立安全芯片的管理體系，及對充值系統進行修改和調整，工作量較小。兩種安全通道技術同樣來源于金融支付領域的成熟應用技術，都能夠滿足建立安全通道、保障空中傳輸數據安全的要求，可根據實際系統應用情況進行選擇。

　　隨著近期互聯網+概念的提出，外置式NFC支付產品作為互聯網與IC卡行業結合的IC卡+產品，通過為IC卡添加移動連接能力，使IC卡不再需要通過終端即可與系統直接連接，消除中間環節，提供更有效率的訪問方式，將為金融和交通行業支付帶來各種創新應用。筆者相信，IC卡+有機會成為現有傳統IC卡的顛覆性替代和升級產品，以各種可穿戴產品形態，與手機NFC支付應用一起成為移動近場支付的主要版圖。

　　如果進一步，建立基于IC+的云服務，直接連接所有IC卡+，結合空中開卡和空中充值、空中消費服務，將實現互聯網+時代的全國交通卡移動互聯互通。