ISOIEC 7816-42020Amd 12023 識別卡集成電路卡第4部分交換的組織、安全和命令修改件1支持多個邏輯安全設(shè)備標(biāo)準(zhǔn)立項(xiàng)發(fā)展報(bào)告

ISO/IEC7816-4:2020/Amd1:2023識別卡集成電路卡第4部分：交換的組織、安全和命令修改件1：支持多個邏輯安全設(shè)備標(biāo)準(zhǔn)立項(xiàng)發(fā)展報(bào)告StandardizationDevelopmentReport:IdentificationCards—IntegratedCircuitCards—Part4:Organization,SecurityandCommandsforInterchange—Amendment1:SupportofMultipleLogicalSecurityDevices摘要隨著物聯(lián)網(wǎng)、移動支付、區(qū)塊鏈錢包及多應(yīng)用融合卡等場景的快速普及，一張物理集成電路卡（ICC）需要同時承載多個安全域和多種業(yè)務(wù)應(yīng)用的現(xiàn)實(shí)需求日益迫切。ISO/IEC7816-4:2020作為識別卡領(lǐng)域核心技術(shù)標(biāo)準(zhǔn)，規(guī)定了卡片與終端之間交換的組織、安全結(jié)構(gòu)和命令接口，其運(yùn)行模式長期基于"單一安全上下文"假設(shè)，難以滿足多應(yīng)用并發(fā)和多安全域隔離的部署要求。為此，國際標(biāo)準(zhǔn)化組織于2023年10月31日正式發(fā)布ISO/IEC7816-4:2020/Amd1:2023修改件，引入"多個邏輯安全設(shè)備（MultipleLogicalSecurityDevices,MLSD）"支持機(jī)制。本報(bào)告系統(tǒng)梳理了該修改件的立項(xiàng)背景、技術(shù)內(nèi)容、關(guān)鍵創(chuàng)新及其對全球智能卡產(chǎn)業(yè)的影響。報(bào)告指出，MLSD機(jī)制通過定義安全上下文標(biāo)識、擴(kuò)展安全管理命令和重構(gòu)安全通道協(xié)議，實(shí)現(xiàn)了在同一物理卡上并行管理多個相互隔離的邏輯安全域。該標(biāo)準(zhǔn)的發(fā)布標(biāo)志著智能卡從"一卡一應(yīng)用"向"一卡多安全域"架構(gòu)演進(jìn)的重要里程碑，為數(shù)字貨幣、5GSIM、醫(yī)療健康卡以及政務(wù)一卡通等前沿應(yīng)用提供了標(biāo)準(zhǔn)化支撐。報(bào)告同時對該標(biāo)準(zhǔn)在我國的轉(zhuǎn)化實(shí)施和產(chǎn)業(yè)落地提出了建議與展望。關(guān)鍵詞：集成電路卡；邏輯安全設(shè)備；多應(yīng)用安全域；ISO/IEC7816；安全通道；標(biāo)準(zhǔn)化；智能卡互操作Keywords:Integratedcircuitcards;Logicalsecuritydevices;Multi-applicationsecuritydomain;ISO/IEC7816;Securechannel;Standardization;Smartcardinteroperability1.引言1.1立項(xiàng)背景集成電路卡（IntegratedCircuitCard,ICC）自20世紀(jì)80年代問世以來，已廣泛應(yīng)用于金融支付、電信鑒權(quán)、電子身份認(rèn)證、公共交通、醫(yī)療健康等關(guān)鍵信息基礎(chǔ)設(shè)施領(lǐng)域。作為智能卡領(lǐng)域最基礎(chǔ)和最具影響力的國際標(biāo)準(zhǔn)系列，ISO/IEC7816系列標(biāo)準(zhǔn)由國際標(biāo)準(zhǔn)化組織（ISO）和國際電工委員會（IEC）聯(lián)合技術(shù)委員會JTC1/SC17（識別卡及相關(guān)設(shè)備分技術(shù)委員會）負(fù)責(zé)制定和維護(hù)。其中，ISO/IEC7816-4是系列標(biāo)準(zhǔn)中規(guī)定卡片與終端間交換信息的組織架構(gòu)、安全機(jī)制和命令集合的核心規(guī)范，構(gòu)成了智能卡應(yīng)用層互操作的技術(shù)基石。ISO/IEC7816-4:2020版本于2020年發(fā)布，系統(tǒng)規(guī)定了文件系統(tǒng)組織結(jié)構(gòu)（DF/EF層級）、安全報(bào)文（SecureMessaging）機(jī)制、訪問控制規(guī)則、以及應(yīng)用協(xié)議數(shù)據(jù)單元（APDU）的命令—響應(yīng)交互框架。然而，該版本的安全模型本質(zhì)上是圍繞"單個安全上下文"設(shè)計(jì)的，即在一張卡片上通常只存在一個活躍的安全環(huán)境，各應(yīng)用之間通過文件訪問權(quán)限和密鑰分散實(shí)現(xiàn)有限的隔離。1.2修訂動因與需求分析近年來，以下技術(shù)趨勢和產(chǎn)業(yè)需求催生了對"多邏輯安全設(shè)備"支持能力的迫切要求：（1）多應(yīng)用融合卡的趨勢加速。城市一卡通、多功能市民卡、金融與交通雙應(yīng)用卡等融合應(yīng)用逐步普及，一張物理卡上承載多個發(fā)卡方（Issuer）的多個應(yīng)用成為常態(tài)。這些應(yīng)用分別屬于不同的業(yè)務(wù)域，需要獨(dú)立的安全密鑰、獨(dú)立的安全狀態(tài)和獨(dú)立的數(shù)據(jù)隔離。傳統(tǒng)基于單個安全上下文的模型要求各應(yīng)用共享卡片主密鑰或依賴發(fā)卡方之間的信任背書，在安全性和部署靈活性方面存在明顯不足。（2）物聯(lián)網(wǎng)和eSIM的爆發(fā)式增長。消費(fèi)級和車載級eSIM（嵌入式SIM卡）需要在同一物理芯片上為多個移動網(wǎng)絡(luò)運(yùn)營商（MNO）提供獨(dú)立的證書和安全域。GSMA（全球移動通信系統(tǒng)協(xié)會）的SGP.22規(guī)范已明確要求eSIM芯片支持多個安全域（SecurityDomains）的隔離。這一需求亟需ISO/IEC7816-4標(biāo)準(zhǔn)層面的規(guī)范化支撐。（3）安全芯片能力的顯著提升。當(dāng)前主流安全芯片的運(yùn)算能力、存儲容量和密碼算法性能大幅提高，已經(jīng)具備在同一物理芯片上同時運(yùn)行多個隔離安全環(huán)境（如基于ARMTrustZone或多獨(dú)立安全內(nèi)核）的能力。標(biāo)準(zhǔn)的滯后反而制約了芯片潛力的釋放。（4）數(shù)字貨幣和區(qū)塊鏈錢包的應(yīng)用需求。數(shù)字人民幣、央行數(shù)字貨幣（CBDC）等新型支付載體需要在同一卡片中同時維護(hù)多個錢包地址、多組密鑰對和多層安全策略。加密貨幣硬件錢包的高安全性要求同樣催生了對標(biāo)準(zhǔn)化的多安全域隔離能力的需求。在上述背景下，ISO/IECJTC1/SC17/WG4工作組于2021年初正式立項(xiàng)，針對ISO/IEC7816-4:2020發(fā)起修改件（Amendment）編制工作，核心目標(biāo)是引入"多個邏輯安全設(shè)備"支持機(jī)制，確保標(biāo)準(zhǔn)適應(yīng)新一代多應(yīng)用、多安全域的智能卡部署場景。2.標(biāo)準(zhǔn)制修訂過程ISO/IEC7816-4:2020/Amd1:2023修改件的制定遵循ISO/IECJTC1的標(biāo)準(zhǔn)化工作程序，經(jīng)歷了如下階段：|階段|時間節(jié)點(diǎn)|工作內(nèi)容||------|----------|----------||新工作項(xiàng)提案（NWIP）|2021年Q2|WG4工作組正式立項(xiàng)，確定MLSD需求范圍||工作草案（WD）|2021年Q3-Q4|起草MLSD概念模型、命令擴(kuò)展框架||委員會草案（CD）|2022年Q1|各國家成員體反饋意見，完善安全協(xié)議細(xì)節(jié)||國際標(biāo)準(zhǔn)草案（DIS）|2022年Q3|完成技術(shù)驗(yàn)證，通過各成員國投票||最終國際標(biāo)準(zhǔn)草案（FDIS）|2023年Q2|最終編輯性修訂||正式發(fā)布|2023年10月31日|ISO/IEC7816-4:2020/Amd1:2023發(fā)布|在標(biāo)準(zhǔn)制定過程中，來自中國、德國、法國、美國、日本、韓國等國家的專家參與了深入討論，重點(diǎn)解決了邏輯安全設(shè)備的編址方式、安全通道的多路復(fù)用、密鑰管理的沖突消解等關(guān)鍵技術(shù)難題。3.標(biāo)準(zhǔn)主要技術(shù)內(nèi)容ISO/IEC7816-4:2020/Amd1:2023對原標(biāo)準(zhǔn)進(jìn)行了系統(tǒng)性的補(bǔ)充和修訂，主要體現(xiàn)在以下幾個方面：3.1邏輯安全設(shè)備（LogicalSecurityDevice,LSD）概念模型修改件首次在ISO/IEC7816系列標(biāo)準(zhǔn)中正式定義了"邏輯安全設(shè)備"（LSD）的抽象概念。一個邏輯安全設(shè)備代表卡片中一個獨(dú)立的安全執(zhí)行環(huán)境，具備以下特征：-獨(dú)立的安全狀態(tài)：每個LSD維護(hù)自身的安全狀態(tài)（SecurityStatus），包括當(dāng)前認(rèn)證級別、活躍密鑰標(biāo)識和安全標(biāo)志位；-獨(dú)立的安全上下文：包括密碼算法集合、密鑰存儲空間和會話安全參數(shù)；-明確的資源邊界：每個LSD對應(yīng)卡片中的特定物理或虛擬資源區(qū)域（如NVM分區(qū)、加密協(xié)處理器的時隙分配等）；-支持嵌套關(guān)系：LSD之間可以存在層次化父子關(guān)系，父級LSD可對子級LSD進(jìn)行資源配額管理和安全策略下發(fā)。修改件規(guī)定，卡片必須支持至少一個LSD（即原有單一安全上下文可視為默認(rèn)LSD），支持多個LSD則是可選能力。若卡片支持MLSD，則應(yīng)在ATS（AnswertoSelect）或卡能力信息中予以聲明。3.2安全管理命令的擴(kuò)展為實(shí)現(xiàn)對多個LSD的生命周期管理，修改件對原有安全管理命令進(jìn)行了擴(kuò)展，新增了以下命令類別（或?qū)ΜF(xiàn)有命令進(jìn)行擴(kuò)展）：（1）LSD管理命令（LSDManagementCommands）-CREATELSD：在卡片上創(chuàng)建一個新的邏輯安全設(shè)備，指定資源配額、安全策略和訪問控制規(guī)則；-DELETELSD：刪除指定LSD及其關(guān)聯(lián)的密鑰和數(shù)據(jù)；-ACTIVATE/DEACTIVATELSD：激活/停用指定LSD，使其可被外部終端訪問或暫時隔離；-LISTLSDs：枚舉卡片上當(dāng)前已創(chuàng)建的所有LSD及其狀態(tài)。（2）增強(qiáng)的SELECT命令修改件對SELECT命令的擴(kuò)展允許通過新增的"DDF（DirectoryDefinitionFile）限定符"或新增的LSD標(biāo)識字段來定向選擇特定邏輯安全設(shè)備下的文件系統(tǒng)。這意味著終端可以在同一物理卡上切換訪問不同的邏輯安全域，而無需執(zhí)行卡片復(fù)位（WarmReset/ColdReset）。（3）擴(kuò)展的VERIFY命令VERIFY命令（外部認(rèn)證口令校驗(yàn)）被擴(kuò)展為可攜帶LSD標(biāo)識信息，使認(rèn)證操作可以針對特定的LSD執(zhí)行，而不會影響其他LSD的安全狀態(tài)。3.3安全通道協(xié)議的多路復(fù)用支持這是本修改件的核心技術(shù)突破之一。原有ISO/IEC7816-4定義的安全報(bào)文（SecureMessaging）機(jī)制基于單一會話安全上下文，即一次安全通道的建立對應(yīng)一個加密會話。修改件引入了"安全通道上下文標(biāo)識"（SecureChannelContextIdentifier,SCCI）機(jī)制：-終端在與卡片建立多條安全通道時，每條通道綁定一個唯一的SCCI；-SCCI被編碼在安全報(bào)文頭部（Authenticated/ProtectedDataHeader）中，確保命令的完整性和機(jī)密性保護(hù)可以針對不同的LSD獨(dú)立進(jìn)行；-同一物理鏈路上可同時維護(hù)多條安全通道，每條通道對應(yīng)一個LSD的獨(dú)立安全上下文（會話密鑰、計(jì)數(shù)器和密碼算法參數(shù)）；-修改件定義了SCCI的取值范圍（通常為字節(jié)值0x01至0x7F），并保留了擴(kuò)展空間以兼容未來的多通道演進(jìn)。3.4密鑰管理的擴(kuò)展修改件對密鑰的安全屬性（SecurityAttributes）進(jìn)行了擴(kuò)展，使每個密鑰條目可以關(guān)聯(lián)到特定的LSD。具體而言：-密鑰歸屬標(biāo)記：每條密鑰記錄增加LSD歸屬標(biāo)識，限定該密鑰僅在所屬LSD的上下文中可使用；-密鑰傳輸與更新：對原有PUTKEY命令進(jìn)行擴(kuò)展，允許在目標(biāo)LSD的安全上下文中完成密鑰的裝載、替換和刪除操作，且可通過SSCI指定目標(biāo)LSD；-密鑰使用審計(jì)：修改件建議（推薦性條款）LSD管理器可查詢各LSD的密鑰使用日志，增強(qiáng)安全審計(jì)能力。3.5文件系統(tǒng)訪問控制擴(kuò)展每個LSD可以擁有與其邏輯邊界對應(yīng)的文件系統(tǒng)子樹。修改件擴(kuò)展了文件控制參數(shù)（FCP,FileControlParameters）中的訪問規(guī)則描述，新增"LSD作用域"標(biāo)志位，明確規(guī)定特定DF（DedicatedFile）或EF（ElementaryFile）僅可被指定LSD上下文中的命令訪問。這種細(xì)粒度的訪問控制為多租戶應(yīng)用場景提供了標(biāo)準(zhǔn)化的隔離機(jī)制。4.主要參與單位ISO/IEC7816-4:2020/Amd1:2023的編制由ISO/IECJTC1/SC17/WG4（卡與安全設(shè)備互操作工作組）主導(dǎo)，來自全球20余個國家的標(biāo)準(zhǔn)化機(jī)構(gòu)和產(chǎn)業(yè)界代表參與了投票與技術(shù)討論。其中，中國電子技術(shù)標(biāo)準(zhǔn)化研究院（ChinaElectronicsStandardizationInstitute,CESI）作為我國在ISO/IECJTC1/SC17的國內(nèi)技術(shù)對口單位（歸口單位）和成員體代表，在該修改件的制定過程中發(fā)揮了突出的實(shí)質(zhì)性參與作用。4.1中國電子技術(shù)標(biāo)準(zhǔn)化研究院機(jī)構(gòu)概況中國電子技術(shù)標(biāo)準(zhǔn)化研究院（以下簡稱"電子標(biāo)準(zhǔn)院"）創(chuàng)建于1963年，是工業(yè)和信息化部直屬事業(yè)單位，也是全國信息技術(shù)標(biāo)準(zhǔn)化技術(shù)委員會（TC28）秘書處承擔(dān)單位。電子標(biāo)準(zhǔn)院是我國電子信息領(lǐng)域標(biāo)準(zhǔn)化工作的國家級核心機(jī)構(gòu)，長期承擔(dān)ISO/IECJTC1國內(nèi)技術(shù)歸口管理工作，在國際標(biāo)準(zhǔn)化事務(wù)中代表我國產(chǎn)業(yè)利益和技術(shù)立場。在智能卡與識別卡領(lǐng)域，電子標(biāo)準(zhǔn)院同時是全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會（TC260）相關(guān)WG的成員單位，以及全國智能卡標(biāo)準(zhǔn)化工作的主要引領(lǐng)力量。參與工作與實(shí)際貢獻(xiàn)在ISO/IEC7816-4:2020/Amd1:2023的制定過程中，電子標(biāo)準(zhǔn)院主要開展了以下工作：（1）需求征集與提案提煉。電子標(biāo)準(zhǔn)院依托國內(nèi)智能卡產(chǎn)業(yè)鏈資源（包括芯片設(shè)計(jì)企業(yè)、卡片制造商、系統(tǒng)集成商、運(yùn)營商和應(yīng)用方），系統(tǒng)收集了國內(nèi)在數(shù)字貨幣、eSIM、多應(yīng)用市民卡等場景下對多安全域隔離的標(biāo)準(zhǔn)化需求，向WG4提交了多份技術(shù)輸入文件。（2）技術(shù)方案論證與貢獻(xiàn)。電子標(biāo)準(zhǔn)院組織國內(nèi)專家針對LSD編址框架、SCCI的編碼分配策略、多安全通道下的防重放機(jī)制等關(guān)鍵技術(shù)點(diǎn)提交了多篇技術(shù)提案（TechnicalContribution），部分建議被采納進(jìn)入標(biāo)準(zhǔn)文本。特別是對于LSD標(biāo)識符與現(xiàn)有AID（ApplicationIdentifier）體系的兼容性設(shè)計(jì)，電子標(biāo)準(zhǔn)院聯(lián)合國內(nèi)芯片企業(yè)提出了基于擴(kuò)展AID注冊機(jī)制的平滑過渡方案，有效緩解了新舊體系間的沖突。（3）國內(nèi)試驗(yàn)驗(yàn)證。電子標(biāo)準(zhǔn)院聯(lián)合國內(nèi)主流安全芯片廠商和卡商，搭建了基于MLSD功能的互操作測試環(huán)境，對修改件草案中的關(guān)鍵命令流程和安全通道協(xié)議進(jìn)行了驗(yàn)證測試，并將測試結(jié)果和反饋意見反饋至WG4會議，為標(biāo)準(zhǔn)技術(shù)成熟度的提升做出了貢獻(xiàn)。（4）標(biāo)準(zhǔn)轉(zhuǎn)化與產(chǎn)業(yè)推廣。電子標(biāo)準(zhǔn)院在標(biāo)準(zhǔn)發(fā)布后同步啟動了國家標(biāo)準(zhǔn)采標(biāo)工作，推動GB/T16649.4（對應(yīng)ISO/IEC7816-4）的修訂立項(xiàng)。截至本報(bào)告發(fā)布時，該標(biāo)準(zhǔn)已納入我國智能卡標(biāo)準(zhǔn)化"十四五"滾動修訂計(jì)劃，并計(jì)劃于2025年前完成轉(zhuǎn)化為國家標(biāo)準(zhǔn)送審稿。（5）測試工具與認(rèn)證服務(wù)。電子標(biāo)準(zhǔn)院下屬的賽西實(shí)驗(yàn)室（CESILab）基于該修改件內(nèi)容開發(fā)了MLSD功能一致性測試套件，為國內(nèi)智能卡產(chǎn)品的標(biāo)準(zhǔn)和認(rèn)證提供了檢測依據(jù)，支撐了金融、電信、政務(wù)等領(lǐng)域智能卡產(chǎn)品的質(zhì)量保障。5.標(biāo)準(zhǔn)應(yīng)用前景與產(chǎn)業(yè)影響5.1多應(yīng)用融合卡的標(biāo)準(zhǔn)化推動ISO/IEC7816-4:2020/Amd1:2023的發(fā)布為多應(yīng)用融合智能卡的開發(fā)提供了統(tǒng)一的國際標(biāo)準(zhǔn)接口。城市一卡通、校園卡等多功能卡可實(shí)現(xiàn)不同業(yè)務(wù)應(yīng)用在不同LSD中的獨(dú)立運(yùn)行，互不干擾，且任一應(yīng)用的安全缺陷不會波及其他LSD中的數(shù)據(jù)和密鑰。5.2數(shù)字貨幣錢包的安全底座在我國數(shù)字人民幣的試點(diǎn)推廣中，硬件錢包（包括可視卡、穿戴設(shè)備等形態(tài)）作為重要的支付載體之一，其安全架構(gòu)要求支持多錢包賬戶隔離（如個人錢包與對公錢包并存）。MLSD機(jī)制為數(shù)字人民幣硬件錢包的一卡多賬戶、多密鑰隔離提供了標(biāo)準(zhǔn)化的技術(shù)路徑。未來，數(shù)字人民幣硬件錢包產(chǎn)品有望依據(jù)該修改件進(jìn)行設(shè)計(jì)優(yōu)化和適配合規(guī)。5.3eSIM與物聯(lián)網(wǎng)安全模塊在eSIM和物聯(lián)網(wǎng)安全模塊領(lǐng)域，ISO/IEC7816-4修改件與GSMA規(guī)范形成了互補(bǔ)關(guān)系。MLSD機(jī)制可以支撐eUICC（嵌入式通用集成電路卡）上的多個運(yùn)營商配置文件安全域間的隔離，簡化了多MNO場景下的證書管理和切換流程。5.4政務(wù)一卡通與電子證照在全國一體化政務(wù)服務(wù)平臺建設(shè)中，身份證電子化、醫(yī)保電子憑證、駕駛證電子化等多證合一的應(yīng)用需求日趨強(qiáng)烈。基于MLSD機(jī)制，可在同一張安全芯片上為不同政務(wù)機(jī)構(gòu)分配獨(dú)立的LSD，實(shí)現(xiàn)"一卡承載多證、一證對應(yīng)一安全域"的部署模式，兼顧了數(shù)據(jù)安全和業(yè)務(wù)高效的平衡。6.轉(zhuǎn)化實(shí)施建議6.1國家標(biāo)準(zhǔn)采標(biāo)建議我國盡快啟動GB/T16649.4的同步修訂工作，將ISO/IEC7816-4:2020/Amd1:2023的核心內(nèi)容轉(zhuǎn)化為國家標(biāo)準(zhǔn)，并重點(diǎn)補(bǔ)充以下適配性說明：-我國商用密碼算法（SM2/SM3/SM4）在MLSD安全通道中的應(yīng)用映射；-與GB/T36319等金融IC卡行業(yè)標(biāo)準(zhǔn)的銜接；-與銀聯(lián)、網(wǎng)聯(lián)等支付清算機(jī)構(gòu)的技術(shù)規(guī)范的兼容性。6.2行業(yè)應(yīng)用推廣建議金融、通信、政務(wù)等垂直行業(yè)在技術(shù)標(biāo)準(zhǔn)和采購規(guī)范中適時引入MLSD能力要求，引導(dǎo)產(chǎn)業(yè)升級。芯片廠商應(yīng)在新一代安全芯片產(chǎn)品中設(shè)計(jì)對MLS