智能卡可以解决认证系统中的很多困难。虽然只有一张信用卡那么大，但是它不仅可以包括用户的认证证书，而且还能包括其他信息，如账户和银行资料、加密密码，甚至是生物识别数据。

    从本质上讲，智能卡类似于微型计算机，但是它并不做任何运算或者运行任何程序。其唯一功能就是验证用户身份。智能卡有许多种，有的是直接插入读卡器读卡，有的是使用非接触式感应系统，只需在读卡器表面划过就能读卡。

    但是为了实现所有的这些便利，智能卡的安装和部署需要在软件、硬件和IT人员工作时间方面进行相当的投入。下面我们将简单说明如何判断部署智能卡对公司是否有利，如何计划安装智能卡，以及如何选择智能卡厂商。

    智能卡与风险分析

    第一步就是要对智能卡保护的系统进行全面的风险分析。因为涉及到部署的工作，所以智能卡只能应当用来保护含有高风险数据的系统。比方说客户身份信息、公司计划、知识产权等，或者是法规要求至少需要双重认证的数据。这种风险分析越全面越好。

    智能卡也有利于整合物理安全和逻辑安全：一旦用户进入，就要求提供一份证书，以访问安全设备和计算机系统。

    特别提醒一句：在向客户提供智能卡的外部应用访问服务之前，一定要三思。至少要考虑到客户能否赞同。如果是客户群庞大的话，那么其发行、发放和维护智能卡的费用就有可能十分昂贵。

    进行风险分析之后，要对智能卡系统确定安全要求。是为了保障员工使用台式机进入IT系统的安全，还是为使用笔记本进入IT系统提供特殊安全保障？是将智能卡最终发放给每一位员工以取代密码，还是仅发给部分员工限制对高风险系统的访问？是仅用于访问系统，还是也为了能最终访问安全设备？这些问题的答案将有助于制定短期和长期的部署目标。

    智能卡数据与物流

    一旦确定了安全要求，下一步就该决定智能卡中储存什么信息。智能卡的特点就是其兼容性；几乎什么信息都可以写入卡中，但是需要决定写入什么样的信息。有些机构只要求其包含足够的信息，以核实身份、加密算法和密钥，但是智能卡还可以用来处理电子付款或核实数字签名。此外，还可以保存其他认证凭据，比如员工照片，甚至是含有生物识别信息的指纹。但是要记住，一个智能卡只能包含一定量的信息，不要过多写入信息。

    与决定写入什么信息密切相关的，是决定如何写入这些信息。智能卡有两个版本：可重写入型和一次写入型。一次写入卡比较便宜，但是可重写入型更为实用。它可以重复使用，避免了发行新卡中不得不面临的管理难题。决定使用哪种卡需要考虑商业要求和安全需求。

    下一个问题是发行、发放、维护和更换智能卡的物流问题。智能卡不同于用户帐号和密码。用户帐号和密码由系统管理员在目录服务器上添加的虚拟的认证凭据。智能卡是一个实实在在的东西，需要小心使用和维护。选择智能卡厂商时，列入考虑的厂商都应该能够简单迅速地发行智能卡。考虑这些问题：
• 丢失的卡能否很快挂失并更换，以免发生恶意访问，构成威胁？
• 有没有一个自动系统能够跟踪智能卡，并跟踪卡的主人？
• 如果有必要，能否通过远程控制使用智能卡呢？

    此外，还要考虑如何将智能卡与企业现有的基础架构结合，这包括台式机和网络。比如说，有些智能卡阅读器需要USB端口。这能否用于台式机，或是禁用USB端口的电脑？智能卡还需要参与企业认证目录服务，如活动目录（AD），以及网络基础设施、服务器和其他的系统应用程序。

    另外，还需要考虑的事情是其是否符合公司的企业文化。要确信得到主要对象的支持，如行政人员、用卡员工和IT及人力资源部门等受影响的部门。智能卡应该易于使用，而不是令员工产生反感，拒绝使用。解决这个问题的方法之一是进行阶段性的部署。如果前期的工作结果令人满意，好事传千里，那么下一阶段的实施就会更加容易。

    结论

    智能卡可以使验证系统高效完成工作。但是仔细规划每一阶段的部署都是必不可少的，这包括从选择产品、物流问题，到考虑员工是否欢迎以及用户的需求。这是使投资得到回报的关键。

作者简介：Joel Dubin，CISSP，是一名独立的计算机安全咨询师。他是微软MVP，专注于Web及应用安全，著有《The Little Black Book of Computer Security》一书。同时，他还主持芝加哥的一个有关计算机安全，名为“WIIT”的广播节目，并运行IT安全博客（www.theitsecurityguy.com）。