1.什么是智能卡？
智能卡(SmartCard)也称为IC卡，它是集成电路卡（Integrated Circuit Card）的简称。IC卡是一种镶嵌有集成电路芯片的塑料卡片，其外形和尺寸都遵循国际标准。芯片一般采用不易挥发性的存储器（ROM、EEPROM）、保护逻辑电路、甚至带微处理器CPU。
根据所镶嵌的集成电路的不同，IC卡可以分成以下三类：
Ø 存储器卡：卡中的集成电路为EEPROM(可用电擦除的可编程只读存储器)。
Ø 逻辑加密卡：卡中的集成电路具有加密逻辑和EEPROM。
Ø CPU卡： 卡中的集成电路包括中央处理器CPU、EEPROM、随机存储器RAM以及固化在只读存储器ROM中的片内操作系统COS(Chip Operating System)。严格地讲，只有CPU卡才是真正的智能卡。
智能卡的用途十分广泛，目前银行、电信、交通、社会保险、电子商务等领域均已成功引入智能卡管理的概念。
2.什么是智能卡安全性评估？
智能卡安全性评估就是依据国际和国内相关安全技术标准，对智能卡产品在其生命周期各个阶段的安全功能要求和安全保证要求进行充分的调查、分析和取证，并在模拟、仿真的环境下进行独立性测试、穿透性测试，确认该智能卡确实满足相应的安全功能要求和安全保证要求。
3.智能卡安全性评估的意义？
(1)促进开发者提高安全意识，规范开发过程，减少安全漏洞，引导他们开发满足国家实际需要和安全标准的产品；
(2)为最终用户提供客观评估结果，指导他们选择正确的产品；
(3)符合国际潮流，遵循WTO规则，帮助企业向国际化方向发展。
4.哪些类型的智能卡需要开展分级评估活动？
所有涉及到信息安全的智能卡都需要进行评估。根据不同智能卡应用环境的不同，进行不同级别的评估。例如，对医疗卡、社保卡、交通卡、公用事业收费卡、企事业内部事务管理卡可开展一些低级别的评估活动；而对于电信卡、信用卡、现金卡、税务卡、加油卡等，则需要开展一些高级别的评估活动。按照国际惯例，目前中国信息安全产品测评认证中心对电信行业的SIM卡和UIM卡、PIM卡以及智能卡芯片开展的分级评估为EAL4+级。（国际上开展的评估活动的保证级多数是EAL4＋。有些评估机构和认证机构给出的结论包括对某些组件的评估达到EAL5级以上的结论）。
5.目前评估的智能卡（SIM卡）的主要用途和功能
目前评估的智能卡安全产品多为用于移动通信的手机专用SIM卡。SIM卡主要完成以下两种功能：存储数据(控制存取各种数据)及在安全条件下(个人身份号码PIN、鉴权钥Ki正确)完成客户身份鉴权和客户信息加密算法的全过程。
6.SIM卡对GSM网的意义
(1) 客户与设备分离(人机分开)，大大方便了客户，大大增强了GSM通信的移动性，也大大地增强了各生产厂家设备的共享性；
(2) 通过鉴权和鉴别来防止未授权的接入；
(3) 提供加解密算法实现传输加密，可以防止信息在无线信道上被窃听，从而保护了用户的隐私；
(4) 鉴别完成后用不断变化的临时移动客户识别码(TMSI)来代替国际移动客户识别码(IMSI)，使第三方无法在无线信道上跟踪GSM用户；
(5) 成本低。它比电话磁卡的成本低，并且质地结实耐用，易于推广。
7.智能卡安全性评估依据的标准有哪些？
依据的标准为GB/T 18336《信息技术 安全技术 信息技术安全性评估准则》简称CC；
参考的PP为《信息技术 电信智能卡安全技术要求》；
参考的行业通用标准有ISO/IEC 7816 、ISO/IEC 10377 、ISO/IEC 10536、GSM11.11 、GSM11.14 、GSM11.17、EMV 2000等。
8.EAL4级评估的主要内容
EAL4级评估涉及到的评估活动，其内容分为八个部分：ST的评估、配置管理活动的评估、交付和运行活动的评估、开发活动的评估、指导性文档活动的评估、生命周期支持活动的评估、测试活动的评估以及安全功能强度和脆弱性分析评定活动的评估； EAL4级评估涉及到的测试活动分为两个部分：独立性测试及穿透性测试。
EAL4级评估涉及到的现场核查活动分为三个部分：核查配置管理系统的使用情况、核查交付过程以及开发安全。
9.独立性测试和穿透性测试分别是哪方面的测试？
独立性测试：通过检查开发者的《测试相关性文档》，对其安全功能的测试进行抽样测试，开发者提供测试样品及一定的测试工具，由评估者独立地完成测试项目。
穿透性测试：通过检查开发者的《脆弱性分析文档》，依据开发者自身的脆弱性分析和评估者独立的脆弱性分析，选择可利用的脆弱点，组成符合评估要求的穿透性测试集合，以检测生命周期各阶段的安全性。
10.为什么要进行现场核查？
由于在智能卡的研发、生产、交付、应用各个环节都有可能引入不安全因素，使智能卡面临诸多威胁，要想彻底杜绝这些不安全因素是不可能的，解决问题的关键在于使这些不安全因素处于一种可控的状态。现场核查的目的就是依据CC要求，确认开发者在智能卡生命周期各个阶段所实施的安全措施能满足智能卡研发、生产和使用的安全技术要求。
11.什么是EAL4＋级评估？
EAL4＋是EAL4级增强的概念，即在EAL4评估保证级的基础上适当地增加或用同一个保证子类中更高级别保证组件替换当前使用的组件。目的是针对某类TOE预期使用环境中可能承担的风险和所受到的威胁的分析，在权衡所付出的代价和可行性的前提下，为进一步增加TOE安全保证要求的严格性、范围或深度所作的提升。
12.目前针对智能卡开展的EAL4＋级评估需要多长时间？
评估过程取决于诸多要素，例如：评估者的沟通和表达能力、专业技术水平、学识水平、咨询服务能力、测试能力（或支持）等；评估申请者对安全性评估标准的理解能力、对TOE的IT设计和表达能力，评估双方的项目管理能力和重视程度等。一般说来，在评估者和申请者密切配合的情况下，国内IT安全产品的EAL4级评估过程在评估双方参与者为4~5名成员的情况下约需12个月左右。
13.目前针对智能卡开展的EAL4＋级评估活动在EAL4级的基础上增加了哪些组件？
在EAL4级保证类基础上增加了模块化组件（ADV-INT.1），并将脆弱性分析要求由可以抵御低等攻击潜力攻击的独立脆弱性分析组件（AVA-VLA.2）提升到可以抵御中等攻击潜力攻击的中级抵抗力组件（AVA-VLA.3），与《信息技术 电信智能卡安全技术要求》保持一致。
14.智能卡安全性评估认证的流程是什么？
(1) 评估准备阶段：通过评估双方的充分交流，使评估申请者能够明确地依据相关标准，对要求提交的文档做好准备；
(2) 评估阶段：评估者审阅所提交的文档，依次为安全目标（ST）、功能规范、高层设计、低层设计、安全策略模型、生命周期支持、配置管理、安全功能强度和脆弱性分析等文档。评估者通过文档的陈述，逐章、节进行讨论、分析、评价，并且进行相应的测试，产生观察报告（OR），撰写评估技术报告（ETR）；
(3) 审查评估技术报告阶段：由信息安全实验室组织相关人员审阅、修改ETR，形成最终的评估技术报告，上报中国信息安全产品测评认证中心申请认证；
(4) 认证阶段：认证委员会依据安全技术评估的结果进行裁决，做出最终的认证决定；
(5) 证后监督：在证书三年有效期内至少每年接受一次认证中心的监督检查。
