关于金融社保IC卡的冷思考
关于金融社保IC卡的冷思考
这两天关于金融社保卡的话题再次引起大家的关注。预计今年6亿的发卡量，全国通用，使用身份证号作为社保卡号，取代各地自制的社保卡。。。。。。这些信息背后的商机实在太诱人了。然而关于社保卡的讨论也热火朝天，从技术层面、市场层面、业务层面众说纷纭。
在这里整理一下本人的感受，欢迎拍砖。
一、要卡还是不要卡？
看到把身份证号作为社保卡号后的第一反应是，这个决定好。这样所有和社保相关的业务都可以通过身份证办理了。
国外公民人家只有社保号，没有身份证号。和社会福利相关的事情都可以通过社保号来办理。既然我们已经有了身份证（而且是具备先进射频技术的二代防伪身份证），既然我们也决定用身份证号作为个人的社保号，那么完全可以利用身份证来办理所有和社保相关的业务。没有必要再发一张社保卡，至于银行想发什么金融卡那是银行的事情。换个角度讲，如果给你发了一张金融社保卡，你会拿着它去进行金融消费吗？现实的例子是，换发给我们的新版PBOC2.0牡丹交通卡多数一直和驾照放在一起，少有放在装银行卡的钱包里，而且通常只在扣分和缴纳罚款时使用。
如果没有单独的社保卡，仅凭身份证号办理相关业务一定需要很好的网络支持（目前有线、无线、3G的网络已经足够发达，资费足够便宜），不用支持脱机业务。看起来这需要额外的投入，可是即便是发卡也同样需要网络建设，而且如果按照每张社保卡的采购成本在5元钱（实际应高于此），仅今年拟发行的6亿张就可以节省30亿元，相当于每个省额外投入一个亿来建设一套全国性的社保联网系统（或者换个时髦的说法，可以把这个叫做“社保云平台”），可以想一想在原系统建设基础上全国再投入30亿（没有包含即便发卡依然要投入的系统建设费用，仅估算了卡片费用）来建设这样的一个系统，那该是何等的华丽，那应该是一朵镶嵌着金边的“社保云”。
另外，按照现有的规定社保卡的芯片必须国产，而且要求必须提交芯片的layout备案。这其实从政策和技术上屏蔽了国外芯片以及国内的未注册芯片涉足社保卡的空间，而且有效保护了既得利益者，一度社保卡芯片只有某公司一家独供。
从金融社保IC卡这种概念上看，感觉是部分国内芯片公司忽悠出来的结果，目的是为了顺利搭上银行芯片卡升级的快车，如果没有这个概念，国内哪家芯片被银行选中？
实际上国家在身份证项目中已经投入了大量资金扶植国内芯片公司，可惜目前国内的芯片还只是大量应用在相对封闭的领域（比如身份证、社保、一卡通等）和几乎无利可图的电信卡市场。在安全要求相对较高且较严格的金融领域（尤其是PBOC2.0的借贷记、小额及qPBOC）应用较少，其实这也不能完全责备国内芯片公司，毕竟起步较晚，而且这种安全产品需要的是技术的沉淀和积累，我们不可能几年就达到别人几十年的水平。在这种情况下，更应该苦练内功、踏实前进，而不该为了暂时的市场分额假借牵涉国家安全、牵涉金融安全的说辞试图无限制地获得国家政策的倾斜与庇护，这种总躲在爹妈怀里不敢经历大风大雨的孩子永远也长不大。
所以，虽然从理论上讲通过身份证号的绑定，其实可以不用什么社保卡了，但是因为各种各样的利益代言人不断地忽悠，这个卡还是要发。
二、社保卡的市场现状
现在通过注册的社保卡芯片已经不止一家了，但是大家的市场运作模式却很相似，社保的COS多是芯片厂家开发并已经嵌入到芯片中，通过社保卡检测的卡厂（大多数也是直接拿芯片公司现成的COS去测试）在各地进行投标，中标的卡厂采购带有社保COS的芯片封装并供卡。对于社保卡的表面个人化印刷和芯片数据的个人化，可以由卡厂完成，也可以由另外的公司完成。
芯片公司不会直接冲到前面去打市场，而是卡厂在打拼。因为社保部负责具体城市的密钥分散和管理并指导项目实施，社保卡项目的资金由实施城市自己解决。卡片的采购根据是否有银行参与，以及银行参与的程度可以由合作银行承担，或者合作银行与地方社保部门联合承担，或者由地方社保部门独立承担。
对于社保卡的医疗保险交易基本上都是脱机模式，所以其中会涉及PSAM的发行管理、终端的布放、系统的建设等环节。
在社保卡领域活跃的更多的是一些COS开发实力并不很强的卡厂，同时因为发行社保卡的地方城市互相没有关联关系，社保部也不存在统一招标、集中采购的模式，因此很多卡厂都会有自己的势力范围。外企在社保领域几乎难以涉足，除了捷德偶有斩获外，其他一些外企几乎不碰这个市场。虽然实力较强的COS厂商也参与这个市场，但是他们并不占多少技术优势。
三、银行IC卡的市场现状
在银行IC卡领域活跃的更多是COS厂商，他们具备COS研发的实力，有些公司还具有一定的生产及个人化能力。
银行的应用也并不单一，涵盖借贷记和小额及qPBOC，涉及接触、非接触、双界面等不同的接口形式，并且还有新兴的应用不断涌现，比如移动支付。所有这些都需要和银行打交道的厂商具有足够强大的技术研发和支持能力。因为银行应用会根据具体项目有部分变化和扩展，所以由芯片厂商直接提供已经嵌入了COS的芯片给卡厂封装供卡的模式，在这种应用场景中不太适用。对于PBOC2.0的借贷记、小额和qPBOC应用而言，不需要PSAM。
多数银行会采取总行统一入围测试，分行各自招标的模式。不同地区的分行之间，以及分行与总行之间关联密切，很容易出现胜者通吃的局面，所以出现某公司是某行的独家供应商的情形也属正常。
在银行领域外企以及外国芯片不仅不受排斥，因为技术实力和芯片自身的先进性反而会受到一定程度的青睐。
四、Java卡和Native卡之争以及两个应用之间的主从关系
虽然部分银行在招标中要求Java卡，但是有一点一定要注意PBOC2.0规范中并没有这样的规定；虽然社保卡多数为Native卡，同样社保卡规范中也没有明确地说社保卡一定是Native的。所以一说银行IC卡就想到Java卡，一说社保卡就认为必须使用Native卡的想法有点陷入固有的思维定式了。
需要说明的是在PBOC2.0的个人化指南以及银联发布的安全规范中对于个人化和密钥的下装参考了GP规范的约定。但是这些GP的命令完全可以在Native卡上实现，而不必非得使用Java卡。
另外还有一点就是同一张卡片中两个应用的并存关系。PBOC规范需要一个PSE环境，而社保卡规范需要一个SSSE环境。实际上这两个环境最好是并列的关系，即共存于MF之下。对于社保卡而言因为自身就需要三级DF路径（含SSSE），所以如果是二者共存于MF之下的话，需要卡片能够支持最多4级DF路径。卡片主控权属于卡片的所有者，也就是说谁出钱采购卡片，谁就应该掌握卡片主控。
但是这里面的确有一个小隐患，就是无论是社保应用还是PBOC应用都可以在各自应用中发送“卡片锁定”命令造成整个卡片被锁，这点需要在实际实施中进行调整。
五、金融社保IC卡的测试认证及资质问题
符合银联标准的银行IC卡功能和物理电气特性测试均由银行卡检测中心来完成，而社保卡的功能测试由社保部下属的惟望科技公司负责。
对于承载着金融支付功能的社保卡而言，其最终的测试可能由银联和惟望公司联合完成，类似于高速公路ETC卡的测试模式。
但是涉及到的社保和金融两个应用之间的安全机制以及防火墙测试，可能是这两个测试机构现有的测试用例中都不具备的。
虽然号称今年预计发行金融社保IC卡6亿张，但是如果在测试环节没有一个很好的准备的话，其实也很难实现这个目标。
尤其值得一提的是关于芯片的安全测试。能够入围社保卡的芯片都是国产的，但是在银行IC卡应用方面对于国产芯片一直缺少一个权威性的安全测试机构。据说银联已经督促银行卡检测中心尽快建立金融IC卡芯片安全测试环境，但是从目前的进展看依旧步履艰难。
另外就是关于入围资质，现在社保和银行都有自己入围的卡商。对于社保而言外商涉足的几率更小，但是从捷德的部分案例来看，外商入围中标社保卡项目也不是不可能。所以对于入围资质的限定需要进一步明确和开放，这样才不失公平。
六、所谓的金融社保IC卡能包含哪些金融应用
业内人士对于金融社保IC卡多数持谨慎乐观态度，普遍认为目前的国产新片不可能在性能指标上达到非接小额支付（qPBOC）的要求，所以注定难以在社保卡上捆绑金融应用。
其实这里面有一个理解的误区，金融IC卡决不是单一的非接小额支付卡，虽然关于非接触和小额支付是现在比较热的话题。PBOC2.0规范主要定义的是借贷记的金融应用，基于借贷记的小额（电子现金）及非接触的qPBOC都是由此派生出来的。从目前国产芯片的指标看，如果推出金融社保IC卡，那么搭载的金融应用应该为支持1024位RSA的接触式借贷记应用及基于此借贷记的接触式小额支付应用（电子现金）。
如果说从完成政治任务的角度看，银行只能把上述的金融应用搭载到社保卡上。那么银行对于其他的金融支付应用，比如非接的qPBOC等肯定要另外发卡。
从目前可用的国产芯片和银行的业务推广趋势来看，社保卡上附加的金融支付应用和银行主推的非接快捷支付应用的确是存在一定的不匹配，但是这并不意味着金融社保卡就发不出来。
还有对于某一地区而言，通常只有一家银行会和当地社保机构联合发卡，而其他的银行必定还要发行自己银行主推的金融卡。
所以金融社保IC卡的设计初衷（或者说被宣传的优势）“多卡合一、减少卡片发行的种类、老百姓的钱包里不用再装很多的银行卡等”，仅仅是一个传说。不要指望靠一张金融社保卡真的可以替代所有的银行卡。
七、金融社保IC卡的新挑战全民健康卡
据传卫生部也在制定全民健康卡规划，并且拟制定全国统一的规范。这个计划中的健康卡和拟发行的金融社保卡之间究竟是什么关系？为什么不能合二为一？这中间又牵涉多少利益？又有什么“造福人民”的大旗可以扛？让我们拭目以待。
八、总结
金融社保IC卡只是一次国内芯片厂商主导的为了切入到金融IC卡领域而采取的曲线战略，是一种针对现有社保卡的简单换发。老百姓从中不会获得什么收益，只是部分利益集团运作蛋糕并参与分食的简单游戏。