Page 225 - 捷運技術 第38期

捷運技術半年刊 第38期 97年2月 219

悠遊卡在送出應答訊息後就開始防撞回路之辨識動作，讀寫模組讀取悠遊卡之唯一序
號。當多張悠遊卡同時出現在有效通訊範圍內時，防撞回路按唯一序號選取其中的一張悠遊
卡，以執行後續認證及讀寫動作，其它未被選取的悠遊卡等待下一次的防撞回路辨識動作。
(3) 存取設定（Access Specification）

在防撞回路選取了某張悠遊卡取得序號後，接著就是指定卡片中所要讀寫的記憶體位
置， 指定記憶體位置後，才開始執行認證程序。
(4) 認證程序（tri-Pass Authentication）
認證程序是要讀寫悠遊卡特定記憶體位置前所需完成的步驟。悠遊卡的記憶體必需在認

證程序通過之後，才允許按此記憶體原先設定的存取權限位元加以讀寫。
另外當認證程序完成後，隨後之資料傳輸均將依照 Stream Cipher Encryption 的方式加密
傳送，因此即便通訊區內有其他非法讀寫模組也無法截聽其通訊內容。完成這些步驟，悠遊
卡之交易資料已透過射頻安全傳入悠遊卡讀寫模，此後交易資料之行進路線是透過有線網

路，有線網路將交易資料封包（或訊息區塊）層層轉送到達目的地。
2. 單程票
上述悠遊卡金鑰驗證讀寫權限及加密傳送交易資
存取設備
料可歸類為低階之軔體安全機制，由讀寫模組及悠遊

卡之晶片負責運作。然而單程票並不像悠遊卡由不同
防撞迴路
業者共用，它屬捷運封閉票證，限當日有效，沒有循
環加值問題，因此在實作上沒有前述軔體運行之金鑰
存取設定
認證，意即相容晶片之單程票讀寫模組是可以讀寫其

內容，這是否又意謂單程票證出現了安全漏洞？其實
認證程序
不然，其安全機制建置於單程票讀寫模組之上一層，
即自動閘門（GATE）、站務員售票機（PAM）、自
動售票機（ATIM）之主控單元之軟體上，其運作原理 讀取 讀入

如同數位簽章（Digital Signature 或MAC）由CDPS下
載金鑰（在此稱為Token Key）至前述ATIM等終端設
備，當ATIM要發售車票時以摘要演算（例如MD5）及
加密演算（例如DES）對單程票內容進行簽章演算， 圖四 悠遊卡和讀寫機模組之通訊交
握流程
演算結果寫入單程票，因此當旅客持單程票通過閘門
時，閘門以反向運算核對簽章是否一致，即可確認單程票是否遭到變造，是否由合法機器所
發行，如此即達成防止變造使用之安全控管機制。
(三)有線網路傳輸區之安全機制：

有線網路傳輸區與一般網路類似，由RJ45纜線、集線器、路由器、光纖、網路交換機
（Ethernet Layer3 Switch）、虛擬私人網路閘道器（VPN Gateway）、中繼伺服器、中央
處理機、清算中繼服器（Clearance Middleware Server）及防火牆（Firewall）所構成。如圖
三，其中防火牆為捷運自動收費電腦系統與票證公司電腦及捷運MIS之安全屏障，對捷運自

動收費系統而言，這足以確保內部網路之安全，阻絕捷運自動收費電腦系統與其它業者系統
以及網際網路之不安全接觸。惟對票證公司而言，悠遊卡由該公司發行，讀卡機經由該公司