“身份证补办（挂失）后原身份证仍可正常使用”这才是巨坑啊！

[gotounix]

银行卡、SIM卡补办（挂失）后都不能使用，身份证这么重要的东西竟然这么多年仍没改观……
二代身份证貌似也就04、05年的样子开始全国强制更换的，技术肯定不是障碍，这么重要的一点都没考虑进去就开始强制更换了，实在是寒心啊！

[levon]

@sinxccc 现在重要些的都有联网，街上办信用卡的都有这个机器扫描身份证的

[sdjl]

@whathell 两张都是真的, 公安局去领的, 哥子~~你在想什么

[yuanji]

担心如果指纹验证限制自由。

[dreampuf]

http://www.guokr.com/question/492776/ 2L
"关身份证什么事，还是身份证使用过程中审查不严。典型的拉不出来屎，怪地球没引力。"

[Lone]

我对现行身份证不爽有2点：

1.身份证显示户籍住址，容易造成隐私泄露，比如被人轻易找上门报复什么的，现在信息化了，公安系统内记录了户籍住址，完全不需要再显示在身份证上面。

2.身份证丢失和假冒的情况，以前银行使用的验证方式是身份证号+名字，其实这办法还是比较方便，弊端是公安部和人民银行合作得不好，造成有些人的身份证查不到，比如我。然后又升级使用人口信息库验证，又遇到系统没有登记相片的人，比如我。如果再验证指纹，我刚换身份证，我必定不会去录指纹，不用说，如果银行核对指纹，我肯定也通不过。

其实可以有很简单的办法，使用最早的办法改进一下，身份证+名字+有效期，验证过程只需要将这三组数据通过公式hash联网验证一下是否存在，存在就通过，不存在就不通过，这样只要更换身份证，有效期必定改变，hash值也改变，这样根本不用担心身份证丢失。被冒用的情况，只需在此基础上记录每一次验证Hash的单位和个人，类似信用报告的查询记录，出现盗用就可以很轻易找到泄露点和人。

当然，记录指纹也很好，和厂商合作推出指定产品，强制全国宾馆旅社安装，多大一个市场啊，呵呵。

[tywtyw2002]

@myang 其实我觉得可以这样，每个身份证都有一个uuid，如果身份证过期了，或者挂失了，那么公安局就把这个uuid设置成黑名单，然后每天给所有的银行/xx 更新一下这个uuid数据库就好了。

ps，据说中国的2带证直接解密就可以读。。。 没有考虑uuid，uuid是身份证号。。。

[msg7086]

@levon 要失效的话，必须要维护一个吊销列表，然后要向各大公司、机构发放吊销列表，还要各大公司机构配备ID读卡器，然后这样势必会造成隐私严重泄漏。

[undeadking]

@ranye 你有见过真正的身份证读卡器么?这东西似乎不多,除了网吧之外,我只在一间浦发银行和一个供电局,还有博物馆见过这玩意.酒店多数是用扫描仪扫一下,把图片上传给公安而已.

@tywtyw2002 这是交通卡的解决方案,实际运维成本很高.我以前因为要确保每天黑名单的正确接收,加了不少的班

我的港澳通行证就是用自己的挂失卡办的,公安机关自身都不作检验,你还想指望谁?

[ranye]

@undeadking = =当然见过，我四五年前去网吧就有了，还有我这几年住过的国内宾馆不论大小都有身份读卡器，我见过读取以后在屏幕上显示的内容，照片以及各种个人信息都有

[myang]

@ranye 事实上，你见过的*绝大多数*网吧、宾馆的读卡器，都不是联网的，而只是用于扫描记录，读取出来的内容是身份证芯片本地存储的内容，而非从网络上读取的。火车站的巡警持有一种便携的读卡机，也不是联网的，而是有写入了一个通缉证件号列表，可以知道被扫描的身份证的证号是否被全国通缉。上面已经很多人说到了，要想实时的全面联网验证，第一目前其实根本没有现成的软硬件条件需要从头布置，第二软硬件布置后权限的控制有难度，不是说不行，而是说可行但并非只是个脑残设计可以动一动手指头就简单解决的问题而已。

[gotounix]

@myang 额，其实身份证验证这玩意是有的，公安部也有现成的接口，原来做政府项目就用过，不过现在也只是验证信息的准确性，比如，姓名和身份证号是否对应，方式也很简单，后台只返回两个值。现在有的政府机关的网上审批系统就有采用了身份证读卡器读取身份证信息到表单，提交表单时与公安联网验证其准确性。主要问题是，要用这玩意得打报告到公安部去审批，能批下来的可能性是比较低，除非是政府的国家级项目。

[myang]

@gotounix 我正是这个意思，验证身份证的有效性技术上并不难，预留个接口什么的和身份证加id是一样的，动动手指头就可以，但无论加id还是留接口和真正的实施联网验证距离了十万八千里呢，阻碍实施的是成本、效益、带来的隐私问题、安全问题等，更多的是一种管理决策层面的，而非技术层面。联网值不值得做？会不会产生更严重的安全漏洞？如何保障隐私安全等等我认为不是一句“设计人员脑残”就可以判断的。

[tywtyw2002]

@undeadking 那么就是公交卡是但张卡独立。复制没人管？

你们每天也要dump公交卡的刷卡记录吧 和数据库merge下？

[undeadking]

@tywtyw2002 一般这种卡片是用IC卡,它有个修改不了的UID,并且有密钥认证.只是复制一张卡片的数据段是没意义的,很容易校验出问题.同时复制UID并且能通过密钥认证,基本只有运维才能做这种手脚

我只是配合小区/学校的物业通过羊城通/粤通卡来对车辆进行收费,每天都要上传刷卡的流水记录和下载黑名单.黑名单的下载是要确保每天成功的,数据传输是通过电话拨号,效率非常低下,传2M的数据要等差不多半小时,线路不稳定还要重传,后来才升级为电信3G拨VPDN

[tioover]

前几天身份证就掉了，看了这个帖子很担心啊。

[tywtyw2002]

@undeadking 嗯 如果破解了加密算法，那么伪造卡号和金额是很容的吧？ 而且基本抓不到。。。

[undeadking]

@tywtyw2002 不需要破解算法,找到能修改UID的卡来完全克隆就可以了.即使你能破解算法,得到明文数据,分析协议也是很麻烦的.

对于这种每天都要后台结算的小额支付系统,克隆/伪造卡片没多大用处,异常流水会被后台发现然后加黑名单的,一个IC读卡器的价格就上千,完全是赔本买卖.倒是听说过有高速的运维偷PSAM卡,非法从车主的卡片扣钱,搞了几十万,现在蹲监狱里了

[mozutaba]

等跑路的时候就会觉得这是多么可爱的东西

[tywtyw2002]

@undeadking 嗯 我也听过这些
proxmark3这个东西听过吗？

公交卡应该是nfc卡吧？
食堂饭卡有种简单的和门禁一样 只返回id需要联网查询id 扣费

[eggache]

@sdjl 三张的路过