银行ic卡联合试点密钥管理系统总体方案－精品完整版

银行ic卡联合试点密钥管理系统总体方案－精品完整版内容摘要：

国密钥管理总中心主控母卡外部认证密钥卡（ RAKC）相配合，主控母卡是被密钥保护的，只有通过外部认证以后，才能使用它。 外部认证密钥卡是被 PIN 保护的，只有输入正确的 PIN 以后，才银行 IC卡联合试点密钥管理系统总体方案（试行稿） 密钥管理体系 21 能使用外部认证卡。 3） 二级机构母卡 在发放二级机构母卡时，全国密钥管理总中心首先进行主控母卡（ PMKC）和主控母卡外部认证卡（ RAKC）的双向认证。 在输入正确的 PIN 以后，利用 RAKC 中的外部认证密钥RAK 加密 RMKC 中输出的随机数，返回的密文送 RMCK，供 RMKC 来验证使用者的合法身份。 如果验证通过，则可利用 GMPK 对各二级机构标识（ BrandID）进行分散，得到各二级机构的消费 /取现主密钥 BMPK。 BMPK = Diversify (GMPK, BrandID) 在传输密钥 RTK 的控制下，全国密钥管理总中心密钥管理系统利用 RMKC 加密装载 BMPK。 具体的过程是：全国密钥管理总中心使用 PMKC 中的 GMPK 对各二级机构标识进行分散 ,得到 BMPK：然后用传输密钥 PTK 对 BMPK 进行加密，得到密文 3DES（ RTK， BMPK）。 导出全国密钥管理总中心主控母卡，载入代发行的 IC 卡中；在这张 IC 卡内部，是用传输密要 PTK 对密文解密， 3DES1（ RTK， 3DES（ RTK，银行 IC卡联合试点密钥管理系统总体方案（试行稿） 密钥管理体系 22 BMPK）），得到 BMPK，同时，在这张卡上还要装载外部认证密钥 RAK，用于各二级密钥管理中心认证这张卡，这样，就产生了二级机构发卡母卡（ BKC）。 BKC 中有： 密钥种类 组数 备注 RTK 一组 倒入 BMPK 的传输密钥 RAK 一组 二级机构发卡母卡外部认证密钥 BMPK 五组 二级消费 /取现主密钥，可用来分散产生成员行的消费 /取现主密钥 二级机构发卡母卡中应有一文件，记录卡片初始化的有关信息，以便 今后跟踪审计和安全管理：  卡片个人化标识，必须，位于 CDF（ Common Data File）银行 IC卡联合试点密钥管理系统总体方案（试行稿） 密钥管理体系 23 区域，操作条件不可变，长度为一个字节；  CDF 激活标识，可选，位于 CDF 区域，操作条件不可变，格式为 10 个字节，前 6 个字节是 ISO7812 中定义的发行者标识，后四个字节是附加标识符；  CDF 激活序列号，可选，位于 CDF 区域，操作条件不可变，格式为 10 个字节；  CDF 激活日期，可选，位于 CDF 区域，操作条件不可变，格式为 4 个字节。 YYYYMMDD。 二级机构发卡母卡要正常工作，需有存放 BAK 的二级机构外部认证密钥卡（ BACK）相配合。 二级机构发卡母卡是被密钥保护的，只有通过外部认证后，才能使用它。 外部认证密钥卡是被 PIN 保护的，只有输入正确的 PIN 以后，才能使用外部认证卡。 4） PSAM 洗卡 GMPK 使整个系统的根密钥，如果一旦被盗取或被非法使用，从而带来政治、经济上的重大损失，所以，从安全的角度来说，全国所有的 PSAM 卡必须在全国密钥管理总中心统银行 IC卡联合试点密钥管理系统总体方案（试行稿） 密钥管理体系 24 一安全装载 GMPK。 出了全国密钥管理总中心外，任何其他个人和组织无法得到 GMPK 的明文，也无法通过 PSAM 卡来利用 GMPK 进行非法的密钥运算，各个成员行可以向通过二级密钥管理中 心申报所需 PSAM 卡的数量，由全国密钥管理总中心按需求量统一洗卡。 在 RAKC 的配合下，全国密钥管理总中心利用主控母卡可以对 PSAM 卡进行统一洗卡，全国密钥管理总中心首先进行主控母卡（ RMKC）和主控母卡外部认证卡（ PAKC）的双向认证，在输入正确的 PIN 以后，利用 RAKC 中的外部认证密钥 RAK加密 RMKC中输出的随机数，返回的密文送 RMKC，供 RMKC 来验证使用者的合法身份。 全国密钥管理总中心得到一批 PSAM 卡，卡片已经过预个人化处理，卡片 CDF 区域和通用 ADK 区域下的文件已由厂商建好，生产商密钥（卡片 主控密钥）也已装载。 在这一批 IC卡送交全国密钥管理总中心的同时，存放生产商密钥的生产商母卡也要交给全国密钥管理总中心。 全国密钥管理总中心在接到这批卡之后，用生产商母卡中的生产商密钥 kMprd 来鉴别每一张 IC 卡。 鉴别通过后，全国银行 IC卡联合试点密钥管理系统总体方案（试行稿） 密钥管理体系 25 密钥管理总中心将用自己产生的密钥 kIctlR，来替换卡上的生产商密钥 kMprd，成为卡上的卡片主控密钥。 kIctlR 是全国密钥管理总中心随机产生或采用其他方法产生的，被加密导入后作为这一批 PSAM 卡的主控密钥，控制CDF 区域下文件创建和密钥更新。 全国密钥管理总中心必须在卡片主控 密钥的控制下装载和更新密钥。 具体的过程如下所示： —— 在生产上密钥（卡片主控密钥）的控制下，更新卡片主控密钥。 —— 在卡片主控密钥的控制下，装载卡片维护密钥。 —— 在卡片维护密钥的控制下，安全更新卡片 MF 区域的文件 —— 在卡片主控密钥的控制下，装载应用主控密钥 —— 在应用主控密钥的控制下，装载应用维护密钥 —— 在应用主控密钥的控制下，装载应用主工作密钥 —— 在应用维护密钥的控制下，安全更新卡片 ADF 区域的文件 如验证通过，全国密钥管理总中心利用 RMKC 加密装载银行 IC卡联合试点密钥管理系统总体方案（试行稿） 密钥管理体系 26 GMPK。 具体的过程是：在 RMKC 中， PSAM 传 输密钥 PRTK对 GMPK 进行加密，得到密文 3DES（ RPTK， GMPK），将密文载入到发行的 IC 卡中； IC 卡内部是用传输密钥 PRTK对密文解密， 3DES1（ RPTK， 3DES（ RPTK， GMPK））。 得到 GMPK，放在 MF 下的密钥文件中。 PSAM 卡中有： 密钥种类 组数 备注 RPTK 一组 导入 GMPK 的传输密钥 RPAK 一组 PSAM 认证密钥 GMPK 五组 全国消费 /取现主密钥，只可用来三级分撒，产生 MAC 成员行 PSAM卡中应有一文件，记录卡片初始化的有关信息，以便今后跟踪审计和安全管 理：  卡片个人化标识，必须，位于 CDF（ Common Data File）区域，操作条件不可变，长度为一个字节； 银行 IC卡联合试点密钥管理系统总体方案（试行稿） 密钥管理体系 27  CDF 激活标识，可选，位于 CDF 区域，操作条件不可变，格式为 10 个字节，前 6 个字节是 ISO7812 中定义的发行者标识，后四个字节是附加标识符；  CDF 激活序列号，可选，位于 CDF 区域，操作条件不可变，格式为 10 个字节；  CDF 激活日期，可选，位于 CDF 区域，操作条件不可变，格式为 4 个字节， YYYYMMDD。 在 GMPK 装载到 PSAM 卡中之后，对 PSAM 卡的使用受到了严格的控制， GMPK 存放在一个 固定的密钥文件中，它不能被外界直接访问，在通过相应的认证过程后， GMPK 只能接受内部操作系统发来的进行 MAC 计算的指令，按照指定的流程计算出 MAC。 全国密钥管理总中心还须为成员行产生相应的 PSAM外部认证卡（ PAKC），通过二级密钥管理中心发给各成员行，用来控制装载各成员银行的专用密钥。 3 二级密钥管理中心 在从全国密钥管理总中心接收到二级机构发卡母卡（ BKC）银行 IC卡联合试点密钥管理系统总体方案（试行稿） 密钥管理体系 28 和二级机构外部认证密钥卡（ BACK），并验证了母卡的真实身份后，二级密钥管理中心利用 BKC 生成各成员行的消费 /取现主密钥，产生各成员银行的发卡母卡 和相应的成员行外部认证卡。 1， 二级机构外部认证卡 BAKC（ BAK） 2， 二级机构发卡母卡 BKC（ RTKBMPKBAK） 提 供 二级密钥管理中心 认证、装载 1 二级机构外部认证 BAKC（ BAK） 2．二级机构发卡母卡 BKC（ BTKBMPKBAKBTK） 导 出 银行 IC卡联合试点密钥管理系统总体方案（试行稿） 密钥管理体系 29 1． 成员行发卡母卡 MKC（ BTKMPKMAK） 2． 成员行外部认证卡 MAKC（ MAK） 图 2—4 二级机构密钥管理流程图 1） 密钥替换 二级密钥管理中心得到一批 IC 卡，用作二级机构下发给各成员银行的母卡，在利用生产商母卡鉴别这批 IC 卡后，二级机构产生密钥 kIctlB，替换卡上的生产商密钥 kMprd，成为卡上的主控密钥，然后立即作废 kMprd。 具体的过程与全国密钥管理总中心的密钥替换过程相同，这批 IC 卡上都以kIctlB 作为主控密钥。 考虑到安全的需要，密钥卡中的密钥的装载和导出都必须是银行 IC卡联合试点密钥管理系统总体方案（试行稿） 密钥管理体系 30 密文所有的 IC 卡中先要统一装载传输密钥 BTK，将传入卡中加密数据解密恢复。 2） 成员行发卡母卡 在发放成员行发卡母卡时，二级机构必须首先使用 BACK 中的外部认证密钥 BAK，供二级机构发卡母卡进行外部认证，验证使用 者的合法身份，如果卡片验证通过，二级机构可载入传输密钥 BTK。 之后，成员行发卡母卡报文的传送必须在BTK 的保护之下。 在二级密钥管理中心密钥管理系统中，利用装载 BTK 的二级机构发卡母卡报文的传送必须在 BTK 的保护之下。 在二级密钥管理中心密钥管理系统中，利用装载 BTK 的二级机构发卡母卡，二级机构可以发放成员行发卡母卡，加密装载 MPK。 二级机构可以用城市消费 /取现主密钥 BMPK 对各成员银行的标识（ BandID）进行分散，得到各成员行的消费 /取现主密钥 MPK。 MPK = Diversify (BMPK, BankID) 银行 IC卡联合试点密钥管理系统总体方案（试行稿） 密钥管理体系 31。