非对称密钥.docVIP

发卡及卡片个人化流程 非对称密钥安全体系 系统整体安全设计符合PBOC2.0借贷记安全规范。PBOC2.0规范中的非对称密钥体系，由认证中心（CA）发行数字证书实现安全认证。非对称密钥体系主要涉及以下三个方面： 支付系统：，就国际卡而言是指VISA，MasterCard等国际信用卡组织，国内则为中国银联。 发卡行：指发行符合中国金融IC卡借记贷记应用规范的成员银行。 收单机构：指提供卡收单服务的收单行以及代理收单机构如银联。 IC卡认证中心体系统结构采用2级架构，即根CA和发卡行CA。体系总体架构及三者之间的关系如图所示：41 非对称密钥安全体系 密钥分布及操作流程 图表 42 密钥分布及流向图 密钥分布如上图所示。密钥操作及传递流向设计为： CA认证中心产生并存储认证中心公私钥对； 流向①：将认证中心公钥证书下发到受理POS机中； 发卡行产生并存储发卡行公私钥对、MDKs(MDK\MDKENC\MDKMAC)、KMU； 发卡行导入IC卡的KMC主密钥、与个人化厂商约定的KEK/TK； 流向②：提交发卡行公钥及证书申请信息； 流向③：认证中心签发并下发发卡行公钥证书给发卡行； 密钥管理中心系统产生IC卡公私钥对，并使用发卡行私钥对IC卡公钥进行签名，形成IC卡公钥证书；同时将MDKs按照IC卡的PAN号分散出卡片子密钥UDKs（UDK\UDKMAC\UDKENC）。 流向④：发卡行传递卡片个人化所需的所有密钥。包括：IC卡私钥、IC卡公钥证书、发卡行公钥证书、UDKs、KMU； 流向⑤：个人化系统将IC卡私钥、IC卡公钥证书、发卡行公钥证书、UDKs（UDK\UDKMAC\UDKENC）写入IC卡芯片中；同时个人化系统替换原有的IC卡主密钥KMC为KMU分散后的密钥KENC、KMAC、KDEK。 私密数据安全性设计 发卡方的私密数据主要包括： 个人PIN 发卡行主密钥MDK、KMU、发卡行私钥 这些私密数据的安全性设计主要包括两个方面： 产生和存储 个人PIN按照规范使用加密机PIN加密密钥加密后存储数据库中； 发卡行主密钥及发卡行私钥使用加密机的本地主密钥(LMK)加密后存储在数据库中； 传递和使用 个人PIN数据通过TK加密； 发卡行主密钥及私钥只存在发卡行密钥管理中心，不下发到数据准备和个人化系统； 私密数据使用时，通过加密机进行转加密及签名等运算。所有的密钥密文只会在密码机中进行解密，保证数据的安全。 发卡环节 进行IC卡预个人化及个人化操作时，需要写入私密数据包括UDKs、KENC、KMAC、KDEK、IC卡私钥、个人PIN。这些数据的写入均使用IC卡主密钥KMC进行加密后写入IC卡芯片，IC卡芯片内部解密后存储。这个发卡过程中，私密数据不出现明文，保证数据的安全。  表格 1 非对称密钥列表 类型 功能 说明 根CA公钥 由银联金融IC卡借贷记认证中心下发的CA公钥，以PBOC标准的公钥证书文件形式下发。发卡行用于验证发卡证书有效性。 发卡行公钥 由发卡行产生，并经过CA中心签发后形成发卡行公钥证书。用于发卡时装载到IC卡中。 发卡行私钥 由发卡行产生，并通过加密机密钥加密后存储在主机数据库中。用于签发IC卡静态数据签名及IC卡公钥证书。 IC卡公钥 采用DDA认证方式的卡片需要此密钥，由发卡行私钥签发形成IC卡公钥证书存储在IC卡。 IC卡私钥 采用DDA认证方式的卡片需要此密钥，用于IC卡与终端进行DDA认证时。