PBOC密钥管理中心及数据准备系统方案.docVIP

1.PBOC2.0产品结构及功能1.1 系统整体架构本期项目建设中，整体IC卡功能相关的主要包括以下几个部分的系统：1.1.1 IC卡业务系统：核心功能主要提供IC卡的电子现金账户管理、账务处理、清结算处理等电子现金相关的资金功能。同时提供标准借贷记交易的IC卡特性预处理功能，如安全验证、卡片写卡脚本处理等。1.1.2. 密钥管理中心系统1.1.3. 发卡数据准备系统1.1.4. 卡片个人化系统1.1.5. 银行其他关联渠道系统包括借贷记核心系统、柜面系统、ATM系统、POSP系统、综合前置系统等，需要增加IC卡特性处理和电子现金交易处理功能。1.2 各部分系统层次划分结构1.2.1 安全及发卡体系 安全发卡体系包括： 1) 密钥管理系统（KMC） 2) 数据准备系统（DP） 3) 个人化系统（CP）1.2.2 银行卡支付体系 银行卡支付相关的业务系统需要改造和建设的系统包括： 1) 银行核心系统 2) IC卡业务系统 3) 各类前置系统及终端设备系统 已存在的前置系统和终端系统的升级改造工作，具体有：? 前置系统：ATMP，POSP，金卡前置，柜面前置等。? 终端系统：柜面终端，POS，ATM，圈存机，查询终端等。1.2.3 多应用体系 1.2.3.1 行业应用系统实际上是多应用业务的支撑平台，集安全控制，卡片规划，统一接入，行业规范，业务流程及数据梳理的工作于一体的复杂系统，它的建设目标是为银行的多应用接入降低技术难度，简化行业应用的多样性和复杂性，从而保障行业多应用的快速稳定的拓展。 多应用体系主要建设内容有：作为金融IC卡体系与行业应用体系的对接平台，将行业应用个性化的需求抽象为统一、标准的系统接口；细分各类行业应用特点，支持各种行业IC卡的数据结构、发卡流程、密码算法及业务逻辑等； 提供行业IC卡交易处理、发卡等业务平台的功能服务，简化银行与行业应用合作的复杂性，降低工程实施技术难度。2.密钥管理中心系统(KMC)2.1产品概述密钥管理中心系统建设完全符合《PBOC规范》2.0标准，统一实现《PBOC规范》2.0标准相关的借贷记应用CA证书申请、管理及签发、应用主密钥管理及下发等所有的密钥管理功能。IC卡密钥管理系统完全能够满足总行级金融IC卡发卡行证书及业务开展。目前系统支持单次签发十万张证书，完全能够满足现阶段发卡行的需求；而且系统具备良好的扩展性，包括应用扩展和容量扩展。系统能够与中国银联的PBOC2.0标准金融IC卡支付体系根CA系统实现对接，实现总行发卡行证书注册、申请、接收及管理，以及IC卡证书产生、管理，IC卡静态签名数据产生，能够支持按银行全辖一级机构生成、管理应用主密钥等功能。2.2产品逻辑根据业务需求及系统本身设计要求，密钥管理中心系统软件系统主要实现以下统一管理界面、安全服务及WEB应用三部分功能：1. 统一管理界面功能? 发卡行管理：发卡行证书统一管理? 证书签发：IC卡证书签发? 管理员管理：系统管理员管理? 密钥管理：发卡行密钥、用户密钥管理? 数据管理：制卡数据、密钥加密数据管理? 系统管理2. 安全服务相关功能? 密码机引擎：支持密码机集群，多并发处理? 密钥池管理：预生成密钥服务功能? 证书签发：证书申请、签发与管理功能? 证书策略：根据不同的证书策略签发相应的证书? 磁条数据管理：支持磁条数据管理3. WEB应用相关功能? 管理员管理：系统管理员生成、注销等管理功能? 备份与恢复：系统核心文件备份、恢复? 日志审计：系统日志、业务日志备份与审计? 配置管理：外围系统配置功能? 权限管理：根据不同的业务需求，可分配管理员不同的权限2.3产品功能2.3.1密码服务功能与密钥管理系统配套的硬件密码机主要实现以下功能：? 发卡行本地主密钥(LMK)产生? 卡片主控密钥（MDK/MDKENC/MDKMAC）产生和装载? 交换密钥（KEK）和传输密钥（TK）装载? PBOC MAC运算? TK到LMK转加密? LMK到TK转加密? 密钥分散运算? 生成公私钥对 ? 公钥运算? 获取密钥密文? 私钥解析? 数据转加密? 密钥的备份/恢复2.3.2业务处理功能在密钥管理中心软件系统中，业务相关功能主要由发卡行证书管理子系统，IC卡证书及签名管理子系统及密钥管理子系统实现，以上三个核心子系统的主要功能描述如下：1. 发卡行证书管理子系统负责与中国银联根CA中心进行交互，完成发卡行证