PB密钥管理中心及数据准备系统方案.doc

PBOC2.0产品结构及功能 1.1系统幣体架构 本期项3建没中，幣体1C卡功能相关的主要钮括以下几个部分的系统： 1.1.1 1C卡业务系统： 核心功能主要提供1C卡的电子现金账户管理、账务处理、淸结算处理等电子现金相关的资金功能。同时提 供标准借贷记交易的1C卡特性预处理功能，如安全验证、卡片写卡脚本处理等。 密钥管理中心系统 发卡数据准备系统 卞?片个人化系统 银行其他关联渠道系统 包括借贷记核心系统、柜面系统、ATM系统、POSP系统、综合前置系统等，需耍增加1C卡特性处理和电 子现金交易处理功能。 1.2各部分系统层次划分结构 1.2.1安全及发卡体系 安全发卡体系包括： 1） 密钥管理系统（KMC） 2） 数据准备系统（DP） 3） 个人化系统（CP） 1.2.2银行卡支付体系 银行卡支付相关的业务系统需要改造和建设的系统包括： 1） 银行核心系统 2） 1C卡业务系统 3） 各类前置系统及终端没备系统 已存在的前置系统和终端系统的升级改造工作，其体有： ? 前置系统：ATMP，POSP，金卡前置，柜面前置等。 ? 终端系统：柜面终端，POS，ATM,圈存机，查询终端等。 1.23多应用体系 1.2.3.1行业应用系统实际上是多应用业务的支撑平台，集安全控制，卡片规划，统-?接入，行业规范，业 务流程及数据梳理的工作于一体的杂系统，它的建设目秘是为银行的多应用接入降低技术难度，简化行 业应用的多样性和复杂性，从而保障行业多应用的快速稳定的拓展。 多应用体系主耍建设内容冇：作为金融1C卡体系与行业应用体系的对接平台，将行业应用个 性化的需求抽象力统一、标准的系统接门；细分各类行业应川特点，支持各种行、Ik 1C卡的数据结构、发卡 流程、密码算法及业务逻辑等；提供行业1C卡交易处理、发卡等业务〒台的功能服务，简化银行与行业 应用合作的复杂性，降低工程实施技术难度。 2 .密钥管理屮心系统（KMC） 2.1产品概述 密钥管理巾心系统建设完全符合《PBOC规范》2.0标准，统一实现《PBOC规范》2.0标准相关的借贷记应 用CA证书申请、管理及签发、应用主密钔管理及下发等所有的密钔管理功能。 1C卞?密钔管理系统完全能够满足总行级金融1C卞?发卞?行证书及业务开展。H前系统支持单次签发十万张 证书，完全能够满足现阶段发卡行的需求；而且系统具备好的扩展性，包括应用扩展和容呈扩展。 系统能够与屮国银联的PBOC2.0标准金融1C卡支付体系根CA系统实现对接，实现总行发卡行证书注册、 申诸、接收及管理，以及1C卡证书产生、管理，1C卡静态签名数据产生，能够支持按银行全辖一级机构 生成、管理应用主密钔等功能。 2.2产品逻辑 根据业务需求及系统本身设计耍求，密钥管理中心系统软件系统主要实现以下统-管理界面、安全服务及 WEB应用三部分功能： 统一管理界而功能 ?犮卡行管理：发卡行证书统一管理 ?证书签发：1C卡证书签发 ?筲理员筲理：系统管理员管理 ?密钥管理：发卡行密钔、用户密钔管理 ?数据管理：制卞?数据、密钔加密数据管理 ?系统管理 安全服务相关功能 ?密码机引擎：支持密码机集群，多并发处理 ?密钔池管理：预生成密钔服务功能 ?证书签发：证书屮请、签发与管理功能 ?证书策略：根据不同的证书策略签发相应的证书 ?磁条数据管理：支持磁条数据管理 WEB应川相夫功能 ?管理员管理：系统管理员生成、注销等管理功能 ?备份与恢笈：系统核心文件备份、恢复 ?曰志审计：系统H志、业务H志备份与审计 ?配罝管理：外围系统配罝功能 ?权限筲理：根据不同的业务需求，可分配管理员不同的权限 2.3产品功能 2.3.1密码服务功能 与密钥管理系统配赛的硬件密码机主要实现以下功能： ?发卡行本地主密钥(LMK)产生 ?卡片主控密朗(MDK/MDKENCZMDKMAC)产生和装载 ?交换密钔(KEK)和传输密钥(TK)装载 ? PBOC MAC 运算 ?TK到LMK转加密 ? LMK到TK转加密 ?密钥分散运算 ?生成公私钔对 ?公钥运算 ?获取密钥密文 ?私钥解析 ?数据转加密 ?密钔的备份/恢复 2.3.2业务处理功能 在密钥管理屮心软件系统屮，业务相关功能主要由发卡行证书管理子系统，1C卡证书及签名管理子系统及 密钥管理子系统实现，以上三个核心子系统的主耍功能描述如下： 1.发卡行证书管理子系统 负责与中国银联根CA中心进行交互，完成发卡行证书管理的功能，实现功能主要包括： ?发卡行证书屮请文件的产生 ?发卡行证书文件的接收、存储、验证。 主耍的日常发卡行证书申请业务操作步骤及流程为： 1） 运行发卡行证书及密钔管理系统软件； 2） 配置发卞?行公私钔对及证书的参数，主要包拈： ?公钥模长 ?公钥指数：包括65537和3两种。 ?发卡行机构标识（