GM_T 0106-2021CN银行卡终端产品密码应用技术要求.pdf

ICS 35.030CCS L 80GM中华人民共和国密码行业标准GM/T 0106—2021银行卡终端产品密码应用技术要求Cryptograph application requirements for bank card terminal2021-10-18发布2022-05-01实施国家密码管理局发布 中华人民共和国密码行业标准银行卡终端产品密码应用技术要求GM/T 0106—2021中国标准出版社出版发行北京市朝阳区和平里西街甲2号(100029)北京市西城区三里河北街16号（100045)网址 总编室：(010行中心：(010者服务部：(010国标准出版社秦皇岛印剧厂印剧各地新华书店经销开本 880X1230 1/16s 字数38字2022年7月第一版2022年7月第一次印别+书号：155066·2-36721定价26.00元如有印装差错由本社发行中心调换版权专有侵权必究举报电话：(010 GM/T 0106—2021表 1银行卡终端密钥分类（续）用造存在条件密钥形式密钥分类密钥名称POS类ATM类事对称业务类认证中心公钢用于脱机数器认证应存在可造密销密销认证中心公钥维护用于导人、更新和量回认证中心公钢应存在可造RKL认证中心公钢用于远程密钢装款可适可选偿码模块公移钥对用于远程密钥装载可造可造国件验证密钢用于软件/国件完整性、真实性丰对称终端安全验证应存在应存在类密钢SM2算法自检密钥对用于SM2密码算法的开机自检和周期自检应存在应存在授权认证密钢用于敏感功能使用授权应存在应存在出钞安全密销用于保证ATM出钞安全可造应存在注：图件验证密钢、授权认证密钥、出钞安全害钥的密钥形式可选对称密钥或非对称密钢6.2通用管理要求终端应对终端中存在的密钥进行生命周期管理，包括密钥生成、密钥分散、密钥传输、密钥导人、密钥存储、密钥备份、密钥归档、密钥销吸等，终端基本密钥生命周期管理应符合GB/T27909(所有部分)和/或ANSIX9.24(所有部分)的规定。终端所有密钥应存储在密码模块中，密朗应只可在密码模块中被使用。6.3业务类密钥管理6.3.1密钥体系银行卡终端用于联机交易的密钢体系应不少于二级。POS类终端常采用二级密钥体系：终端主密钥(TMK)和工作密钥(WK)。ATM类终端常采用二级密钥体系：密钥加密密钥(KEK)和工作密钥（WK)，密钥体系应支持符合GB/T32907规定的密码算法。6.3.2终端主密钥管理终端主密钥(TMK)在POS类终端上用于对工作密钥(WK)进行加密保护，每台POS类终端应有唯一的 TMK,TMK应使用密码技术手段导人POS类终端，如通过其他密码设备（POS密钥机、IC卡等)加密导人，也可采用基于SM2密码算法的远程密钥装载方式导人，导人时应保证密朗的完整性和机密性。6.3.3密钥加密密钥管理密钥加密密钥(KEK)在ATM类终端的上用于对工作密钥（WK)进行加密保护，是ATM类终端密铜体系中的一级密钥，每台ATM类终端应有唯一的KEK，KEK应采用双重控制方式导人，即通过口令的方法对至少阿个密钥管理员进行鉴别，鉴别通过后5 GM/T 0106—2021害销管理员输人各自执有的密例分量，密钥分量在密码模块内组合形成KEK并保存，KEK可采用远程密钥装载(RKL)方式导人，远程导入方式参见附录B或符合GB/T32918.3-2016的规定，6.3.4工作密钥管理终端应包含用于个人识别码(PIN)加密的PIK，计算报文鉴别码(MAC)的MAK和对磁道数据加解密的TDK三种工作密钥，工作密钥应使用TMK或KEK加密后以密文传输和导人，每一种工作密钥应只可被用于一种用途。6.3.55认证中心公钥管理见JR/T 00.6认证中心公钥维护密钥管理见JR/T 00终竭安全类密钥管理终端安全类密钥管理应符合以下生命周期管理方法：密钥生成：对称密钥应由密码模块使用随机数方式生成，非对称密钥应采用GB/T32918规定的密钥生成算法生成；密朗导人：RKL认证中心公钥导人时应验证公钥完整性，其他终端安全类密钥生成后存储在密码模块中，无需导人；密钥存储：密钥应保存在密码模块中，除密码模块公钥外，不应以明文形式出现在密码模块之外;密钥使用：应在密码模块中使用，每种密钥应只有一种用途；密钥导出：除密码模块公钥外，其他密钥应不可导出；密朗更换：应采用期除旧密期后重新生成的方式进行密钥更换：密钥剩除：应由密码模块固件控制型除；密朗销数：密码模块检测到人设时销股，7终端数据安全要求7.1概述本章规定了使用密码技术保护终端内敏感数据的方法和要求，其他未使用密码技术保护的数据和安全要求本文件不做规定。7.2密钥密钥数据安全管理要求见第6章，7.3随机数终