《PSAM卡必需支持的专用命令》由会员分享，可在线阅读，更多相关《PSAM卡必需支持的专用命令（15页珍藏版）》请在金锄头文库上搜索。
1、深圳市迪文科技有限公司深圳市迪文科技有限公司1. 写入密钥（Write Key）1) 定义和范围WRITE KEY 命令可向卡中装载密钥或更新卡中已存在的密钥。本命令可支持 8 字节或 16 字节的密钥，密钥写入必须采用加密的方式，在主控密钥的控制下进行。在密钥装载前必须用 GET CHANLLEGE 命令从 PSAM 卡取一个 4 字节的随机数。2) 命令报文WRITE KEY 命令报 文见表 31。代码 值CLA 84hINS D4hP1 00hP2 00hLc 14h 或 1ChData 加密后的密钥信息、MACLe 不存在表 31 WRITE KEY 命令报文3) 命令报文数据域命令报
2、文数据域包括要装载的密钥密文信息和 MAC。密钥密文信息是用主控密钥对以下数据加密（按所列顺序）产生的：密钥用途深圳市迪文科技有限公司深圳市迪文科技有限公司密钥版本密钥算法标识密钥值MAC 是用主控密钥对下数据进行 MAC 计算（按所列顺序）产生的：CLAINSP1P2Lc密钥密文信息 加密和 MAC 计算的方法遵循中国金融集成电路（IC）卡规范。装载 8 字节的单长度密钥时，数据长度为 14h；装载 16 字节的双长度密钥时，数据长度为 1Ch。4) 响应报文数据域响应报文数据域不存在。2. 批量更新密钥初始化（Init Batch Update）1) 定义和范围Init Batch Upd
3、ate 命令用于从 IC 卡中获得一个 4 个字节的随机因子。 该随机因子服务于批量更新消费主密钥指令的安全过程（如安全报文），在使用批量更新消费主密钥指令的命令执行后失效。2) 命令报文GET CHALLENGE 命令报文见表 216。深圳市迪文科技有限公司深圳市迪文科技有限公司代码 值CLA 00hINS 85hP1 00hP2 00hLc 不存在Data 不存在Le 13h表 216 Init Batch Update 命令报文3) 命令报文数据域命令报文数据域不存在。4) 响应报文数据域此命令执行成功的响应报文数据域见表。如果命令执行不成功，则只在响应报文中回送 SW1 和 SW2。说
4、明 长度（字节）PSAM 序列号 10密钥索引号（GMPK） 1有效期 4随机因子 4深圳市迪文科技有限公司深圳市迪文科技有限公司3. 批量更新消费主密钥（Batch Update GMPK）1) 定义和范围Batch Update GMPK 命令可向卡中更新卡中已存在的消 费密钥。本命令只支持 16 字节的密钥，密钥写入必须采用加密的方式，在主控密钥的控制下进行。在密钥更新前必须用 Init Batch Update 命令从 PSAM 卡取一个 4 字节的随机数。2) 命令报文Batch Update GMPK 命令报文见表 31。代码 值CLA 84hINS D5hP1 00hP2 00h
5、Lc 10 +（N*18h）Data 见说明Le 不存在表 31 Batch Update GMPK 命令报文3) 命令报文数据域加密和 MAC 计算的方法遵循中国金融集成电路（IC）卡规范。装载 16 字节的双长度密钥时，数据长 度为 18h。说明 长度（字节）已发送更新密钥指令数量(N) 1深圳市迪文科技有限公司深圳市迪文科技有限公司新的密钥索引号（GMPK） 1有效期 4GMPK CRYPTOGRAPH N*18hMAC 44) 响应报文数据域响应报文数据域不存在。4通用 DES 计算初始化（INIT_FOR_ DESCRYPT）1) 定义和范围INIT_FOR_ DESCRYPT 命令
6、用来初始化通用密钥计算过程。PSAM 卡将利用卡中指定的密钥进行运算， 产生一个临时密钥。运算方式由指定的密钥类型、密钥分散级数和密钥算法标识确定。不支持计算临时密钥计算的密钥类型有：主控密钥维护密钥消费密钥双长度密钥产生双长度临时密钥的密钥类型有：PIN 解锁密钥用户卡应用维护密钥双长度密钥左右异或产生单长度临时密钥的密钥类型有：重装 PIN 密钥双长度密钥产生双长度临时密钥，单长度密钥产生单长度临时密钥的密钥类型有：深圳市迪文科技有限公司深圳市迪文科技有限公司MAC 密钥加密密钥MAC、加密密 钥指定密钥经过几级处理由密钥分散级数和 Lc 确定，若二者不一致，则返回错误信息。临时密钥在 P
7、SAM 卡下电 后自动消失，不允 许读。临时密钥产生后，与原密钥的属性一致。2) 命令报文INIT_FOR_ DESCRYPT 命令报文见表 32。代码 值CLA 80hINS 1AhP1 密钥用途P2 密钥版本Lc 待处理数据的长度Data 待处理的数据Le 无表 33 INIT_FOR_ DESCRYPT 命令报文3) 命令报文数据域命令报文数据域包括待处理的输入数据。数据长度为 8 的整数倍，长度也可以为 0。密 钥类型取密钥用途的低 5 位，密 钥分散级 数取密钥用途的高 3 位。如待处理的输入数据包括多级的分散因子，按最后一次分散因子在前、最先深圳市迪文科技有限公司深圳市迪文科技有限
8、公司一次分散因子在后的顺序输入。4) 响应报文数据域响应报文数据域不存在。5通用 DES 计算（DES Crypt）1) 定义和范围DES CRYPT 命令利用指定的密钥来进行运算。若一条命令无法传输所有的待处理数据，可分几条命令输入。加密计算采用 ECB 模式，数据的填充在卡片外面进行，卡片只支持长度为 8 的整数倍数据的加密。MAC 计算遵循中国金融集成电路（IC）卡规范，数据的填充在卡片外面进行，卡片只支持长度为 8 的整数倍数据的 MAC 计 算。DES CRYPT 命 令 必 须 在 INIT_FOR_ DESCRYPT 命令成功执行后才能进行。卡片状态在执行无后 续块计算后，复原
9、为通用 DES 计算初始化执行前的状态。2) 命令报文DES CRYPT 命令报文 见表 33。代码 值CLA 80hINS FahP1 见表 34P2 00hLc 要加密的数据长度深圳市迪文科技有限公司深圳市迪文科技有限公司Data 要加密的数据Le 不存在表 33 DES CRYPT 命令报文b8 b7 b6 b5 b4 b3 b2 b1 含义X 计算模式0，加密1，MAC 计算X 后续块0，无后续块1，有后续块X 初始值（仅对 MAC 计算有效）0，无初始值1，有初始值表 34 DES CRYPT 命令引用控制参数P1 值计算模式如下：0，无后续块加密1，最后一块 MAC 计 算2，有后
10、续块加密3，下一块 MAC 计算5，唯一一块 MAC 计 算7，第一块 MAC 计算其他，保留深圳市迪文科技有限公司深圳市迪文科技有限公司3) 命令报文数据域命令报文数据域包括要加密的数据。加密数据的长度为 8 的整数倍。在 P1的 b3 位为 1 时，待处理数据的前 8 个字节为 MAC 计算的初始值。4) 响应报文数据域在 P1 的 b1 位 为 0 时，响应报文数据域包括加密结果，数据长度是 8 的整数倍。在 P1 的 b1 位 为 1，且 P1 的 b2 位为 0 时，响应报文数据域包括 4 字节的MAC。6应用解锁（Application Unblock）1) 定义和范围APPLIC
11、ATION UNBLOCK 命令用于恢复当前应用。当命令成功完成后，对应用访问的限制将被取消，利用消费密钥校验 MAC2 的错误计数器将被重置。如果应用解锁连续失败三次，卡将永久锁定此应用。在 APPLICATION UNBLOCK 命令执行前必须执行 GET CHANLLENGE命令取得 4 字节的随机数。2) 命令报文APPLICATION UNBLOCK 命令报文见表 3 5。代码 值CLA 84hINS 18hP1 00P2 00Lc 数据字节数深圳市迪文科技有限公司深圳市迪文科技有限公司Data 报文鉴别代码数据元Le 不存在表 35 APPLICATION UNBLOCK 命令报文
12、3) 命令报文数据域命令报文数据域包括报文鉴别代码，由应用维护密钥对以下数据（按所列顺序）进行 MAC 计算而得到的：CLAINSP1P2LcMAC 计算的方式参见中国金融集成电路（IC）卡规范。4) 响应报文数据域响应报文数据域不存在。7MAC1 计算（INIT_SAM_FOR_PURCHASE）1) 定义和范围INIT_SAM_FOR_PURCHASE 命令可支持多级消费密钥分散机制，产生中国金融集成电路（IC）卡规范中定义的 MAC1。根据银行 IC 卡试点技术方案，可以利用试点城市标识、成员 行标识、卡片 应用序列号、随机数和交易信息得到 过程密钥， 进而加密得到 MAC。PSAM 卡
13、产生脱机交易流程中 MAC1 的过程如下所示： PSAM 在其内部用 GMPK（全国消费主密钥）对试点城市标识分散，得到二级消费主密钥 BMPK；深圳市迪文科技有限公司深圳市迪文科技有限公司 PSAM 在其内部用 BMPK 对成员行标识分散，得到成员行消费主密钥MPK； PSAM 在其内部用 MPK 对卡片应用序列号分散，得到卡片消费子密钥DPK； PSAM 在其内部用 DPK 对卡片传来的伪随机数、脱机交易序号、终端交易序号加密，得到过程密钥 SESPK，作为临时密钥存放在卡中； PSAM 在其内部用 SESPK 对交易金额、交易类型标识、终端机编号、交易日期（终端）和交易时间（终端）加密得
14、到 MAC1，将 MAC1 传送出去。在此过程中，所有的中间结果只保留在卡片内部，外界无法得到。只有 进行本命令后，才允许进行 MAC2 校验的命令。参与处理的终端机编号和终端交易序号由卡片操作系统从卡片中取得。INIT_SAM_FOR_PURCHASE 命令可支持多级消费密钥分散机制，消费密钥的分散过程由 Lc 和消费 密钥共同确定，如果二者不一致，则返回错误信息。2) 命令报文INIT_SAM_FOR_PURCHASE 命令报文见表 36。代码 值CLA 80hINS 70hP1 00hP2 00hLc 14h8N （N1，2，3）Data 要处理的数据Le 08表 36 INIT_SAM
15、_FOR_PURCHASE 命令报文深圳市迪文科技有限公司深圳市迪文科技有限公司3) 命令报文数据域命令报文数据域包括的数据以下列顺序排列： 用户卡随机数，4 字节 用户卡交易序号，2 字节 交易金额，4 字节 交易类型标识，1 字节 交易日期（终端），4 字节 交易时间（终端），3 字节 消费密钥版本号，1 字节 消费密钥算法标识，1 字节 用户卡应用序列号，8 字节 成员银行标识，8 字节 试点城市标识，8 字节4) 响应报文数据域响应报文数据域包括以下数据（按顺序返回）：4 字节的终端脱机交易序号4 字节的 MAC1深圳市迪文科技有限公司深圳市迪文科技有限公司8 校验 MAC2（CREDIT_SAM_FOR_PURCHASE）1) 定义和范围CREDIT_SAM_FOR_PURCHASE 命令利用 INIT_SAM_FOR_PURCHASE命令产生的过程密钥 SESPKP 校验 MAC2，过程如下所示： 检查 MAC2 尝试计数器，如 MAC2 未被锁定，PSAM 在其内部用SESPK 对交易金 额加密得到 MAC2，与命令报文中的数据进行比较； 若命令执行成功，PSAM 卡将应用中的终端脱机消费交易序号加 1； 如命令执行不成功，PSAM 卡将 MAC2 尝试计 数器减 1，并
