银行卡联网联合技术规范V21(跨境卷) 第4部分 数据安全传输控制规范

上传人:我** 文档编号:113649737 上传时间:2019-11-09 格式:DOC 页数:29 大小:822.50KB
返回 下载 相关 举报
银行卡联网联合技术规范V21(跨境卷) 第4部分 数据安全传输控制规范_第1页
第1页 / 共29页
银行卡联网联合技术规范V21(跨境卷) 第4部分 数据安全传输控制规范_第2页
第2页 / 共29页
银行卡联网联合技术规范V21(跨境卷) 第4部分 数据安全传输控制规范_第3页
第3页 / 共29页
银行卡联网联合技术规范V21(跨境卷) 第4部分 数据安全传输控制规范_第4页
第4页 / 共29页
银行卡联网联合技术规范V21(跨境卷) 第4部分 数据安全传输控制规范_第5页
第5页 / 共29页
点击查看更多>>
资源描述

《银行卡联网联合技术规范V21(跨境卷) 第4部分 数据安全传输控制规范》由会员分享,可在线阅读,更多相关《银行卡联网联合技术规范V21(跨境卷) 第4部分 数据安全传输控制规范(29页珍藏版)》请在金锄头文库上搜索。

1、Q/CUP 0012004中国银联股份有限公司 发布2010-12-31实施2010-12-08发布银行卡联网联合技术规范V2.1(跨境卷)第4部分 数据安全传输控制规范Technical Specifications on Bankcard Interoperability V2.1Part 4 Specification on Data Secure Transmission ControlQ/CUP 006.42010代替Q/CUP 006.4-2005Q/CUP中国银联股份有限公司企业标准1Q/CUP 006.42010目 次前 言III1 范围42 规范性引用文件43 术语和定义43

2、.14PIN; personal identification number43.24PIN block43.34MAC; message authentication code43.44MMK; member master key43.54MAK; MAC key43.64PIK; PIN key43.74数据密钥 data key43.84HSM; hardware and security module54 密钥管理与控制54.1 安全管理基本要求54.2 各层次密钥简介64.3 密钥的产生64.4 密钥的分发74.5 密钥的存储74.6 密钥的销毁75 数据的加密处理75.1 PIN的

3、加密和解密75.2 联机报文MAC的计算方法105.3 顺序文件MAC的计算方法135.4 互联网支付密码的加密和解密135.5 流传输方式中文件内容的加密和解密146 重置密钥156.1 入网机构发起的申请重置密钥156.2 CUPS发起的重置密钥186.3 新旧密钥的切换处理(同步)217 PBOC借/贷记标准IC卡安全说明227.1 PBOC借/贷记标准IC卡的安全认证功能227.2 ARQC的生成算法22参考文献254前 言本规范的目的:本规范对中国银联跨行交易网络中安全传输数据信息应达到的要求做了规定。包括数据传输安全要求、密钥管理方法和加密方法。使用对象:本规范的使用对象为中国银联

4、及其入网机构的员工。时区描述:中国银联在上海、北京、香港以及深圳分别建有运营中心。如无特殊说明,本规范中的时间专指北京时间。格林威治时间(UTC)是世界上的基准计时方式。北京时间相比UTC时间,提前8个小时。北京时间没有夏令时的安排。除非特殊说明,本规范中的Day是日历日期,Business Day特指入网处理机构所在地的法定工作日期。协定内容:中国银联将根据所实施的升级改造以及所需要的更正定期对该规范进行修订并发布。必要时,部分的修订及补充内容将通过运营公告(Operation Bulletin)的形式对外发布。支持联系:有关问题,请联系以下中国银联服务团队:有关本规范:传真:8621-50

5、362339 电子邮件:publications_有关技术问题: 传真:8621-50362339 电子邮件:support_本标准主要起草人:徐静雯、赵伟、蒋慧科、杜秉一。银行卡联网联合技术规范V2.10第4部分 数据安全传输控制规范1 范围本标准对中国银联跨行交易网络中安全传输数据信息应达到的要求做了规定,包括数据传输安全要求、密钥管理方法和加密方法。2 规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件,其随后所有的修改单(不包括勘误的内容)或修订版均不适用于本标准,然而,鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用

6、文件,其最新版本适用于本标准。GB/T 2260中华人民共和国行政区划代码GB/T 2659-94世界各国和地区名称代码GB/T 4754-94国民经济行业分类与代码GB/T 12406-94表示货币和资金的代码GB 13497-92全国清算中心代码GB/T 15150-94产生报文的银行卡-交换报文规范-金融交易内容(ISO8583-1987)JR/T 0025-2005中国金融集成电路(IC)卡规范全国银行卡办公室:银行卡联网联合技术规范V1.0 2001.1全国银行卡办公室:银行卡联网联合业务规范 2001.1银联卡业务运作规章第二卷业务规则EMV2000 Integrated Circ

7、uit Card Specification for Payment Systems:Book1Book43 术语和定义3.1PIN; personal identification number即个人密码,是在联机交易中识别持卡人身份合法性的数据信息,在计算机和网络系统中任何环节都不允许PIN以明文的方式出现。3.2PIN blockPIN 格式块。3.3MAC; message authentication code报文鉴别码,是消息来源正确性鉴别的数据。3.4MMK; member master key成员主密钥。指在银行卡安全体系中,分配给成员机构的密钥加密密钥,用于加密下一层密钥,受

8、主密钥(MK)加密保护。3.5MAK; MAC key用于生成交易报文合法性验证数据(MAC)的密钥。3.6PIK; PIN key用于加密PIN的密钥。3.7数据密钥 data key指加密PIN和计算MAC的密钥,包括MAC密钥(MAK)和PIN密钥(PIK),也称为工作密钥。3.8HSM; hardware and security module硬件加密机,对传输的数据进行加密的外围硬件设备,用于PIN的加密和解密、验证报文和文件来源的正确性以及存储密钥。4 密钥管理与控制4.1 安全管理基本要求入网机构必须满足银联信息交换网络对数据安全传输控制方面的要求。入网机构在与银联联网的接口建设

9、中必须提供严格的系统安全保密机制,保障银联银行卡信息处理系统安全、稳定、可靠地运行,包括信息的存取控制、应用系统操作的安全、物理实体(机房、设备、通信网络、记录媒体等)的安全和安全管理制度等方面。4.1.1 管理制度的基本要求整个银行卡网络的数据安全保密,不仅仅需要技术上的支持,更需要在业务上制定和贯彻各机构间严格的密钥管理制度。基本要求是:a) 采用安全可靠并且在银行卡交换系统中普遍采用的加密算法。b) 密钥的存贮和交易信息的加密解密在硬件加密设备中进行。c) 遵循金融业数据安全保密的国家标准和国际标准。d) 加强对人员的管理要求。e) 定期更换密钥。4.1.2 数据传输安全控制的基本要求数

10、据传输安全控制要求包括以下五个方面:a) 密钥管理机制:在技术上实施严格和可靠的密钥分配过程。b) 个人标识码(PIN)的加密及转换机制:不允许 PIN 的明码在通信线路上和人工可操作的存储媒体上出现。c) 对交易报文作来源正确性鉴别的机制(MAC)。d) 所有入网机构采用硬件加密装置。e) 点对点的数据加解密网络机制。4.1.3 硬件加密机的基本要求硬件加密机的主要功能是对PIN加密和解密、验证报文来源的正确性以及存储密钥。所有这些操作都在硬件加密机中完成,以保证密钥和PIN的明码只出现在加密机中,防止泄露。硬件加密机应通过国家商用密码委员会的安全认证(境内)或机构所在国家/地区的相关安全认

11、证(境外)并被允许在金融机构中使用。此外还必须满足以下要求:a) 支持单倍长(B64,在单倍长密钥算法中使用)和双倍长(B128,在双倍长密钥算法中使用)的密钥。b) 支持本文中对PIN的规定,验证、转换PIN的密文。c) 支持本文中对MAC的规定,验证和产生MAC。d) 能对密钥作验证。e) 受到非法攻击时,加密机内部保护的密钥自动销毁。CUPS与入网机构主机均要求配置硬件加密机并对传输的数据进行加密。CUPS与入网机构之间的数据加密和解密以单倍长密钥算法为基础。4.1.4 数据加密传输环境的基本要求报文数据由入网机构进入CUPS前应已被加密。入网机构从CUPS中得到的报文数据也是加密数据。

12、图1 数据加密传输环境网络中CUPS的加密机与各入网机构加密机组成了一个点对点的数据加解密网络。CUPS与各联网入网机构分别约定数据密钥。4.2 各层次密钥简介在数据安全保密、传输机制中,密钥是关键数据。CUPS系统与每个入网机构之间约定的各层密钥都要求具有唯一性。各层密钥的结构、生成方法、加密解密对象、存储地点、长度、被保护方式等如下表所示:表1 各层密钥表序号密钥名缩写层原始生成方法加密解密对象存储地点长度保护方式1主密钥MK1人工输入成员主密钥硬件加密机机外分段分人保管192bit硬件设备保护2成员主密钥MMK2人工输入数据密钥硬件加密机和主机128bit/192bit从硬件加密机输出时

13、用主密钥加密3数据密钥(例如,PIN密钥和MAC密钥)PIK3硬件加密机产生PIN主机64bit/128bit用成员主密钥加密4MAC密钥MAK3硬件加密机产生MAC计算主机64bit/128bit用成员主密钥加密主密钥和成员主密钥的生成方法及输入过程应由相关的安全管理制度规定。4.3 密钥的产生表2 密钥的产生序号密钥名产生1主密钥人工产生2成员主密钥CUPS与入网机构各产生一半,在硬件设备中合成3PIN密钥由硬件设备随机数发生器产生,并须经密钥有效性检查4MAC密钥由硬件设备随机数发生器产生,并须经密钥有效性检查4.3.1 数据密钥的产生PIK与MAK统称为数据密钥,由硬件加密机中的随机发

14、生器产生。密钥产生后,硬件加密机将检查密钥的有效性。弱密钥和半弱密钥将被剔除。CUPS的加密机产生数据密钥,入网机构接收和储存CUPS发来的数据密钥。当CUPS认为需要时,可以主动向入网机构发起重置密钥报文。当入网机构需要新密钥的时侯,必须向CUPS发出申请重置密钥重置申请报文。4.3.2 成员主密钥(MMK)的产生MMK由CUPS和入网机构各自产生一部分,分别输入到双方的加密机中合成MMK。也可由双方商定MMK的产生办法。4.3.3 主密钥的产生主密钥用人工方式输入。主密钥由三部分构成,分别由三个人掌管。为了保证输入的正确性,每一部分的密钥必须输入两次,且两次输入必须一致,否则输入失败。在三个人分别输入三部分密钥后,加密机作奇偶校验检查。奇偶校验正确时,加密机产生主密钥。主密钥必须储存在硬件加密机中,受硬件设备的保护。一旦硬件加密机受到非授权的操作,主密钥会自动销毁。4.4 密钥的分发表3 密钥的分发序号密钥名密钥的分发1主密钥自主生成,不须分发2成员主密钥用IC卡

展开阅读全文
相关资源
正为您匹配相似的精品文档
相关搜索

最新文档


当前位置:首页 > 高等教育 > 大学课件

电脑版 |金锄头文库版权所有
经营许可证:蜀ICP备13022795号 | 川公网安备 51140202000112号