SJL05金融數(shù)據(jù)加密機(jī)技術(shù)白皮書new

1、WestoneSJL05金融數(shù)據(jù)加密機(jī) 技術(shù)白皮書Westone Host Security Module Serial White PaperVersion 4.0Westone成都衛(wèi)士通信息產(chǎn)業(yè)股份有限公司Chengdu Westone Information Industry Inc.1SJL05_HSM技術(shù)白皮書目錄1 技術(shù)背景12 產(chǎn)品概述12.1 產(chǎn)品簡介122產(chǎn)品功能 22.3 技術(shù)指標(biāo)32.3.1 密碼體制32.3.2 工作方式 32.3.3 接口協(xié)議32.3.4 穩(wěn)定性指標(biāo) 42.3.5 處理能力42.3.6 工作環(huán)境43 技術(shù)特點(diǎn)53.1 安全性53.2 兼容性53.3 標(biāo)

2、準(zhǔn)性53.4 成熟性63.5 穩(wěn)定性64 典型應(yīng)用64.1 在有中心模式中的應(yīng)用 64.2 在無中心模式中的應(yīng)用 84.3 在大集中系統(tǒng)中的應(yīng)用 94.4 在手機(jī)移動(dòng)銀行中的應(yīng)用 94.5 替換RACAL加密機(jī) 104.6 與 VISA、MASTER 互連104.7 其它應(yīng)用105 成功案例11成都衛(wèi)士通信息產(chǎn)業(yè)股份有限公司-ii -SJL05_HSM技術(shù)白皮書1背景隨著社會(huì)信息化的發(fā)展， 我國銀行界的電子化工程正在經(jīng)歷著結(jié)構(gòu)，職能和性質(zhì)的轉(zhuǎn)化和飛躍，柜臺(tái)業(yè)務(wù)電子化和清算業(yè)務(wù)網(wǎng)絡(luò)化已初具規(guī)模，在與國際金融接軌方面和在加速資 金周轉(zhuǎn)和提高資金利用效率方面，都發(fā)揮了巨大的作用。其中，電子資金傳送系

3、統(tǒng)（EFT）更是國內(nèi)外金融界研究的熱門課題，也是全面實(shí)現(xiàn)金融電子化及“金卡”工程的關(guān)鍵技術(shù)。EFT要解決的關(guān)鍵問題就是金融系統(tǒng)的安全。以往銀行在這方面幾乎都是采取用軟件加密的方式，但其加密程度低，穩(wěn)定性差，極易受到攻擊。而且EFT和電子聯(lián)行，直接涉及到巨額資金的傳送，其風(fēng)險(xiǎn)性也是相當(dāng)大的，巨額資金的誘惑更增大了被攻擊的風(fēng)險(xiǎn)。因此,研制適合我國國情的金融數(shù)據(jù)加密機(jī)已迫在眉睫。1994年信息產(chǎn)業(yè)部電子第三十研究所在上海信用卡網(wǎng)絡(luò)公司的大力協(xié)助下，研制出了 國內(nèi)唯一專用于金卡工程的SJL05金融數(shù)據(jù)加密機(jī)，主要適用于銀行卡跨行支付交易的保密的ATM聯(lián)網(wǎng)信息系統(tǒng)，構(gòu)成金融卡實(shí)時(shí)消費(fèi)轉(zhuǎn)帳和銷售點(diǎn)信息管理

4、的保密POS聯(lián)網(wǎng)信息加密系統(tǒng)，金融IC卡消費(fèi)轉(zhuǎn)賬系統(tǒng)、社?？ò踩到y(tǒng)、公交卡安全系統(tǒng)等。SJL05金融數(shù)據(jù)加密機(jī)以其超前的技術(shù)，成功取代了國外同類產(chǎn)品（雷卡），每年為國家節(jié)約上億美金，同時(shí)也是國內(nèi)第一臺(tái)通過國家主管部門鑒定的主機(jī)加密機(jī)，第一臺(tái)通過國際VISA組織認(rèn)可的主機(jī)加密機(jī)。到2010年，金融數(shù)據(jù)加密機(jī)經(jīng)過不斷的創(chuàng)新，已經(jīng)開發(fā)出5代產(chǎn)品，可以滿足不同層次客戶的需求，其卓越的性能，先進(jìn)的技術(shù)，恒久的品質(zhì)業(yè)已被國家主管部門選為金融安全 領(lǐng)域的行業(yè)標(biāo)準(zhǔn)產(chǎn)品。目前，本產(chǎn)品已被全國2/3以上的銀行廣泛使用， 成為行業(yè)領(lǐng)導(dǎo)品牌。2產(chǎn)品概述2.1產(chǎn)品簡介SJL05金融數(shù)據(jù)加密機(jī)整機(jī)前視圖如下:SJL05

5、金融數(shù)據(jù)加塞機(jī)（國密證第：0009號(hào)）SJL05金融數(shù)據(jù)加密機(jī)是信息產(chǎn)業(yè)部電子第三十研究所研制的密碼產(chǎn)品，主要用于實(shí)現(xiàn)對主機(jī)應(yīng)用層數(shù)據(jù)加/解密、消息來源正確性驗(yàn)證、密鑰管理等。特別適用于各地銀行金融 信息系統(tǒng)，尤其可以對進(jìn)行跨行交易的ATM/POS聯(lián)網(wǎng)信息系統(tǒng)提供數(shù)據(jù)加密與安全保護(hù)。除此之外，它還可廣泛用于社保、公交、證券、商貿(mào)、郵電、稅收、保險(xiǎn)等計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng) 中，為計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)提供安全保密數(shù)據(jù)通信服務(wù)，防止網(wǎng)上的各種欺詐行為發(fā)生。該產(chǎn)品在國內(nèi)屬于首創(chuàng)，在整體技術(shù)上已達(dá)到或接近國外同類先進(jìn)產(chǎn)品，并率先在國內(nèi)通過由國家密碼管理委員會(huì)組織的專家鑒定（國密證第0009號(hào)）。鑒定委員會(huì)一致認(rèn)為：“

6、SJL05金融數(shù)據(jù)加密機(jī)設(shè)計(jì)合理，技術(shù)先進(jìn)，適用范圍廣，保護(hù)措施可靠，操作使用方便，技術(shù)資料齊 備，整體技術(shù)達(dá)到國內(nèi)先進(jìn)水平，填補(bǔ)了我國ATM/POS金融數(shù)據(jù)加密設(shè)備的空白，具有推廣應(yīng)用價(jià)值。”SJL05金融數(shù)據(jù)加密機(jī)成功地應(yīng)用于我國多個(gè)金卡交換中心、眾多商業(yè)銀行的清算系 統(tǒng)、大集中系統(tǒng)、外卡系統(tǒng)和多個(gè)城市的公交系統(tǒng)、社保系統(tǒng)，受到客戶高度贊譽(yù)。2.2產(chǎn)品功能SJL05金融數(shù)據(jù)加密機(jī)系列產(chǎn)品主要為金卡工程、城市一卡通、銀行卡業(yè)務(wù)、社?？I(yè) 務(wù)、公交卡業(yè)務(wù)等提供基于密碼技術(shù)的保護(hù)，具有以下功能：密鑰管理、密鑰產(chǎn)生、密鑰分發(fā)、密鑰分散；消息完整性保護(hù)（MAC的計(jì)算和驗(yàn)證）；個(gè)人PIN碼的保護(hù)（PI

7、NBLOCK的加密、轉(zhuǎn)換、驗(yàn)證）；CVV （卡效驗(yàn)值）、PVV （PIN效驗(yàn)值）計(jì)算; 交易正確性驗(yàn)證（TAC的計(jì)算和驗(yàn)證）;數(shù)據(jù)的加/解密；數(shù)字簽名和驗(yàn)證；摘要（SHA1、MD5 等）；滿足PBOC金融IC卡規(guī)范需求；2.3技術(shù)指標(biāo)2.3.1密碼體制完整的安全保密體系結(jié)構(gòu)；提供DES、3DES、Double-one-way算法和經(jīng)國家主管部門審定批準(zhǔn)的金融專用密碼算法；CBC加密方式同時(shí)實(shí)現(xiàn)保密性與完整性；完善的密鑰管理系統(tǒng)。2.3.2工作方式異步：2400-115200bps連續(xù)可調(diào); 同步：4800512000 bps 可調(diào)； Ethernet： 10M/100M 自適應(yīng)。2.3.3接口

8、協(xié)議V.24/RS232-C ；V.35/RS422 ；X.25、SNA/SDLC ；TCP/IP。234穩(wěn)定性指標(biāo)以ISO 9001認(rèn)證體系保證產(chǎn)品的質(zhì)量:系統(tǒng)平均無故障時(shí)間 MTBF 30000小時(shí)2.3.5處理能力DES算法加解密速率：240Mbps ；金融專用算法加解密速率：18Mbps ；400次/秒；6000次/秒;80次/秒；700次/秒。模長1024bits的RSA算法簽名速率：大于模長1024bits的RSA算法驗(yàn)證速率：大于模長2048bits的RSA算法簽名速率：大于模長2048bits的RSA算法驗(yàn)證速率：大于2.3.6工作環(huán)境工作溫度：0C50C；存貯溫度：40C55

9、 C;相對濕度：20%85%;電壓：220V -10% 50Hz _3%。3技術(shù)特點(diǎn)3.1安全性SJL05金融數(shù)據(jù)加密機(jī)在為上層應(yīng)用提供安全服務(wù)功能的同時(shí)，也充分考慮了自身的安全性設(shè)計(jì)。在物理方面，采用了物理鎖防拆、防撬設(shè)計(jì)；在密鑰管理方面，采用用戶訪問權(quán) 限控制（密鑰注入管理）以及密鑰在加密機(jī)外的分段備份存放安全機(jī)制，保證了加密機(jī)自身及密鑰的安全。3.2兼容性SJL05金融數(shù)據(jù)加密機(jī)系列支持Async、X.25、TCP/IP、SNA等通信接口協(xié)議，同時(shí)兼容RACAL 加密機(jī)的消息報(bào)文格式，提供支持 Sco Unix、AIX、HP-UNIX、Linux、Windows等操作系統(tǒng)平臺(tái)API。3.

10、3標(biāo)準(zhǔn)性SJL05金融數(shù)據(jù)加密機(jī)支持以下標(biāo)準(zhǔn)：ANSI X3.92數(shù)據(jù)加密算法；ANSI X9.9信息鑒別；ANSI X9.8PIN的管理與安全；ANSI X9.17密鑰管理；ANSI X9.19零售金融信息的鑒別；多種ATM機(jī)用戶密碼格式；中國人民銀行金融IC卡規(guī)范；VISA及MASTER對硬件加密機(jī)的相關(guān)需求。3.4成熟性SJL05金融數(shù)據(jù)加密機(jī)經(jīng)過不斷的完善與技術(shù)創(chuàng)新，已開發(fā)出了 3代產(chǎn)品，提供從高端到低端的系列化配置，可以根據(jù)用戶不同的應(yīng)用情況和業(yè)務(wù)處理能力需求，配置不同系列的金融數(shù)據(jù)加密機(jī)。3.5穩(wěn)定性SJL05金融數(shù)據(jù)加密機(jī)的生產(chǎn)嚴(yán)格按照IS09001質(zhì)量管理體系的流程生產(chǎn)、測試、

11、烤機(jī)、檢驗(yàn)，每一臺(tái)出廠的機(jī)器都經(jīng)過長達(dá)200小時(shí)以上的烤機(jī)和壓力測試。系統(tǒng)平均無故障時(shí)間大于30000小時(shí)。4典型應(yīng)用4.1在有中心模式中的應(yīng)用SJL05金融數(shù)據(jù)加密機(jī)在我國的金卡工程中發(fā)揮了重要作用，為銀行卡的跨行、 跨地區(qū)取款或消費(fèi)提供了可能。其典型配置如下：交換中心SJLQ5SJL05成員行四SJL05SJL05aATMPOSSJL05成員行一成員行二成員行二SJL05金融數(shù)據(jù)加密機(jī)金卡網(wǎng)絡(luò)中的配置在跨行交易中以個(gè)人身份號(hào)PIN在ATM/POS網(wǎng)絡(luò)的傳輸為例，個(gè)人身份號(hào)PIN從收卡行到交換中心再由交換中心到發(fā)卡行受校驗(yàn)流程大致如下：PIN在ATM/POS跨行交易的流程(1) 顧客輸入 私

12、人密碼其中:1) 顧客輸入私人密碼;2）傳送被ATM/POS加密的私人密碼;3）收卡行翻譯私人密碼；4）傳送被收卡行加密的私人密碼；5）交換中心轉(zhuǎn)換私人密碼；6）傳送被交換中心轉(zhuǎn)換后的私人密碼；7）發(fā)卡行校驗(yàn)私人密碼。4.2在無中心模式中的應(yīng)用在無金卡中心的城市，各商業(yè)銀行采用了無中心的模式來實(shí)現(xiàn)了銀行卡在POS上的聯(lián)網(wǎng)聯(lián)合。入網(wǎng)的 POS能夠接受各入網(wǎng)卡種， POS機(jī)根據(jù)用戶卡判斷出發(fā)卡銀行，按照發(fā)卡 銀行要求的信息格式進(jìn)行打包，將交易信息打包上送發(fā)卡銀行處理。其典型配置如下：SJL05JU-4Li_-u33=2 I. 前置用商業(yè)銀行-SJL05商業(yè)銀行五商業(yè)餛行啊商業(yè)很行二SJLOSSJL

13、05前過機(jī)商業(yè)銀行一一SJL05SJL05前置機(jī)SJL05金融數(shù)據(jù)加密機(jī)在無中心模式中的配置4.3在大集中系統(tǒng)中的應(yīng)用大集中系統(tǒng)是商業(yè)銀行全行統(tǒng)一規(guī)劃的一個(gè)系統(tǒng)。它是指各分行的卡信息和帳務(wù)信息統(tǒng)一由總行集中管理，各分行只起路由作用，所用的交易都上送到總行主機(jī)處理。SJL05金融數(shù)據(jù)加密機(jī)在其總行密鑰管理和交易系統(tǒng)以及分行密鑰管理和交易系統(tǒng)中起著重要作用。其 典型配置如下：總行主機(jī)SJL05總行城市前宣atm柜臺(tái)肖Si晝POS成都衛(wèi)士通信息產(chǎn)業(yè)股份有限公司-12 -SJL05金融數(shù)據(jù)加密機(jī)在大集中系統(tǒng)中的配置4.4在手機(jī)移動(dòng)銀行中的應(yīng)用手機(jī)移動(dòng)銀行是銀行的一項(xiàng)增值業(yè)務(wù)，它利用手機(jī)SIM卡具有的加

14、密功能和手機(jī)短信功能，通過手機(jī)就可實(shí)現(xiàn)個(gè)人帳務(wù)的查詢、轉(zhuǎn)賬、外幣買賣等銀行業(yè)務(wù)。而銀行端則采用硬件加密機(jī)來實(shí)現(xiàn)加解密和密鑰管理功能。其配置如下：SJL05SJL05金融數(shù)據(jù)加密機(jī)在手機(jī)移動(dòng)銀行中的配置4.5替換RACAL加密機(jī)由于歷史的原因，我國一些商業(yè)銀行采用了RACAL的硬件加密機(jī)。為了在不影響銀行上層應(yīng)用和交易的前提下，成功替換RACAL加密機(jī)，我們推出了兼容 RACAL加密機(jī)的SJL05金融數(shù)據(jù)加密機(jī)。它完全兼容RACAL加密機(jī)的密鑰管理方式、指令形式、報(bào)文消息格式，為銀行成功替換RACAL加密機(jī)提供了完美的解決方法，并且在招商銀行總行、昆明金卡、武漢中行、安徽中行、石家莊中行等銀行成

15、功實(shí)現(xiàn)。4.6 與 VISA、MASTER 互連隨著國民經(jīng)濟(jì)的全球化、國際化，銀行外卡業(yè)務(wù)的開通勢在必行，開通外卡業(yè)務(wù)通常涉及到與VISA和MASTER國際組織的互聯(lián)。 SJL05金融數(shù)據(jù)加密機(jī)支持 VISA和MASTER組織對硬件加密機(jī)的要求，在上海金卡中心與VISA、MASTER成功互聯(lián)，并得到 VISA和MASTER組織的認(rèn)可。同時(shí)，在農(nóng)行外卡受單系統(tǒng)中，SJL05金融數(shù)據(jù)加密機(jī)也成功實(shí)現(xiàn)與VISA、MASTER的互聯(lián)，經(jīng)過一段時(shí)間的運(yùn)行，系統(tǒng)穩(wěn)定，客戶反應(yīng)良好。4.7其它應(yīng)用SJL05金融數(shù)據(jù)加密機(jī)除了在銀行卡（磁條卡/金融IC卡）以及上述業(yè)務(wù)應(yīng)用中發(fā)揮重要作用外，還在部分大城市的城市一卡通系統(tǒng)、公交卡系統(tǒng)、社?？ㄏ到y(tǒng)、加油卡系統(tǒng)等業(yè) 務(wù)系統(tǒng)中得到成功應(yīng)用。5成功案例成都衛(wèi)士通公司作為全國唯一 7家“雙定點(diǎn)”（定點(diǎn)研制，定點(diǎn)生產(chǎn)）單位之一，集眾多專家的智慧，多年來一直致力于研究金融系統(tǒng)安全研究，并根據(jù)客戶自身