GB/T 21078.1-2007銀行業(yè)務個人識別碼的管理與安全第1部分：ATM和POS系統(tǒng)中聯(lián)機PIN處理的基本原則和要求

犐犆犛３５．２４０．４０

犃１１

中華人民共和國國家標準

犌犅／犜２１０７８．１—２００７

銀行業(yè)務個人識別碼的管理與安全

第１部分：犃犜犕和犘犗犛系統(tǒng)中聯(lián)機犘犐犖

處理的基本原則和要求

犅犪狀犽犻狀犵—犘犲狉狊狅狀犪犾犐犱犲狀狋犻犳犻犮犪狋犻狅狀犖狌犿犫犲狉犿犪狀犪犵犲犿犲狀狋犪狀犱狊犲犮狌狉犻狋狔—

犘犪狉狋１：犅犪狊犻犮狆狉犻狀犮犻狆犾犲狊犪狀犱狉犲狇狌犻狉犲犿犲狀狋狊犳狅狉狅狀犾犻狀犲犘犐犖犺犪狀犱犾犻狀犵

犻狀犃犜犕犪狀犱犘犗犛狊狔狊狋犲犿狊

（ＩＳＯ９５６４１：２００２，ＭＯＤ）

２００７０９０５發(fā)布２００７１２０１實施

中華人民共和國國家質(zhì)量監(jiān)督檢驗檢疫總局

發(fā)布

中國國家標準化管理委員會

書

犌犅／犜２１０７８．１—２００７

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅲ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４ＰＩＮ管理的基本原則!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５ＰＩＮ輸入設備!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

６ＰＩＮ的安全問題!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

７與賬戶相關的ＰＩＮ功能的管理／保護技術!!!!!!!!!!!!!!!!!!!!!!!７

８交易相關ＰＩＮ的管理／保護技術!!!!!!!!!!!!!!!!!!!!!!!!!!!９

附錄Ａ（資料性附錄）密鑰管理的一般原則!!!!!!!!!!!!!!!!!!!!!!!１３

附錄Ｂ（資料性附錄）ＰＩＮ驗證技術!!!!!!!!!!!!!!!!!!!!!!!!!!１５

附錄Ｃ（資料性附錄）用于聯(lián)機ＰＩＮ加密的ＰＩＮ輸入設備!!!!!!!!!!!!!!!!１６

附錄Ｄ（資料性附錄）偽隨機ＰＩＮ生成例子!!!!!!!!!!!!!!!!!!!!!!１８

附錄Ｅ（資料性附錄）設計ＰＩＮ輸入設備的設計指南!!!!!!!!!!!!!!!!!!!１９

附錄Ｆ（資料性附錄）敏感數(shù)據(jù)的清除和銷毀程序指南!!!!!!!!!!!!!!!!!!２２

附錄Ｇ（資料性附錄）提供給客戶的信息!!!!!!!!!!!!!!!!!!!!!!!!２４

Ⅰ

書

犌犅／犜２１０７８．１—２００７

前言

ＧＢ／Ｔ２１０７８《銀行業(yè)務個人識別碼的管理與安全》分為三個部分：

———第１部分：ＡＴＭ和ＰＯＳ系統(tǒng)中聯(lián)機ＰＩＮ處理的基本原則和要求；

———第２部分：ＡＴＭ和ＰＯＳ系統(tǒng)中脫機ＰＩＮ處理要求；

———第３部分：開放網(wǎng)絡中ＰＩＮ處理指南。

本部分為ＧＢ／Ｔ２１０７８的第１部分。

本部分修改采用ＩＳＯ９５６４１：２００２《銀行業(yè)務個人識別碼的管理和安全第１部分：ＡＴＭ和

ＰＯＳ系統(tǒng)中聯(lián)機ＰＩＮ處理的基本原則和要求》（英文版）。

為便于使用，本部分刪除了ＩＳＯ前言。

針對我國金融業(yè)務密碼算法的實際使用情況，刪除了原國際標準第９章加密算法的核準程序。

本部分的附錄Ａ到附錄Ｇ均為資料性附錄。

本部分由中國人民銀行提出。

本部分由全國金融標準化技術委員會歸口。

本部分負責起草單位：中國金融電子化公司。

本部分參加起草單位：中國人民銀行、中國銀行、中國建設銀行、中國銀聯(lián)股份有限公司、中國光大

銀行、北京啟明星辰公司。

本部分主要起草人：譚國安、楊、陸書春、李曙光、劉運、杜寧、劉志軍、張艷、張德棟、戴宏、張曉東、

馬云、李紅建、王威、王沁、孫衛(wèi)東、李春歡。

本部分為首次制定。

Ⅲ

犌犅／犜２１０７８．１—２００７

銀行業(yè)務個人識別碼的管理與安全

第１部分：犃犜犕和犘犗犛系統(tǒng)中聯(lián)機犘犐犖

處理的基本原則和要求

１范圍

本部分規(guī)定了為有效的ＰＩＮ管理提供所需要的最小安全措施的基本原則和技術。這些措施適用

于那些負責實施ＰＩＮ管理和保護技術的機構。

本部分也規(guī)定了聯(lián)機環(huán)境中金融交易卡所應用的ＰＩＮ保護技術和ＰＩＮ數(shù)據(jù)交換的標準方法。這

些技術適用于那些負責實施ＡＴＭ和ＰＯＳ終端中ＰＩＮ管理和保護技術的機構。

本部分的條款沒有包括：

ａ）脫機ＰＩＮ環(huán)境中的ＰＩＮ管理和安全，ＩＳＯ９５６４３：２００３中包含該項內(nèi)容；

ｂ）電子商務環(huán)境中的ＰＩＮ管理和安全，ＩＳＯ９５６４后續(xù)部分將會包含該項內(nèi)容；

ｃ）防止顧客或者發(fā)卡行授權的員工丟失或者故意誤用ＰＩＮ；

ｄ）非ＰＩＮ交易數(shù)據(jù)的保密性；

ｅ）交易報文的保護，防止修改或替換。如對ＰＩＮ驗證的授權響應；

ｆ）防止ＰＩＮ或交易的重放；

ｇ）特定密鑰管理技術。

２規(guī)范性引用文件

下列文件中的條款通過ＧＢ／Ｔ２１０７８的本部分的引用而成為本部分的條款。凡是注日期的引用文

件，其隨后所有的修改單（不包括勘誤的內(nèi)容）或修訂版均不適用于本部分，然而，鼓勵根據(jù)本部分達成

協(xié)議的各方研究是否可使用這些文件的最新版本。凡是不注日期的引