加密機(jī)主密鑰成員主密鑰更換2

本文格式為Word版，下載可任意編輯——加密機(jī)主密鑰，成員主密鑰更換2一.加密機(jī)密鑰體系

密鑰是一種參數(shù)，它是在明文轉(zhuǎn)換為密文或?qū)⒚芪霓D(zhuǎn)換為明文的算法中輸入的參數(shù)。UP網(wǎng)絡(luò)的密鑰根據(jù)實(shí)際使用狀況劃分成三層，三層密鑰體系根據(jù)密鑰的使用對(duì)象而形成，上層對(duì)下層提供保護(hù)和一定的維護(hù)功能，不同層的密鑰不許一致，不能相互共享。

同一密鑰只能用于其生成時(shí)所定義的目的，不能用于其他用途；

不同的UP卡網(wǎng)絡(luò)參與方、不同的地區(qū)、不同的終端設(shè)備不得使用一致的密鑰，必需確保密鑰的唯一性。第一層密鑰（MK）

加密機(jī)主密鑰，即本地主密鑰，是最重要的密鑰，用于加、解密本地存放的其他密鑰數(shù)據(jù)。MK長(zhǎng)度規(guī)定為128bit或以上，在硬件加密機(jī)以外的地方保管時(shí)必需采取嚴(yán)格的安全保管措施。MK一般不更換。其次層密鑰（MMK）

加密機(jī)主密鑰的下一層為成員主密鑰（MMK）[或終端主密鑰（TMK）]，作用是加、解密需傳遞的工作密鑰，實(shí)現(xiàn)工作密鑰的聯(lián)機(jī)實(shí)時(shí)傳輸或其他形式的異地傳輸。成員主密鑰在硬件加密機(jī)以外的系統(tǒng)中存放和使用時(shí)，處于本地MK的保護(hù)之下。兩組不同的UP卡網(wǎng)絡(luò)參與方之間不得使用一致的成員主密鑰。一般狀況下，MMK最長(zhǎng)2－3年更換一次。第三層密鑰（PIK、MAK、TPK、TMK）

工作密鑰為最底層的密鑰，包括UP卡網(wǎng)絡(luò)參與方之間使用的成員信息完整性密鑰（MAK）和成員PIN保護(hù)密鑰（PIK）、終端到UP卡網(wǎng)絡(luò)參與方之間使用的終端信息完整性密鑰（TAK）和終端PIN保護(hù)密鑰（TPK）等，用于加密各種數(shù)據(jù)，保證數(shù)據(jù)的保密性、完整性、真實(shí)性。第三層密鑰一般稱(chēng)為工作密鑰（也稱(chēng)數(shù)據(jù)密鑰），是使用最頻繁的密鑰，在本地存放時(shí)，受相應(yīng)的MK、成員主密鑰或終端主密鑰的保護(hù)。在UP卡網(wǎng)絡(luò)參與方之間進(jìn)行傳輸時(shí)受成員主密鑰的保護(hù)，在終端與UP卡網(wǎng)絡(luò)參與方主機(jī)之間傳輸時(shí)受終端主密鑰的保護(hù)。工作密鑰采用定期（原則上每天更換一次），或人工觸發(fā)方式，或按每隔一定交易筆數(shù)申請(qǐng)更換。

加密機(jī)主密鑰，即為本地主密鑰，是指存儲(chǔ)在加密機(jī)中，用于保護(hù)存儲(chǔ)在加密機(jī)外的各種密鑰和關(guān)鍵數(shù)據(jù)的密鑰加密密鑰，是所有密鑰的根。MMK，PIK等密鑰，都是基于LMK保護(hù)存儲(chǔ)在外部的。

二.導(dǎo)入加密機(jī)主密鑰（加密機(jī)內(nèi)有密鑰時(shí)需獲取超級(jí)權(quán)限）

1.SHJ0902終端連接

連接方法：用連接線(xiàn)纜連接PC機(jī)的串口和密碼機(jī)的COM1端口。測(cè)試過(guò)程中用PC機(jī)上Windows自帶的“超級(jí)終端〞軟件。在Windows桌面環(huán)境下依次點(diǎn)擊：開(kāi)始?所有程序?附件?通信?超級(jí)終端，運(yùn)行“超級(jí)終端〞。超級(jí)終端設(shè)置：9600bps、8位數(shù)據(jù)位、1位中止位、無(wú)奇偶校驗(yàn)位?；蛘呤褂肧ecureCRT軟件，flowcontrol：RTS/CTS；Pc機(jī)用usb接口時(shí)，首先串口轉(zhuǎn)USB數(shù)據(jù)線(xiàn)插在電腦上并安裝完驅(qū)動(dòng)；然后我的電腦——》右鍵——》管理——》設(shè)備管理器——》端口——》查看是COM？口是多少

連接成功后會(huì)出現(xiàn)serial-com對(duì)話(huà)框，然后按回車(chē)鍵，出現(xiàn)如下命令行。HSM>

2.格式化三張管理員卡

在制作權(quán)限卡之前，必需將3張IC卡格式化，格式化終端命令fc，例如如下：HSM-AUTH3>fc

InsertthecardandpressENTER!

Somethinginthecard,Continue?[Y/N]:YCardpin:******//卡PIN可以是6-16RetypeCardpin:******

Enterdate[YYMMDD]:111111//日期填寫(xiě)格式卡的日期Entertime[HHMMSS]:111111

EnterIssuerID:0001//超級(jí)用戶(hù)卡3張（0001-0003），管理卡2張（0004-0005），工作卡（0006）

EnterUserID:0001Formatsuccess!

Continue?[Y/N]:Y

InsertthecardandpressENTER!

Somethinginthecard,Continue?[Y/N]:YCardpin:******

RetypeCardpin:******

Enterdate[YYMMDD]:222222Entertime[HHMMSS]:222222EnterIssuerID:0002EnterUserID:0002Formatsuccess!

Continue?[Y/N]:Y

InsertthecardandpressENTER!

Somethinginthecard,Continue?[Y/N]:YCardpin:******

RetypeCardpin:******

Enterdate[YYMMDD]:333333Entertime[HHMMSS]:333333EnterIssuerID:0003

EnterUserID:0003Formatsuccess!

Continue?[Y/N]:NHSM-AUTH3>

在格式化的過(guò)程中，對(duì)IC卡設(shè)置了密碼，這個(gè)密碼卡片持有人必需記住，由于在后面制作權(quán)限卡的時(shí)候會(huì)要求輸入卡密碼。

3.制作超級(jí)管理員卡

制作超級(jí)管理員權(quán)限卡其實(shí)也就是制作加密機(jī)主密鑰的一個(gè)過(guò)程，在執(zhí)行mksuper命令后，加密機(jī)遇提醒輸入3個(gè)明文分量，每個(gè)明文分量都是48位16進(jìn)制數(shù)。三個(gè)分量會(huì)分別存儲(chǔ)在三張IC里面，做好密鑰備份工作。HSM-AUTH3>MK

Rmkcomponent1:************************************************

RetypeRmkcomponent1:************************************************Rmkcomponent2:************************************************

RetypeRmkcomponent2:************************************************Rmkcomponent3:************************************************

RetypeRmkcomponent3:************************************************Insertthesupercard1andpressENTER...Card1PIN:******

component1checkvalue:5C23A87A84D88BE2Makethesupercard1success!

Insertthesupercard2andpressENTER!Card2PIN:******

component2checkvalue:6589C968EED5A45DMakethesupercard2success!

Insertthesupercard3andpressENTER!Card3PIN:******

component3checkvalue:697D77C07386F38FMakethesupercard3success!

注：這一步只是制作管理卡并把密鑰成分存入在卡里，沒(méi)有存入加密機(jī)。加密機(jī)存儲(chǔ)主密鑰需要用loadmk命令從三張超級(jí)管理員卡導(dǎo)入完成。加密機(jī)遇提醒按順序插入三張超級(jí)管理員卡，因此在制作超級(jí)管理員卡的時(shí)候必需記住IC卡的次序。

4.將主密鑰從三張超級(jí)管理員卡中導(dǎo)入到機(jī)密機(jī)

上面一步只是隨機(jī)生成了三個(gè)主密鑰明文分量并保存在三張超級(jí)權(quán)限卡中，但是未保存到密碼機(jī)中，此時(shí)需要將保存在三張超級(jí)權(quán)限卡中的密鑰加載到密碼機(jī)中。保存的同時(shí)，會(huì)提醒輸入加密機(jī)口令，這個(gè)口令務(wù)必記牢，在沒(méi)有IC卡的狀況下，可以通過(guò)這個(gè)口令對(duì)加密機(jī)做授權(quán)操作。

主密鑰的加載方式是：在PC的超級(jí)終端執(zhí)行LOADMK命令，然后按提醒插入超級(jí)管理員卡和輸入密鑰HSM-AUTH3>loadmk

Insertthesupercard1andentercard1Pin:********

NewHsmPassword1:********

RetypeNewHsmPassword1:********HsmPassword1SetOk!

component1checkvalue:B57CD5439B889080

Insertthesupercard2andentercard2Pin:********NewHsmPassword2:********

RetypeNewHsmPassword2:********HsmPassword2SetOk!

component2checkvalue:73F0BEC37FA9484B

Insertthesupercard3andentercard3Pin:********NewHsmPassword3:********

RetypeNewHsmPassword3:********HsmPassword3SetOk!

component3checkvalue:FC9FB7F1494D9B85

LMKcheckvalue:74A33E9BFD518D15

三.更換成員主密鑰（MMK）

1.準(zhǔn)備工作

三張超級(jí)用戶(hù)卡

測(cè)試環(huán)境三張IC卡是由生產(chǎn)環(huán)境加密機(jī)復(fù)制而來(lái)，理論上測(cè)試環(huán)境加密機(jī)生成的密鑰密文等同生產(chǎn)環(huán)境加密機(jī)產(chǎn)生的密文。

需要有UP公司下發(fā)的兩個(gè)分量的成員主密鑰明文和密鑰校驗(yàn)值

2.操作步驟：

(1)．SHJ0902終端連接同上

(2)．進(jìn)入超級(jí)授權(quán)狀態(tài)HSM>A

Super/Administer/Worker[S/A/W]:S

Insertthesupercard1andenterPin:******Insertthesupercard2andenterPin:******Insertthesupercard3andenterPin:******HSM-AUTH3>

(3)．用成分合成密鑰

密鑰合成使用fk命令。合成密鑰密文。由于密鑰成分需要兩個(gè)以上的分量，所以當(dāng)密鑰明文只有一個(gè)分量的時(shí)候，其次個(gè)分量請(qǐng)用全0代替。

首先在合成密鑰的筆記本上新建一個(gè)文本文檔。命名為密鑰.txt文件內(nèi)容用于記錄密鑰合成

PC超級(jí)終端執(zhí)行fk終端命令得到，fk終端命令是用成份合成密鑰。HSM-AUTH3>FK

Key-length64/128/192[1/2/3]:2Keytype:000

ComponentTypeClear/Encrypted[C/E]:EEnternumberofComponents(2-9):2

Entercomponent1:********************************Entercomponent2:********************************

是否對(duì)密鑰做奇校驗(yàn)處理[Y/N]:Y是否變種加密[Y/N]:N

EncryptedKey:03F79C8C1FEB888D03F79C8C1FEB888DKeycheckvalue:8CA64DE9C1B123A7

將加密機(jī)返回的密鑰密文（EncryptedKey）及校驗(yàn)值（Keycheckvalue）記錄，同時(shí)比對(duì)此校驗(yàn)值與UP公司下發(fā)的碼單中的總校驗(yàn)值是否一致，若不一致說(shuō)明輸入有誤，則需要重新輸入

(4).密鑰密文保存在應(yīng)用程序（根據(jù)具體業(yè)務(wù)系統(tǒng)實(shí)際狀況）

(5)．密鑰的回退

加密機(jī)返回的秘鑰密文和校驗(yàn)值與UP公司下發(fā)的校驗(yàn)值對(duì)比，若一致則將秘鑰密文保存到應(yīng)用系統(tǒng)的配置文件和數(shù)據(jù)庫(kù)中，在保存之前做好原有秘鑰的備份。然后做測(cè)試驗(yàn)證，驗(yàn)證通過(guò)則更換成功，驗(yàn)證不通過(guò)密鑰回退，將備份的原來(lái)密鑰重新輸入懂到程序中，測(cè)試驗(yàn)證。

四.名詞解釋

硬件加密機(jī)（HSM）

密鑰（Key）

密鑰分量（Keycomponent）

密鑰交換密鑰（Keyencryptionkey,KEK）

包含兩類(lèi)，成員主密鑰（MMK）和終端主密鑰（TMK），密鑰交換密鑰是在傳輸過(guò)程中對(duì)工作密鑰進(jìn)行加密的密鑰。

加密機(jī)主密鑰（MK或者LMK）在密鑰加密密鑰和處理密鑰中，最高級(jí)別的密鑰加密密鑰稱(chēng)為加密機(jī)主密鑰，用于加密下一層（MMK）密鑰的密鑰，受硬件加密機(jī)保護(hù)。

成員主密鑰（MMK）同類(lèi)型的有ZMK，TMK，BMK

在