密钥管理系统概述_密钥管理系统架构图

　　密钥管理系统概述

　　密钥管理系统由部级密钥系统和城市级密钥系统组成。两级密钥系统基于不同的侧重点分别产生不同用途的应用密钥。部级密钥系统和城市级密钥系统间通过密钥母卡或硬件加密机的方式传递密钥。密钥管理系统必须具备根密钥的备份机制和密钥一旦泄露后的密钥紧急更新机制，密钥产生后的转移、复制、分散等环节一般应通过加密机或智能IC卡进行，并能保证密钥的安全。

　　密钥管理系统是各商业银行的金融IC卡联合试点中，各级银行对密钥的安全控制和管理，是应用系统安全的关键。密钥管理系统采用3DES加密算法，运用中国人民银行总行、人民银行地区分行（商业银行总行）、成员银行三级管理体制，安全共享公共主密钥的，实现卡片互通、机具共享。各商业银行的金融IC卡联合试点中，各级银行对密钥的安全控制和管理，是应用系统安全的关键。

　　密钥管理系统架构

　　密钥系统是社会保障（个人）卡的安全基础和保障，其体系结构是多层次的，数据来源也比较复杂。因此，这部分软件应能够为用户提供透明的服务（即用户不需要知道密钥的具体产生细节及物理地址，就可以方便地使用软件完成相应的操作）并可按用户需求完成相应的业务功能。

　　由于系统需要使用专用硬件（加密机、读卡器等），因此软件还应提供对这些硬件的设置与通讯操作。软件的具体功能划分与功能需求见下图及说明。

　　1．省级新增密钥管理：管理省级密钥分散因子，产生省级种子密钥卡。

　　2．部级密钥导入：读取国家劳动社会保障部提供的密钥，并将其导入至省级加密机。

　　3．地市密钥分散：分散国家级、省级密钥到市级密钥系统。

　　4．PSAM卡管理：PSAM卡资料管理、PSAM卡的制作。

　　5．操作员管理：管理操作员资料和操作员权限。

　　6．系统参数设置：设置接口参数（加密机地址、发卡机连接方式等）。

　　密钥管理系统涉及的专用必备硬件包括：加密机1台（需符合社保规范），用于存放密钥；读卡器1台（至少双卡座），用于用户卡或PSAM卡的读写。

　　由于密钥管理的安全需求比较高，因此密钥管理软件应安装在一台专用的PC机上与系统其他部分分开运行。为了备份密钥资料，密钥管理软件在使用时应配装OraclePersonal或SQLServerDesktop或ACCESS等数据库。

　　密钥管理设计原则

　　1，任何密码不以明文的方式进行存储，除非是放在足够安全的密码装置内。人工分配的密钥必须以密钥分量方式分别由不同的多个可信任的实体保管，不得直接以明文方式由单个实体掌握，对密码装置的任何操作均无法使得密钥以明文方式出现于密码装置之外;

　　2，保证密钥的分离性，不同通信实体之间使用不同的密钥，且这些密钥不能存在相关性，即一对通信实体之间的安全通信出现问题，不应引起另一对实体的安全通信，包含这四个实体中有两个实体相同的情况;

　　3，密钥需要具备一定的备份机制，当系统出现故障导致密钥的丢失，应该能通过对密钥备份的回复，来确保系统是可修复的，但密钥的备份不应该降低密钥管理的安全性。

　　4，密钥必须具备有效期，当旧密钥过期时，需要及时进行密钥的替换，同时，新密钥安全性和旧密钥的安全性应该分离，即旧密钥即使泄漏也不应该引起新密钥的安全性出现问题。

　　5，密钥管理需要具备层次性。

　　网络要求每次交易的PIN保密.MAC的计算以及其它信息的加密所使用的密钥互不相同，作到一次一密。而为了保证交易的延续性，这些密钥均要由一个实体产生并安全地传输到另一个与之通信的实体，这就要求通信双方必须共同使用一个加密密钥（KEK），以加密上述的各种工作密钥，KEK不能通过网络进行传输，而只能在系统使用前装入，或者通过两个实体各自分别产生一个相同的密钥作为KEK，有了KEK，便解决了会话密钥的传输问题。

　　在网络中，商户、发卡行均需要与为数众多的实体进行安全通信，这就要求系统中具有大量的密钥（会话密钥和KEK），这些密钥无法全部保存在安全密码装置中，因此需要使用主密钥（MFK）对这些密钥加密存储于密码装置之外的主机数据库中。

　　一级：MFK，主密钥，存储于密钥装作中，用于加密KEK和SK，以保存在密码装作外。

　　二级：KEK，密钥加密密钥，用于SK的加密传送，每对通信实体都有一相同的KEK。

　　三级：SK，会话密钥，用于加密PIN，产生MAC和验证MAC等。

　　6，密钥和密钥属性

　　KEK和SK都具有密钥属性，用于功能分离和使用合法性检验，以提高系统的逻辑安全。密钥的属性包含此密钥的层次（标识KEK或SK）。使用有效次数.MFK序号。密钥用途和密钥校验值等内容，密钥属性与密钥一起使用，密码装置根据密钥属性校验密钥使用的合法性。控制密钥的误用。密钥校验值由相应密钥值与属性在MFK的加密下产生。密钥属性仅与相应密钥的明文保存在主机中，也仅用于主机安全密码装置，不进行传输。

　　智能卡密钥管理系统介绍

　　该体制完全支持《中国金融IC卡规范v1.0》，具体为：

　　1、IC卡的电子钱包和电子存折的消费。取现。查余额功能全国通用，并且采用脱机交易方式。

　　2、IC卡的圈存。圈提功能全国通用，但采用联机交易方式，借助龙卡网络实现。

　　3、IC卡PIN的改密。解锁等其他功能仅在发卡行受理。

　　智能卡密钥管理系统功能：

　　在充分保证密钥安全性的基础上，支持IC卡联合试点密钥的生成。导出。注入。备份。恢复。更新。服务等功能，实现密钥的安全管理。