加密機使用手冊

SHJ0902加密機使用手冊廣州江南科友科技股份有限企業(yè)-01

目錄第一章支付服務(wù)密碼機簡介 41.1 密碼機的功能 41.2 密碼機的技術(shù)特點 41.3 密碼機的技術(shù)指標 51.4 密碼機的外形構(gòu)造 5第二章支付服務(wù)密碼機的使用 62.1 密碼機的配套清單 62.2 密碼機的安裝 72.2.1 安裝環(huán)節(jié) 72.2.2 密碼機的初始化 72.2.3 注入密鑰 72.3 密碼機各部分的闡明 82.3.1 IC卡插座 82.3.2 密鑰銷毀鎖 82.3.3 機倉后部的鎖 82.3.4 蜂鳴器 82.4 密碼機的接口 82.5 注意事項 9第三章密鑰管理啞終端使用闡明 103.1使用闡明 10第四章加密機配置 114.1設(shè)置加密機IP 114.2查看、添加和刪除客戶端IP 114.3設(shè)置加密常用設(shè)置 124.4查看加密機IP地址、網(wǎng)關(guān)和子網(wǎng)掩碼 12第五章超級管理員，管理員和維護權(quán)限 135.1加密機權(quán)限分類 135.2進入對應(yīng)管理權(quán)限狀態(tài) 135.3超級管理員，管理員以及維護員的權(quán)限。 135.3.1超級管理員權(quán)限 135.3.2管理員權(quán)限 135.3.3維護員管理員權(quán)限 145.5制作三種權(quán)限卡 145.5.1IC卡的格式化 145.5.2超級管理員卡的制作 154.5.3管理員權(quán)限卡的制作 175.5.4維護員權(quán)限卡的制作 18第六章密鑰注入 196.1加載主密鑰 196.2注入功能密鑰 206.2.1產(chǎn)生隨機的功能密鑰 206.2.2產(chǎn)生密鑰命令FK。 216.2.3明文分量類索引密鑰注入 22附錄 24附錄1所有終端命令功能表 24附錄2LMK表 25附錄3密鑰類型表 27第一章支付服務(wù)密碼機簡介支付服務(wù)密碼機是用于銀行卡網(wǎng)絡(luò)系統(tǒng)的支持多進程的主機節(jié)點數(shù)據(jù)密碼機，直接與主機相連接，以規(guī)定的協(xié)議通訊。此密碼機設(shè)計可靠，構(gòu)造合理，使用以便，外型美觀。密碼機的功能支付服務(wù)密碼機是金融網(wǎng)絡(luò)安全系統(tǒng)的重要構(gòu)成部分之一，重要的功能是實現(xiàn)對網(wǎng)絡(luò)上傳播的信息進行保護或鑒別，以保證金融信息的對的性，可以有效防止對通信數(shù)據(jù)的非法竊取或篡改。密碼機的技術(shù)特點用于TCP/IP協(xié)議。所有密鑰庫的自動維護功能，包括密鑰的產(chǎn)生、分發(fā)、注入和銷毀。支持啞終端密鑰管理方式。密碼機具有完善的密鑰保護功能，雖然掉電,也能保護好密鑰不被丟失；此外尚有非法操作時的密鑰銷毀功能。具有完善的系統(tǒng)監(jiān)測功能，可監(jiān)測密碼機硬件及軟件的運行狀態(tài)，并可對故障進行自動恢復(fù)?？梢酝ㄟ^軟件、硬件來設(shè)置、檢測各部分的功能，設(shè)定系統(tǒng)的運行參數(shù)，具有完善的人機交互界面。密碼機的技術(shù)指標接口方式： RJ/45及RS—232傳播速率： 10M/100M/1G自適應(yīng)工作電壓： 220V25％、50HZ功耗： 85W可靠性： MTBF>40,000h密碼機的外形構(gòu)造圖一：密碼機前視圖闡明１、IC卡插座 此處是管理密碼機的IC卡的插入口２、密鑰銷毀鎖 緊極時可銷毀密鑰３、電源燈 當密碼機接通電源時，電源燈亮４、工作燈 當密碼機正進行加、脫密等安全處理時，加密燈亮５、報警燈 當密碼機處在非正常狀態(tài)時，報警燈亮，并伴有報警聲圖二：密碼機后視圖闡明1、電源開關(guān)按鈕控制對密碼機的電2、交流電源插座3、機倉后鎖技術(shù)人員由此打開機箱維護密碼機(顧客請勿私自打開，否則也許導(dǎo)致嚴重后果)4、RS-232C9芯插座25、TCP/IP接口26、TCP/IP接口17、并口（接并口打印機用）8、RS-232C9芯插座1第二章支付服務(wù)密碼機的使用密碼機的配套清單密碼機一臺使用闡明書一本220V交流電源線一根IC卡一套（6張）串口線一根密碼機的安裝安裝環(huán)節(jié)第一步 密碼機通過TCP/IP接口與主機連接，即可進入生產(chǎn)環(huán)境。第二步 固定好線纜的兩端，以保證其良好的接觸和安全。第三步 接上220V的交流電源線，打開密碼機交流電源開關(guān)。密碼機的初始化在啞終端上進行如下初始化（連接措施見第3章）：為密碼機分派IP地址、網(wǎng)關(guān)及子網(wǎng)掩碼；為密碼機分派一種通信端口；為密碼機分派一種客戶；為密碼機設(shè)置PIN長度、消息頭長度、字符編碼等。注入密鑰密碼機在使用之前應(yīng)先注入密鑰。假如沒有注入密鑰，密碼機起動后會報警。在啞終端上進行如下操作：（措施見第3章）完畢密碼機三張超級權(quán)限卡的制作，再從三張超級權(quán)限卡中導(dǎo)入主密鑰三個成分，在密碼機中自動合成主密鑰。密碼機各部分的闡明IC卡插座密碼機采用推推式IC卡座。將密碼機專用卡的觸片面向上、向前，按照IC卡上標示的方向，對準插座方向合合用力推入即可操作，再輕推一下即可彈出，此時才可以拔出IC卡。密鑰銷毀鎖用于銷毀密鑰。銷毀密鑰時，先將密碼機電源關(guān)閉，然后密鑰銷毀鎖轉(zhuǎn)至銷毀狀態(tài)，1秒后密鑰銷毀。機倉后部的鎖用來固定機倉。蜂鳴器密碼機內(nèi)部還裝有蜂鳴器，用于異常時報警或者在有些操作過程中予以聲音提醒。密碼機的接口密碼機有3個接口：2個以太網(wǎng)口，1個串口。注意事項密碼機必須注入密鑰才能正常工作。嚴禁帶電打開密碼機的機倉和撥/插通信線纜。嚴禁強電流、高電壓對密碼機的沖擊。密碼機不能正常工作時，請?zhí)詈帽Ｐ迒?，及時與供應(yīng)商聯(lián)絡(luò)，以便進行檢查、維修。若IC卡損壞，嚴禁隨便丟棄，必須交還給配發(fā)單位，由配發(fā)單位統(tǒng)一處理。第三章密鑰管理啞終端使用闡明3.1使用闡明打開密碼機前請用密碼機配套串口線纜連接啞終端串口和密碼機COM1端口（CONSOLE端口）。連接措施：用啞終端連接線纜連接PC機的串口和密碼機的COM1端口。測試過程中用PC機上Windows自帶的“超級終端”軟件，模擬啞終端。在Windows桌面環(huán)境下依次點擊：開始所有程序附件通信超級終端，運行“超級終端”。超級終端設(shè)置：9600bps、8位數(shù)據(jù)位、1位停止位、無奇偶校驗位。第四章加密機配置4.1設(shè)置加密機IP超級終端與加密機連接好，在HSM-AUTH3>提醒符下執(zhí)行l(wèi)ist命令，將會顯示加密機自帶的所有終端命令：aacnacyadbccardcardkeyccchcheckcheckkeyckclearallkeyclscopycpcsctcvdesecfcfkgchelphistoryipivkakbkekeykgkilistlkloloadmkloadtestkeyltkmkmkadministermksupermkworkerportprinterprtpvpwqhqprandrcrebootrenewsfverwk在HSM-AUTH3>提醒符下執(zhí)行IP命令：HSM-AUTH3>ipEnterIPaddress:10.8.2.8EnterDefaultGateway:10.8.2.254EnterSubnetmask:255.255.255.0按回車鍵，加密機IP設(shè)置成功。4.2查看、添加和刪除客戶端IP在HSM-AUTH3>提醒符下執(zhí)行ct命令:1.192.168.1.2442.200.200.200.244Addaclient/Deleteaclient/deleteallClients[A/D/C]:選擇A、D、C完畢客戶端IP的添加和刪除。4.3設(shè)置加密常用設(shè)置在HSM-AUTH3>提醒符下執(zhí)行ch命令:該命令功能設(shè)置PIN長度，消息頭長度，打印方式以及字符編碼方式。HSM-AUTH3>chPinLength[4-12]:6MessageHeaderLength[0-99]:0PrinterResponse[1-2]:1Ascii/Ebcdic/IBM5250[A/E/I]:APassword/Clear[P/C]:P4.4查看加密機IP地址、網(wǎng)關(guān)和子網(wǎng)掩碼在HSM-AUTH3>提醒符下執(zhí)行qh命令：當執(zhí)行qp后，加密機輸出如下信息：HSM-AUTH3>qpIPaddress:10.8.2.8DefaultGateway:10.8.2.254Subnetmask:255.255.255.0第五章超級管理員，管理員和維護權(quán)限5.1加密機權(quán)限分類由于加密機的終端命令波及到加密機的密鑰以及加密機的有關(guān)配置，從安全面考慮，加密機管理權(quán)限分3種：超級管理員，管理員以及維護權(quán)限。不一樣權(quán)限身份的管理人員對加密機執(zhí)行的操作不一樣。5.2進入對應(yīng)管理權(quán)限狀態(tài)當用超級終端連接加密機時，默認的是維護管理員權(quán)限，假如要進入超級管理員和管理員全選，需要執(zhí)行終端命令a，按照提醒插入IC卡，輸入IC卡口令的過程中，加密機會計算出IC中的校驗值與密碼機中存儲的校驗值做比較，然后進入對應(yīng)的管理權(quán)限狀態(tài)。5.3超級管理員，管理員以及維護員的權(quán)限。5.3.1超級管理員權(quán)限超級管理員擁有最高權(quán)限，能執(zhí)行所有的終端命令。（終端命令功能見附錄1）5.3.2管理員權(quán)限管理員權(quán)限能執(zhí)行加密了提供的大部分終端命令，權(quán)限如下：a，b，c，card，cc，ch,check,ckeckkey,ck,cls,ct,cv,des,ec，fc,fk,gc,ip,iv,ka,kb,ke,key,kg,ki,mkworker,port,printer,prt,pv,pw,qh,qp,rand,rc,ver,wk,history5.3.3維護員管理員權(quán)限維護員權(quán)限很低，只能執(zhí)行僅有的幾條終端命令，權(quán)限如下：a,card,check,checkkey,des,history,qh,qp,rand,rc,ver這些終端命令基本上是某些查看加密機有關(guān)設(shè)置的命令。5.5制作三種權(quán)限卡5.5.1IC卡的格式化在制作權(quán)限卡之前，必選將IC卡格式化，格式化終端命令fc，示例如下：HSM-AUTH3>fcSomethinginthecard,Continue?[Y/N]:YCardpin:********RetypeCardpin:********Enterdate[YYMMDD]:090225Entertime[HHMMSS]:20EnterIssuerID:0000EnterUserID:0000Formatsuccess!在格式化的過程中，對IC卡設(shè)置了密碼，這個密碼卡片持有人必須記住，由于在背面制作權(quán)限卡的時候會規(guī)定輸入卡密碼。5.5.制作超級管理員權(quán)限卡其實也就是制作加密機主密鑰的一種過程，在執(zhí)行mksuper命令后，會規(guī)定輸入3個分量，三個分量分別存儲在三張IC里面，做好密鑰備份工作。加密機加載主密鑰執(zhí)行l(wèi)oadmk命令，加密機會提醒按次序插入三張超級管理員卡，因此在制作超級管理員卡的時候必須記住IC卡的次序，且在有幾臺加密機的狀況下必須標明每套卡與加密機的對應(yīng)關(guān)系。超級管理員卡制作環(huán)節(jié)如下所示：HSM-AUTH3>mksuperRmkcomponent1:************************************************RetypeRmkcomponent1:************************************************Rmkcomponent2:************************************************RetypeRmkcomponent2:************************************************Rmkcomponent3:************************************************RetypeRmkcomponent3:************************************************Insertthesupercard1andpressENTER...Card1PIN:******component1checkvalue:82E13665B4624DF5Makethesupercard1success!Insertthesupercard2andpressENTER!Card2PIN:********Sorry,passworderror!remaintimeis2Insertthesupercard2andpressENTER!Card2PIN:******component2checkvalue:8CA64DE9C1B123A7Makethesupercard2success!Insertthesupercard3andpressENTER!Card3PIN:******component3checkvalue:8CA64DE9C1B123A7Makethesupercard3success!4.5.3管理員權(quán)限卡的制作將格式化的IC卡插入加密機，執(zhí)行mkadminister終端命令，加密機提醒輸入Card1密碼，當密碼輸入對的后加密返回管理權(quán)限卡1的校驗值，這個校驗值將存入加密機，后來身份驗證就是跟這個校驗值有關(guān)系。管理員權(quán)限卡的制作過程如下：HSM-AUTH3>mkadministerInserttheadministercard1andpressENTER!administercard1PIN:******Makeadministercard1now!Pleasewaitfor...Cardcheckvalue:F44D424C2DD75AE9Maketheadministercard1success!NewHsmPassword4:******RetypeNewHsmPassword4:******HsmPassword4SetOk!Inserttheadministercard2andpressENTER!administercard2PIN:******Makeadministercard2now!Pleasewaitfor...Cardcheckvalue:D86F0CF403ECCDA4Maketheadministercard2success!NewHsmPassword5:******RetypeNewHsmPassword5:******HsmPassword5SetOk!HSM-AUTH3>mkwokermkwoker:commandnotfound!5.5.4維護員權(quán)限卡的制作將格式化后的IC卡插入加密機，執(zhí)行終端命令mkworker,然后按加密機提醒輸入信息。制作過程如下：HSM-AUTH3>mkworkerInserttheworkercardandpressENTER!workercardPIN:******Makeworkercardnow!Pleasewaitfor...Cardcheckvalue:0A410D6C7702F77AMaketheworkercardsuccess!NewHsmPassword6:******RetypeNewHsmPassword6:******HsmPassword6SetOk!第六章密鑰注入6.1加載主密鑰加載主密鑰后，下次重啟連接PC超級終端將是維護員權(quán)限，假如加密機是加載的測試密鑰，則再次重啟加密機連接PC超級終端將是超級管理員權(quán)限。加密機投入運行時，必須先制作超級管理員卡和裝載MK。由于DES算法依托某一種密鑰進行加密，同步所有密鑰和數(shù)據(jù)都經(jīng)由MK進行加密，因此MK必須通過一種安全的措施生成和維護。主密鑰的加載方式是：在PC的超級終端執(zhí)行LOADMK命令，然后按提醒插入超級管理員卡和輸入密鑰（超級管理員卡的制作見4.5.2）。注意：插入超級管理員卡必須按制卡次序插入IC卡。加載主密鑰的環(huán)節(jié)如下：先制作超級管理員卡！用卡合成主密鑰！HSM-AUTH3>loadmkInsertthesupercard1andentercard1Pin:******NewHsmPassword1:******RetypeNewHsmPassword1:******HsmPassword1SetOk!component1checkvalue:82E13665B4624DF5Insertthesupercard2andentercard2Pin:******NewHsmPassword2:******RetypeNewHsmPassword2:******HsmPassword2SetOk!component2checkvalue:8CA64DE9C1B123A7Insertthesupercard3andentercard3Pin:******NewHsmPassword3:******RetypeNewHsmPassword3:******HsmPassword3SetOk!component3checkvalue:8CA64DE9C1B123A7RMKcheckvalue:82E13665B4624DF56.2注入功能密鑰功能密鑰的注入是通過PC超級終端執(zhí)行ec或者gc終端命令生成，key終端命令用于注入索引類功能密鑰。6.2.1產(chǎn)生隨機的功能密鑰gc命令是隨機產(chǎn)生指定的功能密鑰，LMK表見附錄2。HSM-AUTH3>gcKeylength[1/2/3]:2Keytype:001ClearComponent:16EC6215E6B30B892AB3AB79021937C2EncryptedComponent:A11ED73B46CCD10B54D680A726D3E779Keycheckvalue:BAD194B693384D99SHJ0902密鑰的產(chǎn)生需要用超級終端輸入指令產(chǎn)生6.2.2產(chǎn)生密鑰命令FK。啞終端命令FK，以明文或者密文方式產(chǎn)生各類（64/128/192）密鑰，LMK表見附錄2。在非變種下用明文合成ZMK：HSM-AUTH3>fkKeylength64/128/192[1/2/3]:1Keytype:000ComponentTypeClear/Encrypted[C/E]:CEnternumberofComponents(2-9):2Entercomponent1:****************Entercomponent2:****************與否變種加密[Y/N]:NEncryptedKey:98E73A903C24DDFBKeycheckvalue:8CA64DE9C1B123A7在變種下用明文合成ZMK：HSM-AUTH3>fkKeylength64/128/192[1/2/3]:1Keytype:000ComponentTypeClear/Encrypted[C/E]:CEnternumberofComponents(2-9):2Entercomponent1:***************ErrorInput,Thedataisshortorlong!Entercomponent1:****************Entercomponent2:****************與否變種加密[Y/N]:YEncryptedKey:98E73A903C24DDFBKeycheckvalue:8CA64DE9C1B123A76.2.3明文分量類索引密鑰注入啞終端命令key，注入密鑰后將對密鑰進行奇偶校驗處理。HSM-AUTH3>keyKeylength64/128[1/2]:2Keyindex:099EnternumberofComponents(2-9):2Entercomponent1:*******************************ErrorInput,Thedataisshortorlong!Entercomponent1:********************************Reentercomponent1:********************************Entercomponent2:********************************Reentercomponent2:********************************Keycheckvalue:82E13665B4624DF5附錄附錄1所有終端命令功能表終端命令功能a進入身份驗證b用ZMK密文產(chǎn)生ZPK在LMK和ZMK下加密的密文和校驗值c進入維護管理員身份card查看卡片校驗值ec輸入密鑰明文經(jīng)加密機加密后輸出密文和校驗值（輸入密鑰類型和明文的時候是不可見的）kg輸入ZMK密文，產(chǎn)生各類型密鑰并在LMK和ZMK下加密fk以明文或者密文方式產(chǎn)生各類（64/128/192）密鑰gc隨機數(shù)生成多種密鑰，并輸入密鑰明文和密文以及校驗值rand產(chǎn)生隨機密鑰并輸出校驗值Ka隨機產(chǎn)生PVK