JT∕T 825.2-2012 IC卡道路運輸證件 第2部分：IC卡技術要求

ICS03.220.20;35.240.60中華人民共和國交通運輸行業(yè)標準IC卡道路運輸證件2012-02-20發(fā)布2012-05-01實施中華人民共和國交通運輸部發(fā)布前言 2規(guī)范性引用文件 3術語和定義 4縮略語 5基本技術要求 7文件和命令 8安全機制 9應用選擇 JT/T825.2—2012卡物理防偽膜技術要求； 本部分為JT/T825的第2部分。下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文ISO/IEC7816-4識別卡物理特性識別卡帶觸點的集成電路卡識別卡帶觸點的集成電路卡識別卡帶觸點的集成電路卡第1部分：物理特性第2部分：觸點的尺寸和位置第3部分：電信號和傳輸協(xié)議中國金融集成電路(IC)卡規(guī)范(2.0版)信息技術識別卡有觸點的集成電路卡第4部分：用于交換的行業(yè)間信令[Identificationcards-Integratedcircuit(s)cardswithcontactsPart4:Interin-識別卡集成電路卡第5部分：應用提供者的登記(Identificationcards-In-tegratedcircuitcardsPart5:Registrationofapplicationproviders)識別卡無觸點集成電路卡第1部分：物理特性[Identificationtactlessintegratedcircuit(s)cards-ProximitycardsPart1:Physicalcharacteris-tics]識別卡無觸點集成電路卡第2部分：耦合區(qū)域的尺寸和位置[Identifica-tioncards-Contactlessintegratedcircuit(s)cards-ProximitycardsPart2:Radio識別卡無觸點集成電路卡第3部分：電信號和復位規(guī)程[Identificationcards-Contactlessintegratedcircuit(s)cards-ProximitycardsPart3:Initialization&anticollisiontactlessintegratedcircuit(s)cards-ProximitycardsPart4:Transmissionproto-報文message密鑰key廠商標識manufacturerID由交通運輸主管部門統(tǒng)一向各IC卡廠商分配的唯一標識，長度為一個字節(jié)。COs——卡片操作系統(tǒng)(chipoperatingsystem)DDF——目錄數(shù)據(jù)文件(directorydatafiDIR——目錄(directory)EF——基本文件(elementaryfile)Le——響應數(shù)據(jù)的最大期望長度(maximumlengthofdataexpectedbythetalinresponsetoacase2or報文認證碼(messageauthenticationcode)MF——主控文件(masterfile)PICC——接近式卡(proximitycard)——芯片工作溫度-25℃~+70℃,靜電保護2000V以上； —支持第8章所規(guī)定的3DES 芯片工作溫度-25℃~+70℃.靜電保護4000V以上； 廠商標識卡片COS標識符卡片COS版本號卡片COS修訂號一個字節(jié)一個字節(jié)一個字節(jié)一個字節(jié)注：卡片COS標識符使用A~Z中的任意一個字母表示。7.1.2.2應用數(shù)據(jù)文件——包含一個FCI的DF(ISO/IEC7816-4中定義)被映象為ADF,可通過它來訪問EF和DF,在卡中處于最高層的DF稱為主控文件(MF);——包含一組記錄中的EF(ISO/IEC7816-4中定義)被映象為AEF,EF不能作為進入另一個不同目錄結構采用以其AID的方式進入一個應用，或以AID的前N個字節(jié)作為DDF名的方式進入一組JT/T825.2—20127.2APDU命令Data表2命令APDU的內(nèi)容長度(字節(jié))CLA命令類別1指令代碼1指令參數(shù)11指令參數(shù)21命令數(shù)據(jù)域中存在的字節(jié)數(shù)0或1Data命令發(fā)送的數(shù)據(jù)位串(=Lc)可變響應數(shù)據(jù)域中期望的最大數(shù)據(jù)字節(jié)數(shù)7.2.2APDU響應的內(nèi)容及格式一尾→表3響應APDU的內(nèi)容長度(字節(jié))響應中接收的數(shù)據(jù)位串(=Lr)變長命令處理狀態(tài)1命令處理限定1編號CLA1APPLICATIONBLOCK應用鎖定2APPLICATIONUNBLOCK應用解鎖3CARDBLOCK卡片鎖定4CHANGEPIN修改個人識別碼5PINUNBLOCK解鎖個人識別碼6RELOADPIN重裝個人識別碼7VERIFY校驗個人識別碼8GETCHALLENGE取隨機數(shù)9GETRESPONSE取響應數(shù)據(jù)EXTERNALAUTHENTICATE外部認證INTERNALAUTHENTICATE內(nèi)部認證READBINARYB0讀二進制文件READRECORDB2讀記錄文件UPDATEBINARYD6寫二進制文件UPDATERECORDDC寫記錄文件APPENDRECORD添加記錄SELECTA4選擇文件注：編號1～9命令參見JR/T0025。20編號CLA1GETCHALLENGE取隨機數(shù)2GETRESPONSE取響應數(shù)據(jù)3EXTERNALAUTHENTICATE外部認證4SELECTFILEA4選擇文件5READBINARYB0讀二進制文件6UPDATEBINARYD6寫二進制文件7READRECORDB2讀記錄文件8UPDATERECORDDC寫記錄文件9WRITEKEYD4裝載/更新密鑰INITFORDESCRYPT準備密鑰為數(shù)據(jù)計算CIPHERDATAFA對數(shù)據(jù)進行安全計算注：編號1～2命令參見JR/T0025。代碼CLAP1P2b8b7b6b5b4b3b2bl0XXXXXXX全局密鑰標識1XXXXXXX局部密鑰標識00000000DATA認證數(shù)據(jù)不存在EXTERNALAUTHENTICATION命令使用的算法參考值(P1)編碼為“00”,表示無信息。算法參考值21命令報文數(shù)據(jù)域中包含對取隨機數(shù)命令(GETCHALLENGE)取回的數(shù)據(jù)按照第8章定義計算的命令執(zhí)行成功使用條件不滿足認證失敗，還可以認證x次功能不支持P1、P2參數(shù)錯Lc長度錯誤未找到密鑰數(shù)據(jù)不滿足安全狀態(tài)命令不存在認證密鑰鎖定引用數(shù)據(jù)無效(未申請隨機數(shù))應用永久鎖定代碼CLA0XXXXXXX全局密鑰標識XXXXXXX局部密鑰標識00000000DATA輸入數(shù)據(jù)22命令執(zhí)行成功功能不支持返回數(shù)據(jù)可能有錯P1、P2參數(shù)錯標志狀態(tài)位未變未找到密鑰數(shù)據(jù)Lc長度錯誤命令不存在不滿足安全狀態(tài)CLA錯使用條件不滿足應用永久鎖定代碼CLA00或04B00XXXXXXX當前文件高位地址100XXXXx通過SFI方式訪問若P1的b8=0,P2為文件的低位地址若P1的b8=1,P2為文件地址表10(續(xù))代碼CLA=00時，不存在CLA=04時，Lc=04DATACLA=00時，不存在CLA=04時，為MAC數(shù)據(jù)期望返回的數(shù)據(jù)長度命令執(zhí)行成功安全信息(MAC和加密)數(shù)據(jù)錯誤還有xx個字節(jié)數(shù)據(jù)要返回功能不支持返回數(shù)據(jù)可能有錯未找到文件寫EEPROM失敗P1、P2參數(shù)錯Lc長度錯誤未找到密鑰數(shù)據(jù)當前文件不是二進制文件起始地址超出范圍不滿足安全狀態(tài)Le長度錯誤，xx表示實際長度認證密鑰鎖定命令不存在引用數(shù)據(jù)無效(未申請隨機數(shù))使用條件不滿足應用永久鎖定沒有選擇當前文件JT/T825.2—2012表12READRECORD命令報文代碼00或04記錄號00000當前文件XXXXX通過SFI方式訪問100P1作為記錄號CLA=00時，不存在CLA=04時，Lc=04DATACLA=00時，不存在CLA=04時，為MAC數(shù)據(jù)期望返回的記錄數(shù)據(jù)表13READRECORD響應信息狀態(tài)碼命令執(zhí)行成功沒有選擇當前文件還有xx個字節(jié)數(shù)據(jù)要返回安全信息(MAC和加密)數(shù)據(jù)錯誤返回數(shù)據(jù)可能有錯功能不支持標志狀態(tài)位未變未找到文件未找到記錄Lc長度錯誤P1、P2參數(shù)錯當前文件不是記錄文件未找到密鑰數(shù)據(jù)不滿足安全狀態(tài)起始地址超出范圍認證密鑰鎖定Le長度錯誤，xx表示實際長度引用數(shù)據(jù)無效(未申請隨機數(shù))使用條件不滿足應用永久鎖定25代碼CLAD6P1b8b7b6b5b4b3b2b10XXXXXXX當前文件高位地址100XXXXX通過SFI方式訪問P2若P1的b8=0,P2為文件的低位地址若P1的b8=1,P2為文件地址DATA數(shù)據(jù)域長度DATA修改用的數(shù)據(jù)+報文鑒別代碼(MAC)數(shù)據(jù)元(四個字節(jié))不存在命令執(zhí)行成功安全信息(MAC和加密)數(shù)據(jù)錯誤功能不支持Lc長度錯誤未找到文件當前文件不是二進制文件P1、P2參數(shù)錯不滿足安全狀態(tài)未找到密鑰數(shù)據(jù)認證密鑰鎖定起始地址超出范圍引用數(shù)據(jù)無效(未申請隨機數(shù))命令不存在使用條件不滿足沒有選擇當前文件應用永久鎖定26JT/T825.2—2012代碼CLA00或04DCP1記錄號P2b8b7b6b5b4b3b2b100000當前文件XXXXX通過SFI方式訪問100P1作為記錄號000第一個記錄001最后一個記錄010上一個記錄01下一個記錄DATA數(shù)據(jù)域長度DATA更新原有記錄的新記錄+報文鑒別代碼(MAC)數(shù)據(jù)元(四個字節(jié))不存在命令報文數(shù)據(jù)域由更新原有記錄的新記錄和報文鑒別代碼(MAC)數(shù)據(jù)元(四個字節(jié))組成。命令執(zhí)行成功當前文件不是記錄文件不滿足安全狀態(tài)Lc長度錯誤認證密鑰鎖定27表17(續(xù))SW1SW2SW1SW2引用數(shù)據(jù)無效(未申請隨機數(shù))存儲空間不夠使用條件不滿足P1、P2參數(shù)錯沒有選擇當前文件未找到密鑰數(shù)據(jù)安全信息(MAC和加密)數(shù)據(jù)錯誤起始地址超出范圍功能不支持命令不存在未找到文件CLA錯未找到記錄應用永久鎖定表18APPENDRECORD命令報文代碼CLA00或0400000000當前的EF文件XXXXX000用SFI方式DATA域數(shù)據(jù)長度DATA添加新記錄用的數(shù)據(jù)+報文鑒別代碼(MAC)數(shù)據(jù)元(四個字節(jié))不存在28JT/T825.2—2012命令執(zhí)行成功功能不支持未找到文件Lc長度錯誤記錄空間已滿當前文件不是記錄文件Lc與TLV結構不匹配不滿足安全狀態(tài)P1、P2參數(shù)錯認證密鑰鎖定未找到密鑰數(shù)據(jù)引用數(shù)據(jù)無效(未申請隨機數(shù))命令不存在使用條件不滿足沒有選擇當前文件應用永久鎖定安全信息(MAC和加密)數(shù)據(jù)錯誤代碼代碼CLAP202,選擇下一個文件(P1=04)A4P100,通過FID選擇DF、EF,當Lc=00時，選MF01,通過FID選擇DF02,通過FID選擇當前DF下的EF03,選擇父目錄(Lc=00)04,通過DF名選擇應用P1=00時，Lc=00或02Pl=01～02時，Lc=02P1=03時，Lc=00P1=04時，Le=01～10Data文件標識符(FID——兩個字節(jié))文件名(P1=04)FCI文件的信息長度(選擇DF時)29表21定義了成功選擇DDF后回送的FCI。標簽值存在性FCI模板MDF名MA5FCI數(shù)據(jù)專用模板M目錄基本文件的SFIMFCI文件內(nèi)容0注：M———必備，0——可選。表22定義了成功選擇ADF后回送的FCI標簽值存在性FCI模板MMA5FCI數(shù)據(jù)專用模板M9FOCFCI文件內(nèi)容09F08版本信息0注：M——必備，0——可選。響應信息中可能出現(xiàn)的狀態(tài)碼見表23。命令執(zhí)行成功功能不支持選擇文件無效未找到文件FCI格式與P2指定的不符P1、P2參數(shù)錯誤標志狀態(tài)位未變Lc與P1、P2不匹配Lc長度錯誤命令不存在表24WRITEKEY命令報文代碼代碼CLAD4Data加密后的密鑰信息和報文鑒別代碼(MAC)數(shù)據(jù)元不存在 7.2.3.10.5響應報文狀態(tài)字內(nèi)存失敗不支持此功能Lc長度錯參數(shù)P1、P2不正確認證密鑰鎖定未找到密鑰參數(shù)引用數(shù)據(jù)無效(未取隨機數(shù))命令不存在使用條件不滿足(應用非永久鎖定)安全報文數(shù)據(jù)項不正確應用永久鎖定數(shù)據(jù)域參數(shù)不正確代碼代碼待處理數(shù)據(jù)的長度00,分散級數(shù)為0時08,分散級數(shù)為1時10,分散級數(shù)為2時其他值保留密鑰用途密鑰標識Data分散因子(Lc=“00”,不存在)不存在Lc長度錯參數(shù)P1、P2不正確不滿足安全狀態(tài)未找到密鑰數(shù)據(jù)認證密鑰鎖定命令不存在使用條件不滿足(應用非永久鎖定)不支持此功能應用永久鎖定MAC計算。代碼代碼CLA要加密的數(shù)據(jù)長度FADATA要加密的數(shù)據(jù)P1命令引用控制參數(shù)，見表29不存在P2表29CIPHERDATA命令引用控制參數(shù)b8b7b6b5b4b3b2b1X計算模式：——0,加密；——1,MAC計算X后續(xù)塊：——0,無后續(xù)塊；1,有后續(xù)塊X初始值(僅對MAC計算有效):—0,無初始值；——1,有初始值P1值如下： 01h.下一塊MAC計算—03h,最后一塊MAC計算； 05h,唯一一塊MAC計算： 07h.第一塊MAC計算：命令報文數(shù)據(jù)域包括要加密的數(shù)據(jù)，加密數(shù)據(jù)的長度為8的整數(shù)倍。在P1的b3位為1時，待處理數(shù)據(jù)的前八個字節(jié)為MAC計算的初始值。在P1的b1位為0時，響應報文數(shù)據(jù)域包括加密結果，數(shù)據(jù)長度是8的整數(shù)倍。在P1的b1位為1,且P1的b2位為0時，響應報文數(shù)據(jù)域包括四個字節(jié)的MAC。TSAM卡可能回送的錯誤狀態(tài)字見表30。表30CIPHERDATA警告狀態(tài)Lc長度錯參數(shù)P1、P2不正確不滿足安全狀態(tài)未找到密鑰數(shù)據(jù)認證密鑰鎖定命令不存在使用條件不滿足(應用非永久鎖定)不支持此功能應用永久鎖定表31密鑰關系表內(nèi)部認證密鑰內(nèi)部認證主密鑰(MIAK)內(nèi)部認證子密鑰(DIAK),由MIAK分散推導獲得外部認證密鑰外部認證主密鑰(MEAK)外部認證子密鑰(DEAK),由MEAK分散推導獲得應用維護密鑰應用維護主密鑰(MAMK)應用維護子密鑰(DAMK),由MAMK分散推導獲得文件維護密鑰文件維護主密鑰(MFMK)文件維護子密鑰(DFMK),由MFMK分散推導獲得用于解鎖PIN的密鑰PIN解鎖主密鑰(MPUK)PIN解鎖子密鑰(DPUK),由MPUK分散推導獲得用于重裝PIN的密鑰PIN重裝主密鑰(MPRK)PIN解鎖子密鑰(DPRK),由MPRK分散推導獲得IC卡應該能夠保證用于3DES算法的對稱密鑰及個人密碼PIN(如果使用)在IC卡中的安全存放， 第二步：按照順序?qū)⒁韵聰?shù)據(jù)連接在一起形成數(shù)據(jù)塊：1)CLA,INS,P1,P2,Lc計算MAC的Lc的輸入值是4～FE,而不是0,CLA包括安全報文的表明(“X2)在命令的數(shù)據(jù)域中(如果存在)包含明文或加密的數(shù)據(jù)(例如：如果要更改車輛年審信息，加密后的車輛年審信息數(shù)據(jù)塊放在命令數(shù)據(jù)域中傳輸)。 第一步：將一個八個字節(jié)長的初始變量設定為十六進制的“0x0000000000000000”——第二步：新PIN值為輸入數(shù)據(jù)塊； 的長度有可能是一個至八個字節(jié)；——第四步：如果最后一個數(shù)據(jù)塊的長度是八個字節(jié)，則在其后加上十六進制數(shù)字“8000000000 000000”,轉到第五步；如果最后一個數(shù)據(jù)塊的長度不足八個字節(jié)，則在其后加上十六進制數(shù)字到八個字節(jié)； —第五步：對這些數(shù)據(jù)塊使用指定的MAC密鑰進行加密，密鑰按照8.2描述的方式產(chǎn)生；安全報文傳送的處理支持雙長度MACDEA密鑰，則使用MAC計算密鑰A和B(MAC的產(chǎn)生見圖3); 第六步：最終得到從計算結果左側取得的四個字節(jié)長度的MAC。初始值KEYLDEA(e)DEA(e)DEA(e)KEYRKEYLD4DEA(e)MAC圖3雙長度DEAKEY的MAC算法8.6.4數(shù)據(jù)可靠性8.6.4.1數(shù)據(jù)加密密鑰的計算在安全報文處理過程中用到的數(shù)據(jù)，加密過程中用到的密鑰是按照8.2中描述的方式產(chǎn)生的。8.6.4.2被加密數(shù)據(jù)的結構當命令中要求的明文數(shù)據(jù)需要加密時，它先要被格式化為以下形式的數(shù)據(jù)塊：——填充字符(根據(jù)8.6.4.3) DDKEYLDEA(e)DE