DB43∕T 877.2-2014 湖南省金融IC卡行業(yè)應(yīng)用規(guī)范 第二部分：行業(yè)應(yīng)用密鑰規(guī)范　　

湖南省金融IC卡行業(yè)應(yīng)用規(guī)范第二部分：行業(yè)應(yīng)用密鑰規(guī)范2014-05-16發(fā)布2014-06-15實施湖南省質(zhì)量技術(shù)監(jiān)督局發(fā)布I Ⅱ Ⅲ 3術(shù)語和定義 4符號和縮略語 2 36湖南省金融IC卡行業(yè)應(yīng)用密鑰管理系統(tǒng)要求 8附錄A(規(guī)范性附錄)安全算法 附錄B(規(guī)范性附錄)密鑰導(dǎo)出指令 附錄C(規(guī)范性附錄)密鑰管理模式 附錄D(規(guī)范性附錄)主密鑰卡 附錄E(規(guī)范性附錄)行業(yè)編碼規(guī)則 本標(biāo)準(zhǔn)按照GB/T1.1-2009給出《湖南省金融IC卡行業(yè)應(yīng)用規(guī)范》由以下6部分組成：——第1部分：卡片結(jié)構(gòu)規(guī)范；——第2部分：行業(yè)應(yīng)用密鑰規(guī)范；——第3部分：終端交易規(guī)范；——第4部分：卡面標(biāo)識規(guī)范；——第5部分：擴(kuò)展應(yīng)用規(guī)范；——第6部分：擴(kuò)展應(yīng)用密鑰規(guī)范；行、中國建設(shè)銀行湖南省分行、交通銀行湖南省分行、中鈔信用卡產(chǎn)業(yè)發(fā)股份有限公司和捷德(中國)信息科技有限公司。本規(guī)范主要起草人：易昌善、林建、易叔賢、劉杰、張非凡、陳昊、謝亞俊強(qiáng)、張奇、劉強(qiáng)、伍斌、石國華、張振京、程文平、李冰、畢宇、文學(xué)。DB43/T877.2—2014本部分為《湖南省金融IC卡行業(yè)應(yīng)用規(guī)范》的第2部分，定義了湖南省金融IC卡行業(yè)應(yīng)用密鑰規(guī)范相關(guān)內(nèi)容。本部分與《湖南省金融IC卡行業(yè)應(yīng)用規(guī)范》第1部分、第3部分一起構(gòu)成湖南省金融IC卡自定義行業(yè)應(yīng)用規(guī)范。1湖南省金融IC卡行業(yè)應(yīng)用規(guī)范本規(guī)范主要對湖南省金融IC卡行業(yè)應(yīng)用的密鑰生成流程、體系結(jié)構(gòu)、安全算法進(jìn)行規(guī)定。本規(guī)范適用于湖南省金融IC卡設(shè)計、生產(chǎn)、發(fā)行及使用等過程中涉及的所有參與者，包括但不限于湖南省金融IC卡發(fā)卡機(jī)構(gòu)、收單機(jī)構(gòu)、卡片制造廠商、個性化服務(wù)提供廠商，以及授權(quán)使用湖南省金融IC卡標(biāo)識并參與湖南省金融IC卡行業(yè)應(yīng)用業(yè)務(wù)或提供相關(guān)服務(wù)的所有機(jī)構(gòu)。2規(guī)范性引用文件的修改單(不包括勘誤的內(nèi)容)或修訂版均不適用于本規(guī)范，然而，鼓勵根據(jù)本規(guī)范達(dá)成協(xié)議的各方研究是否可使用這些文件的最新版本。凡是不注明日期的引用文件，其最新版本適用于本規(guī)范。ISO/IEC14443-1識別卡無觸點集成電路卡近程卡第1部分：物理特性，2000-04-15.ISO/IEC14443-2第2部分：射頻功率和信號接口，2001-07-01ISO/IEC14443-3第3部分：初始化和防沖突，2001-02-01ISO/IEC14443-4第4部分：傳輸協(xié)議，2001-02-01JR/T0025-2013中國金融集成電路(IC)卡GB2260中華人民共和國行政區(qū)劃代碼3術(shù)語和定義根密鑰由湖南省金融IC卡公共服務(wù)業(yè)運營平臺產(chǎn)生，用于生成行業(yè)應(yīng)用系統(tǒng)環(huán)境主密鑰和行業(yè)應(yīng)用主密行業(yè)應(yīng)用系統(tǒng)環(huán)境(DDF3)主密鑰由根密鑰根據(jù)銀行代碼分散生成，用于提供給行業(yè)應(yīng)用主密鑰行業(yè)應(yīng)用初始主密鑰由根密鑰根據(jù)行業(yè)應(yīng)用AID分散生成，用于生成行業(yè)應(yīng)用初始主控密鑰。2行業(yè)應(yīng)用初始主控密鑰由行業(yè)應(yīng)用初始主密鑰根據(jù)卡片UID分散生成的行業(yè)應(yīng)用初始主控密鑰，用于控制用戶卡行業(yè)應(yīng)用下的文件創(chuàng)建以及密鑰的安裝。行業(yè)應(yīng)用二級主密鑰由行業(yè)應(yīng)用主密鑰根據(jù)密鑰類型加密鑰索引號分散生成的一組密鑰，用于生成用戶卡行業(yè)應(yīng)用下的所有的密鑰。行業(yè)應(yīng)用三級密鑰由行業(yè)應(yīng)用二級主密鑰根據(jù)應(yīng)用序列號分散生成的行業(yè)應(yīng)用三級功能密鑰，用于控制行業(yè)應(yīng)用下文件的讀寫權(quán)限認(rèn)證。行業(yè)應(yīng)用發(fā)卡SAM卡部署在發(fā)卡終端的安全認(rèn)證模塊，用于湖南省金融IC卡行業(yè)應(yīng)用系統(tǒng)環(huán)境下的行業(yè)應(yīng)用的發(fā)卡和管理。部署在交易終端的安全認(rèn)證模塊，用于湖南省金融IC卡行業(yè)應(yīng)用系統(tǒng)環(huán)境下的行業(yè)應(yīng)用的交易安全認(rèn)證。行業(yè)應(yīng)用發(fā)卡SAM卡功能密鑰行業(yè)應(yīng)用發(fā)卡SAM卡功能密鑰與用戶卡行業(yè)應(yīng)用三級功能密鑰配套使用，用于對用戶卡發(fā)卡和加減值交易的安全認(rèn)證。行業(yè)應(yīng)用交易PSAM卡功能密鑰行業(yè)應(yīng)用交易PSAM卡功能密鑰與用戶卡行業(yè)應(yīng)用三級功能密鑰配套使用，用于對用戶卡減值交易功能的安全認(rèn)證。行業(yè)應(yīng)用系統(tǒng)環(huán)境用戶卡行業(yè)應(yīng)用系統(tǒng)環(huán)境從名為“HUN.HYSYS.DDFO1”的DDF開始。在本規(guī)范中，此DDF的FID命管理平臺平臺或管理平臺，特指湖南省金融IC卡公共服務(wù)業(yè)運營管理平臺。行業(yè)編碼用于區(qū)分不同的行業(yè)單位，作為密鑰分散因子，參見附錄E的說明。4符號和縮略語以下縮略語和符號語表示適用于本規(guī)范：3DB43/T877.2—2014AID應(yīng)用標(biāo)識符(ApplicationIdentifier)an字母數(shù)字型(Alphanumeric)ans字母數(shù)字及特殊字符型(AlphanumericSpecial)b二進(jìn)制(Binary)CLA命令報文的類別字節(jié)(ClassByteoftheCommacn壓縮數(shù)字型(CompressedNumeric)DEA數(shù)據(jù)加DF專用文件(DedicatedFile)FCI文件控制信息(FileControlInformINS命令報文的指令字節(jié)(InstructionByteofCommandMessage)ISO國際標(biāo)準(zhǔn)化組織(InternationalOrganizationforStandardizatiLc終端發(fā)出的命令數(shù)據(jù)的實際長度(ExactLengthofDataSent)Le響應(yīng)數(shù)據(jù)中n數(shù)字型(Numeric)P1參數(shù)1(Parameter1)P2參數(shù)2(Parameter2)PSAM銷售點終端安全存取模塊(PurchaseSecureAccessModule)RFU保留為將來使用(ReservedforFutureUse)5湖南省金融IC卡行業(yè)應(yīng)用密鑰體系5.1行業(yè)應(yīng)用密鑰體系結(jié)構(gòu)5.1.1.1湖南省金融IC卡行業(yè)應(yīng)用密鑰體系結(jié)構(gòu)如圖：4DB43/T87湖南省金融IC卡公共服務(wù)業(yè)營業(yè)平臺湖南省金融湖南省金融IC卡公共服務(wù)業(yè)運營平臺根密鑰發(fā)卡銀行行業(yè)單位kHuIDkHuiD應(yīng)用列號主密鑰卡銀行代碼5.1.1.2密鑰生成流程第一步：由湖南省金融IC卡公共服務(wù)業(yè)運營平臺產(chǎn)生一條根密鑰。第二步：湖南省金融IC卡公共服務(wù)業(yè)運營平臺使用根密鑰根據(jù)銀行代碼分散并導(dǎo)出行業(yè)應(yīng)用系統(tǒng)環(huán)境主密鑰到銀行主密鑰卡，使用根密鑰根據(jù)行業(yè)應(yīng)用AID并導(dǎo)出所有行業(yè)的行業(yè)應(yīng)用初始主密鑰導(dǎo)入到銀行主密鑰卡，通過銀行主密鑰卡將傳遞第三步：各個銀行使用行業(yè)應(yīng)用系統(tǒng)環(huán)境主密鑰根據(jù)卡片UID分散產(chǎn)生行業(yè)應(yīng)用系統(tǒng)環(huán)境(DDF3)第四步：各個銀行使用行業(yè)應(yīng)用初始主密鑰根據(jù)卡片UID分散產(chǎn)生行業(yè)應(yīng)用初始主控密鑰。第五步：各個銀行使用行業(yè)應(yīng)用主密鑰根據(jù)密鑰類型+密鑰索引號分散出行業(yè)應(yīng)用二級主密鑰；第六步：各個銀行使用行業(yè)應(yīng)用二級主密鑰根據(jù)用戶卡應(yīng)用序列號分散出用戶卡行業(yè)應(yīng)用三級密行業(yè)編碼參見附錄E-行業(yè)編碼規(guī)則。5.1.2行業(yè)應(yīng)用發(fā)卡SAM卡密鑰體系結(jié)構(gòu)5行業(yè)應(yīng)用王密鑰(ADF1)密鑰類型+密鑰索引號引號行業(yè)應(yīng)用王密鑰密鑰類型+密鑰索引號列號+引號應(yīng)用序列號+密鑰索主控和維護(hù)主控和第一步：由湖南省金融IC卡公共服務(wù)業(yè)運營平臺產(chǎn)生根密鑰；第二步：使用根密鑰根據(jù)行業(yè)編碼根據(jù)行業(yè)編碼分散并導(dǎo)出所有行業(yè)的行業(yè)應(yīng)用主密鑰；第三步：使用行業(yè)應(yīng)用主密鑰根據(jù)SAM卡應(yīng)用序列號分散出行業(yè)應(yīng)用發(fā)卡SAM卡卡片主控密鑰和卡片維護(hù)密鑰；第四步：使用行業(yè)應(yīng)用主密鑰根據(jù)密鑰類型+密鑰索引號分散出行業(yè)應(yīng)用二級主密鑰；第五步：使用行業(yè)應(yīng)用二級主密鑰根據(jù)SAM卡應(yīng)用序列號分散出行業(yè)應(yīng)用發(fā)卡SAM卡應(yīng)用主控密鑰和應(yīng)用維護(hù)密鑰；第六步：運營平臺使用行業(yè)應(yīng)用主密鑰根據(jù)密鑰類型+密鑰索引號分散出行業(yè)應(yīng)用發(fā)卡SAM卡功能密鑰。交易PSAM卡密鑰生成的密鑰體系結(jié)構(gòu)圖：6引號引號主控和維護(hù)主控和5.1.3.2行業(yè)應(yīng)用交易PSAM卡密鑰生成流程第一步：由湖南省金融IC卡公共服務(wù)業(yè)運營平臺產(chǎn)生一條根密鑰；第二步：使用根密鑰根據(jù)銀行代碼根據(jù)行業(yè)編碼分散并導(dǎo)出所有行業(yè)的行業(yè)應(yīng)用主密鑰；第三步：使用行業(yè)應(yīng)用主密鑰根據(jù)SAM卡應(yīng)用序列號分散出行業(yè)應(yīng)用交易PSAM卡卡片主控密鑰和卡片維護(hù)密鑰；第四步：使用行業(yè)應(yīng)用主密鑰根據(jù)密鑰類型+密鑰索引號分散出行業(yè)應(yīng)用二級主密鑰；第五步：使用行業(yè)應(yīng)用二級主密鑰根據(jù)SAM卡應(yīng)用序列號分散出行業(yè)應(yīng)用交易PSAM卡應(yīng)用主控密鑰和應(yīng)用維護(hù)密鑰；第六步：使用行業(yè)應(yīng)用主密鑰根據(jù)密鑰類型+密鑰索引號分散出行業(yè)應(yīng)用交易PSAM卡功能密鑰。5.2行業(yè)應(yīng)用密鑰關(guān)系表5.2.1平臺統(tǒng)一管理模式行業(yè)應(yīng)用功能密鑰務(wù)業(yè)運營平臺發(fā)卡銀行卡商行業(yè)應(yīng)用行業(yè)應(yīng)用受理終端主控密鑰發(fā)卡行據(jù)卡片UID分散生成密鑰維護(hù)密鑰密鑰應(yīng)用AID生成二級密鑰據(jù)卡片UID分散生成行業(yè)應(yīng)用初始主控密鑰替換行業(yè)應(yīng)用初始主控密鑰編碼、UID生成卡片主控密鑰替換原來的行業(yè)應(yīng)用初始主控密鑰7行業(yè)應(yīng)用功能密鑰務(wù)業(yè)運營平臺發(fā)卡銀行卡商行業(yè)應(yīng)用行業(yè)應(yīng)用受理終端行業(yè)應(yīng)用發(fā)卡密鑰基本文件，其讀寫密鑰平臺用根密鑰根據(jù)行業(yè)引號、用戶卡應(yīng)用序列號(或UID)分散臺管理，終端部署的發(fā)卡SAM卡密鑰采用平臺用根密鑰根據(jù)行業(yè)編碼、密鑰類型+密鑰索引號得到的二級密鑰行業(yè)應(yīng)用交易密鑰卡卡片主控密鑰和卡片維護(hù)密鑰編碼和SAM卡應(yīng)用序列卡應(yīng)用主控密鑰和應(yīng)用維護(hù)密鑰卡應(yīng)用序列號(或UID)分散行業(yè)應(yīng)用功能密鑰務(wù)業(yè)運營平臺發(fā)卡銀行行業(yè)應(yīng)用受理終端主控密鑰發(fā)卡行據(jù)卡片UID分散生成密鑰維護(hù)密鑰密鑰應(yīng)用AID生成二級密鑰替換行業(yè)應(yīng)用初始主控密鑰主控二級密鑰(指定行業(yè))及算法給行業(yè)行業(yè)方生成卡片主控密鑰替換原始主控密鑰卡密鑰(基本文件創(chuàng)建由行業(yè)完成)的主控密鑰，自行創(chuàng)建文件及管理密鑰行業(yè)自行管理發(fā)卡和文件和寫密鑰。易密鑰控密鑰和維護(hù)密鑰用主控密鑰和應(yīng)用維護(hù)密鑰85.3行業(yè)應(yīng)用密鑰分散算法定義5.3.1行業(yè)應(yīng)用系統(tǒng)環(huán)境主密鑰由湖南省金融IC卡公共服務(wù)業(yè)運營平臺根密鑰根據(jù)銀行代碼進(jìn)行分散而來。分散因子規(guī)定為：8位的銀行代碼的ASSIC,例如建行的銀行代碼是01055500,則分?jǐn)?shù)因子為3031303535353030。5.3.2行業(yè)應(yīng)用系統(tǒng)環(huán)境主控密鑰和維護(hù)密鑰由行業(yè)應(yīng)用系統(tǒng)環(huán)境主密鑰根據(jù)卡片UID分散而來。分散因子規(guī)定為：4個字節(jié)的芯片唯一號+000000+1個字節(jié)的密鑰類型，共計8字節(jié)。(密鑰類型，參見第一部分附錄A,0-主控1-維護(hù))5.3.3行業(yè)應(yīng)用主密鑰由湖南省金融IC卡公共服務(wù)業(yè)運營平臺根密鑰根據(jù)4字節(jié)的行業(yè)編碼的ASSIC進(jìn)行分散而來。行業(yè)編碼參見附錄E行業(yè)編碼規(guī)則。5.3.4行業(yè)應(yīng)用初始主密鑰由湖南省金融IC卡公共服務(wù)業(yè)運營平臺根密鑰根據(jù)行應(yīng)用應(yīng)用AID分散而來。分散因子規(guī)定為：5.3.5行業(yè)應(yīng)用二級主密鑰由行業(yè)應(yīng)用主密鑰根據(jù)密鑰類型+密鑰索引號進(jìn)行分散而來。分散因子規(guī)定為：000000000000+1個字節(jié)的密鑰類型+1個字節(jié)的密鑰索引號。5.3.6行業(yè)應(yīng)用初始主控密鑰由行業(yè)應(yīng)用初始主密鑰根據(jù)卡片UID分散而來。分散因子規(guī)定為：00000000+4個字節(jié)的卡片UID,共計8字節(jié)。5.3.7行業(yè)應(yīng)用三級功能密鑰由行業(yè)應(yīng)用二級主密鑰根據(jù)用戶卡應(yīng)用序列號分散而來。分散因子規(guī)定為：應(yīng)用序列號的后8個字5.3.8行業(yè)應(yīng)用SAM卡主控密鑰和維護(hù)密鑰由行業(yè)應(yīng)用主密鑰根據(jù)SAM卡應(yīng)用序列號分散而來。分散因子規(guī)定為：應(yīng)用序列號的后8個字節(jié)。5.4行業(yè)應(yīng)用非對稱密鑰體系結(jié)構(gòu)為保證系統(tǒng)兼容性和將來應(yīng)用擴(kuò)展，預(yù)留非對稱密6湖南省金融IC卡行業(yè)應(yīng)用密鑰管理系統(tǒng)要求密鑰管理是系統(tǒng)安全的核心，涉及到密鑰的生成、發(fā)密鑰生成，根據(jù)用戶輸入采用特定的密鑰輸入算法產(chǎn)生系統(tǒng)所需要的密鑰；9密鑰備份、恢復(fù)，提供系統(tǒng)密鑰的備份和恢復(fù)功能，以便于在系統(tǒng)崩潰時對系統(tǒng)密鑰進(jìn)行恢復(fù)；6.1密鑰的生成為保證密鑰的安全，防止密鑰泄露。在密鑰生成時，應(yīng)采a)密鑰生成采用硬件加密的方式；b)密鑰生成的環(huán)境應(yīng)保證安全；c)密鑰生成過程應(yīng)嚴(yán)格執(zhí)行密鑰管理相關(guān)操作規(guī)程。a)不可重復(fù)的密鑰生成：隨機(jī)過程，生成不可恢復(fù)的密鑰，每次的數(shù)值不相同；b)可重復(fù)的密鑰生成：密鑰變換、密鑰衍生；而且密鑰的生成是可以重復(fù)的，在需要的情況下能不重復(fù)生成的密鑰采用隨機(jī)產(chǎn)生的方法生成，由系統(tǒng)隨機(jī)產(chǎn)生這些密鑰，寫入安全存取模塊保存，可重復(fù)生成的密鑰采用密鑰變換或密鑰衍生的方法生成，確保密鑰變換或密鑰衍生的過程安全。6.2密鑰的發(fā)行密鑰的發(fā)行采用階梯生成、下發(fā)方式，即由上一級生成下一級所需的各種卡片的形式傳遞給下一級。在行業(yè)應(yīng)用系統(tǒng)環(huán)境的應(yīng)用主控密鑰的控制下裝載行業(yè)應(yīng)用的應(yīng)用主控密鑰。6.2.3密鑰發(fā)行的安全技術(shù)使用傳輸密鑰控制業(yè)務(wù)主密鑰的加密裝載、加密導(dǎo)出、6.3密鑰的更新當(dāng)密鑰的生命周期結(jié)束或系統(tǒng)密鑰泄露后，需DB43/T877.2—2014附錄A(規(guī)范性附錄)安全算法MAC是使用命令中的所有的元素(包含命令頭)產(chǎn)生的。MAC是命令數(shù)據(jù)域中最后一個數(shù)據(jù)元，它的長度為4個字節(jié)。MAC的計算方法如下：第一步：終端向IC卡發(fā)出一個GetChallenge命令，從IC卡回送的4字節(jié)隨機(jī)數(shù)后綴以00000000,所得到的結(jié)果作為初始值。第二步：按照順序?qū)⒁韵聰?shù)據(jù)連接在一起形成數(shù)據(jù)塊：——CLA,INS,P1,P2,Lc+4,Data——必須置CLA的后半字節(jié)為4——在命令的數(shù)據(jù)域中(如果存在)包含明文或加密的數(shù)據(jù)第三步：將該數(shù)據(jù)塊分成8字節(jié)為單位的數(shù)據(jù)塊，標(biāo)號為D1,D2,D3,D4等，最后的數(shù)據(jù)塊有可能是1-8個字節(jié)。第四步：如果最后的數(shù)據(jù)塊長度是8字節(jié)的話，則在其后加上16進(jìn)制數(shù)字8000000000000000,轉(zhuǎn)到第五步。如果最后的數(shù)據(jù)塊長度不足8字節(jié)的話，則在其后加上16進(jìn)制數(shù)字80,如果達(dá)到8字節(jié)長度，則轉(zhuǎn)入第五步；否則在其后加入16進(jìn)制數(shù)字0直到長度達(dá)到8字節(jié)。第五步：對這些數(shù)據(jù)塊使用相應(yīng)的密鑰進(jìn)行加密。根據(jù)密鑰的長度采用SingleDES或TripleDES。第六步：最終得到是從計算結(jié)果左側(cè)取得的4字節(jié)長度的MAC。進(jìn)行DES加密進(jìn)行DES加密16字節(jié)密鑰的進(jìn)行DES加密圖A.1用長度為16字節(jié)的密鑰產(chǎn)生MACA.2數(shù)據(jù)加密計算8字節(jié)的數(shù)據(jù)塊8字節(jié)密鑰K8字節(jié)密鑰K8字節(jié)加密后的數(shù)8字節(jié)的數(shù)據(jù)塊16字節(jié)密鑰的左半部分進(jìn)行DES加密16字節(jié)密鑰的右半16字節(jié)密鑰的左半部分進(jìn)行DES加密8字節(jié)加密后的數(shù)第一步：將命令數(shù)據(jù)域中的數(shù)據(jù)塊分解成8字節(jié)長的數(shù)據(jù)塊，標(biāo)號為D1,D2,D3,D4等等。每個K使用SingleDES的數(shù)據(jù)解密如果采用雙長度數(shù)據(jù)加密的DEA密鑰，則數(shù)據(jù)塊的解密如圖16所示(使用數(shù)據(jù)加密過程密鑰A和BB來進(jìn)行解密)。8字節(jié)解密后的數(shù)第二步：計算結(jié)束后，所有解密后的數(shù)據(jù)塊依照順序(解密后的D1,解密后的D2,等等)鏈接在一起。數(shù)據(jù)塊由LD,明文數(shù)據(jù)，填充字符組成。第三步：因為LD表示明文數(shù)據(jù)的長度，因此，它被用來恢復(fù)明文數(shù)據(jù)。DB43/T87圖A.6基于單長度DEA密鑰的過程密鑰的產(chǎn)生KEY(左半部分)?KEY(左半部分)?KEY(右半部分)?KEY(右半部分)?KEY(左半部分)?KEY(左半部分)?單長度過程密鑰?圖A.7基于雙長度DEA密鑰的過程密鑰的產(chǎn)生A.5密鑰分散計算簡稱Diversify,是指將一個雙長度的密鑰MK,對分散數(shù)據(jù)進(jìn)行處理，推導(dǎo)出一個雙長度的密鑰——將分散數(shù)據(jù)的最右16個數(shù)字作為輸入數(shù)據(jù)；——將MK作為加密密鑰；——將分散數(shù)據(jù)的最右16個數(shù)字求反，作為輸入數(shù)據(jù)；——將MK作為加密密鑰；A.6國密算法(規(guī)范性附錄)B.1定義和范圍值b7:0——密文方式導(dǎo)出，1——明文方式導(dǎo)出b6:0——分散方式導(dǎo)出，1——直接方式導(dǎo)出b5--b0:保護(hù)密鑰(類型為2E)的標(biāo)識b6--b0:導(dǎo)出密鑰的標(biāo)識數(shù)據(jù)長度數(shù)據(jù)B.3命令報文數(shù)據(jù)域命令報文數(shù)據(jù)域可能包括的數(shù)據(jù)有：參數(shù)+8字節(jié)MAC初始值+8字節(jié) 參數(shù)的格式為TLV格式，其中T的長度為4字節(jié)，L的長度為1字節(jié)，即V部分的長度，可以為0到8的值，V為L字節(jié)的后續(xù)數(shù)據(jù)(L為0時可以不存在)。例如，如果計劃使用該命令導(dǎo)出的密鑰裝入PSAM卡，則參數(shù)的格式為84D4000003密鑰用途(1字節(jié))密鑰標(biāo)識(1字節(jié))算法標(biāo)識(1字節(jié)),這里的密鑰用途、密鑰版本以及算法標(biāo)識指的是準(zhǔn)備安裝到PSAM卡上密鑰的屬性，而非PSAM當(dāng)使用密文分散導(dǎo)出方式時，命令報文數(shù)據(jù)域包括以上所列的當(dāng)使用密文直接導(dǎo)出方式時，命令報文數(shù)據(jù)域不包括8字節(jié)分散序列號數(shù)據(jù)元。當(dāng)使用明文分散導(dǎo)出時，P1的最高位為1,其他位必須設(shè)置為0,數(shù)據(jù)域只包括8字節(jié)的分散序列導(dǎo)出密鑰的密鑰用途字節(jié)的低4位必須全為1(即密鑰類型為0F),字節(jié)的高3位為000時，可以執(zhí)行分散或直接導(dǎo)出，密鑰用途字節(jié)的為高3位為001時，僅能執(zhí)行分散導(dǎo)出，算法標(biāo)識最高位為1使用該指令進(jìn)行密鑰導(dǎo)出時，使用到的保護(hù)密鑰的類型TYPE=0E(Hex),保護(hù)密鑰類型字節(jié)中的高三位000不分散，001一級分散；在PSAM母卡中，保護(hù)密鑰的標(biāo)識不能為04。保護(hù)序列號、分散序列號即保護(hù)密鑰、導(dǎo)出密鑰進(jìn)行分散時DB43/T877.2—2014明文進(jìn)行變換，變換的結(jié)果作為密鑰寫入EEPROM。舉例：響應(yīng)報文產(chǎn)生的過程如下：SK=Diversify(保護(hù)密鑰，PID)[16字節(jié)]——分散算法明文分散導(dǎo)出的命令如下：響應(yīng)報文包括以下數(shù)據(jù)：密文直接導(dǎo)出的命令如下：80F640001884響應(yīng)報文產(chǎn)生的過程如下：使用條件不滿足(額度文件錯誤/應(yīng)用鎖定)文件未找到不正確的INS參數(shù)P1、P2不正確沒有找到密鑰附錄C(規(guī)范性附錄)C.1銀行統(tǒng)一管理C.1.1密鑰系統(tǒng)的建立目標(biāo)由發(fā)卡銀行統(tǒng)一管理行業(yè)應(yīng)用，發(fā)行湖南省金融IC卡、行業(yè)應(yīng)用發(fā)卡SAM卡和行業(yè)應(yīng)用交易PSAM卡。行業(yè)應(yīng)用發(fā)卡SAM卡和行業(yè)應(yīng)用交易PSAM卡部署到相應(yīng)的終端，持卡人持有湖南省金融IC卡即可在行業(yè)終端進(jìn)行發(fā)卡和交易操作。C.1.2密鑰系統(tǒng)的主要功能發(fā)卡銀行統(tǒng)一管理密鑰系統(tǒng)的主要功能有以下幾點：a)根據(jù)不同的行業(yè)應(yīng)用分散不同的行業(yè)應(yīng)用主密鑰；d)密鑰備份和恢復(fù)；e)實現(xiàn)安全審計。C.1.3密鑰系統(tǒng)卡片處理流程第一步：由卡商進(jìn)行用戶卡的預(yù)個人化和個人化，寫入金融支付應(yīng)用數(shù)據(jù)和目錄；第二步：由發(fā)卡銀行進(jìn)行創(chuàng)建行業(yè)應(yīng)用系統(tǒng)環(huán)境下的文件、替換行業(yè)應(yīng)用系密鑰和裝載應(yīng)用維護(hù)密鑰；第三步：由發(fā)卡銀行創(chuàng)建行業(yè)應(yīng)用文件目錄、裝載行業(yè)應(yīng)用三級主控密鑰和行業(yè)應(yīng)用三級功能密鑰；第四步：由發(fā)卡銀行進(jìn)行行業(yè)應(yīng)用發(fā)卡SAM卡和行業(yè)應(yīng)用交易PSAM卡的發(fā)卡和管理；第五步：由發(fā)卡銀行將用戶卡和SAM卡提供給行業(yè)合作方，完成用戶卡的發(fā)卡。C.2銀行與行業(yè)合作方聯(lián)合管理模式C.2.1銀行級密鑰管理系統(tǒng)C.2.1.1密鑰系統(tǒng)功能銀行級密鑰管理系統(tǒng)主要實現(xiàn)的功能有以下幾點：a)根據(jù)不同的行業(yè)應(yīng)用分散不同的行業(yè)應(yīng)用主密鑰；b)根據(jù)不同的行業(yè)應(yīng)用分散不同的行業(yè)應(yīng)用主控制密鑰；c)行業(yè)應(yīng)用系統(tǒng)環(huán)境的建立及其密鑰替換和裝載、行業(yè)應(yīng)用目錄的建立及行業(yè)應(yīng)用三級主控密鑰的裝載；d)密鑰備份和恢復(fù)；e)實現(xiàn)安全審計。C.2.1.2密鑰系統(tǒng)卡片處理流程第三步：由發(fā)卡銀行根據(jù)行業(yè)應(yīng)用AID分散導(dǎo)出行業(yè)應(yīng)用主密鑰或者行業(yè)應(yīng)用三級主控密鑰。如果要導(dǎo)出行業(yè)應(yīng)用三級主控密鑰和行業(yè)主應(yīng)用密鑰。C.2.2行業(yè)級導(dǎo)入密鑰管理系統(tǒng)C.2.2.1密鑰系統(tǒng)功能a)導(dǎo)入發(fā)卡銀行提供的行業(yè)應(yīng)用三級主控密鑰和行業(yè)應(yīng)用主密鑰。b)建立行業(yè)應(yīng)用文件結(jié)構(gòu)并替換和裝載密鑰。d)實現(xiàn)行業(yè)應(yīng)用發(fā)卡的功能。C.2.2.2密鑰系統(tǒng)卡片處理流程第一步：行業(yè)合作方導(dǎo)入發(fā)卡銀行提供的行業(yè)應(yīng)用三級主控密鑰和行業(yè)應(yīng)用主密鑰；第二步：行業(yè)合作方根據(jù)行業(yè)應(yīng)用三級主控密鑰進(jìn)行行業(yè)應(yīng)用目錄的權(quán)限認(rèn)證；第三步：行業(yè)合作方建立行業(yè)應(yīng)用文件結(jié)構(gòu)并替換第四步：行業(yè)合作方發(fā)行行業(yè)應(yīng)用發(fā)卡SAM卡和行業(yè)應(yīng)用交易PSAM卡；第五步：行業(yè)應(yīng)用使用發(fā)卡SAM卡完成行業(yè)應(yīng)用目錄的發(fā)卡。C.2.3行業(yè)級自建密鑰管理系統(tǒng)C.2.3