SJL06技术白皮书.docx
- 文档编号:7288964
- 上传时间:2023-01-22
- 格式:DOCX
- 页数:11
- 大小:96KB
SJL06技术白皮书.docx
《SJL06技术白皮书.docx》由会员分享,可在线阅读,更多相关《SJL06技术白皮书.docx(11页珍藏版)》请在冰豆网上搜索。
SJL06技术白皮书
文档密级:
公开浏览
编号:
版本:
金融数据密码机
SJL06E
技术白皮书
江南计算机技术研究所
2005年10月
目录
1.功能说明1
1.1.基本功能1
1.1.1.用户密码(PIN)加密/验证功能1
1.1.2.数据加密/解密功能1
1.1.3.随机数产生功能1
1.1.4.消息验证码(MAC)产生/严整功能1
1.1.5.用户个人密码(PIN)信封打印功能1
1.1.6.密钥信封打印功能2
1.1.7.密钥防护功能2
1.2.扩展功能2
1.2.1.数字签名/验证功能2
1.2.2.数据摘要产生/验证功能2
1.2.3.密钥管理功能2
1.2.4.IC卡发卡功能3
1.2.5.多线程支持及性能扩展3
2.技术指标3
2.1.硬件指标3
2.1.1.外观3
2.1.2.性能3
2.2.软件指标4
2.2.1.包含的密码算法4
2.2.2.通信协议方式4
2.2.3.实现的应用4
2.2.4.密钥库容量4
2.2.5.通信速率5
3.支持标准5
4.设备特点7
5.应用说明7
5.1.应用环境7
5.2.适用范围8
5.3.典型应用8
1.概要
SJL06系列加密机是有江南计算技术研究所专门针对金融行业的特殊要求设计开发的基于应用的硬件密码设备。
其以保护证金融交易中用户密码(PIN)不被任何人非法获取(保密性)和保证金融信息在交易过程中的完整性为核心,建立了一套完整的安全体系,完全能够满足中国银联以及VISA、MASTER等国际金融组织对金融交易的各种安全要求。
SJL06E金融数据密码机是SJL06系列密码机的高端产品。
该密码机和和业务主机通过TCP/IP协议连接,具有处理能力高、性能稳定、功能完善等特点,特别适用于银联中心、各商业银行数据中心、区域中心、省中心等业务量较大业务系统适用,并且还采用了汉字的提示界面,更适用于中国人的使用习惯。
2.功能说明
2.1.基本功能
2.1.1.用户密码(PIN)加密/转换/验证功能
金融系统中对用户个人密码的安全性保护是极为重要,在金融业务中要求用户PIN明文不能出现在硬件加密设备以外的任何地方(包括主机)。
(1)PIN加密标准:
SJL06E金融数据加密机对个人密码的加密支持国内外多种标准的PINBLOCK格式。
包括有:
ANSIX9,8、Docutel、NCR、IBM、ISO95641等等。
(2)PIN转换功能:
在业务中间各节点可以使用SJL06E加密机中完成PIN密文的密钥和PIN加密机格式的转换功能,保证PIN明文不会输出加密机。
(3)PIN校验功能:
SJL06E加密机支持PIN密文校验、PIN OFFSET(IBM3624)、PVV等多种PIN校验功能。
(4)PIN加/解密功能:
PIN加/解密功能与“用户PIN明文不能出现在硬件加密设备以外的任何地方”的安全要求是有冲突的,因而SJL06E对该功能的使用进行限制仅当用户因为特殊情况需要时提供,且只在加密机进入授权状态后才能使用。
2.1.2.数据加密/解密功能
SJL06E金融数据密码机提供对一个数据串进行加密/解密功能,可以用来对报文、磁道信息等数据进行安全保护,主要加密模式包括:
(1)ECB:
电子密码本模式
(2)CBC:
密码分组链接模式
(3)CFB:
密码反馈模式
(4)OFB:
输出反馈模式
2.1.3.随机数产生功能
SJL06E金融数据密码机使用专门随机数发生器产生密钥种子,然后根据相关算法对密钥的特殊要求进行转换得到符合算法要求的密钥,并根据ANSIX9.17标准进行密钥管理。
2.1.4.消息验证码(MAC)产生/验证功能
SJL06E金融数据密码机提供XOR方式、ANSIX9.9方式、ANSIX9.19方式等等目前国内外用到的多种消息认证方法。
2.1.5.卡安全校验功能
SJL06E金融数据加密机支持VISACVV(卡校验值)和AmericanExpress CSC(卡安全码)等卡安全校验功能。
2.1.6.用户个人密码(PIN)信封打印功能
SJL06E金融数据密码机可以直接连接一台串口或并口针式打印机用来提供对用户个人密码的信封打印功能。
PIN由加密机随机产生,明文打印到密码信封上交由客户打开获取,而加密机返回业务主机的是PIN密文或PIN OFFSET。
2.1.7.密钥信封打印功能
SJL06E金融数据密码机可以直接连接一台串口或并口针式打印机用来提供对密码机随机产生密钥的信封打印功能。
加密机返回业务主机密钥密文,在密钥信封上根据设定的密钥成份个数(可以多达9个),每个信封打印一个密钥成份交相应安全管理员进行密钥分发。
2.2.扩展功能
2.2.1.RSA密钥产生
SJL06E支持硬件RSA密钥生成功能。
用户可以指定生成RSA密钥的长度以及存储方式。
SJL06E加密机内可以保存20组RSA密钥,在加密机外存放的RSA密钥使用LMK加密保存。
2.2.2.RSA算法加密/解密功能
SJL06E加密机支持RSA算法使用公钥加密和私钥解密的加/解密算法。
2.2.3.数字签名/验证功能
SJL06E金融数据密码机提供基于RSA算法的数字签名和认证功能,可用于证书生成和验证、身份认证等。
2.2.4.数据摘要产生/验证功能
SJL06E金融数据密码机提供MD5、SHA1等摘要算法,运算速度快。
2.2.5.密钥管理功能
SJL06E加密机同时支持64、128、192bits对称密钥,能够实现DES、3-DES的兼容共存,并且参照ANSIX9.17提供严格而灵活的密钥管理机制,能够确保密钥产生、分发、注入、销毁和备份等密钥生存周期全过程的安全。
(1)密钥产生:
加密机可随机产生或以成份的方式由用户安全管理员背靠背产生并以成份方式(支持9个成份)输入加密机,在加密机外仅仅存放密钥的密文。
用户输入密钥可以选择从加密机操作面板或使用管理软件两种方式。
(2)密钥分发:
在进行密钥分发时必须保证密钥的安全性和可靠性,SJL06E加密机支持一下密钥分发方式:
i下一级密钥通过加密机由上一级密钥加密输出来分发。
ii用非对称密钥加密输出来分发。
Iii将密钥成份打印到密码信封上,安全管理员分发密钥成份
(3)密钥注入:
密钥可以通过指定的密钥卡注入到加密机中,也可通过加密机面板或相应管理软件来输入到加密机中。
(4)密钥销毁:
可以通过面板来销毁加密机中的所有密钥。
(5)密钥备份:
密码机上的主密钥可以备份在IC中(双卡备份)。
2.2.6.IC卡发卡功能
SJL06E金融数据密码机可以实现金融IC卡、社保IC卡以及中石化IC加油卡等的交易和发卡功能。
2.2.7.EMV2000功能支持
SJL06E在RACAL兼容版本中完全实现了EMV2000功能,能够满足发卡时的个人化要求以及交易过程中的认证需求。
主要包括各种RSA算法功能以及以下功能:
ØIC卡的内外部认证机制
ØIC卡的密钥的分散机制
Ø交易完整性验证(TAC)的产生、验证
ØARQC/TC/AAC的认证功能
ØARPC的产生
2.2.8.多线程支持及性能扩展
SJL06E金融数据密码机提供支持多线程、多任务和性能扩展,在高性能使用环境中,可多机并行工作。
2.3.安全控制:
2.3.1.加密机操作安全
1)加密机口令:
SJL06E加密机具有两个可修改的加密机口令,对加密机进行任何操作都必须首先正确输入两个加密机口令。
2)IC卡:
加密机根据版本不同配备2-3张专用IC卡,每张IC卡具有一个可以修改的口令。
通过面板对加密机进行操作必须使用相应的IC卡。
2.3.2.主机连接访问安全
在SJL06E中有一个合法用户IP清单,对每一个应用连接请求SJL06E都首先进行IP地址验证,只有合法的IP地址才可以对加密机进行访问。
2.3.3.关于授权功能
SJL06E提供的功能中有一部分是只有在一些特定情况下才使用并且它的使用会降低系统的安全性,我们称它为敏感命令。
SJL06E仅仅在授权状态下才提供敏感命令。
对加密机进行授权必须同时使用相应IC卡和加密机口令。
另外我们可以根据用户要求对该类命令进行特殊处理,如:
删除PIN明文处理功能等。
3.技术指标
3.1.硬件指标
3.1.1.外观
(1)显示屏:
8行×16字符/4行X8汉字
(2)尺寸:
482.6mm×426.6mm×106mm
(3)颜 色:
标准颜色414C
(4)重量:
16Kg
(5)外壳结构:
重工业钢
3.1.2.性能
(1)工作电压:
220V25%、50HZ
(2)功耗:
270W
(3)可靠性:
MTBF>45,000h
(4)工作温度:
室温0°C-45°C
(5)存储温度:
室温0°C-45°C
3.1.3.通信接口
(1)主机接口:
RJ-45以太网接口,速率10M/100M自适应
(2)管理接口:
RS-232接口,连接加密机管理终端,也可以进行业务处理
(3)打印机接口:
RS-232串行接口和并行接口各一,连接密钥或PIN打印机
3.2.性能指标
3.2.1.包含的密码算法
SJL06E密码机内部包含多种国际标准算法和国内金融专用算法,具体如下:
(1)DES:
ANSIX.392和X3.106标准;
(2)3DES:
ANSIX9.52标准;
(3)SSF33:
经国家密码管理委员会办公室认证的专用金融密码算法
(4)SSF09:
经国家密码管理委员会办公室认证的专用金融密码算法
(5)RSA:
PKCS#1
3.2.2.实现的应用
SJL06E密码机可以实现以下几种应用:
(1)磁条卡应用
(2)IC卡应用
(3)国际卡应用
(4)RACAL兼容应用
3.2.3.密钥库容量
SJL06E密码机根据具体的应用版本不同密钥提供了不同的密钥库容量,其典型数据为:
(1)密码机主密钥:
1组
(2)RSA密钥:
20个
(3)其它密钥:
4096个192bits长度密钥
3.2.4.处理能力
加密机处理能力和业务主机、通讯网络等有关,以下数据仅供参考:
测试环境:
●测试主机:
PC机/PⅢ650/内存128M
●操作系统:
WINDOWS2000。
●加密机与主机接口:
100M以太网接口。
●连接方式:
用交叉网线将加密机与测试机直接相连。
1)将一个PIN从192bits密钥加密转换到使用64bits密钥加密:
>11000次/秒
2)按照ANSIX9.19对144位数据计算MAC:
>10000次/秒
3)1024长RSA密钥进行数字签名:
>60次/秒
4)1024长RSA密钥进行数字签名验签:
>800次/秒
4.支持标准
SJL06E金融是数据密码机参考和支持的标准有:
ISO8730:
1990 Requirementsformessageauthentication(wholesale)
ISO8731-1:
1987 Approvedalgorithmsformessageauthentication--Part1:
DEA
ISO8731-2:
1992 Approvedalgorithmsformessageauthentication--Part2:
Messageauthenticatoralgorithm
ISO8732:
1988 Keymanagement(wholesale)
ISO9564-1:
2002 PersonalIdentificationNumber(PIN)managementandsecurity--Part1:
BasicprinciplesandrequirementsforonlinePINhandlinginATMandPOSsystems
ISO9564-2:
1991 PersonalIdentificationNumbermanagementandsecurity--Part2:
Approvedalgorithm(s)forPINencipherment
ISO9807:
1991 Bankingandrelatedfinancialservices--Requirementsformessageauthentication(retail)
ISO10126-1:
1991 Proceduresformessageencipherment(wholesale)--Part1:
Generalprinciples
ISO10126-2:
1991 Proceduresformessageencipherment(wholesale)--Part2:
DEAalgorithm
ISO11568-1:
1994 Keymanagement(retail)--Part1:
Introductiontokeymanagement
ISO11568-2:
1994 Keymanagement(retail)--Part2:
Keymanagementtechniquesforsymmetricciphers
ISO11568-3:
1994 Keymanagement(retail)--Part3:
Keylifecycleforsymmetricciphers
ISO11568-4:
1998 Keymanagement(retail)--Part4:
Keymanagementtechniquesusingpublickeycryptosystems
ISO11568-5:
1998 Keymanagement(retail)--Part5:
Keylifecycleforpublickeycryptosystems
ISO11568-6:
1998 Keymanagement(retail)--Part6:
Keymanagementschemes
ISO13491-1:
1998 Securecryptographicdevices(retail)--Part1:
Concepts,requirementsandevaluationmethods
ISO13491-2:
2000 Securecryptographicdevices(retail)--Part2:
Securitycompliancechecklistsfordevicesusedinmagneticstripecardsystems
ISO13492:
1998 Keymanagementrelateddataelement(retail)
ISO15782-1:
2003 Certificatemanagementforfinancialservices--Part1:
Publickeycertificates
ISO15782-2:
2001 Certificatemanagement--Part2:
Certificateextensions
ISO/TR17944:
2002 Securityandotherfinancialservices--Frameworkforsecurityinfinancialsystems
ANSIX3.92–1981 DataEncryptionAlgorithm
ANSIX9.52–1998 TripleDataEncryptionAlgorithm:
ModesofOperation
ANSIX3.106-1983 DataEncryptionAlgorithm,ModesofOperations,1983.
ANSIX9.17–1995 FinancialInstitutionKeyManagement(Wholesale)standard.
ANSIX9.91986 FinancialInstitutionMessageAuthentication
ANSIX9.191986 FinancialInstitutionRetailMessageAuthentication
ANSIX9.24–1998 FinancialServices-KeyManagementUsingtheDEA
ANSIX9.24 RetailFinancialServicesSymmetricKeyManagementPart1:
UsingSymmetricTechniques
5.设备特点
✧支持多种通信协议。
✧支持多种算法保密机制
✧具有密钥库的自动维护功能。
两种密钥管理方式:
PC机上的密钥管理;IC卡的密钥管理。
包括密钥的生产、分发、注入和销毁。
✧密码机具有完善的掉电密钥保护功能及非法操作时的密钥销毁功能。
✧具有完善的系统监测功能,可监测密码机硬件及软件的运行状态,并可对故障进行自动恢复,恢复无效时能够自动报警。
✧可以通过软件、硬件来设置、检测各部分的功能,设定系统的运行参数,具有较完善的人机界面。
✧丰富的接口功能。
✧能方便地满足用户各类需求,具有很好的扩展性。
✧运算速度快:
执行一次DES分组运算只需要2微妙。
6.应用说明
6.1.应用环境
SJL06E金融数据密码机安装在局域网内部,与应用服务器采用10M/100M以太网连接。
SJL06E金融数据密码机有自己独立的IP地址。
SJL06E金融数据密码机可用于提供TCP/IP通信协议的各类系统平台的主机(IBMAIX、DigitalUNIX、HPUNIX、SUNSolaris、SCOUNIX、LINUX、WINDOWS)上。
SJL06E金融数据密码机也可构成集群,一台主机服务器调用多台密码机完成数据加密运算功能,可实现多机热备、负载均衡等功能。
6.2.适用范围
SJL06E金融数据密码机用于计算机网络加密、消息来源正确性验证、密要管理等,为计算机网络提供安全保密的数据通信服务,防止网上欺诈行为的发生。
可以应用于银行、证券、社会保障、邮政、税务、海关、交通及商贸等行业和部门。
6.3.典型应用
SJL06E金融数据密码机在金融安全系统中的应用
商业银行的网络拓补图
在银行系统中,为了保证用户个人密码的安全性和数据传输的完整性,需要对用户个人密码进行加密和数据传输MAC的验证。
SJL06E金融数据密码机提供了对用户个人密码的加密和数据传输MAC的验证功能,确保了用户个人密码不被窃取和传输数据不被篡改。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- SJL06 技术 白皮书