多層秘鑰體系在POS刷卡支付領域中的應用

URLOS 發布于2019-08-16 18:29 / 1676人閱讀

摘要：前言刷卡交易屬于傳統的支付領域。本文以刷卡信息上送到支付平臺為例，介紹多層秘鑰體系的應用。是加密機最頂層秘鑰，保密級別最高，稱之為本地主密鑰。下圖體現的是一套四層的秘鑰體系，加密機可以使用加密產生，使用加密產生，使用可以加密產生。

前言

POS刷卡交易屬于傳統的支付領域。在移動支付微信/支付寶的沖擊下，刷卡支付的市場份額在逐漸萎縮，畢竟手機掃一掃比拿個銀行卡刷卡輸密方便多了。雖然移動支付大行其道，但是刷卡支付仍然有其存在的必要性，至少在大額支付領域仍然需要依賴刷卡支付。在使用磁條卡或者芯片卡進行刷卡交易時，必然涉及到敏感信息的傳輸，必然涉及到加密，而加密必然涉及到秘鑰。如何管理秘鑰的使用范圍以及保障秘鑰的傳輸安全，是加密過程中的重中之重。

本文來源于我的博客網站http://51think.net

一、關注點

我們可以把支付流程分成兩三個部分，如下圖，POS設備進行刷卡，將刷卡信息上送給支付平臺，支付平臺再將交易信息上送給銀行。

兩個信息上送階段均涉及到信息的加密傳輸，加密的原理是一致的，加密中所使用的秘鑰結構需要符合銀聯的安全規范要求。本文以刷卡信息上送到支付平臺為例，介紹多層秘鑰體系的應用。先了解幾個名詞術語：
1、加密機

 加密機是一個硬件設備，具備加密、加密、秘鑰管理等功能，它將加解密的操作全部封裝在硬件里，具備很強的抗攻擊能力。

2、PIN信息

  持卡人的個人標識碼，即銀行卡密碼。PIN信息在整個支付鏈路中都是以密文的方式存在，在POS設備中，PIN信息手動輸入后直接到硬件層進行加密，黑客無法劫持。

3、LMK/ZMK/TMK

 LMK是加密機最頂層秘鑰，保密級別最高，稱之為本地主密鑰。LMK一般是由不同的人保管著不同的秘鑰分量，然后不同的保管員在加密機分別輸入自己保管的那一部分并合成一個LMK，沒有人能夠知道LMK的全部信息。ZMK（Zone Master Key）可以理解為區域主密鑰，TMK（Terminal Master Key）可以理解為終端收單主密鑰。LMK/ZMK/TMK均屬于保護秘鑰，保護秘鑰是用來加密保護工作秘鑰的，分層管理，不涉及到加密報文。

4、收單主密鑰

  收單主密鑰在本例中稱之為TMK，用來加密保護工作秘鑰，簽到時由服務器端ZMK加密產生。

5、工作密鑰(workKey)

  工作秘密是真正用來加密敏感信息的秘鑰，包含pin秘鑰、mac秘鑰以及data秘鑰。比如pin秘鑰用來加密銀行卡密碼信息，mac秘鑰用來保障報文的完整性，data秘鑰用來加密銀行卡里的磁道信息。

6、設備主秘鑰(devKey)

   設備主秘鑰是集成在POS硬件設備里的，作用和加密機的LMK類似。POS設備在出廠之前，需要從支付機構獲取到設備主秘鑰明文灌裝到設備里。如果受到暴力攻擊，設備主秘鑰可以自動銷毀。

二、多層秘鑰體系

之所以稱之為多層秘鑰體系，是因為在這種模式下，可以根據安全復雜度要求，設置多層嵌套，層層保護，可以是三層，也可以是四層。下圖體現的是一套四層的秘鑰體系，加密機可以使用LMK加密產生ZMK，使用ZMK加密產生TMK，使用TMK可以加密產生pinKey、dataKey、macKey 。

由此可以看出，LMK需要絕對安全，否則所有的秘鑰將會泄密。可否簡化成三層？我們嘗試把ZMK這一層刪除：

由LMK直接加密產生收單主密鑰TMK，只要LMK絕對安全，這樣分層也是可以的。但是這種情況下，收單秘鑰過于依賴LMK，不方便大規模的秘鑰管理。如果加入了ZMK這一層，我們可以在邏輯層面上，將每個POS廠商分配一個ZMK，即使某個廠商的ZMK被泄露了，其他廠商也不會受到影響。如下圖：

三、秘鑰傳輸過程

從上文得知，TMK作為收單主密鑰是用來加密保護工作秘鑰的。那我們如何將TMK安全的送達到POS終端？這里必然涉及到網絡傳輸，而網絡傳輸必然會面臨著報文被劫持的風險，所以TMK一定是密文的形式返回給POS終端。由此得知，我們需要一個新的秘鑰用來加密TMK且這個新的秘鑰也存在于POS終端，這個新的秘鑰我們稱之為設備秘鑰。在POS設備出廠前，POS廠商使用API接口的方式從支付平臺得到設備秘鑰，然后灌裝到設備硬件里。有了設備秘鑰，后面的簽到流程就可以解密相關秘鑰了。如下圖：

在POS設備中，維護這如下的秘鑰關系：

何為簽到?簽到是銀聯的POS交易規范流程中的術語，在本例中，我們使用簽到流程從支付平臺獲取收單主密鑰和工作秘鑰。支付平臺控制這兩個秘鑰的生命周期，如果過期，則會產生新的收單主密鑰和工作秘鑰返回給POS終端。原則上工作秘鑰的過期時間為一天，即使有黑客花費高昂代價解密了工作秘鑰，第二天秘鑰就會作廢。

GPU云服務器云服務器區塊鏈在金融領域的應用 fpga在云服務器領域的應用分析在深度學習中的應用機器學習在企業中的應用

文章版權歸作者所有，未經允許請勿轉載,若此文章存在違規行為，您可以聯系管理員刪除。

轉載請注明本文地址：http://m.specialneedsforspecialkids.com/yun/75175.html

Java 類文章 - 收藏集 - 掘金

摘要：而調用后端服務就應用了的高級特分布式配置管理平臺后端掘金輕量的分布式配置管理平臺。關于網絡深度解讀后端掘金什么是網絡呢總的來說，網絡中的容器們可以相互通信，網絡外的又訪問不了這些容器。在 Java 路上，我看過的一些書、源碼和框架（持續更新） - 后端 - 掘金簡書占小狼轉載請注明原創出處，謝謝！如果讀完覺得有收獲的話，歡迎點贊加關注物有本末，事有終始，知所先后，則近道矣 ......

RayKr 2019-08-16 10:37 評論0 收藏0
不談業務運維的IT主管早晚被淘汰這里是10條干貨

摘要：由此可見，一旦從傳統的技術運維上升到業務運維，發揮的作用出乎意料，而這正是的未來所在。這不是由廠商驅動的，而是業內趨勢有關。業務運維關注的是業務，是從用戶的視角出發，關注點不同。業務運維有三個方面。業務運維已經進入應用階段。大數網吳玉征先說個真實的故事。前...

Kahn 2019-05-28 17:00 評論0 收藏0
習輝：如何構建現代化的金融云服務體系

摘要：下面金融信息化研究所習輝副所長給我們帶來怎么構建現代化的金融云服務體系，就會涉及到這方面的內容。金融業做供給側改革的時候已經認識到我們的供給是不足的，我們提出構建多層次金融服務體系，需要組織架構來保障，我們需要更多的金融服務機構。李曉楓：謝謝小徐，關于銀行上云我啰唆兩句，白皮書提出中小銀行上云應該走行業云模式，大銀行，全國股份制銀行、商業銀行走的是自建私有云，技術路線是雙核，一個核是IOE，...

bladefury 2019-04-30 11:34 評論0 收藏0