加密機(jī)使用手冊(cè)

1、SHJ0902加密機(jī)使用手冊(cè)U意&廣州江南科友科技股份有限公司2010-01unionii江南科支目錄第章支付務(wù)密碼機(jī)簡(jiǎn)介4.1.1 密碼機(jī)的功能4.1.2 密碼機(jī)的技術(shù)特點(diǎn)4.1.3 密碼機(jī)的技術(shù)指標(biāo)5.1.4 密碼機(jī)的外形結(jié)構(gòu)5.第二章支付服務(wù)密碼機(jī)的使用6.2.1 密碼機(jī)的配套清單6.2.2 密碼機(jī)的安裝7.2.2.1 安裝步驟7.2.2.2 密碼機(jī)的初始化.7.2.2.3 注入密鑰7.2.3 密碼機(jī)各部分的說(shuō)明8.2.3.1 IC卡插座8.2.3.2 密鑰銷毀鎖8.2.3.3 機(jī)倉(cāng)后部的鎖8.2.3.4 蜂鳴器8.2.4 密碼機(jī)的接口8.2.5 注意事項(xiàng)9.第三章密鑰管理啞終端使用說(shuō)明

2、1.03.1使用說(shuō)明10第四章加密機(jī)配置1.14.1 設(shè)置加密機(jī)IP1.14.2 查看、添加和刪除客戶端IP1.14.3 設(shè)置加密常用設(shè)置124.4 查看加密機(jī)IP地址、網(wǎng)關(guān)和子網(wǎng)掩碼12unionl江南科支第五章超級(jí)管理員，管理員和維護(hù)權(quán)限1.35.1 加密機(jī)權(quán)限分類135.2 進(jìn)入相應(yīng)管理權(quán)限狀態(tài)135.3 超級(jí)管理員，管理員以及維護(hù)員的權(quán)限。135.3.1 超級(jí)管理員權(quán)限135.3.2 管理員權(quán)限135.3.3 維護(hù)員管理員權(quán)限145.5制作三種權(quán)限卡1.45.5.1 IC卡的格式化145.5.2 超級(jí)管理員卡的制作154.5.3管理員權(quán)限卡的制作175.5.4維護(hù)員權(quán)限卡的制作18第六

3、章密鑰注入1.96.1 加載主密鑰1.96.2 注入功能密鑰206.2.1 產(chǎn)生隨機(jī)的功能密鑰206.2.2 產(chǎn)生密鑰命令FK02.16.2.3 明文分量類索引密鑰注入22附錄24附錄1所有終端命令功能表24附錄2LMK25附錄3密鑰類型表27第一章支付服務(wù)密碼機(jī)簡(jiǎn)介支付服務(wù)密碼機(jī)是用于銀行卡網(wǎng)絡(luò)系統(tǒng)的支持多進(jìn)程的主機(jī)節(jié)點(diǎn)數(shù)據(jù)密碼機(jī)，直接與主機(jī)相連接，以規(guī)定的協(xié)議通訊。此密碼機(jī)設(shè)計(jì)可靠，結(jié)構(gòu)合理，使用方便，外型美觀。1.1 密碼機(jī)的功能支付服務(wù)密碼機(jī)是金融網(wǎng)絡(luò)安全系統(tǒng)的重要組成部分之一，主要的功能是實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)上傳輸?shù)男畔⑦M(jìn)行保護(hù)或鑒別，以保證金融信息的正確性，能夠有效防止對(duì)通信數(shù)據(jù)的非法竊取或

4、篡改。1.2 密碼機(jī)的技術(shù)特點(diǎn)?用于TCP/IP協(xié)議。?所有密鑰庫(kù)的自動(dòng)維護(hù)功能，包括密鑰的產(chǎn)生、分發(fā)、注入和銷毀。支持啞終端密鑰管理方式。?密碼機(jī)具有完善的密鑰保護(hù)功能，即使掉電，也能保護(hù)好密鑰不被丟失；另外還有非法操作時(shí)的密鑰銷毀功能。?具有完善的系統(tǒng)監(jiān)測(cè)功能，可監(jiān)測(cè)密碼機(jī)硬件及軟件的運(yùn)行狀態(tài)，并可對(duì)故障進(jìn)行自動(dòng)恢復(fù)。?可以通過(guò)軟件、硬件來(lái)設(shè)置、檢測(cè)各部分的功能，設(shè)定系統(tǒng)的運(yùn)行參數(shù)，具有完善的人機(jī)交互界面1.3 密碼機(jī)的技術(shù)指標(biāo)接口方式：RJ/45及RS-232傳輸速率：10M/100M/1G自適應(yīng)工作電壓：220V25%、50HZ功耗：85W可靠性：MTBF40,000h1.4 密碼機(jī)的

5、外形結(jié)構(gòu)圖一：密碼機(jī)前視圖說(shuō)明1、IC卡插座此處是管理密碼機(jī)的IC卡的插入口2、密鑰銷毀鎖緊極時(shí)可銷毀密鑰3、電源燈當(dāng)密碼機(jī)接通電源時(shí)，電源燈亮4、工作燈當(dāng)密碼機(jī)正進(jìn)行加、脫密等安全處理時(shí)，加密燈亮5、報(bào)警燈當(dāng)密碼機(jī)處于非正常狀態(tài)時(shí)，報(bào)警燈亮，并伴有報(bào)警聲圖二：密碼機(jī)后視圖說(shuō)明1、電源開(kāi)關(guān)按鈕控制對(duì)密碼機(jī)的電2、交流電源插座3、機(jī)倉(cāng)后鎖技術(shù)人員由此打開(kāi)機(jī)箱維護(hù)密碼機(jī)（用戶請(qǐng)勿私自打開(kāi)，否則可能造成嚴(yán)重后果）4、RS-232C9芯插座25、TCP/IP接口26、TCP/IP接口17、并口（接并口打印機(jī)用）8、RS-232C9芯插座1第二章支付服務(wù)密碼機(jī)的使用2.1密碼機(jī)的配套清單?密碼機(jī)一臺(tái)?使

6、用說(shuō)明書一本?220狡流電源線一根?IC卡一套（6張）?串口線一根62.2.1 安裝步驟第一步密碼機(jī)通過(guò)TCP/IP接口與主機(jī)連接，即可進(jìn)入生產(chǎn)環(huán)境。第二步固定好線纜的兩端，以保證其良好的接觸和安全。第三步接上220V的交流電源線，打開(kāi)密碼機(jī)交流電源開(kāi)關(guān)。2.2.2 密碼機(jī)的初始化在啞終端上進(jìn)行如下初始化（連接方法見(jiàn)第3章）：為密碼機(jī)分配IP地址、網(wǎng)關(guān)及子網(wǎng)掩碼；為密碼機(jī)分配一個(gè)通信端口；為密碼機(jī)分配一個(gè)客戶；為密碼機(jī)設(shè)置PIN長(zhǎng)度、消息頭長(zhǎng)度、字符編碼等。2.2.3 注入密鑰密碼機(jī)在使用之前應(yīng)先注入密鑰。如果沒(méi)有注入密鑰，密碼機(jī)起動(dòng)后會(huì)報(bào)警。在啞終端上進(jìn)行如下操作：（方法見(jiàn)第3章）完成密碼機(jī)

7、三張超級(jí)權(quán)限卡的制作，再?gòu)娜龔埑?jí)權(quán)限卡中導(dǎo)入主密鑰三個(gè)成份，在密碼機(jī)中自動(dòng)合成主密鑰。2.3.1 IC卡插座密碼機(jī)采用推推式IC卡座。將密碼機(jī)專用卡的觸片面向上、向前,按照IC卡上標(biāo)示的方向，對(duì)準(zhǔn)插座方向適當(dāng)用力推入即可操作，再輕推一下即可彈出，此時(shí)才可以拔出IC卡。2.3.2 密鑰銷毀鎖用于銷毀密鑰。銷毀密鑰時(shí)，先將密碼機(jī)電源關(guān)閉，然后密鑰銷毀鎖轉(zhuǎn)至銷毀狀態(tài)，1秒后密鑰銷毀。2.3.3 機(jī)倉(cāng)后部的鎖用來(lái)固定機(jī)倉(cāng)。2.3.4 蜂鳴器密碼機(jī)內(nèi)部還裝有蜂鳴器，用于異常時(shí)報(bào)警或者在有些操作過(guò)程中給予聲音提示。2.4密碼機(jī)的接口密碼機(jī)有3個(gè)接口：2個(gè)以太網(wǎng)口，1個(gè)串口密碼機(jī)必須注入密鑰才能正常工作。

8、嚴(yán)禁帶電打開(kāi)密碼機(jī)的機(jī)倉(cāng)和撥/插通信線纜。嚴(yán)禁強(qiáng)電流、高電壓對(duì)密碼機(jī)的沖擊。密碼機(jī)不能正常工作時(shí)，請(qǐng)?zhí)詈帽Ｐ迒?，及時(shí)與供應(yīng)商聯(lián)系，以便進(jìn)行檢查、維修。若IC卡損壞，嚴(yán)禁隨便丟棄，必須交還給配發(fā)單位，由配發(fā)單位統(tǒng)一處理。第三章密鑰管理啞終端使用說(shuō)明3.1使用說(shuō)明打開(kāi)密碼機(jī)前請(qǐng)用密碼機(jī)配套串口線纜連接啞終端串口和密碼機(jī)COM端口（CONSOLE口）。連接方法：用啞終端連接線纜連接PC機(jī)的串口和密碼機(jī)的COM端口。測(cè)試過(guò)程中用PC機(jī)上Windows自帶的“超級(jí)終端”軟件，模擬啞終端。在Windows桌面環(huán)境下依次點(diǎn)擊：開(kāi)始所有程序，附件通信,超級(jí)終端,運(yùn)行“超級(jí)終端”。超級(jí)終端設(shè)置：9600bps、

9、8位數(shù)據(jù)位、1位停止位、無(wú)奇偶校驗(yàn)位。10unin江南科友第四章加密機(jī)配置4.1 設(shè)置加密機(jī)IP超級(jí)終端與加密機(jī)連接好，在HSM-AUTH3提示符下執(zhí)行l(wèi)ist命令，將會(huì)顯示加密機(jī)自帶的所有終端命令：aacnacyadbccardcardkeyccchcheckcheckkeyckclearallkeyclscopycpcsctcvdesecfcfkgchelphistoryipivkakbkekeykgkilistlkloloadmkloadtestkeyltkmkmkadministermksupermkworkerportprinterprtpvpwqhqprandrcrebootren

10、ewsfverwk在HSM-AUTH提示符下執(zhí)行IP命令：HSM-AUTH3ipEnterIPaddress:10.8.2.8EnterDefaultGateway:10.8.2.254EnterSubnetmask:255.255.255.0按回車鍵，加密機(jī)IP設(shè)置成功4.2 查看、添加和刪除客戶端IP在HSM-AUTH提示符下執(zhí)行ct命令:11union卷江南科支1. 192.168.1.2442. 200.200.200.244Addaclient/Deleteaclient/deleteallClientsA/D/C:選擇A、DC完成客戶端IP的添加和刪除。4.3 設(shè)置加密常用設(shè)置在H

11、SM-AUTH提示符下執(zhí)行ch命令:該命令功能設(shè)置PIN長(zhǎng)度,消息頭長(zhǎng)度，打印方式以及字符編碼方式。HSM-AUTH3chPinLength4-12:6MessageHeaderLength0-99:0PrinterResponse1-2:1Ascii/Ebcdic/IBM5250A/E/I:APassword/ClearP/C:P4.4 查看加密機(jī)IP地址、網(wǎng)關(guān)和子網(wǎng)掩碼在HSM-AUTH提示符下執(zhí)行qh命令：當(dāng)執(zhí)行qp后，加密機(jī)輸出如下信息：HSM-AUTH3qpIPaddress:10.8.2.8DefaultGateway:10.8.2.254Subnetmask:255.255.25

12、5.012第五章超級(jí)管理員，管理員和維護(hù)權(quán)限5.1 加密機(jī)權(quán)限分類由于加密機(jī)的終端命令涉及到加密機(jī)的密鑰以及加密機(jī)的相關(guān)配置，從安全方面考慮，加密機(jī)管理權(quán)限分3種：超級(jí)管理員，管理員以及維護(hù)權(quán)限。不同權(quán)限身份的管理人員對(duì)加密機(jī)執(zhí)行的操作不同。5.2 進(jìn)入相應(yīng)管理權(quán)限狀態(tài)當(dāng)用超級(jí)終端連接加密機(jī)時(shí)，默認(rèn)的是維護(hù)管理員權(quán)限，如果要進(jìn)入超級(jí)管理員和管理員全選，需要執(zhí)行終端命令a,按照提示插入IC卡，輸入IC卡口令的過(guò)程中，加密機(jī)會(huì)計(jì)算出IC中的校驗(yàn)值與密碼機(jī)中存儲(chǔ)的校驗(yàn)值做比較，然后進(jìn)入相應(yīng)的管理權(quán)限狀態(tài)。5.3 超級(jí)管理員，管理員以及維護(hù)員的權(quán)限。5.3.1 超級(jí)管理員權(quán)限超級(jí)管理員擁有最高權(quán)限，能

13、執(zhí)行所有的終端命令。（終端命令功能見(jiàn)附錄1）5.3.2 管理員權(quán)限管理員權(quán)限能執(zhí)行加密了提供的大部分終端命令，權(quán)限如下：a,b,c,card,cc,ch,check,ckeckkey,ck,cls,ct,cv,des,ec13unionii江南科支fc,fk,gc,ip,iv,ka,kb,ke,key,kg,ki,mkworker,port,printer,prt,pv,pw,qh,qp,rand,rc,ver,wk,history5.3.3 維護(hù)員管理員權(quán)限維護(hù)員權(quán)限很低，只能執(zhí)行僅有的幾條終端命令，權(quán)限如下：a,card,check,checkkey,des,history,qh,qp,r

14、and,rc,ver這些終端命令基本上是一些查看加密機(jī)相關(guān)設(shè)置的命令。5.5制作三種權(quán)限卡5.5.1 IC卡的格式化在制作權(quán)限卡之前，必選將IC卡格式化，格式化終端命令fc,示例如下：HSM-AUTH3fcSomethinginthecard,Continue?Y/N:YCardpin:*RetypeCardpin:*EnterdateYYMMDD:090225EntertimeHHMMSS:220000EnterIssuerID:0000EnterUserID:0000Formatsuccess!14unioni江南科支在格式化的過(guò)程中，對(duì)IC卡設(shè)置了密碼，這個(gè)密碼卡片持有人必須記住，因?yàn)樵?/p>

15、后面制作權(quán)限卡的時(shí)候會(huì)要求輸入卡密碼。5.5.2 超級(jí)管理員卡的制作制作超級(jí)管理員權(quán)限卡其實(shí)也就是制作加密機(jī)主密鑰的一個(gè)過(guò)程，在執(zhí)行mksuper命令后，會(huì)要求輸入3個(gè)分量，三個(gè)分量分別存儲(chǔ)在三張IC里面，做好密鑰備份工作。加密機(jī)加載主密鑰執(zhí)行l(wèi)oadmk命令，加密機(jī)會(huì)提示按順序插入三張超級(jí)管理員卡，因此在制作超級(jí)管理員卡的時(shí)候必須記住IC卡的次序，且在有幾臺(tái)加密機(jī)的情況下必須標(biāo)明每套卡與加密機(jī)的對(duì)應(yīng)關(guān)系。超級(jí)管理員卡制作步驟如下所示：HSM-AUTH3mksuperRmkcomponent1:*RetypeRmkcomponent1:*Rmkcomponent2:*RetypeRmkcomp

16、onent2:*Rmkcomponent3:*15uniori江南科支RetypeRmkcomponent3:*Insertthesupercard1andpressENTER.Card1PIN:*component1checkvalue:82E13665B4624DF5Makethesupercard1success!Insertthesupercard2andpressENTER!Card2PIN:*Sorry,passworderror!remaintimeis2Insertthesupercard2andpressENTER!Card2PIN:*component2checkvalue

17、:8CA64DE9C1B123A7Makethesupercard2success!Insertthesupercard3andpressENTER!Card3PIN:*component3checkvalue:8CA64DE9C1B123A7Makethesupercard3success!16unionl江南科支4.5.3管理員權(quán)限卡的制作將格式化的IC卡插入加密機(jī)，執(zhí)行mkadminister終端命令，力密機(jī)提示輸入Cardl密碼，當(dāng)密碼輸入正確后加密返回管理權(quán)限卡的校驗(yàn)值，這個(gè)校驗(yàn)值將存入加密機(jī)，以后身份驗(yàn)證就是跟這個(gè)校驗(yàn)值有關(guān)系。管理員權(quán)限卡的制作過(guò)程如下：HSM-AUTH3mkad

18、ministerInserttheadministercard1andpressENTER!administercard1PIN:*Makeadministercard1now!Pleasewaitfor.Cardcheckvalue:F44D424C2DD75AE9Maketheadministercard1success!NewHsmPassword4:*RetypeNewHsmPassword4:*HsmPassword4SetOk!Inserttheadministercard2andpressENTER!administercard2PIN:*Makeadministercard2n

19、ow!Pleasewaitfor.Cardcheckvalue:D86F0CF403ECCDA4Maketheadministercard2success!17uni9no江南科支NewHsmPassword5:*RetypeNewHsmPassword5:*HsmPassword5SetOk!HSM-AUTH3mkwokermkwoker:commandnotfound!5.5.4維護(hù)員權(quán)限卡的制作將格式化后的IC卡插入加密機(jī)，執(zhí)行終端命令mkworker,然后按加密機(jī)提示輸入信息。制作過(guò)程如下：HSM-AUTH3mkworkerInserttheworkercardandpressENTE

20、R!workercardPIN:*Makeworkercardnow!Pleasewaitfor.Cardcheckvalue:0A410D6c7702F77AMaketheworkercardsuccess!NewHsmPassword6:*RetypeNewHsmPassword6:*HsmPassword6SetOk!18江南科友第六章密鑰注入6.1 加載主密鑰加載主密鑰后，下次重啟連接PC超級(jí)終端將是維護(hù)員權(quán)限，如果加密機(jī)是加載的測(cè)試密鑰，則再次重啟加密機(jī)連接PC超級(jí)終端將是超級(jí)管理員權(quán)限。加密機(jī)投入運(yùn)行時(shí)，必須先制作超級(jí)管理員卡和裝載MK由于DES算法依靠某一個(gè)密鑰進(jìn)行加密，同時(shí)所有

21、密鑰和數(shù)據(jù)都經(jīng)由MKS行加密，所以MK必須通過(guò)一種安全的方法生成和維護(hù)。主密鑰的加載方式是：在PC的超級(jí)終端執(zhí)行LOADMK令，然后按提示插入超級(jí)管理員卡和輸入密鑰（超級(jí)管理員卡的制作見(jiàn)4.5.2）。注意：插入超級(jí)管理員卡必須按制卡順序插入IC卡。加載主密鑰的步驟如下：先制作超級(jí)管理員卡！用卡合成主密鑰！HSM-AUTH3loadmkInsertthesupercard1andentercard1Pin:NewHsmPassword1:RetypeNewHsmPassword1:HsmPassword1SetOk!19union江南科支component1checkvalue:82E13665

22、B4624DF5Insertthesupercard2andentercard2Pin:*NewHsmPassword2:*RetypeNewHsmPassword2:*HsmPassword2SetOk!component2checkvalue:8CA64DE9C1B123A7Insertthesupercard3andentercard3Pin:*NewHsmPassword3:*RetypeNewHsmPassword3:*HsmPassword3SetOk!component3checkvalue:8CA64DE9C1B123A7RMKcheckvalue:82E13665B4624D

23、F56.2 注入功能密鑰功能密鑰的注入是通過(guò)PC超級(jí)終端執(zhí)行ec或者gc終端命令生成，key終端命令用于注入索引類功能密鑰。6.2.1 產(chǎn)生隨機(jī)的功能密鑰gc命令是隨機(jī)產(chǎn)生指定的功能密鑰,LMKg見(jiàn)附錄220Keylength1/2/3:2Keytype:001ClearComponent:16EC6215E6B30B892AB3AB79021937C2EncryptedComponent:A11ED73B46CCD10B54D680A726D3E779Keycheckvalue:BAD194B693384D99SHJ0902密鑰的產(chǎn)生需要用超級(jí)終端輸入指令產(chǎn)生6.2.2 產(chǎn)生密鑰命令FK。啞

24、終端命令FK,以明文或者密文方式產(chǎn)生各類(64/128/192)密鑰，LMKg見(jiàn)附錄2。在非變種下用明文合成ZMKHSM-AUTH3fkKeylength64/128/1921/2/3:1Keytype:000ComponentTypeClear/EncryptedC/E:CEnternumberofComponents(2-9):2Entercomponent1:*Entercomponent2:*是否變種加密Y/N:NEncryptedKey:98E73A903C24DDFBKeycheckvalue:8CA64DE9C1B123A721在變種下用明文合成ZMKHSM-AUTH3fkKey

25、length64/128/192(1/2/3:1Keytype:000ComponentTypeClear/EncryptedC/E:CEnternumberofComponents(2-9):2Entercomponent1:*ErrorInput,Thedataisshortorlong!Entercomponent1:*Entercomponent2:*是否變種加密Y/N:YEncryptedKey:98E73A903C24DDFBKeycheckvalue:8CA64DE9C1B123A76.2.3 明文分量類索引密鑰注入啞終端命令key,注入密鑰后將對(duì)密鑰進(jìn)行奇偶校驗(yàn)處理HSM-AU

26、TH3keyKeylength64/1281/2:2Keyindex:099EnternumberofComponents(2-9):222ErrorInput,Thedataisshortorlong!Entercomponentl:*Reentercomponent1:*Entercomponent2:*Reentercomponent2:*Keycheckvalue:82E13665B4624DF523附錄附錄1所有終端命令功能表終端命令功能a進(jìn)入身份驗(yàn)證b用ZMK密文產(chǎn)生ZPK在LMK和ZMK下力口密的密文和校驗(yàn)值c進(jìn)入維護(hù)管理員身份card查看卡片校驗(yàn)值ec輸入密鑰明文經(jīng)加密機(jī)加密后

27、輸出密文和校驗(yàn)值（輸入密鑰類型和明文的時(shí)候是/、可見(jiàn)的）kg輸入ZMK密文，產(chǎn)生各類型密鑰并在LMK和ZMK下加密fk以明文或者密文方式產(chǎn)生各類（64/128/192）密鑰gc隨機(jī)數(shù)生成各種密鑰，并輸入密鑰明文和密文以及校驗(yàn)值rand產(chǎn)生隨機(jī)密鑰并輸出校驗(yàn)值Ka隨機(jī)產(chǎn)生PVK和CVK的A,B兩部分在LMK下加密的密文和校驗(yàn)值kb將pvk和cvk的A,B兩部分從LMK加密轉(zhuǎn)換到ZMK下加密，并輸出校驗(yàn)值ivpvk和cvk的A,B兩部分從ZMK加密轉(zhuǎn)換到LMK下加密，輸出密文和校驗(yàn)值ck計(jì)算密鑰校驗(yàn)值pv產(chǎn)生pvvke將密鑰從LMK加密轉(zhuǎn)到ZMK加密ki將密鑰從ZMK下加密轉(zhuǎn)到LMK下加密key以分量方式產(chǎn)生（64或128）索引下的密鑰（奇校驗(yàn)處理）scb2key以分量方式產(chǎn)生（64或128）索引下的密鑰（無(wú)奇校驗(yàn)處理）24lk=loadmk加載主密鑰ltk=loadtestkey加載測(cè)試密鑰MK輸入主密鑰并導(dǎo)入IC卡pw更改HSM和IC的pinrc輸入密碼是不顯示輸入域，查看卡片信息wk制作維護(hù)權(quán)限卡fc格式化IC卡（在做身份認(rèn)證卡前必須先格式化IC卡）ad制作管理員權(quán)限卡qh查看力密機(jī)的常用設(shè)置qp查看加密機(jī)IP和網(wǎng)關(guān)以及子網(wǎng)掩碼ver查看加密機(jī)版本信息reboot重啟