SJL05金融數(shù)據(jù)加密機 用戶手冊

1、SJL05 金融數(shù)據(jù)加密機 1.0 0 成都衛(wèi)士通信息產(chǎn)業(yè)股份有限 公司 目目 錄錄 1產(chǎn)品概述產(chǎn)品概述.1 2設(shè)備清單設(shè)備清單.1 3產(chǎn)品介紹產(chǎn)品介紹.2 3.1主要功能.2 3.2技術(shù)指標(biāo).4 3.3密碼體制.4 3.4工作方式.4 3.5兼容標(biāo)準.4 3.6環(huán)境要求.4 3.7物理特性.5 4設(shè)備安裝設(shè)備安裝.5 4.1安裝條件.5 4.2密碼機示意圖.5 4.3密碼機硬件安裝方法.6 4.4控制臺終端管理程序安裝方法.7 5控制臺控制臺終終端操作端操作.8 5.1基本信息.8 5.1.1版本查看.8 5.2參數(shù)設(shè)置.9 5.2.1打印端口配置.9 5.2.2交易端口配置.10 5.2.

2、3特殊授權(quán)控制.11 5.2.4設(shè)置通信格式.12 5.3網(wǎng)絡(luò)配置.13 5.3.1安全訪問設(shè)置.13 5.3.2設(shè)置密碼機 IP 地址.17 5.3.3設(shè)置密碼機路由.20 5.4密鑰管理.23 5.4.1密鑰注入.23 5.4.2本地主密鑰校驗值.32 5.4.3密鑰備份恢復(fù).32 5.5密鑰產(chǎn)生.34 5.5.1隨機密鑰.34 5.6口令和令牌管理.35 5.6.1key 操作.35 5.7恢復(fù)出廠設(shè)置.37 5.7.1銷毀密鑰.37 附附錄錄 A 密密碼碼機提示音機提示音.38 1產(chǎn)品概述產(chǎn)品概述 SJL05 金融數(shù)據(jù)加密機是由衛(wèi)士通信息產(chǎn)業(yè)股份有限公司研制的國內(nèi)第一 種符合中國人民銀

3、行金融 IC 卡規(guī)范(PBOC)的專用于我國“金卡工程”的基于 主機的新型計算機網(wǎng)絡(luò)通信數(shù)據(jù)加密機。該產(chǎn)品于 1997 年率先通過由國家密碼 管理委員會組織的專家鑒定。鑒定委員會一致認為：“SJL05 金融數(shù)據(jù)加密機 設(shè)計合理，技術(shù)先進，適用范圍廣，保護措施可靠，操作使用方便，技術(shù)資料 齊備，整體技術(shù)達到國內(nèi)先進水平，填補了我國 ATM/POS 金融數(shù)據(jù)加密設(shè)備 的空白，具有推廣應(yīng)用價值” 。SJL05 在設(shè)計時采用國際領(lǐng)先的技術(shù)，幾年來， 公司根據(jù)客戶要求，不斷對產(chǎn)品進行完善，提供友好的用戶界面，已成為銀行 聯(lián)網(wǎng)工程中，替代 Racal、Atalla 等國外加密設(shè)備的首選國內(nèi)產(chǎn)品。 SJL0

4、5 實現(xiàn)了聯(lián)機交易環(huán)境中需要的所有加密、解密及其他安全功能，主 要用于各地金融信息系統(tǒng)，尤其是對進行跨行交易的 ATMPOS 聯(lián)網(wǎng)信息系統(tǒng) 提供數(shù)據(jù)加密與安全保護，同時廣泛用于證券、商貿(mào)、郵電、稅收、保險等計 算機網(wǎng)絡(luò)系統(tǒng)中，為計算機網(wǎng)絡(luò)系統(tǒng)提供安全保密數(shù)據(jù)的通信服務(wù)，防止網(wǎng)上 的各種欺詐行為發(fā)生。 加密機屬于敏感的電子設(shè)備，安裝和使用 SJL05 前請仔細閱讀本手冊，對 需要特別注意的地方，手冊中將盡量加以提醒。 2設(shè)備清單設(shè)備清單 請檢查包裝箱內(nèi)下列物品是否齊全，若有缺件，請與我們聯(lián)系； 名稱名稱數(shù)量數(shù)量 SJL05 金融數(shù)據(jù)加密機壹臺 直通以太網(wǎng)線(灰色)兩根 交叉以太網(wǎng)線(藍色)兩根

5、產(chǎn)品合格證壹張 裝箱清單壹張 電源線壹根 用戶手冊壹本 用戶 Key陸個 光盤壹張 注：本清單僅提供參考，具體以包裝箱中的裝箱清單為準。注：本清單僅提供參考，具體以包裝箱中的裝箱清單為準。 3產(chǎn)品產(chǎn)品介紹介紹 3.1 主要功能主要功能 SJL05 主要用于各地銀行金融信息系統(tǒng)，尤其是對進行跨行交易的 ATM/POS 聯(lián)網(wǎng)信息系統(tǒng)提供數(shù)據(jù)加密與安全保護。除此之外，還可廣泛用于證 券、商貿(mào)、郵電、稅收、保險等計算機網(wǎng)絡(luò)系統(tǒng)中，為計算機網(wǎng)絡(luò)系統(tǒng)提供安 全保密數(shù)據(jù)通信服務(wù)，防止網(wǎng)上的各種欺詐行為發(fā)生。 SJL05 在金卡網(wǎng)絡(luò)中的配置如下圖所示： SJL05 支持如下功能： 由硬件完成數(shù)據(jù)加解密 對 P

6、IN 的加/解密、驗證及轉(zhuǎn)發(fā) 消息來源正確性驗證（MAC）的產(chǎn)生、驗證及轉(zhuǎn)發(fā) 交易正確性驗證（TAC）的產(chǎn)生、驗證 PVV、CVV 計算和驗證等 利用 SJL05 能有效防止通信信道上的主動攻擊行為。在金融網(wǎng)絡(luò)中，線路 上傳輸?shù)乃袛?shù)據(jù)全是經(jīng)加密機加密后的密文，明文只在加密機內(nèi)部出現(xiàn)，所 有的密鑰也保存在加密機內(nèi)部，可有效防止內(nèi)外部人員的攻擊。 下面以有中心模式的跨行交易中個人身份號 PIN 在 ATM/POS 網(wǎng)絡(luò)的傳輸 為例，個人身份號 PIN 從收卡行到交換中心再由交換中心到發(fā)卡行受校驗流程 大致如下： PIN 在 ATM/POS 跨行交易的流程 其中： 顧客輸入私人密碼 傳送被 ATM

7、/POS 加密的私人密碼 收卡行轉(zhuǎn)換私人密碼 傳送被收卡行加密的私人密碼 交換中心轉(zhuǎn)換私人密碼 傳送被交換中心轉(zhuǎn)換后的私人密碼 發(fā)卡行校驗私人密碼 (1)顧客輸入私 人密鑰 發(fā)卡行 金卡中心收卡行 POS ATM (6) (2) (4) (3) (5) (7) 3.2 技術(shù)指標(biāo)技術(shù)指標(biāo) 3.3 密碼體制密碼體制 完整的安全保密體系結(jié)構(gòu) 支持 DES、3DES、RSA、Double-one-way 算法和經(jīng)國家主管部門審定 批準的 SMS3-01 金融專用密碼算法 CBC 加密方式同時實現(xiàn)保密性與完整性 完善的密鑰管理系統(tǒng) 3.4 工作方式工作方式 Ethernet：10M/100M/1000M

8、 自適應(yīng) TCP/IP 3.5 兼容標(biāo)準兼容標(biāo)準 SJL05 完全兼容以下標(biāo)準: ANSI X3.92 數(shù)據(jù)加密算法 ANSI X9.9 信息鑒別 ANSI X9.8 PIN 的管理與安全 ANSI X9.17 密鑰管理 ANSI X9.19 零售金融信息的鑒別 多種 ATM 機用戶密碼格式 中國人民銀行金融 IC 卡規(guī)范（PBOC 規(guī)范） 3.6 環(huán)境要求環(huán)境要求 工作溫度：040 存貯溫度：4055 相對濕度：20%80% 電壓：220V10%, 50Hz3% 3.7 物理特性物理特性 外 型：臥式機箱； 體積尺寸： 430 mm400mm 88 mm 整機凈重： 8Kg 4設(shè)備安裝設(shè)備安

9、裝 4.1 安裝條件安裝條件 安裝密碼機前，請確認滿足以下條件： 1. 接收設(shè)備與裝箱清單明細對應(yīng)且完好無損； 2. 密碼機電源開關(guān)處于斷開位置； 3. 一臺安裝有 WINDOWS 系統(tǒng)的 PC 機； 4. 確保輸入電源電壓穩(wěn)定在 220V10%范圍內(nèi)。 4.2 密碼機示意圖密碼機示意圖 密碼機前面板如下圖所示： 圖 1 前面板示意圖 A： LOGO B：設(shè)備名稱 C： 電源指示燈 D： 狀態(tài)指示燈 E： USB1 F： USB2 G： 控制口 A B DGEFC 圖 2 后面板示意圖 A： 電源插座 B： 電源開關(guān)C： 電源風(fēng)扇 D： 觸發(fā)開關(guān) E： 串口（打印口） F： USB 口G： 散

10、熱孔H： 網(wǎng)口I： 機箱鎖J： 加密卡 K： 毀鑰孔L：接地柱 4.3 密碼機硬件安裝方法密碼機硬件安裝方法 1.將密碼機放在機柜里，并固定； 2.連接通信線纜。TCPIP 通信接口：將隨機提供的網(wǎng)線一端與密碼機 背后的 ETH1 連接，另一條網(wǎng)線與密碼機的 ETH4 連接。網(wǎng)線的另一 端插入集線器交換機或者是主機提供的以太網(wǎng)口。注意，如果另一 端接集線器或交換機時，應(yīng)使用直通網(wǎng)線，如果另一端接主機的以太 網(wǎng)口，應(yīng)使用交插網(wǎng)線。確認電源開關(guān)處于斷開狀態(tài)后，連接電源線。 注意：如果電源開關(guān)處于閉合狀態(tài)，由于插入電源插頭的瞬間高壓作 用，可能損壞設(shè)備或縮短使用壽命。 3.打開電源開關(guān)。此時前面板的

11、電源狀態(tài)燈紅色，打開觸發(fā)開關(guān)。 4.約數(shù)秒鐘后，系統(tǒng)檢測加密機狀態(tài)，并開始加載系統(tǒng)，狀態(tài)指示燈紅 色。 5.系統(tǒng)加載完畢后，密碼機一聲長響，狀態(tài)指示燈橙色，此時表明系統(tǒng) 已加載完畢。密碼機間隔 1 秒長響一聲，可插入開機 key，初次啟動連 接控制臺終端，根據(jù)提示插入開機 KEY，插入 KEY 后開機認證，進 入維護狀態(tài)，可以通過控制臺管理密碼機，并隨時可以選擇進入工作 狀態(tài)（或者直接進入工作狀態(tài)） 。 ABCDEFGHIJK L 4.4 控制臺終端管理程序安裝方法控制臺終端管理程序安裝方法 控制臺終端管理程序是應(yīng)用于 SJL05 金融數(shù)據(jù)加密機的一個終端控制臺應(yīng) 用程序，用于對密碼機的網(wǎng)絡(luò)參

12、數(shù)配置、密鑰管理以及系統(tǒng)控制信息進行交易 處理前的配置和管理。該軟件需要運行在 win2k/xp 的操作系統(tǒng)中，支持 TCP/IP 通信方式對密碼機進行遠程控制操作。 安裝：運行安裝光安裝：運行安裝光盤盤中的中的 “Setup.exe”,安裝控制臺終端管理。 運行方式運行方式：安裝控制臺終端管理的 PC 機連通密碼機 ETH4 網(wǎng)口，ETH4 網(wǎng) 口 IP 地址 192.168.1.1，點擊應(yīng)用程序圖標(biāo)終終端管理程序端管理程序.exe，程序顯示下圖所 示初始化界面： 圖 3. 圖 4. 管理終端主界面 主界面中包含有七個功能標(biāo)簽頁，分別為:基本信息基本信息、參數(shù)參數(shù)設(shè)設(shè)置置、網(wǎng)網(wǎng)絡(luò)絡(luò)配置配置、

13、 密密鑰鑰管理、密管理、密鑰產(chǎn)鑰產(chǎn)生、口令和令牌管理、恢復(fù)出廠生、口令和令牌管理、恢復(fù)出廠設(shè)設(shè)置。置。 5控制臺控制臺終終端操作端操作 5.1 基本信息基本信息 5.1.1 版本查看版本查看 在控制臺終端管理程序的主菜單中，啟動后的缺省頁面即是“版本查看”。其 中顯示了密碼機的當(dāng)前版本。 圖 5 版本查看 5.2 參數(shù)設(shè)置參數(shù)設(shè)置 參數(shù)設(shè)置是對打印端口和授權(quán)控制進行配置。 5.2.1 打印端口配置打印端口配置 選擇打印端口的類型，如果是端口類型為串口則還需要選擇串口號；設(shè)置 是否啟動打印。對設(shè)置做出修改后點擊“確定”提交設(shè)置。 注意：注入銀行專有密鑰或 IC 卡注入密鑰時，系統(tǒng)會停止打印服務(wù)，

14、操 作完成后需要在此處手動啟動打印。 圖 6 打印端口配置 5.2.2 交易端口配置交易端口配置 在該頁面設(shè)置交易端口。 圖 7 交易端口配置 5.2.3 特殊授權(quán)控制特殊授權(quán)控制 對“加密 PIN” 、 “解密 PIN” 、 “打印” 、 “明文注入密鑰”進行權(quán)限控制， 勾選需要授權(quán)的選項點擊“確定”提交設(shè)置。 圖 8 特殊授權(quán)控制 5.2.4 設(shè)置通信格式設(shè)置通信格式 可以對長度域、消息頭長度、消息尾長度、編碼格式進行設(shè)置，設(shè)定完以 后點擊“確定”按鈕提交。 圖 9 設(shè)置通信格式 5.3 網(wǎng)絡(luò)配置網(wǎng)絡(luò)配置 網(wǎng)絡(luò)配置主要對密碼機的 IP、安全訪問控制、路由信息進行配置。 5.3.1 安全訪問

15、設(shè)置安全訪問設(shè)置 安全訪問設(shè)置功能制定針對客戶機的訪問策略。改變了規(guī)則后點擊“確定” 按鈕提交設(shè)置或是點擊“重置”按鈕恢復(fù)到修正之前的狀態(tài)，信息如下圖所示。 圖 10 安全訪問設(shè)置 5.3.1.1 添加安全訪問類型添加安全訪問類型 點擊按鈕添加安全訪問類型，窗口如下圖所示，在窗口中選擇要設(shè)置的 安全訪問控制類型，可選擇對“多臺主機” 、 “單臺主機”進行設(shè)置，點擊確認 后完成添加。 圖 11 對多臺主機增加訪問控制的 IP 地址 圖 12 對單臺主機增加訪問控制的 IP 地址 5.3.1.2 編輯編輯 選擇列表中要編輯的項，點擊按鈕進行編輯，窗口如下圖所示，在源地 址中輸入要訪問加密機的 IP

16、 地址，在目的地址中輸入加密機 IP 地址。 圖 13 編輯安全訪問 IP 5.3.1.3 刪除刪除 選擇列表中要刪除的規(guī)則，點擊按鈕刪除該規(guī)則，窗口如下圖所示 圖 14 刪除安全設(shè)置記錄 5.3.2 設(shè)置密碼機設(shè)置密碼機 IP 地址地址 設(shè)置密碼機 IP 地址。正常的規(guī)則都標(biāo)記為，編輯過或是新加入的規(guī)則 都會標(biāo)記為，提交失敗的規(guī)則都標(biāo)記為。改變了規(guī)則后點擊“確定”按鈕 提交設(shè)置或是點擊“重置”按鈕恢復(fù)到修正之前的狀態(tài)。 圖 15 設(shè)置加密機 IP 地址 5.3.2.1 添加添加 點擊按鈕添加新規(guī)則 圖 16 添加接口 5.3.2.2 編輯編輯 選擇列表中要編輯的項，點擊按鈕進行編輯 圖 17

17、 編輯接口 5.3.2.3 刪除刪除 選擇列表中要刪除的項，點擊按鈕刪除該規(guī)則 圖 18 刪除接口 5.3.3 設(shè)置密碼機路由設(shè)置密碼機路由 密碼機路由功能修改密碼機的路由表。改變了規(guī)則后點擊“確定”按鈕提 交設(shè)置或是點擊“重置”按鈕恢復(fù)到修正之前的狀態(tài)。 圖 19 設(shè)置加密機路由 5.3.3.1 添加添加 點擊按鈕添加新規(guī)則 圖 20 添加加密機路由 5.3.3.2 編輯編輯 選擇列表中要編輯的項，點擊按鈕進行編輯 圖 21 編輯加密機路由 5.3.3.3 刪除刪除 選擇列表中要刪除的項，點擊按鈕刪除該規(guī)則 圖 22 刪除加密機路由 5.4 密鑰管理密鑰管理 密鑰管理主要包括“密鑰注入”、

18、“密鑰備份恢復(fù)”兩大功能。 5.4.1 密鑰注入密鑰注入 根據(jù)用戶輸入的密鑰分量注入各種密鑰。 5.4.1.1 本地主密鑰本地主密鑰 運行終端管理程序，選擇密鑰管理中的“本地主密鑰” 。 “本地主密鑰”主界 面如圖所示。 依次輸入“密鑰分量 1” 、 “密鑰分量 2” 、 “密鑰分量 3” 。如果同一密鑰分 量的兩次輸入一致則“CheckValue”文本框會顯示對應(yīng)密鑰分量的 CheckValue, 并且下一個步按鈕也會被激活，點擊“下一步”開始下一個密鑰分量的輸入。 當(dāng)完成最后一個密鑰分量的輸入后點擊“確定”開始注入密鑰，如果注入成功 則點擊 “完成”結(jié)束該操作。 圖 23 密鑰分量 1 圖

19、 24 密鑰分量 2 圖 25 密鑰分量 3 圖 26 注入密鑰成功 5.4.1.2 區(qū)域主密鑰區(qū)域主密鑰 運行終端管理程序，選擇密鑰管理中的“區(qū)域主密鑰” 。 “區(qū)域主密鑰”主界 面如圖所示。 選擇需要的“密鑰長度” ，填寫“密鑰索引” ，依次輸入“密鑰分量 1” 、 “密鑰分量 2” 、 “密鑰分量 3” 。如果同一密鑰分量的兩次輸入一致則 “CheckValue”文本框會顯示對應(yīng)密鑰分量的 CheckValue,并且下一個步按鈕也 會被激活，點擊“下一步”開始下一個密鑰分量的輸入。當(dāng)完成最后一個密鑰 分量的輸入后點擊“確定”開始注入密鑰，如果注入成功則點擊 “完成”結(jié)束該操作。 圖 27

20、 密鑰分量 1 圖 28 密鑰分量 2 圖 29 密鑰分量 3 圖 30 密鑰注入成功 5.4.1.3 終端主密鑰終端主密鑰 運行終端管理程序，選擇密鑰管理中的“終端主密鑰” 。 “終端主密鑰”主 界面如圖所示。 選擇需要的“密鑰長度” ，填寫“密鑰索引” ，依次輸入“密鑰分量 1” 、 “密鑰分量 2” 、 “密鑰分量 3” 。如果同一密鑰分量的兩次輸入一致則 “CheckValue”文本框會顯示對應(yīng)密鑰分量的 CheckValue,并且下一個步按鈕也 會被激活，點擊“下一步”開始下一個密鑰分量的輸入。當(dāng)完成最后一個密鑰 分量的輸入后點擊“確定”開始注入密鑰，如果注入成功則點擊“完成”結(jié)束

21、該操作。 圖 31 密鑰分量 1 圖 32 密鑰分量 2 圖 33 密鑰分量 3 圖 34 密鑰注入成功 5.4.1.4 Key 注入密鑰注入密鑰 選擇密鑰管理中的“key 注入密鑰” 。主界面如下圖所示。 選擇需要的“密鑰類型” ，依次輸入“分量個數(shù)” 、 “密鑰分量 1 口令” 。如 果同一密鑰分量的兩次輸入一致則“CheckValue”文本框會顯示對應(yīng)密鑰分量 的 CheckValue,并且下一個步按鈕也會被激活，點擊“下一步”開始下一個密鑰 分量的輸入。當(dāng)完成最后一個密鑰分量的輸入后點擊“確定”開始注入密鑰， 如果注入成功則點擊“完成”結(jié)束該操作。 圖 35key 注入密鑰 5.4.2

22、 本地主密鑰校驗值本地主密鑰校驗值 圖 36 本地主密鑰校驗值 5.4.3 密鑰備份恢復(fù)密鑰備份恢復(fù) 備份密碼機中所有密鑰對到 USB-Key 中或從 USB-Key 中恢復(fù)密鑰到密碼 機。 5.4.3.1 備份密鑰備份密鑰 選擇密鑰類型，點擊“備份密鑰”選擇鈕切換到“備份密鑰”功能，在 “口令”和“確認口令”中輸入一致的密碼，把 USB-Key 插入到密鑰機中，點 擊“備份” 按鈕開始備份操作。 圖 37 備份密鑰 5.4.3.2 恢復(fù)密鑰恢復(fù)密鑰 選擇密鑰類型，點擊“恢復(fù)密鑰”選擇鈕切換到“恢復(fù)密鑰”功能，在 “口令”中輸入密碼，把 USB-Key 插入到密鑰機中，點擊“恢復(fù)” 按鈕開始 恢復(fù)操作。 圖 38 恢復(fù)密鑰 5.5 密鑰產(chǎn)生密鑰產(chǎn)生 5.5.1 隨機密鑰隨機密鑰 運行終端管理程序，選擇密鑰管