省级密钥管理系统介绍.ppt

中国电信 省级密钥管理系统介绍广州江南科友科技股份有限公司 2010年04月1 1内容• •密钥体系介绍密钥体系介绍• •ICIC卡的文件结构卡的文件结构• •ICIC卡的写卡流程卡的写卡流程• •科友省级密钥管理系统科友省级密钥管理系统2 2第一部分：密钥体系介绍3 3• •PBOC1.0PBOC1.0标准密钥体系标准密钥体系• •中国电信翼支付密钥体系中国电信翼支付密钥体系• •中国电信全国密钥类型中国电信全国密钥类型• •中国电信省级密钥类型中国电信省级密钥类型一、PBOC1.0密钥体系4 4• •分散分散• •分散分散• •分散分散二、中国电信翼支付密钥体系• •分散分散导入导入• •分散分散写卡写卡写卡写卡写卡写卡写卡写卡写卡写卡三、中国电信全国密钥类型•用户卡主控密钥 •用户卡维护密钥 •PSAM卡主控密钥 •PSAM卡维护密钥 •全国应用---用户卡应用主控密钥 •全国应用---用户卡应用维护密钥 •全国应用---PSAM卡应用主控密钥 •全国应用---PSAM卡应用维护密钥 •全国应用---消费密钥 •全国应用---圈存密钥 •全国应用---圈提密钥 •全国应用---TAC密钥 •OTA MAC密钥 •OTA 加密密钥 •全国通讯保护密钥 四、中国电信省级密钥类型•全国应用---透支更新密钥 •全国应用---PIN重装密钥 •全国应用---PIN解锁密钥 •省通讯保护密钥 •社区应用相关密钥 •省特色应用相关密钥，包括省钱包应用以及关联 应用的各种密钥，根据各省实际情况进行确定第二部分：IC卡种类• •ICIC卡的四大种类卡的四大种类• •各类各类ICIC卡的应用场景卡的应用场景8 8一、IC卡的四大种类• •PSAMPSAM卡：终端机具使用卡：终端机具使用• •用户卡：用户使用用户卡：用户使用• •母卡：包括用户卡母卡和母卡：包括用户卡母卡和PSAMPSAM卡母卡，给卡商卡母卡，给卡商发卡使用发卡使用• •密钥传输卡：作为密钥传输使用密钥传输卡：作为密钥传输使用9 9二、各类IC卡的应用场景1010第三部分：IC卡写卡流程1111• •PSAMPSAM卡写卡流程卡写卡流程• •用户卡写卡流程用户卡写卡流程• •母卡写卡流程母卡写卡流程一、PSAM卡写卡流程1212• •在生产商密钥（卡片主控密钥）的控制下，更新卡片主控密钥在生产商密钥（卡片主控密钥）的控制下，更新卡片主控密钥• •在卡片主控密钥的控制下，装载卡片维护密钥在卡片主控密钥的控制下，装载卡片维护密钥• •在卡片维护密钥的控制下，安全更新卡片在卡片维护密钥的控制下，安全更新卡片MFMF区域的文件区域的文件• •在卡片主控密钥的控制下，装载应用主控密钥在卡片主控密钥的控制下，装载应用主控密钥• •在应用主控密钥的控制下，装载应用维护密钥在应用主控密钥的控制下，装载应用维护密钥• •在应用主控密钥的控制下，装载应用主工作密钥在应用主控密钥的控制下，装载应用主工作密钥• •在应用维护密钥的控制下，安全更新卡片在应用维护密钥的控制下，安全更新卡片ADFADF区域的文件区域的文件二、用户卡写卡流程1313• •在生产商密钥（卡片主控密钥）的控制下，更新卡片主控密钥在生产商密钥（卡片主控密钥）的控制下，更新卡片主控密钥• •在卡片主控密钥的控制下，装载卡片维护密钥在卡片主控密钥的控制下，装载卡片维护密钥• •在卡片维护密钥的控制下，安全更新卡片在卡片维护密钥的控制下，安全更新卡片MFMF区域的文件区域的文件• •在卡片主控密钥的控制下，装载应用主控密钥在卡片主控密钥的控制下，装载应用主控密钥• •在应用主控密钥的控制下，装载应用维护密钥在应用主控密钥的控制下，装载应用维护密钥• •在应用主控密钥的控制下，装载应用主工作密钥在应用主控密钥的控制下，装载应用主工作密钥• •在应用维护密钥的控制下，安全更新卡片在应用维护密钥的控制下，安全更新卡片ADFADF区域的文件区域的文件三、母卡写卡流程1414• •在生产商密钥（卡片主控密钥）的控制下，更新卡片主控密钥在生产商密钥（卡片主控密钥）的控制下，更新卡片主控密钥• •在卡片主控密钥的控制下，装载卡片维护密钥在卡片主控密钥的控制下，装载卡片维护密钥• •在卡片主控密钥的控制下，装载应用主控密钥在卡片主控密钥的控制下，装载应用主控密钥• •在应用主控密钥的控制下，装载传输保护密钥在应用主控密钥的控制下，装载传输保护密钥• •在应用主控密钥的控制下，装载应用维护密钥在应用主控密钥的控制下，装载应用维护密钥• •在应用主控密钥的控制下，装载应用主工作密钥在应用主控密钥的控制下，装载应用主工作密钥第四部分：科友省级密钥管理系统1515• •系统组成图系统组成图• •系统拓扑图系统拓扑图• •系统部署图系统部署图• •系统构成系统构成• •系统的功能系统的功能• •系统的特点系统的特点一、系统的组成图1616二、系统的拓扑图1717三、系统的部署图1818四、系统的构成1919硬/软件组件操作系统备注软件密钥管理核心服务软件HP-UNIX、LINUX、AIX等必选软件密钥管理B-S管理客户端web-service二选一软件密钥管理C-S管理客户端windows硬/软件组件数量备注硬件硬件加密机二台或二台以上必选硬件密钥管理服务器一台或一台以上必选硬件客户端PC机一台或一台以上必选硬件读卡器若干必选硬件各类IC卡若干可选五、系统的功能2020• •授权管理授权管理• •密钥安全方案密钥安全方案• •密钥管理密钥管理• •发卡管理发卡管理• •密码机设备管理密码机设备管理• •系统管理系统管理1、授权管理•操作员身份认证： 1）静态口令 2）静态口令+IC卡•用户级别的划分，允许用户自定义级别•操作授权管理，可以把系统的每一个操作授权给 不同级别的用户2、密钥安全方案•定义安全方案模板，支持实现多个安全方案，例 如定义：电信翼支付密钥方案、省级特殊应用密 钥方案等。

•定义密钥模板，为每一个密钥定义一个密钥模板 ，支持密钥数量的扩展•定义节点模板，为每一类密钥定义一个节点模板 ，支持根据密钥的用途、分类等进行定义3、密钥管理•密钥接收，以安全的方式从全国密钥卡中接收密钥，并保 存在加密机中 •密钥生成，以安全的方式生成省级特色应用的密钥，并保 存在加密机中 •密钥导出，以安全的方式导出密钥到PSAM卡、密钥母卡 、用户卡等 •密钥备份，密钥完整的备份到另外一台加密机 或密钥管理 卡中 •密钥恢复，从备份加密机、或密钥管理卡中恢复到当前加 密机中 •密钥销毁，以安全、不可恢复的方式销毁加密机中的密钥 4、发卡管理支持多种发卡方式： •PSAM卡的直接二次发卡 •PSAM卡母卡的直接发卡 •用户卡母卡的直接发卡 •用户卡的直接发卡 •密钥管理卡的直接发卡5、密码机设备管理•密码机的分组管理，可以支持不同的应用使用不 同组的加密机，也可以支持多个应用使用一组加 密机 •密码机的详细参数管理，可以对加密机的IP地址 ，所属组号，密码机状态等进行管理6、系统管理•客户化参数的配置 •运行日志的配置 •审计流水管理六、系统的特点2727• •密钥方案的可配置性密钥方案的可配置性 •密钥的安全性 •安全控制 1、密钥方案的可配置性•对于电信集团新增加的密钥，可以通过配置实现 接收 •对于PSAM卡二次发卡，可以通过配置实现要写 入指定版本的密钥。

•对于用户母卡发卡，可以通过配置实现要写入的 指定版本或索引的密钥2、密钥的安全性•密钥管理系统的所有根密钥都保存在硬件加密机 中 •密钥的产生在加密内部离散产生，并以密文的方 式输出 •全国密钥的接收，以安全的方式从全国密钥卡中 导出，并以安全的方式导入到硬件加密机中3、安全控制•操作员登录认证方式的多样化 •操作员登录终端的授权管理 •操作的多级授权 •操作流水的可审计性 •数据的可视控制及修改控制谢谢！请指正！谢谢！请指正！3131。