2010年3月目录1. 产品概述 (4)1.1. 产品简介 (4)1.2. 主要功能 (4)1.3. 技术特点 (5)1.4. 主要技术指标 (6)1.4.1. 性能指标 (6)1.4.2. 环境适应性指标 (6)1.4.3. 接口和外观 (7)1.5. 产品电源 (7)2. 密钥管理方案 (8)2.1. 密钥的种类和用途 (8)2.1.1. 本地主密钥LMKs（Local Master Keys） (8)2.1.2. 区域主密钥ZMK(Zone Master Key) (8)2.1.3. 终端主密钥TMK(Terminal Master Key) (8)2.1.4. 数据密钥 (8)2.1.5. RSA密钥 (9)2.2. 密钥的产生和存储 (9)2.2.1. 本地主密钥 (9)2.2.2. 区域主密钥ZMK(Zone Master Key) (10)2.2.3. 终端主密钥TMK(Terminal Master Key) (10)2.2.4. 数据密钥 (10)2.2.5. RSA密钥 (10)2.3. 密钥的备份和恢复 (11)2.3.1. 本地主密钥 (11)2.3.2. 区域主密钥ZMK(Zone Master Key) (11)2.3.3. 终端主密钥TMK(Terminal Master Key) (11)2.3.4. 数据密钥 (12)2.3.5. RSA密钥 (12)2.4. 密钥的分发和更新 (12)2.4.1. 本地主密钥LMKs（Local Master Keys） (12)2.4.2. 区域主密钥ZMK(Zone Master Key) (12)2.4.3. 终端主密钥TMK(Terminal Master Key) (12)2.4.4. 数据密钥 (13)2.4.5. RSA密钥 (13)2.5. 密钥管理体制 (13)2.5.1. 本地密钥管理 (14)2.5.2. 本地网络中的密钥管理 (15)2.5.3. 共享网络中的密钥管理 (16)2.6. 密钥销毁 (17)3. 设备安全和管理方案 (18)3.1. 物理性安全设计 (18)3.1.1. 抗干扰设计 (18)3.1.2. 元器件安全 (19)3.1.3. 密钥存储部件安全 (19)3.1.4. 密钥自毁装置 (19)3.1.5. 通信端口安全 (19)3.1.6. 机仓安全 (20)3.2. 管理安全性设计 (20)3.2.1. 密码机的工作状态 (20)3.2.2. 密码机的授权方式 (21)3.2.3. 应用流程 (21)4. 产品关键技术和亮点 (23)4.1. 一体化设计技术 (23)4.2. 先进的设计技术 (23)4.2.1. 高速信号线设计及仿真技术 (23)4.2.2. 低功耗设计技术 (23)4.2.3. 工程设计技术 (23)4.3. 安全的密钥存储和保护技术 (24)4.4. 用硬件实现多种密码算法 (24)4.5. 安全的嵌入式操作系统 (24)5. 应用领域和典型案例 (26)5.1. 应用领域 (26)5.2. 典型应用方案 (26)5.3. 密码机在系统中的连接 (27)1. 产品概述1.1. 产品简介SJJ0808支付服务密码机是无锡江南信息安全工程技术中心研制的新型金融数据密码机。
作为传统密码设备的升级换代产品，SJJ0808采用国家密码管理局批准的SSF33密码算法和SM1密码算法，支持对EMV2000/ PBOC2.0、VBV/3-D 等新兴支付标准在网上银行、业务前置系统、主机系统、发卡系统上的应用，适用于现代服务业商用支付体系与技术规范的功能要求。
●金融服务：银行、证券、保险三大产业，直接提供资金往来、结算等服务●电子商务服务：电信移动、网上商城、门户网站、终端支付等涉及到业务处理、电子交易相关的在线支付与资金结算服务●城市一卡通、社会保障、税务关贸等政务功能相关的在线支付与资金结算服务SJJ0808支付服务密码机在兼容金融数据密码机功能基础上支持EMV应用、发卡管理、3-D服务、支付安全鉴别等业务安全及密钥管理功能。
支付服务密码机对于防止金融犯罪、促进国产密码产品在行业规范中推广应用具有十分重要的意义。
1.2. 主要功能SJJ0808支付服务密码机是以现代密码技术为核心的主机安全模块，是一个具有物理安全保护措施的硬件设备，具有自主密钥管理机制，能将密码运算过程封装在其内部完成，从而为主机提供安全的应用层密码服务，如密钥管理、消息验证、数据加密、签名的产生和验证等密码服务，保证数据从产生、传输、接收到处理整个过程的安全性、有效性、完整性、不可抵赖性等安全问题。
该密码机主要功能特点有：(1)国产密码算法: 支持国产的SSF33分组算法和SM1分组算法，可扩展支持SM2非对称算法和SM3摘要算法。
(2)通用密码算法：对称算法支持DES/TDES, AES，非对称算法支持RSA（1024～4096比特），摘要算法支持MD5、SHA1、SHA224/256/384/512等常用算法。
(3)数据加密/解密：支持国产SSF33和SM1分组密码算法。
支持国际通用算法（对称算法：DES/TDES, AES，非对称算法RSA。
）(4)消息鉴别：支持MAC/HMAC/TAC的产生和验证。
(5)数字签名/验证：支持1024～4096 bit RSA公钥密码算法。
(6)支持多种PIN格式的加密和转换。
包括ANSI X9.8格式即ISO 95641－格式0，Docutel格式，Diebold和IBM格式，ISO 95641－格式1。
(7)真随机数产生功能。
使用硬件产生随机数，产生的随机数符合国家密码管理局颁布的《随机数检测规范》。
(8)具有打印密码信封功能，支持串行或并行打印机。
(9)密钥管理功能：支持产生、传输、存储、导入、销毁。
1.3. 技术特点(1)具有安全的密钥保护机制：密钥加密存储、受到非法入侵时自动销毁、断电情况下能长期维持。
(2)具有并发功能，支持多机同时访问。
(3)用硬件实现多种密码算法，具有速度快，安全性高的特点。
(4)密码服务接口采用三速以太网接口（10／100／1000Mbps），通信协议采用TCP/IP协议。
(5)采用哑终端作为操作界面，提高了操作和管理的安全性。
(6)采用具有安全功能的智能IC卡作为身份认证和密钥存储介质。
(7)具有完善的系统监测功能，可监测密码机硬件及软件的运行状态，并可对故障进行自动恢复或者报警。
(8)符合规范及标准：⏹ANSI X3.92 数据加密算法⏹ANSI X9.9 信息鉴别⏹ANSI X9.8 PIN的管理与安全⏹ANSI X9.17 密钥管理⏹ANSI X9.19 零售金融信息的鉴别⏹中国金融集成电路(IC)卡规范V2.0⏹VISA及MASTER对硬件加密机的相关需求⏹银联联网联合规范2.0⏹EMV2000支付系统集成电路卡规范。
⏹PKCS公钥密码标准⏹RFC2104 HMAC:键入-散列法用于信息身份验证⏹欧洲银行标准委员会-加密算法使用与密钥管理指南1.4. 主要技术指标1.4.1. 性能指标(1)SSF33算法加解密速率： 16Mbps(2)SM1算法加解密速率： 70Mbps(3)1024位RSA签名速率：大于1200次/秒(4)1024位RSA密钥生成： 3个/秒(5)密钥微电保护时间： 10年。
1.4.2. 环境适应性指标(6)工作电压：∼220V±25％、50HZ(7)功耗：小于60W(8)工作温度： 0℃～ 40℃(9)存储温度：室温-10℃～45℃(10)工作湿度： 20% ～ 80%1.4.3. 接口和外观(11)配置管理口：RS232接口，速率为9600～115200bps。
(12)以太网接口：RJ45三速以太网接口（10/100/1000M自适应）。
(13)打印接口：支持串行打印机或者并行打印机。
(14)尺寸：482.6mm×426.6mm×110mm。
(15)重量：小于16公斤。
1.5. 产品电源本产品支持单电源及双电源。
2. 密钥管理方案2.1. 密钥的种类和用途2.1.1. 本地主密钥LMKs（Local Master Keys）本地主密钥长度为192比特，共有50个，用于保护需要在本地加密存储的其它密钥。
2.1.2. 区域主密钥ZMK(Zone Master Key)区域主密钥适用于共享网络中，是一个密钥加密密钥，用于加密需要在共享网络上传输的数据密钥。
在通过共享网络自动同步数据密钥时，需要用区域主密钥加密。
不同的共享网络节点间约定不同的区域主密钥。
2.1.3. 终端主密钥TMK(Terminal Master Key)终端主密钥适用于本地网络中，是一个密钥加密密钥，用于加密从主机端传输到终端（ATM或POS 或其它相似的终端）的密钥。
2.1.4. 数据密钥数据密钥是直接用来加解密数据的密钥。
根据其功能和使用区域的不同，可以分为如下几种：①终端PIN密钥TPK（Terminal PIN Key）。
适用于本地网络中，用于加密在本地网络内终端和终端数据受理者之间传送的用户密码PIN。
②终端MAC密钥TAK（Terminal Authentication Key）。
适用于本地网络，用于本地网络内终端与终端数据受理者之间传送信息时，生成和校验消息认证码(Message Authentication Code)，从而达到信息认证的目的。
③终端报文密钥TEK（Terminal Encrypt Key）。
适用于本地网络，用于加密终端和终端数据受理者之间需要传输的敏感数据。
④区域PIN密钥ZPK（Zone PIN Key）。
适用于共享网络，用于加密在两个通讯网点间传输的用户密码PIN。
⑤区域MAC密钥ZAK（Zone Authentication Key）。
适用于共享网络，用于两个通讯节点之间传送信息时，生成和校验消息认证代码，从而达到信息认证的目的。
⑥区域报文密钥ZEK（Zone Encrypt Key）。
适用于共享网络，用于加密两个通讯网点之间需传输的敏感数据，实现交易报文的安全传送。
⑦PIN校验密钥PVK（PIN Verification Key）。
用于生成PIN校验值PVV或者校验PVV的正确性。
⑧卡校验密钥CVK（Card Verification Key）。
用于生成卡校验值CVV或者校验CVV的正确性。
类似于PIN 校验密钥PVK，仅仅是用卡的信息取代了用户密码PIN。
⑨数据存储密钥DSK（Data Storage Key ）。
用于加密本地保存的敏感数据，主要目的是保证金融敏感信息的安全存储。
2.1.5. RSA密钥RSA非对称算法密钥用于产生和验证RSA签名。