一.加密机密钥体系密钥是一种参数，它是在明文转换为密文或将密文转换为明文的算法中输入的参数。
UP网络的密钥根据实际使用情况划分成三层，三层密钥体系根据密钥的使用对象而形成，上层对下层提供保护和一定的维护功能，不同层的密钥不许相同，不能相互共享。
同一密钥只能用于其生成时所定义的目的，不能用于其他用途；不同的UP卡网络参与方、不同的地区、不同的终端设备不得使用相同的密钥，必须确保密钥的唯一性。
第一层密钥（MK）加密机主密钥，即本地主密钥，是最重要的密钥，用于加、解密本地存放的其他密钥数据。
MK长度规定为128bit或以上，在硬件加密机以外的地方保管时必须采取严格的安全保管措施。
MK一般不更换。
第二层密钥（MMK）加密机主密钥的下一层为成员主密钥（MMK）[或终端主密钥（TMK）]，作用是加、解密需传递的工作密钥，实现工作密钥的联机实时传输或其他形式的异地传输。
成员主密钥在硬件加密机以外的系统中存放和使用时，处于本地MK的保护之下。
两组不同的UP卡网络参与方之间不得使用相同的成员主密钥。
一般情况下，MMK最长2－3年更换一次。
第三层密钥（PIK、MAK、TPK、TMK）工作密钥为最底层的密钥，包括UP卡网络参与方之间使用的成员信息完整性密钥（MAK）和成员PIN保护密钥（PIK）、终端到UP卡网络参与方之间使用的终端信息完整性密钥（TAK）和终端PIN保护密钥（TPK）等，用于加密各种数据，保证数据的保密性、完整性、真实性。
第三层密钥一般称为工作密钥（也称数据密钥），是使用最频繁的密钥，在本地存放时，受相应的MK、成员主密钥或终端主密钥的保护。
在UP卡网络参与方之间进行传输时受成员主密钥的保护，在终端与UP卡网络参与方主机之间传输时受终端主密钥的保护。
工作密钥采用定期（原则上每天更换一次），或人工触发方式，或按每隔一定交易笔数申请更换。
加密机主密钥，即为本地主密钥，是指存储在加密机中，用于保护存储在加密机外的各种密钥和关键数据的密钥加密密钥，是所有密钥的根。
MMK，PIK等密钥，都是基于LMK 保护存储在外部的。
二.导入加密机主密钥（加密机内有密钥时需获取超级权限）1 .SHJ0902 终端连接连接方法：用连接线缆连接PC机的串口和密码机的COM1端口。
测试过程中用PC机上Windows自带的“超级终端”软件。
在Windows桌面环境下依次点击：开始→所有程序→附件→通信→超级终端，运行“超级终端”。
超级终端设置：9600bps、8位数据位、1位停止位、无奇偶校验位。
或者使用SecureCRT软件，flow control：RTS/CTS；Pc机用usb接口时，首先串口转USB数据线插在电脑上并安装完驱动；然后我的电脑——》右键——》管理——》设备管理器——》端口——》查看是COM？口是多少连接成功后会出现serial-com 对话框，然后按回车键，出现如下命令行。
HSM>2 .格式化三张管理员卡在制作权限卡之前，必须将3张IC卡格式化，格式化终端命令fc ，示例如下：HSM-AUTH3>fc<Return>Insert the card and press ENTER!Something in the card, Continue? [Y/N]:Y<Return>Card pin:******<Return>//卡PIN可以是6-16Retype Card pin:******<Return>Enter date[YYMMDD]:111111<Return> //日期填写格式卡的日期Enter time[HHMMSS]:111111<Return>Enter Issuer ID:0001<Return> //超级用户卡3张（0001-0003），管理卡2张（0004-0005），工作卡（0006）Enter User ID:0001<Return>Format success!Continue? [Y/N]:Y<Return>Insert the card and press ENTER!Something in the card, Continue? [Y/N]:Y<Return>Card pin:******<Return>Retype Card pin:******<Return>Enter date[YYMMDD]:222222<Return>Enter time[HHMMSS]:222222<Return>Enter Issuer ID:0002<Return>Enter User ID:0002<Return>Format success!Continue? [Y/N]:Y<Return>Insert the card and press ENTER!Something in the card, Continue? [Y/N]:Y<Return>Card pin:******<Return>Retype Card pin:******<Return>Enter date[YYMMDD]:333333<Return>Enter time[HHMMSS]:333333<Return>Enter Issuer ID:0003<Return>Enter User ID:0003<Return>Format success!Continue? [Y/N]:N<Return>HSM-AUTH3>在格式化的过程中，对IC卡设置了密码，这个密码卡片持有人必须记住，因为在后面制作权限卡的时候会要求输入卡密码。
3 .制作超级管理员卡制作超级管理员权限卡其实也就是制作加密机主密钥的一个过程，在执行mksuper命令后，加密机会提示输入3个明文分量，每个明文分量都是48位16进制数。
三个分量会分别存储在三张IC里面，做好密钥备份工作。
HSM-AUTH3>MKRmk component 1:************************************************Retype Rmk component 1:************************************************Rmk component 2:************************************************Retype Rmk component 2:************************************************Rmk component 3:************************************************Retype Rmk component 3:************************************************Insert the super card1 and press ENTER...Card1 PIN:******component 1 checkvalue:5C23A87A84D88BE2Make the super card1 success!Insert the super card2 and press ENTER!Card2 PIN:******component 2 checkvalue:6589C968EED5A45DMake the super card2 success!Insert the super card3 and press ENTER!Card3 PIN:******component 3 checkvalue:697D77C07386F38FMake the super card3 success!注：这一步只是制作管理卡并把密钥成分存入在卡里，没有存入加密机。
加密机存储主密钥需要用loadmk命令从三张超级管理员卡导入完成。
加密机会提示按顺序插入三张超级管理员卡，因此在制作超级管理员卡的时候必须记住IC卡的次序。
4 .将主密钥从三张超级管理员卡中导入到机密机上面一步只是随机生成了三个主密钥明文分量并保存在三张超级权限卡中，但是未保存到密码机中，此时需要将保存在三张超级权限卡中的密钥加载到密码机中。
保存的同时，会提示输入加密机口令，这个口令务必记牢，在没有IC卡的情况下，可以通过这个口令对加密机做授权操作。
主密钥的加载方式是：在PC的超级终端执行LOADMK命令，然后按提示插入超级管理员卡和输入密钥HSM-AUTH3>loadmkInsert the super card1 and enter card1 Pin:********New Hsm Password1:********Retype New Hsm Password1:********Hsm Password1 Set Ok !component 1 checkvalue:B57CD5439B889080Insert the super card2 and enter card2 Pin:********New Hsm Password2:********Retype New Hsm Password2:********Hsm Password2 Set Ok !component 2 checkvalue:73F0BEC37FA9484BInsert the super card3 and enter card3 Pin:********New Hsm Password3:********Retype New Hsm Password3:********Hsm Password3 Set Ok !component 3 checkvalue:FC9FB7F1494D9B85LMK checkvalue:74A33E9BFD518D15三.更换成员主密钥（MMK）1.准备工作三张超级用户卡测试环境三张IC卡是由生产环境加密机复制而来，理论上测试环境加密机生成的密钥密文等同生产环境加密机产生的密文。
需要有UP公司下发的两个分量的成员主密钥明文和密钥校验值2.操作步骤：(1)．SHJ0902 终端连接同上(2)．进入超级授权状态HSM>A<Return>Super/Administer/Worker [S/A/W]:S<Return>Insert the super card1 and enter Pin:******<Return>Insert the super card2 and enter Pin:******<Return>Insert the super card3 and enter Pin:******<Return>HSM-AUTH3>(3)．用成分合成密钥密钥合成使用fk命令。