智能卡三级密钥体系-附件.pdf

中国科技论文在线 采用三级密钥体系实现校园卡密钥管理子系统 李峰 东软集团股份有限公司，北京（100080 ） E-mail:l-f@ 摘 要：在校园卡系统中，数据要求在多个子系统间进行传递和处理。这些数据多是安全级 别需求比较高的金融数据。对这些数据的保护是校园卡系统中非常重要的工作。为确保校园 卡系统中金融数据在网络传递过程中的绝对安全，本文介绍了一种采用三级密钥体系的数据 加密方式。希望该方式能对高校校园卡系统建设中的数据安全保障工作提供参考。 关键词：PK 密钥；PIN 密钥；MAC 密钥；传输密钥；主密钥 中图分类号：TP311 1 概况 校园卡系统是以校园网为基本载体，采用计算机技术、网络与通信技术、数据库技术和 卡与卡的识别技术等信息化的手段和工具，利用卡作为电子身份的载体、以及与计算机进行 交互的介质，持卡人在其身份允许的范围内，实现在校园内进行商务消费、身份识别认证、 金融服务等社会应用活动的数字化信息化[1] 。校园系统作为数字化校园的基础部分，为整个 校园提供了基本的消费平台。在该消费平台上存在着不同系统间的金融数据交互。这些金融 数据在校园网的传递中必须要确保足够的安全。本文针对校园卡系统的密钥子系统进行设 计，目的是确保校园卡系统金融数据的安全传输。 2 校园卡物理部署 2.1 系统简介 图1 校园卡系统物理部署图 校园卡服务器负责处理其他系统通过接口程序传送上来的数据。其中大多数属于金融信 息数据。如：对消费系统的上传数据进行转发、处理等操作。 数据库服务器用于存储校园卡日常的消费数据信息以及校园卡的相关数据信息。 -- 1 -- 中国科技论文在线 交换机用于连接校园卡系统内各个终端设备。 圈存机为系统提供银行卡到校园卡的圈存转账等功能。 校园卡前置机为校园卡系统提供与银行前置机之间的卡业务服务，以完成指定金融交 易。如：圈存、银行卡余额查询等功能。 银行前置机提供与学校前置机之间的通信服务，以完成指定交易。 银行大机即银行核心业务主机系统。 在校园卡服务器和校园卡前置机上分别运行着两个 Socket 服务程序，用于处理校园卡 系统设备间的数据包传递。数据包中包括基本的财务信息以及校园卡用户的卡基本信息等。 2.2 校园卡系统中需要加密的部分 校园卡服务器与圈存机之间。 校园卡前置机器与圈存机之间。 校园卡服务器与校园卡前置机之间。 POS 机消费系统与校园卡服务器之间。 校园卡前置机器与银行前置机之间。 3 校园卡密钥管理子系统方案介绍 3.1 密钥介绍 在校园卡系统中，系统间传递的数据包的内容由多个定义好的数据域组成，用于存储系 统运行中的字段信息。其中，在不同的操作中会生成不同的数据域，有些域是要做适当的加 密处理的。如：在学生进行圈存和消费操作时会输入校园卡的密码或是银行卡的密码，这些 密码在网络中传输都是以密文的形式传输的。特别是在校园卡前置机发送数据包到银行前置 机、以及圈存机发送数据包到校园卡前置机的线路上，都需要对用户的卡密码进行加密后传 输。 为了确保数据在校园网内传递、以及通过专线在银行和学校传递的绝对安全，对密钥的 管理分为PKG 密钥、PIN 密钥、MAC 密钥等几类密钥进行管理。 PKG 密钥：主要用于对在网络中传输的数据包进行加密时使用的密钥。 PIN 密钥：用于对网络数据包中的密码字段域进行加密时使用的密钥，在校园卡系统中， 主要对校园卡在使用时输入的校园卡密码和银行卡密码进行加密。 MAC 密钥：MAC 算法是一种将数据校验算法和DES 算法相融合的非公开算法，主要 用于判断在网络中两个通讯设备间的接、发数据包的真伪，以防止攻击者构造虚假交易包而 达到作案目的[2] 。MAC 密钥是计算MAC 校验值时所用到的密钥。MAC 校验数值作为数据 包的校验值保存到数据包的尾