银办发[2011]152号

中国人民银行上海总部,各分行、营业管理部,各省会(首府)城市中心支行,各副省级城市中心支行;各国有商业银行、股份制商业银行,中国邮政储蓄银行;中国银联股份有限公司:

根据《中国人民银行关于推进金融IC卡应用工作的意见》(银发[2011]64号)要求,为提高金融IC卡应用安全管控水平,中国人民银行组织制定了《中国金融集成电路(IC)卡密钥体系管理规范》等6项制度规范,现予以印发,并就有关要求通知如下:

一、各单位应严格遵照规范要求对金融IC卡密钥体系进行建设与检测。

二、中国人民银行将依据规范对相关单位进行检查,各有关单位应按照检查要点逐项落实并积极配合检查工作。

请中国人民银行上海总部、各分行、营业管理部、各省会(首府)城市中心支行、副省级城市中心支行将本通知转发至辖区内地方性商业银行及外资银行,中国银联股份有限公司将本通知转发至中国金融认证中心。

附件:1.中国金融集成电路(IC)卡密钥体系管理规范.doc

2.中国金融集成电路(IC)卡发卡机构密钥管理系统技术规范.doc

3.中国金融集成电路(IC)卡发卡机构密钥管理系统检测规范.doc

4.中国金融集成电路(IC)卡认证中心密钥管理系统检查要点.doc

5.中国金融集成电路(IC)卡发卡机构密钥管理系统检查要点.doc

6.中国金融集成电路(IC)卡收单机构密钥管理检查要点.doc

中国人民银行

2011年7月21日

附件1

中国金融集成电路(IC)卡密钥体系管理规范

前言

本规范规定了与金融IC卡密钥体系管理相关的各机构,包括认证中心、发卡机构、收单机构在密钥管理方面应当符合的要求,是各机构开展金融IC卡密钥体系管理工作的依据。

本规范是中国人民银行监管相关机构金融IC卡密钥体系管理工作的依据。

本规范由中国人民银行制定与修订。

中国金融集成电路(IC)卡密钥体系管理规范

1 范围

本规范规定了中国金融集成电路(IC)卡密钥体系的管理规则及安全策略要求。

本规范用于指导金融IC卡密钥管理及密钥使用机构,包括管理根密钥的认证中心、管理发卡机构密钥和IC卡密钥的发卡机构,以及使用认证中心公钥证书的收单机构对于密钥体系的管理。

2 规范性引用文件

下列文件中的条款通过本规范的引用而成为本规范的条款。凡是注日期的引用文件,其随后所有的修改单(不包括勘误的内容)或修订版均不适用于本规范,然而,鼓励根据本规范达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件,其最新版本适用于本规范。

JR/T 0025-2010中国金融集成电路(IC)卡规范

GB/T 25056-2010证书认证系统密码及其相关安全技术规范

GB/T 17901.1-1999信息技术 安全技术 密钥管理 第1部分 框架

GB/T 50174-2008电子信息系统机房设计规范

GB/T 2887-2000电子计算机场地通用规范

GB/T 9361-1988计算站场地安全要求

GB/T 6650-1986计算机机房用活动地板技术条件

GJBZ-20219-1994军用电磁屏蔽室通用技术要求和检验方法

3 术语和定义

下列术语和定义适用于本规范。

3.1 认证 Authentication

确认一个实体所宣称的身份的措施。

3.2 非对称密钥 Asymmetric key

使用非对称加密技术产生的一对密钥,包括公钥和私钥。非对称加密技术是指采用两种相关变换的加密技术:公开变换(由公钥定义)和私有变换(由私钥定义)。这两种变换存在在获得公开变换的情况下是不能够通过计算得出私有变换的特性。

3.3 收单机构Acquirer

开展金融IC卡收单业务的机构。

3.4 证书 Certificate

由发行证书的认证中心使用其私钥,对实体的公钥、身份信息以及其他相关信息进行签名,形成的不可伪造的数据。

3.5 认证中心 Certification authority

证明公钥和其他相关信息同其拥有者相关联的可信的第三方机构。

3.6 密文 Cryptogram

加密运算的结果。

3.7 泄露 Compromise

机密或安全被破坏。

3.8 密钥有效期Cryptoperiod

某个特定的密钥被授权可以使用的时间段,或者某个密钥在给定的系统中有效的时间段。

3.9 发卡机构Issuer

开展金融IC卡发卡业务的机构。

3.10 集成电路 Integrated circuit(s)

具有处理和/或存储功能的电子器件。

3.11 集成电路卡 Integrated circuit(s) card

内部封装一个或多个集成电路用于执行处理和存储功能的卡片。

3.12 密钥 Key

控制加密转换操作的符号序列。

3.13 密钥失效日期Key expiry date

用特定密钥产生的签名不再有效的最后期限。用此密钥签名的发卡机构证书必须在此日期或此日期之前失效。在此日期后,此密钥可以从终端删除。

3.14 密钥生命周期Key life cycle

密钥管理的所有阶段,包括生成、存储、备份、恢复、更新、撤销、存档和销毁等。

3.15 报文 Message

由终端向卡或卡向终端发出的,不含传输控制字符的字节串。

3.16 报文鉴别码 Message authentication code

对交易数据及其相关参数进行运算后产生的代码,主要用于验证报文的完整性。

3.17 私钥 Private key

一个实体的非对称密钥对中含有的供实体自身使用的密钥,在数字签名方案中,私钥用于签名。

3.18 公钥 Public key

在一个实体使用的非对称密钥对中可以公开的密钥。在数字签名方案中,公钥用于验证。

3.19 公钥证书 Public key Certificate

由认证中心签名的不可伪造的某个实体的公钥信息。

3.20 明文 Plain text

未被加密的信息。

3.21 安全报文 Security message

通过报文鉴别码(MAC)来保障数据的完整性和对发卡机构的认证,通过对数据域的加密来保障数据机密性的报文。

3.22 对称密钥 Symmetric key

使用对称加密技术产生的密钥。对称加密技术是指发送方和接收方使用相同保密密钥进行数据变换的加密技术。在不掌握保密密钥的情况下,不可能推导出发送方或接收方的数据变换。

3.23 终端 Terminal

在交易点安装、用于与IC卡配合共同完成金融交易的设备。它应包括接口设备,也可包括其他的部件和接口(如与主机的通讯)。

4 缩略语

以下缩略语适用于本规范:

ARPC 授权响应密文(Authorization Response Cryptogram)

ARQC 授权请求密文(Authorization Request Cryptogram)

IC 集成电路(Integrated Circuit)

5 金融IC卡密钥概述

5.1 密钥类型

金融IC卡业务中应用的密钥包括非对称密钥与对称密钥。

非对称密钥包括:认证中心根密钥对,发卡机构公私钥对以及IC卡公私钥对。

与非对称密钥管理相关的机构包括:管理根密钥的认证中心、管理发卡机构公私钥对以及IC卡公私钥对的发卡机构、使用认证中心公钥的收单机构。

对称密钥包括:发卡机构金融IC卡业务相关的对称密钥。

与对称密钥管理相关的机构包括:管理发卡机构对称密钥的发卡机构及卡组织。

5.2 相关机构的密钥管理职责

5.2.1认证中心的根密钥管理职责

认证中心负责对根密钥进行管理,其具体职责:

1.金融IC卡根密钥系统的运营管理;

2.认证中心根密钥的生命周期管理;

3.受理发卡机构的申请,向发卡机构签发发卡机构证书。

5.2.2发卡机构的密钥管理职责

发卡机构在非对称密钥管理方面的职责:

1.发卡机构非对称密钥管理系统或模块的运营管理;

2.发卡机构公私钥对的生命周期管理;

3.向认证中心申请并管理发卡机构证书;

4.生成IC卡公私钥对,签发IC卡公钥证书,以及产生IC卡卡静态数据签名。

发卡机构在对称密钥管理方面的职责:

1.发卡机构对称密钥管理系统或模块的运营管理;

2.与卡组织进行密钥交换。

发卡机构与相关卡组织签订了相关的代校验(例如ARQC/生成ARPC)协议时,卡组织需要与发卡机构进行密钥交换,并负责管理该密钥。

5.2.3收单机构的密钥管理职责

收单机构负责对终端中的认证中心公钥进行管理,其具体职责:

1.将认证中心公钥导入终端;

2.认证中心公钥在终端中的存储与使用;

3.从终端中撤回认证中心公钥。

6 认证中心根密钥管理要求

6.1 基本要求

管理根密钥的认证中心应符合以下基本要求:

1.具有10年以上的密钥管理系统运营经验,例如电子认证服务运营经验;

2.具有国家密码管理机构同意使用密码的证明文件;

3.由中国人民银行认可。

6.2 根密钥生命周期管理要求

根密钥的生命周期包括密钥生成、密钥存储、密钥备份、密钥恢复、密钥更新、密钥有效期变更、密钥的停止使用、密钥撤销、密钥归档、密钥销毁等过程。认证中心在根密钥的生命周期管理中需遵循以下要求。

6.2.1密钥生成

认证中心在生成根密钥之前应上报中国人民银行,生成密钥的过程应在中国人民银行监督下进行。

认证中心根密钥应在国家密码管理机构许可的硬件加密设备中生成,生成过程应由2名以上(包括2名)的密钥管理员同时到达现场进行操作,并在安全管理员的监督下完成。

根密钥的生成过程应进行录像监控并有书面操作记录,录像、书面记录等资料应妥善保存,防止未授权的访问,并至少应保存至密钥失效以后。

根密钥生成后,认证中心应将自签的公钥证书上交中国人民银行备案。

6.2.2密钥存储

认证中心应将根密钥存放于国家密码管理机构许可的硬件加密设备中,确保密钥的完整性并防止密钥泄露。

6.2.3密钥备份

认证中心应采用秘密共享机制对根密钥进行备份:根密钥备份文件由密钥管理员保管,根密钥备份文件的保护口令至少应为两组以上,分别由不同的密钥分管员保管。

根密钥备份文件及相应的保护口令应分别存放在智能IC卡或智能密码钥匙形式的密钥卡中,或具有更高安全等级的存储介质中。IC卡、密钥卡等存储介质应存储在认证中心核心区的安全区域内,由密钥管理员与密钥分管员共同保管。

认证中心还应对根密钥进行异地备份,并确保其安全性。

6.2.4密钥恢复

认证中心恢复根密钥时,应在安全管理员的监督下进行,密钥管理员及至少2名密钥分管员应同时到达现场,在硬件加密设备中实施恢复操作,并有书面操作记录。

6.2.5密钥更新

当根密钥到期后、中国人民银行要求生成新密钥时,认证中心应在新的根密钥对生效年份前一年的10月31日前完成更新过程。

根密钥的更新过程与根密钥的生成过程要求相同。

认证中心生成新的根密钥后,应及时向发卡机构与收单机构发布密钥更新说明,并应确认发卡机构与收单机构已经接收。

6.2.6密钥有效期变更

中国人民银行要求变更根密钥有效期时,认证中心应进行变更,并重新自签认证中心公钥证书上交中国人民银行备案。

认证中心根密钥有效期变更后,应及时向发卡机构与收单机构发布密钥有效期变更说明,并应确认发卡机构与收单机构已经接收(认证中心根密钥有效期延期说明以及对发卡机构和收单机构的影响参见附录A)。

6.2.7密钥的停止使用

在认证中心根密钥到期前一年,认证中心应停止使用即将到期的根私钥签发发卡机构公钥证书,并应及时通知发卡机构与收单机构根密钥即将到期。

6.2.8密钥撤销

当出现以下情形时,认证中心应对根密钥进行撤销:

1.中国人民银行进行安全评估后要求认证中心撤销根密钥时;

2.证实认证中心根私钥泄露或怀疑根私钥泄露时;

3.影响根私钥安全的其他情形。

根密钥的撤销过程与根密钥的生成过程要求相同。

根密钥撤销后,认证中心应及时通知发卡机构及收单机构。

6.2.9密钥归档

当根密钥到期后,认证中心应按照国家保密规定的要求将其归档保存,归档期限至少为5年,并应确保归档后的根密钥不会再被使用。

6.2.10密钥销毁

归档的根密钥在其归档期结束后,认证中心应进行销毁,且备份的根密钥也应一同销毁。根密钥的销毁应在安全管理员的监督下,由密钥管理员与所有密钥分管员共同参与完成。销毁过程应有详细的书面操作记录,销毁方式应符合国家保密规定要求。

6.3 密钥泄露的应急处理

认证中心应制定根私钥泄露的应急预案,明确根私钥泄露的内部处理流程、人员分工及对外通知处理流程。

认证中心怀疑或证实发生根私钥泄露时,应立即上报中国人民银行,说明发生根私钥泄露的时间、原因以及拟采取的应急处理措施。认证中心应暂停使用怀疑或证实泄露的根私钥签发新的发卡机构证书,并通知发卡机构暂停使用该私钥签发的证书发放新的金融IC卡。

经中国人民银行批准后,认证中心应立即撤销遭泄露的根密钥,并在撤销前通知所有的发卡机构及收单机构。

6.4 发卡机构证书管理要求

6.4.1发卡机构注册

在发卡机构向认证中心申请发卡机构证书之前,认证中心应要求发卡机构的安全员持相应的注册申请材料,前往认证中心逬行注册。

认证中心应验证以上材料的真实性与有效性,并将审核结果告知发卡机构。上述工作应在5个工作日内处理完成。

6.4.2发卡机构证书的签发

认证中心向发卡机构签发生产型发卡机构证书之前,应要求发卡机构申请测试型发卡机构证书。当发卡机构的发卡测试系统经中国人民银行批复通过,且金融IC卡的测试卡片经中国人民银行指定的检测机构检测通过后,认证中心方可受理发卡机构的生产型证书申请。

受理发卡机构证书申请时,认证中心应指定安全的传输方式,要求发卡机构的安全员以此方式提交证书申请信息及发卡机构公钥输入文件。认证中心对发卡机构公钥输入文件验证无误后,方可签发证书。

6.4.3证书传输

认证中心应将签发完成后的发卡机构证书以加密传输的方式发放给发卡机构的安全员。

6.4.4证书验证

认证中心应要求发卡机构收到证书后进行验证,确认其内容完整无误且信息源正确。若发卡机构验证未通过,且经双方确认证书有误后,认证中心应立即撤销该证书,重新签发正确的证书。

6.4.5证书更新

当发卡机构申请证书更新时,认证中心应按照证书初次发放的相同流程进行处理。

6.5 物理环境要求

6.5.1物理建设标准

认证中心根密钥系统所在的物理场所,其物理环境至少应参照以下国家标准进行建设:

GB/T 50174-2008《电子信息系统机房设计规范》

GB/T 2887-2000《电子计算机场地通用规范》

GB/T 6650-1986《计算机机房用活动地板技术条件》

GB/T 9361-1988《计算站场地安全要求》

其中机房设计应符合《电子信息系统机房设计规范》中规定的A级标准,机房安全应符合《计算站场地安全要求》中的 A类要求。

此外,认证中心根密钥系统所在的物理场所应通过权威机构的电磁屏蔽效能测试,满足相关要求,例如《GJBZ-20219-1994军用电磁屏蔽室通用技术要求和检验方法》中的C级要求。

6.5.2物理访问控制

认证中心根密钥系统所在的物理场所,需要建立四层以上的物理安全防护体系,包括公共区、服务区、管理区和核心区。用于生成与存储根密钥的硬件加密设备应放置于核心区内。核心区应配备24小时视频监控设备进行实时监控。

认证中心应为不同区域设置不同的安全级别,实施不同程度的物理安全防护措施,每个人员只能进入被授权访问的物理区域。

当认证中心内部人员进入核心区时,应通过两道以上的访问控制机制。外部人员来访需经过管理人员的批准,进行来访登记后在内部人员的陪同下方可进入。

认证中心的所有敏感操作应在受到物理保护的环境下进行,所采取的物理保护手段应能防止未授权的访问、敏感信息的泄露等。

6.5.3介质存储

认证中心用于存储敏感信息的存储介质,包括但不限于录像资料、存储卡等应放置在防磁、防静电干扰的环境中,应保证存储介质不会被意外(如水、火和电磁干扰)破坏,不会被进行未授权的物理访问。

6.5.4废物处理

认证中心应制定废物处理流程,对不再使用的、与根密钥管理相关的敏感介质、文件和其他废物,应以安全的方式销毁,销毁方法包括但不限于以下形式:

纸质的敏感信息需要通过粉碎、焚烧或其他不可恢复的方法处理;废弃的密码设备需要根据制造商的指南进行物理销毁或者实施不可恢复的数据删除操作。

废物销毁过程中,应至少有两人同时参与,并有书面的操作记录。

6.6 人员管理要求

6.6.1人员角色划分

认证中心应当为根密钥的管理设定以下角色:

1.系统管理员

系统管理员由根密钥管理系统在初始化时产生,主要职责是在系统中设置密钥管理员、操作员、系统审计员等角色并进行管理。

2.密钥管理员

密钥管理员负责根密钥的生成、备份、更新、撤销、归档、销毁等操作,并负责对所有根密钥备份进行统一管理,严格监督密钥分管员按照要求保管密钥备份口令。

3.密钥分管员

密钥分管员负责妥善保管分管的密钥备份口令,参与根密钥的备份、恢复、归档及销毁等。

4.业务审核员

业务审核员负责对发卡机构提交的证书申请材料进行审核。

5.操作员

操作员负责执行发放发卡机构证书的具体操作,包括:

(1)录入发卡机构证书申请信息;

(2)执行发卡机构证书的发放、更新操作;

(3)下发发卡机构证书。

6.安全管理员

安全管理员负责对整个密钥生命周期进行安全管理,对物理环境的安全进行管理,承担系统审计员的职责对密钥管理系统运营安全相关的日志或事件进行定期审计,对系统进行定期的安全评估等。

6.6.2职责分割要求

6.6.1中所述的任何两个角色均不能由同一人员担任,应进行职责分割,并在满足职责分割要求的前提下,做好人员备份。

6.6.3人员录用及管理要求

认证中心雇佣人员担任6.6.1中所述的角色时,应要求应聘人员提供有关教育背景、工作资格以及相关从业经历的证明,如果需要,也应要求应聘人员提供无犯罪证明。

认证中心应制定并执行严格的背景审查流程,对担任以上角色的人员进行调查,并定期进行复审。

担任以上角色的人员入职时应与认证中心签订相应的保密协议,并执行轮岗、强制休假等管理制度。

担任以上角色的人员离职或调岗时,认证中心应取消其相应的访问权限,并做好工作交接。

6.6.4人员培训要求

认证中心应定期对相关人员进行培训,每年对担任6.6.1中所述角色的人员,其培训时间不得少于10学时。培训内容与相关人员的职责相对应,包括:使用、操作和维护系统过程中的职责、软硬件操作规范、安全策略要求、金融IC卡密钥管理最新发展趋势等。

6.6.5未授权行为的处罚

认证中心应建立、维护和实施相应的管理办法,对相关人员的未授权行为(如:对根密钥管理系统的未授权访问),根据相关规定和法律法规进行相应处罚,并及时补充和完善相应的内部管理制度。

6.7 安全审计要求

6.7.1内部审计管理

1.审计日志要求

根密钥管理系统中应设置日志审计模块,对相关人员在系统中的操作日志进行全程记录。

安全管理员应定时调出审计记录,制作统计分析表,对所有人员的操作记录进行审计,在出现操作事故时迅速定位事故原因。安全管理员可以处理但不能修改日志审计数据。

被处理后的审计日志,其保存期限不得少于一年。

认证中心应制定相关流程,确保审计日志不被未授权的访问、复制、修改和删除。

2.其他安全审计内容

安全管理员应定期进行安全审计,除了日志审计以外,还应包括:

人员审计:认证中心的人员应是可信任的,必须理解安全策略和安全操作程序;

物理安全审计:物理安全防护措施是否完善;

通信安全审计:所有安全通信设备的使用是否符合认证中心的安全管理规定;

系统安全审计:检查根密钥管理系统的操作系统、数据库系统、入侵检测系统、漏洞扫描系统、防病毒系统、防火墙系统等的日志记录,以确定系统是否异常。

6.7.2外部审计要求

中国人民银行可根据需要对认证中心的根密钥管理进行审计。

认证中心应根据中国人民银行的要求,准备相关资料,作好接受审计的准备。

6.8 文档配备

要求认证中心应配备相关的文档用于指导根密钥管理系统的建设、运营和日常管理,文档类型可分为技术实现、物理建设、人事管理以及审计与评估四类。

6.8.1技术实现类

此类文档重点从技术方面描述根密钥管理系统,主要包括:

1.《系统设计》描述根密钥管理系统的逻辑结构、网络结构、数据通信设计、密钥管理、业务处理流程以及系统的软硬件配置等;

2.《系统安全》描述根密钥管理系统通过采用防火墙、入侵检测、漏洞扫描、病毒防治、访问控制、安全配置等措施,保证系统的安全性,同时,从数据通讯、密钥管理、证书管理、安全审计、物理安全等各个方面阐述系统安全措施的实现;

3.《系统安装与配置手册》介绍根密钥管理系统的安装与配置;

4.《系统操作手册》介绍各系统角色在系统中的职责及操作流程。

6.8.2物理建设类

此类文档重点从物理环境方面描述根密钥管理系统的安全保障措施,主要包括:

1.《物理场地安全手册》描述物理场地的安全要求及实现等;

2.《物理场地安全管理规定》描述人员进出各个区域的权限、来访者的接待和管理、门禁系统的使用、监控报警系统的操作使用等管理规定。

6.8.3人事管理类

此类文档重点从人员的可信度鉴别等方面描述认证中心的人事管理制度,主要包括:

1.《可信人员策略》描述可信人员策略及其如何进行可信人员调查;

2.《可信人员职位划分原则与鉴别》描述可信人员职位划分原则,可信人员鉴别和背景调查及分析等。

6.8.4审计与评估类

此类文档重点从安全审计与评估方面描述系统的安全性,主要包括:

《安全与审计规范》规定认证中心密钥管理的审计范围和评价标准。

7 发卡机构密钥管理要求

7.1 管理机构形式

发卡机构密钥可以采用发卡机构自行管理或委托其他机构管理两种方式。

当委托其他机构管理时,被委托机构对于密钥的管理应当符合本章的相同要求。

发卡机构应与被委托机构签订委托管理协议,明确双方的责任与义务。

7.2 发卡机构非对称密钥生命周期管理要求

发卡机构非对称密钥生命周期包括密钥生成、密钥存储、密钥传输、密钥备份、密钥恢复、密钥更新、密钥停止使用、密钥归档、密钥销毁等过程。发卡机构非对称密钥的生命周期管理应遵循以下要求。

7.2.1密钥生成

发卡机构公私钥对应在国家密码管理机构许可的硬件加密设备中生成,密钥的生成应由2名以上(包括2名)的密钥管理员同时到达现场进行操作,并在安全管理员的监督下完成。

发卡机构公私钥对的生成过程应进行录像监控并有书面操作记录。

7.2.2密钥存储

发卡机构公私钥对应存放于国家密码管理机构许可的硬件加密设备中,或对密钥中的保密信息以加密的形式存储在其他安全介质中,并采取严格的控制机制防止非授权的访问,以确保私钥的完整性并防止泄露。

7.2.3密钥传输

发卡机构申请发卡机构公钥证书(包括测试型与生产型)之前,应由安全员将发卡机构公钥输入文件以认证中心指定的安全方式传输至认证中心,并提供相应的证书申请材料交与认证中心审核。

发卡机构收到认证中心签发的发卡机构证书后,应验证发卡机构证书中的相关信息,以确认收到证书的信息完整性,以及信息源的正确性。

7.2.4密钥备份

当发卡机构公私钥对存储于硬件加密设备中时,发卡机构应采用秘密共享机制对公私钥对进行备份:密钥备份文件由密钥管理员保管;密钥备份文件的保护口令至少应为两组以上,分别由不同的密钥分管员保管。密钥备份文件及相应的保护口令应分别存放在智能IC卡或智能密码钥匙形式的密钥卡中,或具有更高安全等级的存储介质中。IC卡、密钥卡等存储介质应存放在发卡机构核心区的安全区域内,由密钥管理员与密钥分管员共同保管。

当发卡机构公私钥对存储在数据库或其他介质中时,应通过安全存储介质进行备份。存储备份密钥的介质应存放在发卡机构核心区的安全保管区域内,由密钥管理员与2名以上(包括2名)的密钥分管员同时控制,并有严格的保管登记措施。

发卡机构应对发卡机构公私钥对进行异地备份,并确保其安全性。

7.2.5密钥恢复

当发卡机构公私钥对以7.2.4中的第一种方式进行备份时,密钥的恢复应在安全管理员和密钥管理员的监督下,由2名以上(包括2名)的密钥分管员在硬件加密设备中执行恢复操作。

当发卡机构公私钥对以7.2.4中的第二种方式进行备份时,密钥的恢复应在安全管理员和密钥管理员的监督下,由2名以上(包括2名)的密钥分管员共同使用密钥备份进行恢复。

发卡机构密钥的恢复过程应有书面操作记录。

7.2.6密钥更新

当发卡机构接到认证中心根密钥有效期变更的通知时,可针对业务开展情况进行评估是否需要申请新的发卡行公钥证书,以保证发行的IC卡有效期能同步更新。

当发卡机构接到根密钥有效期到期的通知时,发卡机构应对发卡机构公钥证书进行更新。

当需要更新时,发卡机构应重新生成发卡机构公私钥对,并由安全员以认证中心指定的安全方式向认证中心提交证书更新申请以及更新后的公钥输入文件,申请更新发卡机构证书。

发卡机构证书更新后,使用新的发卡机构私钥签发的金融 IC卡,发卡机构应确保其有效期等于或小于发卡行公钥证书的有效期。

发卡机构公私钥对的更新过程与生成过程的要求相同。

7.2.7密钥的停止使用

当出现以下情形时,发卡机构应立即撤销发卡机构公私钥对,并停止使用相应的发卡机构私钥签发IC卡证书:

1.当发卡机构收到认证中心撤销根密钥的通知时;

2.证实发卡机构私钥泄露或怀疑发卡机构私钥泄露时;

3.影响发卡机构公私钥对安全的其他情况。

7.2.8密钥归档

当发卡机构公私钥对到期后,发卡机构应按照国家保密规定的要求归档保存,归档期限至少为5年,并应确保归档后的密钥不会再被使用。

7.2.9密钥销毁

发卡机构公私钥对归档期结束后,发卡机构应对私钥进行销毁。私钥的销毁需要在安全管理员的监督下,由密钥管理员与所有密钥分管员共同参与完成。销毁过程应有详细的书面操作记录,并应符合国家保密规定要求。

7.3 发卡机构对称密钥管理要求

7.3.1密钥生成

发卡机构生成对称密钥时,应在国家密码管理机构许可的硬件加密设备中生成。

在生成发卡机构对称密钥时,可选择在硬件加密设备中随机生成,或利用随机生成的分量进行合成操作,该操作应在安全管理员的监督下,由2名以上(包括2名)的密钥管理员同时进行。

发卡机构对称密钥的生成操作过程必须进行录像监控并有书面记录。

发卡机构对称密钥必须针对不同的业务类型生成不同的对称密钥,不同业务类型不可使用同一套对称密钥。

7.3.2密钥存储

发卡机构应将对称密钥存放于国家密码管理机构许可的硬件加密设备中,同时还可以采取以下两种方式存储对称密钥:一是以加密的形式存储在数据库或其他介质中,并采取严格的控制措施防止密钥泄露;二是以分量存储的方式保管在安全的物理环境中,并确保不同分量由不同的密钥分管员分别保管。

7.3.3密钥传输

发卡机构生成对称密钥后,进行密钥传输时必须以密文方式进行,任何环节不能出现对称密钥明文。

7.3.4密钥备份

当发卡机构对称密钥存储于硬件加密设备中时,应在其他硬件加密设备中进行备份,硬件加密设备应具有国家密码管理机构的资质许可。

当发卡机构对称密钥存储于数据库或其他介质中时,应通过介质或者分量方式备份。存储备份密钥或者分量的介质应存放在发卡机构核心区的安全保管区域内,由密钥管理员与2名以上(包括2名)的密钥分管员同时控制,并有严格的保管登记措施。

发卡机构应对发卡机构对称密钥进行异地备份,并确保其安全性。

7.3.5密钥恢复

发卡机构对称密钥的恢复可直接使用密文备份进行恢复。

当发卡机构对称密钥以密钥分量或存储介质备份时,其恢复过程应在国家密码管理机构批准与许可的硬件加密设备中进行,恢复过程应在安全管理员与密钥管理员的监督下,由2名以上(包括2名)的密钥分管员同时参与,其操作过程应有详细的书面记录。

7.3.6密钥更新

对于发卡机构静态对称密钥,建议两年更新一次,密钥更新过程中需要兼容考虑存量卡片,不得影响存量卡片的正常使用。

发卡机构对称密钥的更新过程与生成过程要求相同。

7.3.7密钥的停止使用

当证实发卡机构对称密钥泄露或怀疑密钥泄露时,发卡机构应立即停止使用该对称密钥,并及时通知使用该对称密钥的有关单位。

7.3.8密钥归档

发卡机构应对已停止使用或作废的对称密钥按照国家保密规定的要求归档保存,归档期限至少为5年,并应确保归档后的对称密钥不会再被使用。

7.3.9密钥销毁

归档的密钥在其归档期结束后,发卡机构应对归档密钥进行销毁。销毁操作需要在安全管理员的监督下,由密钥管理员与所有密钥分管员共同参与完成。销毁过程应有详细的书面操作记录,并应符合国家保密规定。

7.4 IC卡密钥生命周期管理要求

IC卡密钥生命周期包括密钥生成、密钥存储、密钥传输。此过程应遵循以下要求。

7.4.1密钥生成

发卡机构宜采用两种方式生成IC卡公私钥对:

(1)在IC卡中生成;

(2)在国家密码管理机构许可的硬件加密设备中生成,再写入IC卡中。

发卡机构应确保IC卡公私钥对数据不会重复。

7.4.2密钥存储

发卡机构应确保在硬件加密设备中生成的IC卡私钥写入IC卡后,不会留存任何备份。

7.4.3密钥传输

发卡机构应确保在硬件加密设备中生成的IC卡私钥信息,在写入至IC卡的过程中,不会被截获和泄露。

7.5 密钥泄露的应急处理

发卡机构应制定密钥泄露的应急预案,明确密钥泄露的内部处理流程、人员分工及对外通知处理流程。

发卡机构怀疑或证实发生密钥泄露时,应立即上报中国人民银行,通知相关卡组织和收单机构,并停止使用遭泄露的密钥。

7.6 物理环境要求

7.6.1物理建设标准

发卡机构密钥管理系统所在的物理场所,其物理环境至少应参照以下国家标准建设:

GB/T50174-2008《电子信息系统机房设计规范》

GB/T 2887-2000《电子计算机场地通用规范》

GB/T 6650-1986《计算机机房用活动地板技术条件》

GB/T 9361-1988《计算站场地安全要求》

其中机房设计应符合《电子信息系统机房设计规范》中规定的A级标准,机房安全应符合《计算站场地安全要求》中的 A类要求。

7.6.2物理访问控制

发卡机构密钥管理系统所在的物理场所,需要建立四层以上的物理安全防护体系,包括公共区、服务区、管理区和核心区。用于生成与存储发卡机构密钥的硬件加密设备应放置于核心区内。核心区应配备24小时视频监控设备进行实时监控。

发卡机构应为不同区域设置不同的安全级别,实施不同程度的物理安全防护措施,每个人员只能进入被授权访问的物理区域。

当发卡机构内部人员进入核心区时,应通过两道以上的访问控制机制。外部人员来访需经过发卡机构管理人员的批准,进行来访登记后在内部人员的陪同下方可进入。

发卡机构的所有敏感操作应在受到物理保护的环境下进行,所采取的物理保护手段应能防止未授权的访问、敏感信息的泄露等。

7.6.3介质存储

发卡机构用于存储敏感信息的存储介质,包括但不限于录像资料、存储卡等应放置在防磁、防静电干扰的环境中,应保证存储介质不会被意外破坏(如:水、火和电磁干扰),不会被进行未授权的物理访问。

7.6.4废物处理

发卡机构应制定废物处理流程,对不再使用的、与密钥管理相关的敏感介质、文件和其他废物,应以安全的方式销毁,销毁方法包括但不限于以下形式:

纸质的敏感信息需要通过粉碎、焚烧或其他不可恢复的方法处理;

废弃的密码设备需要根据制造商的指南将其物理销毁或者实施不可恢复的数据删除操作。

废物销毁过程中,应至少有两人同时参与,并有书面的操作记录。

7.7 人员管理要求

7.7.1人员角色划分

发卡机构应当设定以下与密钥管理相关的角色:

1.系统管理员

系统管理员由密钥管理系统在初始化时产生,主要职责是在系统中设置密钥管理员、操作员、系统审计员等角色并进行管理。

2.密钥管理员

密钥管理员负责发卡机构密钥的生成、备份、恢复、更新、撤销、归档、销毁等操作,并负责对所有密钥备份进行统一管理,严格监督密钥分管员按照要求保管备份密钥。

3.密钥分管员

密钥分管员负责妥善保管分管的密钥备份,参与发卡机构密钥的备份、恢复、归档及销毁等。

4.安全员

安全员负责与认证中心联系,办理发卡机构证书的申请、更新等相关业务。发卡机构应将安全员的相关信息(如人员姓名、联系方式等)以书面形式告知认证中心,并在安全员信息发生变更时以书面形式通知认证中心。

5.操作员

操作员负责IC卡密钥的生成、传输等操作。

6.安全管理员

安全管理员负责对整个密钥生命周期进行安全管理,对物理环境的安全进行管理,承担系统审计员的职责,对密钥管理系统运营安全相关的日志或事件进行定期审计,对系统进行定期的安全评估等。

7.7.2职责分割要求

7.7.1中所述的任何两个角色均不能由同一人员担任,应进行职责分割,并在满足职责分割要求的前提下,做好人员备份。

7.7.3人员录用及管理要求

发卡机构雇佣人员担任7.7.1中所述的角色时,应要求应聘人员提供有关教育背景、工作资格以及相关从业经历的证明。如果需要,也应要求应聘人员提供无犯罪证明。

发卡机构应制定并执行严格的背景审查流程,对担任以上角色的人员进行调查,并定期进行复审。

担任以上角色的人员入职时应与发卡机构签订相应的保密协议,并执行轮岗、强制休假等管理制度。

担任以上角色的人员离职或调岗时,发卡机构应取消其相应的访问权限,并做好工作交接。

7.7.4人员培训要求

发卡机构应定期对相关人员进行培训,每年对担任7.7.1中所述角色的人员的培训不得少于10学时。培训内容与人员对应职责相关,包括:使用、操作和维护系统过程中涉及的职责、软硬件操作规范、安全策略要求、金融IC卡密钥管理最新发展趋势等。

7.7.5未授权行为的处罚

发卡机构应建立、维护和实施相应的管理办法,对相关人员的未授权行为,根据相关规定和法律法规进行相应处罚,并及时补充和完善相应的内部管理制度。

7.8 安全审计要求

7.8.1内部审计管理

7.8.1.1审计日志要求

发卡机构密钥管理系统中应设置日志审计模块,对相关人员在系统中的操作日志进行全程记录。

安全管理员应定时调出审计记录,制作统计分析表,对所有人员的操作记录进行审计,在出现操作事故时迅速定位事故原因。安全管理员可以处理但不能修改日志审计数据。

被处理后的审计日志,其保存期限不得少于两个月。

发卡机构应制定相关流程,确保审计日志不被未授权的访问、复制、修改和删除。

7.8.1.2其他安全审计内容

安全管理员应定期进行安全审计,除了日志审计以外,还应包括:

人员审计:发卡机构的人员应是可信任的,必须理解安全策略和安全操作程序;

物理安全审计:物理安全防护措施是否完善;

通信安全审计:所有安全通信设备的使用是否符合发卡机构的安全管理规定;

系统安全审计:检查密钥管理系统的操作系统、数据库系统、入侵检测系统、漏洞扫描系统、防病毒系统、防火墙系统等的日志记录,以确定系统是否异常。

7.8.2外部审计要求

中国人民银行可根据需要对发卡机构的密钥管理进行审计。

发卡机构应根据中国人民银行的要求,准备相关资料,做好审计准备。

7.9 文档配备要求

发卡机构应配备相关的文档用于指导发卡机构密钥管理相关的系统建设、运行和日常管理,文档类型可分为技术实现、物理建设、人事管理以及审计与评估四类。

7.9.1技术实现类

此类文档重点从技术方面描述发卡机构密钥管理系统,主要包括:

1.《系统设计》描述发卡机构密钥管理系统的逻辑结构、网络结构、数据通信设计、密钥管理、业务处理流程以及系统的软硬件配置等;

2.《系统安全》描述发卡机构密钥管理系统通过采用防火墙、入侵检测、漏洞扫描、病毒防治、访问控制、安全配置等措施,保证系统的安全性;同时,从数据通讯、密钥管理、证书管理、安全审计、物理安全等各个方面阐述系统安全措施的实现;

3.《系统安装与配置手册》介绍发卡机构密钥管理系统的安装与配置;

4.《系统操作手册》介绍各系统角色在系统中的职责及操作流程。

7.9.2物理建设类

此类文档重点从物理环境方面描述发卡机构密钥管理的安全保障措施,主要包括:

1.《物理场地安全手册》描述物理场地的安全要求及实现等;

2.《物理场地安全管理规定》描述人员进出各个区域的权限、来访者的接待和管理、门禁系统的使用、监控报警系统的操作使用等管理规定。

7.9.3人事管理类

此类文档重点从人员的可信度鉴别等方面描述发卡机构的人事管理制度,主要包括:

1.《可信人员策略》描述可信人员策略及其如何进行可信人员调查;

2.《可信人员职位划分原则与鉴别》描述可信人员职位划分原则,可信人员鉴别和背景调查及分析等。

7.9.4审计与评估类

此类文档重点从安全审计与评估方面描述系统的安全性,主要包括:

《安全与审计规范》规定发卡机构密钥管理的审计范围和评价标准。

8 收单机构密钥管理要求

8.1 收单机构注册要求

收单机构向认证中心申请认证中心公钥证书之前,应设置安全员的岗位角色,由安全员持相应的注册申请材料,前往认证中心进行收单机构注册。

收单机构应将安全员的相关信息(如人员姓名、联系方式等)以书面形式告知认证中心,并在安全员信息发生变更时以书面形式通知认证中心。

8.2 证书申请

在申请正式的认证中心公钥证书之前,收单机构应先申请测试证书,经测试可用后方可申请正式证书。

收单机构安全员应以认证中心指定的安全方式向认证中心提交证书申请信息,并应申请所有的认证中心公钥证书。

8.3 密钥验证

收单机构收到认证中心发放的公钥后应进行验证,验证成功后方可接受并使用。

8.4 密钥传输

收单机构将验证通过后的认证中心公钥传递给终端时,必须通过带报文鉴别码的安全报文机制进行传输,以保护数据的完整性。

收单机构可以委托授权机构将认证中心公钥传递给终端,此时应与授权机构签订相应的合作协议。

收单机构应保证及时将新的认证中心公钥和相关数据传送给终端。

收单机构未经认证中心许可不得将认证中心公钥外传。

8.5 密钥导入

收单机构将新的认证中心公钥导入终端时,应遵循以下原则:

1.终端应能验证从收单机构收到的认证中心公钥和相关数据没有错误;

2.终端应能验证收到的认证中心公钥和相关数据确实是来自它的合法收单机构;

3.收单机构应能确认新的认证中心公钥已确实且正确地导入它的终端。

收单机构应确保新引入的认证中心公钥在生效日期前装载到每个终端,确保新引入的认证中心公钥在使用该证书的金融IC卡的流通日期前装载到每个终端。收单机构必须建立相应的审计制度以确保符合此要求。

收单机构应严格控制生产型和测试型公钥的使用,确保在生产终端中不存放测试型公钥。并确保在终端中导入所有有效地、不同长度的认证中心生产型公钥,以受理用不同长度认证中心私钥签发证书的IC卡。

8.6 密钥存储

收单机构应确保认证中心公钥存储于终端的安全模块中或以加密的形式存储在其他介质中。

收单机构应定期对终端中存储的认证中心公钥的完整性进行验证。

8.7 密钥更新

收单机构收到认证中心公钥更新的通知后,应及时对当前所有终端内密钥的有效期情况进行评估,确定是否需要对终端内的认证中心公钥进行更新,并及时提交更新申请。

收单机构发送到终端的认证中心公钥更新指令必须使用安全报文。

8.8 密钥撤销

收单机构应在认证中心根密钥到期或收到撤销通知后的6个月内,将认证中心公钥移出每个终端或停止在终端使用。终端应能够鉴别过期或已撤销的认证中心公钥。收单机构对这个要求必须能够审计。

认证中心公钥的撤回指令应通过安全报文传输。

当某一个认证中心公钥被撤销时,收单机构必须保证在一个确定的时间后它的终端在交易中不再将这个认证中心公钥用于静态和动态数据认证。

以下原则适用于收单机构将认证中心公钥从它的终端撤回:

1.终端必须能够验证它从收单机构收到的撤回通告没有错误;

2.终端必须能够验证收到的撤回通告确实是来自于它的合法收单机构;

3.收单机构必须能够确认一个特定的认证中心公钥已经真正地、正确地从它的终端撤回。

8.9 其他要求

收单机构应能在合理的时间期限内确认在其每个终端,哪些认证中心公钥正在使用。

收单机构应详细记录其每一个终端中当前能够支持的密钥长度。