2018年03月18日 | 密钥管理系统概述_密钥管理系统架构图

    密钥管理系统由部级密钥系统和城市级密钥系统组成。两级密钥系统基于不同的侧重点分别产生不同用途的应用密钥。部级密钥系统和城市级密钥系统间通过密钥母卡或硬件加密机的方式传递密钥。密钥管理系统必须具备根密钥的备份机制和密钥一旦泄露后的密钥紧急更新机制，密钥产生后的转移、复制、分散等环节一般应通过加密机或智能IC卡进行，并能保证密钥的安全。

　　密钥管理系统是各商业银行的金融IC卡联合试点中，各级银行对密钥的安全控制和管理，是应用系统安全的关键。密钥管理系统采用3DES加密算法，运用中国人民银行总行、人民银行地区分行（商业银行总行）、成员银行三级管理体制，安全共享公共主密钥的，实现卡片互通、机具共享。各商业银行的金融IC卡联合试点中，各级银行对密钥的安全控制和管理，是应用系统安全的关键。

　　密钥管理系统架构

　　密钥系统是社会保障（个人）卡的安全基础和保障，其体系结构是多层次的，数据来源也比较复杂。因此，这部分软件应能够为用户提供透明的服务（即用户不需要知道密钥的具体产生细节及物理地址，就可以方便地使用软件完成相应的操作）并可按用户需求完成相应的业务功能。

　　由于系统需要使用专用硬件（加密机、读卡器等），因此软件还应提供对这些硬件的设置与通讯操作。软件的具体功能划分与功能需求见下图及说明。

　　1．省级新增密钥管理：管理省级密钥分散因子，产生省级种子密钥卡。

　　2．部级密钥导入：读取国家劳动社会保障部提供的密钥，并将其导入至省级加密机。

　　3．地市密钥分散：分散国家级、省级密钥到市级密钥系统。

　　4．PSAM卡管理：PSAM卡资料管理、PSAM卡的制作。

　　5．操作员管理：管理操作员资料和操作员权限。

　　6．系统参数设置：设置接口参数（加密机地址、发卡机连接方式等）。

　　密钥管理系统涉及的专用必备硬件包括：加密机1台（需符合社保规范），用于存放密钥；读卡器1台（至少双卡座），用于用户卡或PSAM卡的读写。

　　由于密钥管理的安全需求比较高，因此密钥管理软件应安装在一台专用的PC机上与系统其他部分分开运行。为了备份密钥资料，密钥管理软件在使用时应配装OraclePersonal或SQLServerDesktop或ACCESS等数据库。

　　密钥管理设计原则

　　1，任何密码不以明文的方式进行存储，除非是放在足够安全的密码装置内。人工分配的密钥必须以密钥分量方式分别由不同的多个可信任的实体保管，不得直接以明文方式由单个实体掌握，对密码装置的任何操作均无法使得密钥以明文方式出现于密码装置之外;

　　2，保证密钥的分离性，不同通信实体之间使用不同的密钥，且这些密钥不能存在相关性，即一对通信实体之间的安全通信出现问题，不应引起另一对实体的安全通信，包含这四个实体中有两个实体相同的情况;

　　3，密钥需要具备一定的备份机制，当系统出现故障导致密钥的丢失，应该能通过对密钥备份的回复，来确保系统是可修复的，但密钥的备份不应该降低密钥管理的安全性。

　　4，密钥必须具备有效期，当旧密钥过期时，需要及时进行密钥的替换，同时，新密钥安全性和旧密钥的安全性应该分离，即旧密钥即使泄漏也不应该引起新密钥的安全性出现问题。

　　5，密钥管理需要具备层次性。

　　网络要求每次交易的PIN保密.MAC的计算以及其它信息的加密所使用的密钥互不相同，作到一次一密。而为了保证交易的延续性，这些密钥均要由一个实体产生并安全地传输到另一个与之通信的实体，这就要求通信双方必须共同使用一个加密密钥（KEK），以加密上述的各种工作密钥，KEK不能通过网络进行传输，而只能在系统使用前装入，或者通过两个实体各自分别产生一个相同的密钥作为KEK，有了KEK，便解决了会话密钥的传输问题。

　　在网络中，商户、发卡行均需要与为数众多的实体进行安全通信，这就要求系统中具有大量的密钥（会话密钥和KEK），这些密钥无法全部保存在安全密码装置中，因此需要使用主密钥（MFK）对这些密钥加密存储于密码装置之外的主机数据库中。

　　一级：MFK，主密钥，存储于密钥装作中，用于加密KEK和SK，以保存在密码装作外。

　　二级：KEK，密钥加密密钥，用于SK的加密传送，每对通信实体都有一相同的KEK。

　　三级：SK，会话密钥，用于加密PIN，产生MAC和验证MAC等。

　　6，密钥和密钥属性

　　KEK和SK都具有密钥属性，用于功能分离和使用合法性检验，以提高系统的逻辑安全。密钥的属性包含此密钥的层次（标识KEK或SK）。使用有效次数.MFK序号。密钥用途和密钥校验值等内容，密钥属性与密钥一起使用，密码装置根据密钥属性校验密钥使用的合法性。控制密钥的误用。密钥校验值由相应密钥值与属性在MFK的加密下产生。密钥属性仅与相应密钥的明文保存在主机中，也仅用于主机安全密码装置，不进行传输。

　　智能卡密钥管理系统介绍

　　该体制完全支持《中国金融IC卡规范v1.0》，具体为：

　　1、IC卡的电子钱包和电子存折的消费。取现。查余额功能全国通用，并且采用脱机交易方式。

　　2、IC卡的圈存。圈提功能全国通用，但采用联机交易方式，借助龙卡网络实现。

　　3、IC卡PIN的改密。解锁等其他功能仅在发卡行受理。

　　智能卡密钥管理系统功能：

　　在充分保证密钥安全性的基础上，支持IC卡联合试点密钥的生成。导出。注入。备份。恢复。更新。服务等功能，实现密钥的安全管理。

　　智能卡密钥管理系统结构：

　　该体制分为两个部分：在总行建立“总行密钥管理系统（KMS/HQ）”，在各分行（发卡行）建立“分行密钥管理系统（KMS/IB）”和“分行发卡系统（PERSO/IB）”。见图一；

　　图一

　　为实现“集中－分布”式密钥管理制度，商业银行总行。各分行以及卡片制造商三者之间的工作流程为：见图二。

　　图二

　　TDE密钥管理架构

　　TDE密钥管理架构图

　　部署步骤

　　由于TDE对于现有的应用程序代码（数据库触发器和试图不需要）是透明的，相比传统的API加密解决方案而言，这种加密加密过程更加简单。以下是应用TDE的步骤：

　　1.初始化万能密钥

　　2.鉴定需要加密的敏感数据（PII数据和信用卡数据等）

　　3.明确TDE支持的数据类型并检查外键使用方法

　　4.使用TDE加密敏感数据

　　初始化万能密钥

　　每个数据库都有其特有的万能密钥，然而，任何万能密钥都可以被复制到一个次级数据库，只要该万能密钥以前没有建立在这个次级数据库上，并且要在任何应用表格可以被加密之前。初始化万能密钥的语句如下：SQL》altersystemsetkeyidenTIfiedby“password”。

　　这个命令能够创建一个wallet并使用密码加密该wallet，根据PKCS#5标准的建议。OracleWallet存储在过期万能加密密钥库中，当需要从备份磁盘读取使用旧密钥加密的数据时则取出这些过期密钥。

　　打开OracleWallet

　　包含万能加密密钥的wallet必须在数据库可以解密表密钥来加密或解密应用数据前被打开，因为数据库可以在不打开wallet的情况下启动和运行，然而，试图访问加密数据将会返回一个错误。在维护运行期间关闭wallet是很有用的，此时访问数据库必须是授权的人。

　　更改万能密钥

　　可以通过再次发出改变系统命令来更改万能密钥：

　　SQL》altersystemsetkeyidenTIfiedby“password”;

　　更改万能密钥将需要重新加密Oracle数据字典中所有的表密钥，PCI数据安全标准（DSS）1.1要求“经常更新加密密钥，至少一年一次”。更改万能密钥将需要使用新的万能加密密钥重新加密列密钥，不能触碰加密数据。

　　更改wallet密码

　　Wallet密码可以独立于万能加密密钥进行更改，它仅用于加密磁盘中的wallet文件，更改密码时可以使用OracleWalletManager或者“orapki”命令。

　　鉴别敏感数据

　　鉴别PII相关的数据（如社保号码和信用卡）不是易事，特别是在复杂的应用程序中，其中一个有效的技巧就是搜索Oracle数据字典中经常被用来存储这些信息的列名称或者数据类型。命令如下：

　　SQL》selectcolumn_name，table_name，data_typefrom

　　dba_tab_colswherecolumn_namelike‘%SOCIAL%’or

　　column_namelike‘%SSN%’orcolumn_namelike‘%SECNUM%’or

　　column_namelike“%SOC%‘andowner=’‘;