GBT21078.2-2011银行业务个人识别码的管理与安全第2部分：ATM和POS系统中脱机PIN处理的要求.pdf 9页

'ICS35．240．40A11a亘中华人民共和国国家标准GB／T21078．2—20”银行业务个人识别码的管理与安全第2部分：ATM和POS系统中脱机PIN处理的要求Banking--Personalidentificationnumbermanagementandsecurity—Part2：RequirementsforofflinePINhandlinginATMandPOSsystems2011-12-30发布(IS09564—3：2003，MOD)2012-02-01实施宰瞀髁紫獬訾矬瞥鐾发布中国国家标准化管理委员会仅111 标准分享网www.bzfxw.com免费下载目次GB／T21078．2—2011前言⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯lI}r言⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯Ⅳ1范围⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯12规范性引用文件⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯13术语和定义⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯14在PIN输入设备(PED)和Ic卡读卡器之间传输时的PIN保护⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯25物理安全⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯26PINBLOCK格式⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯36．1概述⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯36．2格式2的PINBLOCK⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯3参考文献⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯⋯4 标准分享网www.bzfxw.com免费下载 标准分享网www.bzfxw.com免费下载前言GB／T21078．2—2011GB／T21078((银行业务个人识别码的管理和安全》分为以下3个部分：——第L部分：ATM和POS系统中联机PIN处理的基本原则和要求；——第2部分：ATM和POS系统中脱机PIN处理的要求；——第3部分：开放网络中PIN处理指南。本部分为GB／T21078的第2部分。本部分按照GB／T1．1—2009给出的规则起草。本部分修改采用ISO9564—3：2003《银行业务个人识别码的管理与安全第3部分：ATM和POS系统中脱机PIN处理的要求》(英文版)。本部分与ISO9564—3：2003的技术性差异为：根据国内的实际应用情况，将6．1中“应为每笔交易使用惟一密钥”的要求扩展为“应为每笔交易使用惟一密钥或者定期更换加密密钥”。有关技术性差异已编人正文并在其涉及的条款的页边空白处用垂直单线标识。本部分删除了IsO前言。本部分由中国人民银行提出。本部分由全国金融标准化技术委员会(SAC／TC180)归口。本部分负责起草单位：中国金融电子化公司。本部分参加起草单位：中国工商银行、中国银行、交通银行、中国人民银行兴化市中心支行、中国银联股份有限公司。本部分主要起草人：王平娃、陆书春、李曙光、贾树辉、赵志兰、仲志晖、王治纲、冉平、周燕媚、张凡、贾静、刘运、景芸、张艳。Ⅲ 标准分享网www.bzfxw.com免费下载OB／T21078．2—2011引言内置集成电路的金融交易卡在技术上已可使用Ic卡进行脱机的PIN验证。目前发卡方可以选择脱机或者联机方式进行PIN验证。GB／T21078的本部分为脱机处理PIN提出了明确的要求。脱机PIN验证不要求把持卡人的PIN发送到发卡方主机验证，因此通过网络进行PIN保护的相关安全要求不适用。但是，尽管PIN可以脱机验证，许多通用的PIN保护原则和技术仍然适用。GB／T21078的本部分给出了对脱机类PIN处理的具体要求，除非明确说明，GB／T21078．1—2007给出的PIN管理的基本原则适用于本部分。IsO10202的第6部分定义了使用Ic卡进行持卡人验证的安全要求。应当指出，ISO10202定义了对Ic卡自身的要求，而非对收单方Ic卡接受设备的要求，因此可以看成是对GB／T21078的补充。Ⅳ 标准分享网www.bzfxw.com免费下载1范围GB／T21078．2—2011银行业务个人识别码的管理与安全第2部分：ATM和POS系统中脱机PIN处理的要求本部分规定了脱机PIN处理的最低安全要求和在脱机环境下交换PIN数据的标准方法。本部分适用于要求脱机PIN验证的卡发起的金融交易，也适用于那些负责在ATM和收单方布放的POS终端中实施PIN管理和保护技术的机构。本部分不适用于下列情况：a)联机PIN环境下的PIN管理和安全，GB／T21078．1包含该项内容；b)核准的PIN加密算法；c)在开放网络环境下使用PIN，GB／T21078．3包含该项内容；d)防止用户或者发卡方及其代理商的授权雇员丢失或故意误用而采取的PIN保护；e)非PIN交易数据的私密性；f)保护交易报文，防止修改或替换，例如联机授权响应；g)防止PIN或交易重放；h)特定的密钥管理技术；i)IC卡是否接受加密PIN的决策；j)非接触式Ic卡。GB／T21078．1—2007的第4章描述的PIN管理的基本原则也适用于本部分。与多应用Ic卡相关的要求由发卡方负责，不包括在本部分内。本部分适用于Ic卡技术，但不局限于Ic卡技术。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。GB／T16649(所有部分)识别卡带触点的集成电路卡(ISO／IEC7816—1：1998，MOD)GB／T21078．1—2007银行业务个人识别码的管理与安全第1部分：ATM和POS系统中联机PIN处理的基本原则和要求(IS09564-1：2002，MOD)EMV2000支付系统的集成电路卡规范第2册：安全和密钥管理(4．0版)2000．12(EMV2000，IntegratedCircuitCardSpecificationforPaymentSystems，Book2--SecurityandKeyManagement，Version4．0，December，2000)3术语和定义3．1GB／T21078．1—2007界定的以及下列术语和定义适用于本文件。集成电路(Ic)i岬tedcircuit(Ic)按照GB／T16649中的规定，(典型的)嵌入在Ic卡中的微处理器。 GB／T21078．2—20114在PIN输入设备(PED)和Ic卡读卡器之间传输时的PIN保护Ic卡读卡器和PIN输人设备(PED)既可以分成两个独立的设备，也可以集成在一个设备中，见表1。当Ic卡读卡器和PED被集成为符合GB／T21078．1—2007的6．3要求的设备，而且以明文形式提交PIN给IC卡时，PED不需要加密PIN。当PIN以明文形式通过未受保护的环境传输至Ic卡读卡器并提交至IC卡时，应按照21078．1—2007的要求对PIN加密。IC卡读卡器应解密PIN，并以明文形式提交给Ic卡。当PIN以加密形式提交给Ic卡时，无论是集成还是非集成的设备，PIN均应在一个符合21078．1—2007的6．3要求的设备内使用IC卡加密密钥加密。如果PIN被传输到一个符合GB／T21078．1—2007的6．3要求设备的外面，则它应该按照21078．12007的要求加密或使用Ic卡加密密钥加密。5物理安全本章给出了对PED和IC卡读卡器的物理安全的要求和建议。除以下情况外，对用于脱机PIN验证的PED的要求与在GB／T21078．1—2007给出的要求相同。PED应是GB／T21078．12007的6．3定义的“物理安全设备”。否则，它至少应满足21078．1—2007的6．3对PED的要求。为了使收单方能够检测出PED上的攻击，PED自己应能向收单方验证它自己，即如果被攻击，它将不再能向收单方验证自己。此外，如果PED用于处理联机的PIN交易(且符合GB／T21078．12007的要求)，收单方应定期验证它的完整性。配备IC卡读卡器的设备应满足GB／T21078．1—2007的6．3对PED的要求。IC卡读卡器的插卡槽：a)当卡在IC卡读卡器里时，应没有空间容纳一个泄漏PIN的恶意装置；b)应不能被扩大而为泄漏PIN的恶意装置提供空问；c)其放置方式应让用户能及时发现有恶意装置和其相连。应提供必要的电子保护电路，以防止在IC卡读卡器内安装窃听装置。表1根据本章和第4章的要求，总结了对不同的终端配置及PIN提交方式的PIN保护的要求。表1PIN保护要求Ic卡读卡器和PED按照Ic卡读卡器和PED没有按照PIN提交方式21078．1—2007的6．3要求集成为一个设备PINBLOCK在PED和Ic卡读卡器之间加密的PINBLOCK提PINBLOCK应该使用一个Ic卡加密密应按照GB／T21078．1—2007的要求加密或者使用一个Ic卡加密密钥加密。交给Ic卡钥8加密，然后提交给Ic卡PINBLOCK应该使用一个Ic卡加密密钥加密，然后提交给IC卡明文PINBLOCK提交不要求加密PINBLOCK在PED和Ic卡读卡器之间给Ic卡应按照GB／T21078．1—2007的要求加密注：参见EMV2000。 6PINBLOCK格式GB／T21078．2—20116．1概述IC卡读卡器提交给Ic卡的PIN包含在一个PINBLOCK中，该块符合6．2的要求。这适用于PIN以明文的方式提交或使用一个Ic卡的加密密钥加密后提交。在PED和IC卡读卡器之间传输的加密PIN应使用GB／T21078．1—2007中规定的PINBLOCK格式。当使用“格式2的PINBLOCK”时，应为每笔交易使用惟一密钥或者定期更换加密密钥。6．2格式2的PINBLOCKPINBLOCK由2个部分连接构成：明文PIN部分和填充部分。格式2PINBLOCK应使用下面格式：位：l5913172125Z933374l454953576164其中：c一控制域4位域，值为0010(2)；N=PIN长度4位二进制数，允许值为0100(4)到1100(12)；P=PIN数字位4位域，允许值为0000(0)到1001(9)；P／F=PIN数字位或填充位这些域由PIN长度域决定；F一填充位4位域，值为1111(15)。 GB／T21078．2—201{参考文献[1]GB／T16790(所有部分)金融交易卡使用集成电路卡的金融交易系统的安全体系'