JR-T 0093.6-2015 中国金融移动支付 远程支付应用 第6部分:基于安全单元(SE)的安全服务技术规范.pdf
- 文档编号:14661378
- 上传时间:2023-06-25
- 格式:PDF
- 页数:29
- 大小:602.41KB
JR-T 0093.6-2015 中国金融移动支付 远程支付应用 第6部分:基于安全单元(SE)的安全服务技术规范.pdf
《JR-T 0093.6-2015 中国金融移动支付 远程支付应用 第6部分:基于安全单元(SE)的安全服务技术规范.pdf》由会员分享,可在线阅读,更多相关《JR-T 0093.6-2015 中国金融移动支付 远程支付应用 第6部分:基于安全单元(SE)的安全服务技术规范.pdf(29页珍藏版)》请在冰点文库上搜索。
ICS35.240.40A11JR中华人民共和国金融行业标准JR/T0093.62015代替JR/T0093.62012中国金融移动支付远程支付应用第6部分:
基于安全单元(SE)的安全服务技术规范ChinafinancialmobilepaymentRemotepaymentapplicationsPart6:
Technicalspecificationforsecurityservicebasedonsecureelement(SE)2015-12-22发布2015-12-22实施中国人民银行发布JR/T0093.62015I目次前言.II引言.III1范围.12规范性引用文件.13术语与定义.14缩略语.25基于SE的安全服务.26SE安全服务生命周期管理.67安全要求.10附录A(资料性附录)基于PBOC应用的手机银行.17附录B(资料性附录)基于PBOC应用的手机信贷.19参考文献.23JR/T0093.62015II前言中国金融移动支付远程支付应用标准由以下六部分构成:
第1部分:
数据元;第2部分:
交易模型及流程规范;第3部分:
报文结构及要素;第4部分:
文件数据格式规范;第5部分:
短信支付技术规范;第6部分:
基于安全单元(SE)的安全服务技术规范。
本部分为该标准的第6部分。
本部分按照GB/T1.1-2009给出的规则起草。
本部分代替JR/T0093.6-2012中国金融移动支付远程支付应用第6部分:
基于安全单元(SE)的安全服务技术规范。
本部分除编辑性修改外主要技术变化如下:
增加了第2章规范性引用文件;在第3章中修改或删除了一些术语和定义;在第5章中进行了统一梳理完善,将5.6安全服务作用相关内容进行删减纳入5.1概述中统一说明,修改5.2中图示及相关说明,对5.4SE安全服务应用的实现的内容和流程进行了全面梳理修改;对于第6章内容进行全面整理并补充,形成本次修订版本的第7章安全要求,其中增加或补充了对SE安全单元、SE安全服务应用、电子认证、客户端执行环境、客户端软件、后台服务器等方面的安全要求;增加了本次修订版本的第6章SE安全服务数字证书生命周期管理;增加了附录A基于PBOC应用的手机银行、附录B基于PBOC应用的手机信贷;参考文献中删除了部分文献说明。
本部分由中国人民银行提出。
本部分由全国金融标准化技术委员会(SAC/TC180)归口。
本部分负责起草单位:
中国人民银行科技司、中国金融电子化公司。
本部分参加起草单位:
中国工商银行、中国农业银行、中国银行、中国建设银行、交通银行、中国邮政储蓄银行、中国民生银行、上海浦东发展银行、中信银行、中国银联股份有限公司、银行卡检测中心、中国软件评测中心、上海市信息安全测评认证中心、中国金融认证中心、中钞信用卡产业发展有限公司、中国电子科技集团公司第十五研究所、北京握奇数据系统有限公司。
本部分主要起草人:
王永红、陆书春、李兴锋、杜宁、潘润红、邬向阳、杨倩、吴永强、王禄禄、刘运、马小琼、涂长东、廖志江、史大鹏、谢元呈、延冰、宋捷、庞杰、李晓、姜鹏、汤沁莹、张栋、黄江、王欢、马哲、安焘、宋铮、李国俊、金铭彦、高志民、高强裔、杨明庆、魏娜、王冠华、王晓东。
本标准代替JR/T0093.6-2012,JR/T0093.6-2012于2012年12月首次发布,本次为第1次修订。
JR/T0093.62015III引言随着移动金融新业务、新产品、新管理模式的不断涌现,以用户需求为主导的移动金融服务出现了不断交融和细化的趋势。
本部分仅对目前移动金融业务中比较成熟的、通用的基于SE的安全服务进行了抽象和规范,对于仍存在不确定性的或商业银行和支付机构定制的个性化的安全服务,在标准后续的修订过程中逐步纳入。
JR/T0093.620151中国金融移动支付远程支付应用第6部分:
基于安全单元(SE)的安全服务技术规范1范围本部分对基于安全单元(包含普通金融IC卡)的安全服务进行了抽象和规范,主要规定了基于安全单元(简称SE)的安全服务所提供的接口规范、数字证书申请流程、安全认证流程、与客户端软件的层次关系、SE安全服务生命周期管理及相关安全要求。
本部分适用于移动金融SE应用、客户端软件和后台系统的设计、开发、应用及检测等方面。
2规范性引用文件下列文件对于本文件的应用是必不可少的。
凡是注日期的引用文件,仅所注日期的版本适用于本文件。
凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
JR/T0025中国金融集成电路(IC)卡规范JR/T0068网上银行系统信息安全通用规范JR/T0092中国金融移动支付客户端技术规范JR/T0093.1中国金融移动支付应用基础第1部分:
术语JR/T0095中国金融移动支付可信服务管理技术规范JR/T0097中国金融移动支付应用安全规范JR/T0098.2中国金融移动支付检测规范第2部分:
安全芯片JR/T0098.5中国金融移动支付检测规范第5部分:
安全单元(SE)嵌入式软件安全JR/T0118金融电子认证规范3术语与定义下列术语和定义适用于本文件。
3.1电子认证electronicauthentication以数字证书为核心、以PKI技术为基础,对传输的信息进行加密、解密、数字签名和数字验证。
3.2电子认证服务certificationservice为电子签名相关各方提供真实性、可靠性验证的服务。
3.3私钥privatekey在公钥密码体系中,用户的密钥对中只有用户本身才能持有的密钥。
JR/T0093.6201523.4公钥publickey在公钥密码体系中,用户的密钥对中可以被其它用户所持有的密钥。
3.5敏感信息sensitiveinformation影响基于SE的移动金融安全的密码、密钥以及交易敏感数据等信息,密码包括但不限于转账密码、查询密码、登录密码、证书的PIN等,密钥包括但不限于用于确保通讯安全、报文完整性等的密钥,交易敏感数据包括但不局限于完整磁道信息、有效期、CVN、CVN2、证件号码等。
4缩略语下列缩略语适用于本文件。
COS:
卡片操作系统(ChipOperationSystem)CRL:
证书撤销列表(CertificateRevocationList)OCSP:
在线证书状态协议(OnlineCertificateStatusProtocol)PIN:
个人识别码(PersonalIdentificationNumber)SSL:
安全套接层协议(SecureSocketsLayer)TLS:
安全传输层协议(TransportLayerSecurity)IPSec:
网络协议安全(InternetProtocolSecurity)TSM:
可信服务管理(TrustedServiceManagement)5基于SE的安全服务5.1概述基于SE远程支付的安全服务应用,采用公开密钥体系为核心,构建统一的电子认证服务手段来确保远程支付交易的真实性、可靠性,降低各移动金融应用提供方在开发电子认证服务时的个性化差异,提高通用性,简化了复杂度,保障采用数字证书的电子认证服务能够安全、有序地开展,相关电子认证要求应符合JR/T0118。
SE安全服务应用实现了身份验证、电子签名、加密解密等多种功能。
证书认证机构签发的数字证书包含了证书用户的身份信息,交易各方可以利用数字证书验证对方身份的真实性。
交易参与各方对交易数据进行电子签名,确保交易数据的完整性和交易行为的不可否认性。
交易发送方使用接收方的公钥证书对信息加密,接收方使用相应的私钥解密数据,基于数字证书的非对称加解密,可确保数据只有私钥持有方才可以解密,保证了信息的机密性。
实现案例参见附录A、附录B。
5.2SE安全服务应用与后台系统的关系图1描述了SE安全服务应用的角色定位以及与后台系统之间的关系。
JR/T0093.620153图1SE安全服务应用与后台系统的关系示意图SE安全服务应用安装在SE内部,对外提供如密钥生成、证书安装、加密解密、签名验签等安全服务。
5.3SE安全服务应用的层次结构图2描述了客户端软件与SE安全服务应用之间的调用关系,及SE安全服务应用的层次结构。
图2SE安全服务应用的层次结构与调用关系图完整的运算过程,均由客户端软件发起指令,调用SE安全服务应用的编程接口,通过应用协议数据单元指令的转化,从而到达SE安全服务应用的内部进行运算,执行结果会以同步方式逐层响应上级调用者,直到客户端软件得到运算结果。
SE安全服务应用作为SE的应用之一,在提供基础的安全服务功能的同时,需要加强对调用指令的访问控制。
其内部构造可以分为多个层次来实现,比如接口实现层主要完成对外提供接口的功能实现,密认证服务系统业务处理系统账户管理系统客户端软件SE安全单元密钥生成加密解密签名验签.SE安全服务应用证书申请、交易、查询SE安全服务应用接口实现层密钥生成层应用协议数据单元指令客户端软件SE安全单元.SE安全服务应用密钥容器层.编程接口JR/T0093.620154钥生成层主要完成密钥对的生成,密钥容器层主要完成密钥的存储、数字证书的安装、容器和密钥的访问控制。
5.4SE安全服务应用的实现5.4.1接口实现层接口实现层主要完成对外提供接口的功能实现,功能包括但不仅限于:
a)证书申请/安装证书申请/安装分为预置和动态申请/安装方式。
图3描述了动态申请/安装方式用户从客户端软件上发起申请,到SE安全服务应用将数字证书安装的过程。
图3SE安全服务应用证书申请的示意图步骤1:
用户在客户端软件上发起数字证书申请的请求;步骤2:
业务处理系统进行用户的身份认证与请求验证;步骤3:
验证通过后,客户端软件调用SE安全服务应用的证书申请功能;步骤4:
SE安全服务应用在内部生成密钥对,并存储到密钥容器中;步骤5:
SE安全服务应用输出证书签发请求,响应客户端软件;步骤6:
客户端软件将证书签发请求上送到业务处理系统;步骤7:
业务处理系统将证书签发请求与用户信息提交到认证服务系统;步骤8:
认证服务系统对用户身份和证书签发请求的合法性认证后,颁发证书;步骤9:
业务处理系统接收到数字证书后,下发到客户端软件;步骤10:
客户端软件获得下发的数字证书后,调用SE安全服务应用的证书安装功能;步骤11:
SE安全服务应用将数字证书匹配密钥对,存储到容器中,完成数字证书的安装。
b)证书卸载卸载数字证书后,数字证书在密钥容器中占用的空间将被释放,该数字证书及对应的私钥信息将销毁。
数字证书的卸载应具有访问控制权限。
c)读取证书列表读取密钥容器中的所有数字证书。
d)读取指定证书认证服务系统业务处理系统账户管理系统客户端软件3.证书申请5.输出证书签发请求10.证书安装SE安全服务应用4.密钥对生成11.证书安装7.提供证书签发请求8.颁发证书1.申请数字证书2.返回用户信息6.上送证书签发请求9.下发证书JR/T0093.620155根据证书的序列号、有效的起止日期等检索到指定的数字证书。
e)加密/解密图4描述了SE安全服务应用基于非对称加密方式完成加密与解密的过程。
图4SE安全服务应用的加密与解密示意图客户端软件作为交易数据的发送方,在交易数据传输前,会获取到接收方的公钥数字证书,而接收方的私钥则始终保存在接收方的后台系统中。
发送方使用接收方的公钥对交易数据进行加密并发送给接收方,接收方得到加密数据后,使用与公钥对应的私钥进行解密。
f)签名/验签图5描述了SE安全服务应用基于非对称加密方式完成签名与验签的过程。
图5SE安全服务应用的签名与验签示意图在交易数据传输前,发送方将原文按照约定的哈希算法计算得到摘要,并使用自己的私钥对摘要进行加密得到数字签名,与原文一同发送给接收方,接收方使用同样的哈希算法对原文计算摘要,然后与使用发送方的公钥对数字签名进行解密得到的摘要进行对比。
5.4.2密钥生成层发送方接收方明文接收方公钥加密算法接收方私钥解密算法密文密文明文发送方接收方摘要发送方私钥签名算法发送方公钥验签算法数字签名数字签名摘要对比哈希算法原文哈希算法原文JR/T0093.620156密钥生成层的功能包括但不仅限于:
a)密钥对生成密钥对生成后,SE安全服务应用会将生成的公钥和私钥分别存储,公钥可以非加密的方式对外公开,私钥则始终保存在密钥生成地。
b)私钥签名采用私钥对原文的哈希运算结果进行加密所得签名,只有私钥持有者才能产生,在交易过程中用以鉴别发送者身份。
私钥签名应具备较高的访问控制权限。
c)密钥调用时的访问控制公钥数字证书的访问应指定序列号、有效的起止日期等才能调用。
私钥的访问应具备较高的访问控制权限。
d)私钥不可导出私钥应始终保存在SE安全服务应用内部,从生成直到销毁,SE安全服务应用不应提供导出功能。
e)删除过期私钥由于公钥、私钥的一一对应关系,私钥过期后,由客户端软件发起删除过期数字证书的请求,SE安全服务应用应将公钥数字证书与私钥一并删除。
5.4.3密钥容器层密钥容器层的功能包括但不仅限于:
a)容器的实现密钥容器包含某个特定用户的所有非对称密钥对,包括签名密钥对、加密密钥对。
创建密钥容器时,应为每个密钥容器指定唯一的名称。
b)容器调用的访问控制密钥容器存储着密钥对,应具备较高等级的安全访问权限。
c)证书的导入数字证书安装时,应将数字证书导入到容器中,并与之前的密钥对匹配关联。
d)证书的导出数字证书导出时,应将容器中的数字证书复制一份并输出。
e)证书的删除数字证书删除时,应将数字证书与匹配的密钥对一同销毁,释放容器的空间。
f)证书的读取数字证书的读取,会根据序列号、有效的起止日期等检索到指定证书。
g)证书的枚举数字证书的枚举,不设定任何条件,可列举所有的数字证书。
证书的枚举仅限于内部实现,不对外提供接口。
h)证书调用的访问控制应限制客户端仅可访问授权的证书。
6SE安全服务生命周期管理6.1应用生命周期管理SE安全服务应用作为SE的一种标准应用,其使用过程如下:
应用的下载安装:
应符合JR/T0097-2012中7.4应用生命周期管理的要求。
可以在SE中预置JR/T0093.620157应用,也可提供在线动态下载应用,在线动态下载应用的流程应满足JR/T0097中7.4.2应用下载与授权的流程;应用的初始化:
用户下载SE安全服务应用后,需要申请并安装证书才能使用;应用的使用:
用户在进行远程交易时,SE安全服务应用提供数据的加密/解密、签名/验签等服务。
图6描述了用户从下载、安装SE安全服务应用,到使用SE安全服务应用完成交易的过程。
图6SE安全服务应用的使用流程步骤1:
用户在客户端软件上发起SE安全服务应用下载的请求;步骤2:
通过相关认证后,TSM系统返回SE安全服务应用;步骤3:
客户端软件将SE安全服务应用安装在SE中;步骤4:
SE向客户端软件返回应用安装结果;步骤5:
用户从客户端软件向业务处理系统发起应用个人化请求;步骤6:
业务处理系统向认证服务系统发起证书颁发申请;步骤7:
认证服务系统颁发证书并返回业务处理系统;步骤8:
业务处理系统将证书下发给客户端软件;步骤9:
客户端软件将证书安装在SE中;步骤10:
用户从客户端软件向业务处理系统发起交易请求;步骤11:
业务处理系统向客户端软件返回交易响应信息;步骤12:
客户端软件组装交易签名请求报文,调用SE安全服务应用,发起签名请求;步骤13:
SE安全服务应用向客户端返回签名结果;步骤14:
客户端软件向业务处理系统发起交易确认请求,请求信息包含SE安全服务应用的签名结果;步骤15:
业务处理系统将交易信息及签名结果发送到认证服务系统;步骤16:
认证服务系统进行验证并向业务系统返回验签结果;客户端软件TSM业务处理系统认证服务系统1.应用下载请求2.应用下载5.应用个人化请求8.证书下载10.交易请求11.交易响应14.交易确认请求SE3.应用安装4.应用安装响应9.证书安装12.交易签名请求13.返回签名数据6.证书颁发申请7.颁发证书15.签名验签16.返回验签结果17.返回交易结果JR/T0093.620158步骤17:
业务处理系统进行交易处理后,向客户端软件返回交易结果。
6.2数字证书生命周期管理6.2.1概述数字证书的生命周期管理包括证书的申请、更新、卸载/吊销、签名/验签、加密/解密等处理过程。
证书分为预置和动态申请两种方式。
6.2.2、6.2.3、6.2.4流程适用于动态申请方式。
6.2.2证书申请证书申请为初次使用SE安全服务应用时进行的第一个交易,证书申请流程如图7所示。
图7证书申请流程图步骤1:
SE持有人使用客户端软件(如手机银行)发起证书申请交易,并通过业务处理系统进行身份验证;步骤2:
客户端软件向SE发送生成公私钥对的请求;步骤3:
SE生成数字证书对应的公私钥对,将证书签发请求返回给客户端软件;步骤4:
客户端软件按照业务处理系统的格式要求,组织请求签发证书的报文,上送到业务处理系统。
报文内容中至少需要包括SE内的公钥,以及对应的用户信息;步骤5:
业务处理系统完成请求报文的解析,并进行相关的处理和身份验证后,转发证书签发请求和相关数据到认证服务系统;步骤6:
认证服务系统签发数字证书,返回给业务处理系统;步骤7:
业务处理系统完成相关处理后,将生成的证书回送给客户端软件;步骤8:
客户端软件组织并发送更新文件的指令,指令数据域的内容为新签发的证书,发送到SE;客户端软件业务处理系统认证服务系统1.用户请求证书下载SE8.写入用户证书9.返回结果4.发送证书申请5.发送证书申请6.返回用户证书7.返回用户证书10.提示用户下载完成2发送公私钥对生成请求3返回证书签发请求JR/T0093.620159步骤9:
SE将新生成的公钥证书写入SE的安全域中,如果是证书的更新操作,新的证书内容将覆盖原证书的内容,并返回更新证书成功的确认信息;步骤10:
客户端软件向用户提示证书申请完成。
6.2.3证书更新证书应定期更新,更新流程与证书申请流程基本相同,只是在签名验签流程中的认证服务系统在调用“验证证书有效性”接口时会验证证书的有效期,若证书即将到期,该接口将返回“证书即将到期”的返回码,客户端软件收到该返回码后,应再次执行证书申请流程。
6.2.4证书卸载/吊销证书卸载后,该数字证书及对应的私钥将被删除,在删除时需要满足访问控制权限。
证书卸载或丢失后,应通知业务处理系统和认证服务系统吊销用户证书。
6.2.5证书签名/验签证书签名、验签实现对本次交易数据及SE持有人合法身份的认证,基本流程如图8所示:
图8证书签名验签流程图步骤1:
用户通过客户端软件向业务处理系统发起交易请求;步骤2:
业务处理系统返回交易响应;步骤3:
客户端软件根据业务处理系统返回的响应显示交易界面,用户按要求输入交易信息,并调用SE安全服务应用,进行交易敏感信息签名。
在调用SE安全服务应用时需要进行身份验证;步骤4:
SE安全服务应用使用SE中数字证书的私钥,对输入的交易数据进行签名计算,将签名结果返回给移动终端的客户端软件;客户端软件业务处理系统认证服务系统1.交易请求2.交易响应SE3.交易签名请求4.返回签名数据5.交易确认请求6.签名验签7.返回验签结果8.返回交易结果9.显示交易结果JR/T0093.6201510步骤5:
客户端软件按照业务处理系统指定的格式要求,组织签名和认证交易的上送报文,并上送到业务处理系统。
报文内容中至少需要包括数字签名、参与签名的相关交易数据以及对应的用户信息;步骤6:
业务处理系统完成请求报文的解析,并进行相关的处理和身份验证后,转发签名数据到认证服务系统,请求验证;步骤7:
认证服务系统验证签名的有效性,确认交易数据的正确性。
完成验证后,返回验证结果给业务处理系统;步骤8:
业务处理系统完成相关处理后,按照要求回送认证结果以及交易处理的返回数据,发送给客户端软件;步骤9:
客户端软件向用户提示交易结果。
6.2.6证书加密/解密客户端软件在与后台系统进数据传输前,通过与其交互完成公钥交换,从而获得后台系统的公钥证书。
发送方使用接收方的公钥对交易数据进行加密并发送给接收方,接收方得到加密数据后,使用与公钥对应的私钥进行解密。
7安全要求7.1安全单元(SE)SE应满足如下要求:
SE安全芯片应符合JR/T0098.2的要求;SE嵌入式软件应符合JR/T0098.5的要求;密钥对应在SE安全服务应用内部生成,不得固化密钥对和用于生成密钥对的因子;SE安全芯片、嵌入式系统软件等应经过认可的第三方专业机构的检测认证。
7.2SE安全服务应用SE安全服务应用应满足如下要求:
主文件(MasterFile)应受到COS安全机制保护,保证用户无法对其进行删除;应具有密钥对生成和电子签名等运算能力,保证敏感操作在内部进行;应保证私钥在生成、存储和使用等阶段的安全:
禁止以任何形式读取或写入私钥;私钥文件应与普通文件类型不同,应与密钥文件类型相同或类似;在执行签名等敏感操作前应经过用户身份鉴别;密钥文件在启用期应封闭,禁止以添加新密钥文件的方式对密钥进行删除操作。
参与密钥、PIN码运算的随机数应在内部生成,其随机性指标应符合国家密码管理部门的相关要求;签名交易完成后,状态机应立即复位;应保证PIN码和密钥的安全:
采用安全的方式存储和访问PIN码、密钥等敏感信息;PIN码连续输错次数达到错误次数上限,SE安全服务应用应锁定;使用的密码算法应符合国家密码管理部门的相关要求。
SE安全服务应用的下载和个人化过程应符合JR/T0097中应用生命周期管理部分的要求。
JR/T0093.6201511SE安全服务应用的密钥管理应符合JR/T0095密钥管理安全部分的要求。
7.3电子认证7.3.1身份认证7.3.1.1证书认证机构应采用具有资质的第三方认证机构提供认证服务。
应在与证书认证机构的合作协议或合同中,明确双方的权益和责任。
7.3.1.2证书与应用的关联用户申领数字证书后,应将用户的数字证书信息注册到后台系统中,并与相关的账户信息如用户账号、用户名称、移动终端标识等进行关联。
后台系统中所记录的证书信息应为证书的唯一识别信息,如证书序列号,以及各机构认为有必要在其应用系统中记录的其它证书信息。
7.3.1.3身份认证采用数字证书验证用户身份的,应满足如下要求:
a)用户的电子签名作为鉴别用户身份的必要因素;b)应验证用户签名的有效性;c)应验证产生签名的数字证书与用户关联的一致性。
7.3.2电子签名7.3.2.1电子签名基本要求使用电子签名技术产生电子签名,应满足如下要求:
a)数字证书的密钥用法应包含电子签名标识;b)签名只能由签名私钥计算,签名私钥通过SE保护且签名运算应在SE内完成;c)所使用的签名算法、数据摘要算法应采用国家密码管理部门认可的算法;d)签名的交易数据应包含账号、金额、时间,或能与这些信息关联的其他相关信息。
7.3.2.2数字证书验证数字证书应验证如下内容:
a)验证证书的颁发者名称与颁发者证书的主体名称匹配;b)验证证书的签名并确保签名算法是国家密码管理部门认
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- JR-T 0093.6-2015 中国金融移动支付 远程支付应用 第6部分:基于安全单元SE的安全服务技术规范 JR 0093.6 2015 中国金融 移动 支付 远程 应用 部分 基于 安全 单元
链接地址:https://www.bingdoc.com/p-14661378.html