金融系列4《PUTKEY指令》

用一个新的密钥替换一个已经存在的密钥：新密钥可以有与被替换的密钥相同的或不同的密钥版本号，但是必须与被替换的密钥有相同的密钥标识符。

用新密钥替换多个已经存在的密钥：新密钥可以有与被替换的密钥相同的或不同的密钥版本（对于所有的新密钥是同样的），但是必须与被替换的密钥有相同的密钥标识符。

增加一个新的单密钥：新密钥有一个与其它已存在的密钥不同的密钥标识符/密钥版本号。

增加新的多密钥：新密钥有一个与其它已存在的密钥不同的密钥标识符/密钥版本号（对于所有的新密钥是同样的）。

1. KMC

金融支付系统环境主控密钥（KMC）：预个人化时，使用这个KMC生成卡片级密钥（KENC、KMAC、KDEK），并将他们写到卡片的金融支付系统环境中。

KENC用来生成一个对话密钥SKUENC，利用该对话密钥可生成密文和以CBC模式加密机密数据。

KMAC用来生成一个对话密钥SKUMAC，利用该对话密钥可生成命令处理过程中所使用的C-MAC。

KDEK用来生成一个对话密钥SKUDEK，利用该对话密钥可在ECB模式下加密DES密钥或灵活的加密其它机密数据。

KMU常见的取值有两种：取自客户数据或取自加密机。

2. KEYDATA

密钥数据（KEYDATA）必须按下表格式设置，该数据由KMC_ID和芯片序号（CSN）组成。KMC_ID是个人化主密钥标识符，应由发卡行或个人化厂商提供。KMC_ID的长度为6个字节。CSN是IC卡片物理标识符最右边的4个字节。

字段	长度	格式
KMC（例如IIN/BIN，左对齐，用1111b/半字节填充）标识	6	BCD
芯片序列号（CSN）	4	二进制数

KEYDATA（密钥数据）是每个IC卡应用分区都可以访问的一个数据单元，KMC标识符是修改透支初始化（INITIALIZE UPDATE）命令响应数据的一部分，并给定位IC卡发行商的KMC提供了方便。在IC卡上必须存在‘个人化主密钥（KMC）’的版本号，这个主密钥用来为每个应用生成初始的个人化密钥（K_ENC、K_MAC和K_DEK）。

3. 离散

必须为每张IC卡生成一个加密分散密钥（KENC），并把它写入相应的应用中。这个密钥用来生成IC卡密文和验证主机密文。如果密文的安全等级要求存储数据（STORE DATA）命令的数据字段是加密的，这个分散密钥还用来在CBC模式下对该命令的数据字段进行解密。KENC是一个16 字节（112比特加奇偶校验位）的DES密钥。KENC密钥用以下方法推算：

KENC：= DES3（KMC）[ KEYDATA的6个最低有效字节||‘F0’||‘01’]|| DES3（KMC）[ KEYDATA的6个最低有效字节 ||‘0F’||‘01’]。

必须为每张IC卡生成一个校验码分散密钥（KMAC）并写入相应的IC卡。这个密钥用来校验外部认证（EXTERNAL AUTHENTICATE）命令使用的C-MAC。同时当存储数据（STORE DATA）命令的密文安全级要求命令中的数据采用MAC时，这个密钥也用来校验存储数据（STORE DATA）命令使用的C-MAC。KMAC是一个16字节（112比特加奇偶校验位）的DES密钥。KMAC应采用以下方法导出：

KMAC：= DES3（KMC）[ KEYDATA的6个最低有效字节||‘F0’||‘02’]|| DES3（KMC）[ KEYDATA的6个最低有效字节||‘0F’||‘02’]

必须为每张IC卡生成一个密钥加密分散密钥（KDEK）并将它写入相应的IC卡。这个密钥用来在ECB模式下对STORE DATA命令收到的机密数据进行解密。KDEK是一个16字节（112比特加奇偶校验位）的DES密钥。KDEK应采用以下方法导出：

KDEK：= DES3（KMC）[ KEYDATA 的6个最低有效字节 ||‘F0’||‘03’]|| DES3（KMC）[ KEYDATA 的6个最低有效字节||‘0F’||‘03’]

4. 指令

<span style="font-family:Microsoft YaHei;font-size:14px;">//主控分散产生分散密钥

KENC=KEYDATA+F001+KEYDATA+0F01

KMAC=KEYDATA+F002+KEYDATA+0F02

KDEK=KEYDATA+F003+KEYDATA+0F03

ECB_3DES_EN(KENC,KMC,Penc)

ECB_3DES_EN(KMAC,KMC,Pmac)

ECB_3DES_EN(KDEK,KMC,Pdek)

ECB_3DES_EN(Penc,SPdek,EkeyEnc)

ECB_3DES_EN(Pmac,SPdek,EkeyMac)

ECB_3DES_EN(Pdek,SPdek,EkeyDek)

//更新密钥

00A404000E315041592E5359532E4444463031

auth

80D8+KEYVERSION+814301+8010+EkeyEnc+03+DesVerify(KeyEnc)

                     +8010+EkeyMac+03+DesVerify(KeyMac)

                      +8010+EkeyDek+03+DesVerify(KeyDek)

</span>

文/闫鑫原创转载请注明出处http://blog.csdn.net/yxstars/article/details/17579445