终端主密钥的远程分发方法及其系统技术方案

本发明专利技术公开了一种终端主密钥的远程分发方法及其系统，方法包括：生成终端主密钥和客户保护密钥，并将客户保护密钥注入至硬件加密机；使用客户保护密钥加密终端主密钥，得到第一终端主密钥密文；将第一终端主密钥密文与唯一标识码进行关联并保存至密钥管理系统；支付终端生成传输密钥，并将其与唯一标识码发送至密钥管理系统；密钥管理系统根据唯一标识码，获取对应的第一终端主密钥密文；对第一终端主密钥密文进行转加密，得到第二终端主密钥密文，并发送至支付终端；支付终端使用传输密钥解密第二终端主密钥密文，并将解密得到的终端主密钥存储至安全区域中。本发明专利技术可在生产阶段将终端主密钥安全可靠地远程分发到支付终端中。

Remote distribution method and system of terminal master key

The invention discloses a remote distribution method and a system of a terminal master key. The method comprises: generating a terminal master key and a client protection key, and injecting the client protection key into a hardware encryption machine; encrypting the terminal master key with the client protection key to obtain the first terminal master key ciphertext; and encrypting the first terminal master key. Payment terminal generates the transmission key and sends it to the key management system with the unique identification code. The key management system obtains the corresponding primary key ciphertext of the first terminal according to the unique identification code. The primary key ciphertext of the first terminal is encrypted and obtained. The second terminal master key ciphertext is sent to the payment terminal. The payment terminal decrypts the second terminal master key ciphertext using the transmission key and stores the decrypted terminal master key in a secure area. The invention can safely and reliably distribute the terminal master key to the payment terminal in the production stage.

【技术实现步骤摘要】
【国外来华专利技术】终端主密钥的远程分发方法及其系统
本专利技术涉及电子支付领域，尤其涉及一种终端主密钥的远程分发方法及其系统。
技术介绍
随着电子支付产业的迅速发展，比如银行卡支付、消费卡支付、行业卡支付以及其它借由网络的电子支付技术，以其快捷方便的特点越来越受到人们的欢迎。电子支付系统包括终端设备、收单平台和银行核心系统等组成部分。为了确保支付过程中消费者个人敏感信息的安全性，要求对交易过程中对个人敏感信息进行加密处理，主要通过主密钥/工作密钥(MasterKey/SessionKey，MK/SK)的密钥体系来完成。以POS(PointofSale，销售点终端)的消费交易为例，终端设备保护交易敏感信息的原理如下：在MK/SK密钥体系中，要求POS与收单平台预先同步MK(主密钥)，随后支付交易终端通过签到等有效方式与收单系统同步SK(会话密钥)，终端通过SK中的PIK(PINKey)对个人识别码进行加密处理，使用SK中的MAK(MACKey)对交易报文进行MAC运算，以保证交易不被篡改且完整。在MK/SK密钥系统中，需要将一个主密钥MK预先同步到终端设备中。传统上，要求POS在安全房中通过物理连接方式下载MK到设备中，即终端管理员在安全房区域中，通过串口通讯的方式，将密钥母POS中的MK直接下载到子POS中。但上述方案存在以下缺点：缺点1：在安全房中，通过串口通讯方式下载密钥到POS中，要求POS统一送到安全房中，且需要大量的人力来完成MK的注入，大大增加了终端设备的运维成本。缺点2：终端部署时，出厂的终端设备应先送往终端密钥管理机构，完成终端密钥注入工作后，再重新发往终端的实际使用方案，这对业务开展造成了巨大的开销，包括繁冗时间成本和人力成本等，同时减缓了业务扩展的速度。
技术实现思路
本专利技术所要解决的技术问题是：提供一种终端主密钥的远程分发方法及其系统，可解决传统的本地密钥注入方式流程繁琐、运维费用高昂等问题，且满足安全、便捷性要求。为了解决上述技术问题，本专利技术采用的技术方案为：一种终端主密钥的远程分发方法，包括：厂商设备生成终端主密钥和客户保护密钥，并将所述客户保护密钥注入至硬件加密机；使用所述客户保护密钥加密所述终端主密钥，得到第一终端主密钥密文；将所述第一终端主密钥密文与支付终端的唯一标识码进行关联，并将关联关系保存至密钥管理系统；支付终端生成传输密钥，并将所述传输密钥以及所述支付终端的唯一标识码发送至密钥管理系统；密钥管理系统根据所述支付终端的唯一标识码，获取对应的第一终端主密钥密文；根据硬件加密机中的客户保护密钥和所述传输密钥，对所述第一终端主密钥密文进行转加密，得到第二终端主密钥密文，并将所述第二终端主密钥密文发送至支付终端；支付终端使用传输密钥解密所述第二终端主密钥密文，并将解密得到的终端主密钥存储至安全区域中。本专利技术还涉及一种终端主密钥的远程分发系统，包括厂商设备、硬件加密机、密钥管理系统和支付终端；所述厂商设备分别与所述硬件加密机和密钥管理系统通信连接，所述密钥管理系统分别与所述硬件加密机和支付终端通信连接；所述厂商设备包括第一处理器及第一存储器，所述第一存储器存储有第一程序，并且被配置成由所述第一处理器执行以下步骤：生成终端主密钥和客户保护密钥，并将所述客户保护密钥注入至硬件加密机；使用所述客户保护密钥加密所述终端主密钥，得到第一终端主密钥密文；将所述第一终端主密钥密文与支付终端的唯一标识码进行关联，并将关联关系保存至密钥管理系统；所述支付终端包括第二处理器及第二存储器，所述第二存储器存储有第二程序，并且被配置成由所述第二处理器执行以下步骤：生成传输密钥，并将所述传输密钥以及所述支付终端的唯一标识码发送至密钥管理系统；接收到密钥管理系统发送的第二终端主密钥密文后，使用传输密钥解密所述第二终端主密钥密文，并将解密得到的终端主密钥存储至安全区域中；所述密钥管理系统包括第三处理器及第三存储器，所述第三存储器存储有第三程序，并且被配置成由所述第三处理器执行以下步骤：接收到支付终端发送的传输密钥以及所述支付终端的唯一标识码后，根据所述支付终端的唯一标识码，获取对应的第一终端主密钥密文；根据硬件加密机中的客户保护密钥和所述传输密钥，对所述第一终端主密钥密文进行转加密，得到第二终端主密钥密文，并将所述第二终端主密钥密文发送至支付终端。本专利技术的有益效果在于：终端主密钥生成后使用客户保护密钥加密后输出导入到密钥管理系统，客户保护密钥在客户端和密钥管理系统端均被注入到硬件加密机中，因此，终端主密钥的生成和传输均满足机密性的要求；密钥管理系统使用传输密钥对终端主密钥进行加密处理，由于传输密钥是一机一密的，只有密钥管理系统和对应的支付终端持有该密钥，第三方无法直接获取加密后的终端主密钥，因此，终端主密钥的分发满足机密性要求。本专利技术通过一种简单、可靠、安全的方式远程分发终端主密钥，在生产阶段将管理的终端主密钥安全可靠地远程分发到支付终端中，减少了终端主密钥分发的人力成本，也提高了业务拓展速度。附图说明图1为本专利技术实施例一的一种终端主密钥的远程分发方法的流程图；图2为本专利技术实施例三中步骤S6的方法流程图；图3为本专利技术实施例三中步骤S7的方法流程图。具体实施方式为详细说明本专利技术的
技术实现思路
、所实现目的及效果，以下结合实施方式并配合附图详予说明。本专利技术最关键的构思在于：将终端主密钥的分发流程提前到终端出厂前，由密钥管理系统作为密钥母POS的角色，完成对出厂的子POS的密钥分发。缩略语和关键术语定义：ZKMS：ZKeyManagementSystem，自营密钥管理系统，在本专利技术中是一种密钥分发系统；POS：PointOfSale，销售点终端，在本专利技术中是密钥分发的接收者；密钥母POS：一种作为密钥分发端的终端设备，其管理并分发收单系统的密钥；HSM：HighSecurityMachine，高安全设备，在本专利技术中为硬件加密机；TMK：TerminalMasterKey，终端主密钥，在本专利技术中是密钥分发的主体；CPK：CustomProtectKey，客户保护密钥，其被用于加密保护TMK，客户端和ZKMS端的HSM应该预先同步该密钥；TK：TransferKey，传输密钥，其是一个概念性的密钥名称，包含有传输加密密钥TK-TEK和认证密钥TK-AUK；TK-TEK：TransferEncryptionKey，传输密钥的传输加密密钥；TK-AUK：AuthenticationKey，传输密钥的认证密钥；MAC：MessageAuthenticationCheckvalue，消息校验码，一种数据完整性校验算法。请参阅图1，一种终端主密钥的远程分发方法，包括：厂商设备生成终端主密钥和客户保护密钥，并将所述客户保护密钥注入至硬件加密机；使用所述客户保护密钥加密所述终端主密钥，得到第一终端主密钥密文；将所述第一终端主密钥密文与支付终端的唯一标识码进行关联，并将关联关系保存至密钥管理系统；支付终端生成传输密钥，并将所述传输密钥以及所述支付终端的唯一标识码发送至密钥管理系统；密钥管理系统根据所述支付终端的唯一标识码，获取对应的第一终端主密钥密文；根据硬件加密机中的客户保护密钥和所述传输密钥，对所述第一终端主密钥密文进行转加密，得到第二终端主密本文档来自技高网...

【技术保护点】
1.一种终端主密钥的远程分发方法，其特征在于，包括：厂商设备生成终端主密钥和客户保护密钥，并将所述客户保护密钥注入至硬件加密机；使用所述客户保护密钥加密所述终端主密钥，得到第一终端主密钥密文；将所述第一终端主密钥密文与支付终端的唯一标识码进行关联，并将关联关系保存至密钥管理系统；支付终端生成传输密钥，并将所述传输密钥以及所述支付终端的唯一标识码发送至密钥管理系统；密钥管理系统根据所述支付终端的唯一标识码，获取对应的第一终端主密钥密文；根据硬件加密机中的客户保护密钥和所述传输密钥，对所述第一终端主密钥密文进行转加密，得到第二终端主密钥密文，并将所述第二终端主密钥密文发送至支付终端；支付终端使用传输密钥解密所述第二终端主密钥密文，并将解密得到的终端主密钥存储至安全区域中。

【技术特征摘要】
【国外来华专利技术】1.一种终端主密钥的远程分发方法，其特征在于，包括：厂商设备生成终端主密钥和客户保护密钥，并将所述客户保护密钥注入至硬件加密机；使用所述客户保护密钥加密所述终端主密钥，得到第一终端主密钥密文；将所述第一终端主密钥密文与支付终端的唯一标识码进行关联，并将关联关系保存至密钥管理系统；支付终端生成传输密钥，并将所述传输密钥以及所述支付终端的唯一标识码发送至密钥管理系统；密钥管理系统根据所述支付终端的唯一标识码，获取对应的第一终端主密钥密文；根据硬件加密机中的客户保护密钥和所述传输密钥，对所述第一终端主密钥密文进行转加密，得到第二终端主密钥密文，并将所述第二终端主密钥密文发送至支付终端；支付终端使用传输密钥解密所述第二终端主密钥密文，并将解密得到的终端主密钥存储至安全区域中。2.根据权利要求1所述的终端主密钥的远程分发方法，其特征在于，“将所述客户保护密钥注入至硬件加密机”具体为：将所述客户保护密钥以密钥分量方式注入至硬件加密机。3.根据权利要求1所述的终端主密钥的远程分发方法，其特征在于，“支付终端生成传输密钥，并将所述传输密钥以及所述支付终端的唯一标识码发送至密钥管理系统”之前，进一步包括：硬件加密机生成非对称密钥对，包括产线公钥和产线私钥；将所述产线公钥通过数字证书发送至支付终端。4.根据权利要求3所述的终端主密钥的远程分发方法，其特征在于，“将所述传输密钥以及所述支付终端的唯一标识码发送至密钥管理系统”具体为：支付终端使用所述产线公钥加密所述传输密钥以及所述支付终端的唯一标识码，得到请求密文，并将所述请求密文发送至密钥管理系统；密钥管理系统使用硬件加密机中的产线私钥解密所述请求密文，得到传输密钥以及所述支付终端的唯一标识码。5.根据权利要求1所述的终端主密钥的远程分发方法，其特征在于，“根据硬件加密机中的客户保护密钥和所述传输密钥，对所述第一终端主密钥密文进行转加密，得到第二终端主密钥密文，并将所述第二终端主密钥密文发送至支付终端”具体为：使用硬件加密机中的客户保护密钥对所述第一终端主密钥密文进行解密，得到终端主密钥；使用所述传输密钥对所述终端主密钥进行加密，得到第二终端主密钥密文，并将所述第二终端主密钥密文发送至支付终端。6.根据权利要求5所述的终端主密钥的远程分发方法，其特征在于，所述传输密钥包括传输加密密钥和认证密钥；“使用所述传输密钥对所述终端主密钥进行加密，得到第二终端主密钥密文，并将所述第二终端主密钥密文发送至支付终端”具体为：使用所述传输加密密钥对所述终端主密钥进行加密，得到第二终端主密钥密文；使用所述认证密钥对所述第二终端主密钥密文进行MAC运算，得到第一MAC值；将所述第二终端主密钥密文和第一MAC值发送至支付终端。7.根据权利要求6所述的终端主密钥的远程分发方法，其特征在于，“支付终端使用传输密钥解密所述第二终端主密钥密文，并将解密得到的终端主密钥存储至安全区域中”具体为：支付终端使用认证密钥对所述第二终端主密钥密文进行MAC运算，得到第二MAC值；若第二MAC值与所述第一MAC值一致，则使用传输加密密钥解密所述第二终端主密钥密文，得到终端主密钥；将所述终端主密钥存储至安全区域中。8.根据权利要求7所述的终端主密钥的远程分发方法，其特征在于，采用X9.19算法进行MAC运算。9.一种终端主密钥的远程分发系统，其特征在于，包括厂商设备、硬件加密机、密钥管理系统和支付终端；所述厂商设备分别与所述硬件加密机和密钥管理系统通信连接，所述密钥管理系统分别与所述硬件加密机和支付终端通信连接；所述厂商设备包括第一处理器及第一存储器，所述第一存储器存储有第一程序，并且被配置成由所述第一处理器执行以下步骤：生成...

【专利技术属性】
技术研发人员：王明伟，徐永标，
申请(专利权)人：福建联迪商用设备有限公司，
类型：发明
国别省市：福建,35