SJL05金融数据加密机程序员手册

1、SJL05 型金融数据加密机型金融数据加密机程序员手册程序员手册卫卫士士通通信信息息产产业业股股份份有有限限公公司司二五年十月二五年十月四川省成都市高新区创业大道 6 号邮政编码：610041电话：（028）85141541 8008861133SJL05金融数据加密机程序员手册 JRIC第五版（2005年6月）本手册是由卫士通信息产业股份有限公司编撰，仅赠送给用户和其他合作伙伴。 “卫士通”及是卫士通信息产业股份有限公司在中国境内的注册商标，卫士通信息产业股份有限公司保留对本书的所有版权，任何单位和个人未经许可，不得以任一方式进行仿制、拷贝、誊写或转译。卫士通公司保留对本书进行重新修订的权利

2、，随时可能对本书中的打印错误、与最新资料不符之处、程序或设备的更新做必要的改动，这些改动恕不另行通知，但会编入新版书内。本书主要为命令参考，适合以下读者：SJL05 应用开发人员，及其他所有对 SJL05 产品感兴趣的读者。请妥善保存本手册以备以后使用请妥善保存本手册以备以后使用卫士通信息产业股份有限公司http:/ i -目目录录1.简介简介11.1加密机主要功能.11.2加密机与主机的通信.21.2.1接口与协议.21.2.2数据格式.31.2.3调用加密机过程.31.3SJL05 命令集划分.42磁条卡业务类磁条卡业务类.42.1请求返回系统信息.42.2返回本地主密钥状态.62.3返回

3、指定区域主密钥状态.72.4定义打印格式.82.5产生并存储一个指定长度的主密钥，并打印明文到密码信封.102.6产生并存储一个指定长度的区域主密钥分量，并打印明文到密码信封.132.7产生一个数据密钥，并用 BMK 加密后返回.162.8产生索引的区域主密钥.172.9产生一个直联 POS 的数据密钥.182.10生成随机 POK，并用 ZMK 和 TMK 加密后返回.192.11产生指定长度的随机区域数据密钥.202.12存储一个索引的区域主密钥.222.13产生并存储指定长度的 TMK.232.14存储一个索引的区域主密钥.262.15产生并存储指定长度的 BMK.272.16银行主密钥

4、加密的密钥转换成次主密钥.292.17取回一个索引的区域主密钥.30卫士通信息产业股份有限公司http:/ ii -2.18取回一个索引的终端主密钥.312.19加密一个 TMK 密钥.322.20用 BMK 解密 PIK.332.21SSF02 加密的 PINBLOCK验证.342.22SSF02 算法计算 MAC.362.23SSF02 验证 MAC.372.24SSF02 加/解密.382.25注：在数据加密时，数据长度不够 8 的倍数时，在数据后补 0X00 补齐。SSF02 PINBLOCK转换.402.26产生动态通信密钥.422.27用通信密钥对数据算 MAC，验证 MAC.44

5、2.28用通信密钥对数据计算 MAC.462.29用通信密钥对 PIN 密文解密.482.30用通信密钥转换 PIN.502.31计算TAC.522.32产生工作密钥.532.33转换工作密钥.542.34计算 MAC.552.35对输入数据加/解密.562.36PIN 转换 .572.37产生并打印密钥 .582.38产生并输出密钥 .592.39转换 PIN.602.40请求产生一个加密的 PIN.612.41请求转换一个 PIN 从银行 1 到银行 2（无帐号）.632.42请求验证一个 PIN.652.43请求转换一个 PIN 从 ATK 到 PIK.672.44请求转换一个 PIN

6、从 PIK 到 ATK.692.45请求转换一个 PIN 从 POK 到 PIK.71卫士通信息产业股份有限公司http:/ iii -2.46请求转换一个 PIN 从 PIK 到 POK.732.47请求转换一个 PIN 从银行 1 到银行 2（含一个主帐号） .752.48请求转换一个 PIN 从 PPK（加密得到）到 PIK.772.49请求转换一个 PIN 从 PIK1（解密得到）到 PIK2.792.50转换 PIN 从输入的 PIK1 到 PIK2（含两个主帐号）.802.51转换 PIN 从 TMK1 到 TMK2.822.52转换 PIN 从 TMK 到输入 PIK .832.

7、53加密（或解密）PIN .852.54转换 PIN 从 PIK 加密到 TMK 加密 .862.55生成用 ZMK 和 RSA 加密的随机密钥 .872.56用输入密钥对数据加/解密.882.57用区域主密钥对数据加/解密.902.58数据密钥转换.922.59转换工作密钥主密钥.942.60转换密钥.952.61生成用 ZMK 和 RSA 加密的随机密钥 .962.62数据密钥转换.972.63验证和生成 MAC.992.64验证 MAC.1012.65计算卡属性和密文数据的 MAC .1032.66验证卡属性与数据串的 MAC .1052.672.46 请求产生 MAC,并可选择地转换

8、PIN .1072.68转换 MAC.1092.69转换一个 MAC 和 PIN.1112.70请求验证 MAC，可选择地验证 PIN.1142.71产生随机密钥，用 TMK 加密后返回.1162.72生成弱 MAC.1172.73用终端主密钥加密数据.1192.74用输入密钥对输入数据作加/解密.120卫士通信息产业股份有限公司http:/ iv -2.75产生 MAC.1212.76校验 MAC.1232.77请求产生一个商户 MAC.1252.78请求验证一个商户 MAC.1272.79用 TMK 计算 MAC .1282.80请求验证用 TMK 计算的 MAC.1292.81打印 PI

9、N.1312.82计算密钥的 CHECKVALUE .1332.83解密 PIN.1342.84转换 PIN 从 ATK 到 PIK.1352.85PIN CRYP加密.1372.86PIN DESPSWD加/解密.1372.87转换任意长度的数据密钥.1382.88转换任意长度的数据密钥.1392.89PINBLOCK转换（任意长度 PIK）.1412.90请求转换一个 PIN 从 ATK (任意长度) 到 PIK (任意长度) .1442.91产生一个数据密钥（任意长奇校验）和校验码.1482.92用任意长数据密钥加密 PIN BLOCK .1502.93PINBLOCK转换（任意长度 M

10、MK 及格式） .1522.94PINBLOCK转换 .1552.95用任意长数据密钥解密 PIN BLOCK (推荐使用 0X0422) .1582.96请求产生 MAC（变长 MAK）.1602.97请求验证 MAC（变长 MAK）.1632.98请求产生 MAC，并可选转换 PIN（密钥长度可变）.1652.99请求验证 MAC，可选择地验证 PIN变长工作密钥，任意类型PINBLOCK.1692.100终端主密钥的生成.1732.101数据密钥的生成.1742.102解密 PIN .176卫士通信息产业股份有限公司http:/ v -2.103生成 CHECKVALUE（变长密钥） .

11、1772.104产生密钥.1782.105PINBLOCK转换（只用 ZMK）.1792.106用本地主密钥加密终端主密钥.1812.107产生成员行的数据密钥（用 ZMK 和 LMK 加密） （.1832.108产生终端数据密钥（用 TMK 和 LMK 加密）.1852.109转换成员行数据密钥（由 ZMK 转换为 LMK 加密）.1872.110转换成员行数据密钥二（由 LMK 转换为 ZMK 加密）.1892.111转换终端数据密钥（由 TMK 转换为 LMK 加密）.1902.112转换终端数据密钥二（由 LMK 转换为 TMK 加密）.1912.113取回索引的 ZMK（用 LMK

12、加密）.1922.114存储索引的 ZMK.1932.115PIK 加密 PINBLOCK，PIK 由 LMK 加密 .1942.116加密 PINBLOCK，PIK 用 ZMK 加密.1952.117转换 PINBLOCK，PIK 用 LMK 加密.1962.118转换 PINBLOCK，PIK 用 ZMK 加密.1982.119转换 PINBLOCK，PIK 用 MK 加密 .2002.120转换 PINBLOCK，PIK 用 MK 加密 .2012.121转换 PINBLOCK，PIK 用 ZMK 加密.2022.122转换 PINBLOCK，PIK 用 ZMK 加密.2042.123产

13、生 MAC，MAK 用 LMK 加密.2062.124产生 MAC，MAK 用 ZMK 加密.2092.125校验 MAC，MAK 用 LMK 加密.2112.126校验 MAC，MAK 用 ZMK 加密.2122.127产生两个不同长度的随机密钥，由 LMK 加密.2142.128将 ZMK 加密的密钥转换为 LMK 加密.2152.129将 LMK 加密的密钥转换为 BMK 加密.2162.130将送入的数据由 LMK 加密输出.2172.131转换 PIN.218卫士通信息产业股份有限公司http:/ vi -2.132计算 MAC.2202.133根据标识计算 MAC.2212.134

14、产生随机密钥.2222.135导出工作密钥.2232.136导入工作密钥.2242.137产生随机 PIN.2252.138产生 PIN OFFSET .2262.139校验 PIN OFFSET .2272.140转换 PINBLOCK .2292.141转换 PINBLOCK.2302.142产生 CVK 对.2312.143产生 CVV .2322.144校验 CVV .2332.145用索引号为 000 的 BMK 加密数据密钥.2342.146产生被加密的随机传输密钥和工作密钥 .2352.147生成两个随机工作密钥（3DES 加密）.2362.148生成两个随机工作密钥（DES 加

15、密）.2372.149生成两个随机工作密钥（3DES 加密）.2382.150用输入传输密钥加密输入工作密钥 .2392.151用输入密钥解密数据 .2402.152用终端主密钥解密数据 .2412.153PINBLOCK转换一（从终端到区域）.2422.154PINBLOCK转换二（从终端到区域）.2442.155PINBLOCK转换三（从区域到区域）.2462.156MAC 验证一（终端）.2482.157生成 MAC（终端） .2502.158MAC 验证（区域一）.2512.159MAC 生成（区域一）.2532.160MAC 验证（区域二）.254卫士通信息产业股份有限公司http:

16、/ vii -2.161生成 MAC（区域二） .2562.162验证区域 MAB.2572.163生成弱 MAC（区域） .2592.164验证区域 MAB.2612.165用分散出的数据密钥请求产生 MAC.2622.166数据转加密 .2642.167计算 MAC.2652.168校验 MAC.2662.169MAC 计算.2673IC 卡业务类卡业务类 .2693.1传输密钥初始化.2693.2装载次主密钥.2723.3装载次主密钥.2743.4将应用主密钥导入加密机中.2763.5分散次主密钥产生 MAC.2783.6分散次主密钥验证 MAC.2803.7请求产生一个随机密钥.282

17、3.8导出分散子密钥.2833.9导入次主子密钥.2853.10外部认证.2863.11过程密钥计算 MAC.2863.12过程密钥加/解数据 .2873.13批量产生指定密钥加密的 KI.2883.14加密数据或分散密钥 .2893.15产生 DER 编码 RSA 密钥对.2903.16产生密钥并用 LMK 和公钥加密.2903.17过程密钥计算 MAC.2913.18导入应用密钥到加密机中.292卫士通信息产业股份有限公司http:/ viii -3.19MAC 计算.2943.20请求产生一个 16 字节的奇校验随机密钥 .2953.21请求返回指定次主密钥状态 .2973.22产生一个

18、 64 位或 128 位的数据密钥 .2983.23产生一个随机次主密钥(用主密钥加密).2993.24存储指定的次主密钥 .3003.25取回指定的次主密钥 .3013.26产生并验证 MAC.3023.27用指定的次主密钥对输入数据做 3DES 加密.3033.28数据转换 .3043.29用指定密钥对输入数据进行 3DES 加/解密.3063.30初始化 CRC 表 .3073.31签名 .3093.32数据转换和 CRC 校验 .3113.33输出加密的单长度密钥 .3133.34单 DES 密钥的 MAC 计算.3143.35单 DES 密钥的 MAC 验证.3163.36注入用 R

19、SA 公钥加密的次主密钥.3173.37计算 MAC.3193.38转换 PIN.3203.39转换 PIN.3213.40用指定的次主密钥分散并对分散结果加密 .3223.41用指定的次主密钥分散数据 .3243.42用分散出的数据密钥请求产生 MAC.3253.43请求用分散出的数据密钥产生并验证 MAC.3283.44验证 MAC 并生成 MAC.3303.45请求产生 TAC .3333.46请求验证一个 TAC .3353.47安全计算 .337卫士通信息产业股份有限公司http:/ ix -3.48不用临时密钥生成 MAC.3393.49验证 0XB086 命令产生的 MAC .3

20、413.50验证并生成 MAC.3433.51数据加密并产生 MAC 一.3453.52导出分散子密钥.3473.53导出交主密钥.3483.54数据加密并计算 MAC 二.3493.55用输入密钥计算弱 MAC .3523.563DESMAC 验证 .3543.57DESMAC 验证.3563.58通用 3DES 加密.3573.59用分散密钥加密数据 .3583.60请求解密数据 .3603.61分散次主密钥产生 MAC.3623.62分散次主密钥和加密 .3643.63请求用种子密钥产生子密钥 .3663.64多类型数据加密 .3673.65加密分散子密钥和计算 MAC.3693.66加

21、密分散子密钥和计算 MAC.3713.67加密分散子密钥和计算 MAC.3733.68加密分散子密钥和计算 MAC .3753.69导出应用子密钥.3773.70加密分散子密钥和计算 MAC.3813.71加密分散子密钥和计算 MAC .3833.72转换 PIN.3863.73分散子密钥，产生 MAC.3873.74产生认证码.3893.75导出分散的子密钥（单长度）.3903.76生成 MAC（单长度分散） .392卫士通信息产业股份有限公司http:/ x -3.77验证 MAC（单长度） .3943.78生成 TAC(单长度).3963.79验证 TAC（单长度）.3983.80用临时

22、密钥（双长度）进行加/解密 .4003.81用临时密钥（单长度）进行加/解密 .4023.82更改密钥属性.4043.83生成 MAC .4053.84推导子密钥，加密数据，计算 MAC .4073.85用输入的密钥对数据进行加解密 .4093.86用输入的密钥对数据计算 MAC.4103.87移动发卡.4113.88请求产生 TAC.4123.89请求验证一个 TAC.4143.90读取密钥版本号 .4163.91产生随机数 .4173.92交易下行加密 .4183.93密钥申请数据解密 .4203.94交易下行 MAC 生成.4223.95密钥申请 MAC 校验.4243.96OTA 密钥

23、下传.4263.97交易上行转换 PIN .4274电子商务类命令电子商务类命令.4304.1请求产生一对 RSA 密钥（私钥）.4304.2请求修改一个 RSA 私钥的访问口令.4314.3请求输出一个 RSA 密钥对中的公钥.4324.4请求进行一次 RSA 私钥加密（NO PADDING）.4334.5请求用指定的 RSA 公钥加密（NO PADDING）.4354.6删除一对 RSA 密钥.436卫士通信息产业股份有限公司http:/ xi -4.7产生一个 DES 密钥并输出.4374.8用输入 DES 密钥加密输入的 8 字节数据.4384.9用输入的 DES 密钥解密 8 字节输

24、入数据.4394.10用公钥加密数据（HAVE PADDING）.4404.11RSA 私钥加密（HAVE PADDING）.4414.12取出 RSA 密钥.4424.13存储 RSA 密钥.4434.14产生随机数 .4444.15SHA1 做摘要(OPTIONAL) .4454.16输入 RSA 密钥（管理用）.4464.17输入 RSA 密钥（管理用） .4484.18请求用指定的私钥解密 (NOPADDING) .4504.19用输入的公钥解密(NO PADDING) .4524.20请求进行 RSA 签名.4534.21请求进行 RSA 签名验证.4554.22请求用指定的私钥解密

25、 ( PADDING).4564.23用输入的公钥解密 (PADDING).4574.24MD5 摘要数据.4584.25SHA1 做摘要（分段） .4594.26MD5 做摘要（分段） .4604.27产生并存储随机密钥，用 RSA 公钥加密后输出.4614.28产生随机密钥并用输入公钥和指定主密钥加密后输出 .4624.29导出指定 RSA 公钥.4634.30产生一对 RSA 密钥.4644.31导出 RSA 密钥对.4654.32对输入数据做摘要 .4664.33产生双长度的对称密钥 .4674.34对输入数据进行 3DES 加密.468卫士通信息产业股份有限公司http:/ xii

26、-5.变种密钥指令集变种密钥指令集.4694.355.1 密钥转换.4704.365.2 导入密钥.4714.375.3 导出密钥.4734.385.4 产生随机工作密钥.4754.395.5 产生随机工作密钥.4764.405.6 加密明文密钥.4774.415.7 校验密钥 .4784.425.8 用密钥分量合成密钥.4794.435.8 导出区域主密钥 .4804.445.9 更新区域主密钥.4814.455.10 存储区域主密钥.4824.465.11 用输入密钥加密数据.4844.475.12 用输入密钥解密数据.4854.485.13 加密 PIN.4874.495.14 PIN

27、转换.4884.505.15 解密 PIN.4894.515.16 产生 PIN.4904.525.17 校验 PIN.4914.535.18 密信打印.4934.545.19 计算 MAC.4944.555.20 校验 MAC.4954.565.21 计算 CVV.4964.575.21 校验 CVV.4974.585.22 打印密钥和数据.4984.595.23 产生并打印区域主密钥.5004.605.24 分散数据密钥(0XD156).5024.615.25 用分散后的密钥解密数据(0XD157).503卫士通信息产业股份有限公司http:/ xiii -6.PBOC2.0 指令集指令集

28、.5044.626.1 删除密钥 .5044.636.2 用 LMK 导出 DES 密钥.5054.646.3 用 LMK 导入 DES 密钥.5064.656.4 产生 RSA 密钥对 .5074.666.5 用 LMK 导出 RSA 密钥.5094.676.6 用 LMK 导入 RSA 密钥.5114.686.7 用 RSA 公钥加解密 .5124.696.8 用指定索引的 RSA 私钥加密.5144.706.9 用指定索引的 RSA 私钥解密.5154.716.10 用传入的 RSA 私钥加解密.5164.726.11 产生 IC 卡外部认证密文.5174.736.12 产生 IC 卡密

29、钥密文.5194.746.13 产生 IC 卡个人密码密文.5214.756.14 产生 IC 卡 RSA 密钥密文.5224.766.15 产生 IC 卡 RSA 密钥密文.5254.776.16 验证 ARQC，并计算 ARPC.5264.786.17 产生 IC 卡修改 KMC 密文.5284.796.18 转加密数据.5304.806.19 转加密 PINBLOCK.5324.816.20 对发卡行脚本数据加解密.5354.826.21 修改 IC 卡脱机 PIN.5374.836.22 计算发卡行脚本 MAC.5384.846.23 计算 MAC.5404.856.24 产生 DES

30、 密钥.5434.866.25 导出分散密钥.545附录附录 A 加密机通用出错代码表加密机通用出错代码表.548附录附录 B ATM 和和 POS 机类型和机类型和 PIN 的格式的格式.549卫士通信息产业股份有限公司http:/ xiv -附录附录 C DOUBLE-ONE-WAY.550附录附录 D 安全计算安全计算 (SECURE CALCULATION).551附录附录 E 命令命令 0X500X54 使用算法使用算法 .5524.87动态通信密钥.5524.88通信主密钥加密通信密钥算法.5524.89分散算法.5524.90MAC 算法.553附录附录 F 弱弱 MAC 计算计

31、算.554附录附录 G 分散推导子密钥算法分散推导子密钥算法.5554.91双长度分散：.5554.92单长度分散：.555卫士通信息产业股份有限公司http:/ 1 -1 简介简介1.1 加密机主要功能加密机主要功能SJL05 金融数据加密机是金融数据安全保护的一种有效物理工具，它能可靠、安全地保护金融网络中的 PIN（个人身份识别号） ，包括对 PIN 的加/解密、验证及转发；消息来源正确性验证（MAC）的产生、验证及转发，有效地防止伪卡的诈骗行为。SJL05 金融数据加密机还有完善的密钥管理体系，能提供由全硬件噪声源产生的随机密钥以及密钥的人工输入接口。能有效防止通信信道上的主动攻击行为

32、。该加密机本身提供多种物理接口，能方便地与各种银行主机系统相连接。 在金融网络中由于在线路上传输的所有数据全是经加密机加密后的密文，而明文只在加密机内部才拥有，并且所有的密钥明文不会出现在加密机之外，因此我们对加密机自身的安全性也作了周全的设计，使其不仅具有物理锁防撬的防拆设计，而且在情况紧急时，即使断电的情况下，也能快速的进行人工毁钥等技术手段，来有效的防止内外部人员的攻击。在跨行交易中以个人身份号PIN 在 ATM/POS 网络的传输为例，个人身份号 PIN 从收卡行到交换中心再由交换中心到发卡行受校验过程大致如下：PIN 在 ATM/POS 跨行交易的过程其中：(1) 顾客输入私人密码(

33、2) 传送被 ATM/POS 加密的私人密码屏幕(3) 收卡行翻译私人密码(1) 顾客输入 私人密码发卡行交换中心收卡行POSATM(6)(2)(4)(3)(5)(7)卫士通信息产业股份有限公司http:/ 2 -(4) 传送被收卡行加密的私人密码(5) 交换中心转换私人密码(6) 传送被交换中心转换后的私人密码(7) 发卡行校验私人密码1.2 加密机与主机的通信加密机与主机的通信1.2.1 接口与协议接口与协议SJL05 提供以太网口、异步口等多种接口，支持以下协议与主机（或前置机）之间通信：TCP/IP（V4） 、V.24/RS232-C，SJL05 与主机（前置机）通过上述通信协议交换数

34、据报文。SJL05 与主机（前置机）采用服务器/客户机工作模式，具体是 SJL05 为服务器，主机（前置机）为客户机，SJL05 等候主机发起的请求，处理后再将结果发送给主机，写成一次交易处理工作。下面以 TCP/IP协议为例讲解具体通信过程。 （具体通信配置请参见SJL05 金融数据加密机操作员手册第六章参数配置。 ）加密机的操作采用命令、响应的方式，主机应用程序在请求加密机服务之前，应先根据加密机的 IP 地址、端口号与加密机建立会话连接（加密机必须处于交易状态才允许建立连接） ，主机向加密机发命令，然后等待加密机响应。在这里加密机作为 Server，主机作为 Client。其示意如下：命

35、令响应主机与加密机之间的数据流向卫士通信息产业股份有限公司http:/ 3 -1.2.2 数据格式数据格式 请求数据格式请求数据格式命令码数据命令码如：0 xB0, 0 x060数据：0 x06, 0 x12, 0 x34, 0 x56, 0 xff, 0 xff, 0 xff, 0 xff 等 应答数据格式应答数据格式应答码数据或错误码应答码：0 x41（A ） 正确应答。0 x45（E ） 错误应答。1.2.3 调用加密机过程调用加密机过程主机（前置机）应用调用加密机的过程如下：1)根据加密机配置的 IP 地址和端口号，建立与加密机的 Socket 连接；2)根

36、据加密机提供的命令格式，封装消息报文；3)将消息报文发送给加密机；4)从加密机接受响应报文；5)根据响应做出相应的判断和操作；6)连续做 2）至 5）操作；7)断开与加密机的连接。卫士通信息产业股份有限公司http:/ 4 -1.3 SJL05 命令集划分命令集划分SJL05 系统命令按业务可分为三类： 磁条卡业务类：包含 SJL05 原命令集，命令字为一个字节或两个字节；命令为两个字节时，第一字节为命令类别，第二字节为命令。命令类别值为 0 x05或 0 xB1。IC 卡业务类：命令为两个字节，第一字节为命令类别，第二字节为命令，IC 卡业务类命令；电子商务类命令：命令为两个字节，第一字节为

37、命令类别，值为 0 xC0，第二字节为命令。2 磁条卡业务类磁条卡业务类2.1 请求返回系统信息请求返回系统信息说明：返回系统信息。消息格式：输入域长度类型备注命令1H0 x00输出域长度类型备注应答码1A“A”版本4A版本号协议4A修订日期8A系统最后修订日期或应答码1A“E”卫士通信息产业股份有限公司http:/ 5 -错误码1H出错类型SJL05 处理过程：1)如果成功，取出并返回系统版本号、协议、最后的修订日期。卫士通信息产业股份有限公司http:/ 6 -2.2 返回本地主密钥状态返回本地主密钥状态说明：测试本地主密钥是否存在消息格式：输入域长度类型备注命令1H0 x01输出域长度类

38、型备注应答码1A“A”或应答码1A“E”错误码1H0 x 01：无主机主密钥SJL05 处理过程：1)读取本地主密钥；2)如果成功，正常返回，否则返回本地主密钥不存在出错代码 0 x01。卫士通信息产业股份有限公司http:/ 7 -2.3 返回指定区域主密钥状态返回指定区域主密钥状态说明：测试并返回指定区域主密钥的状态。消息格式：输入域长度类型备注命令1H0 x03银行索引号2H区域主密钥索引号输出域长度类型备注应答码1A“A”或应答码1A“E”错误码1H0 x 0C：非法银行主密钥索引号SJL05 处理过程：1)读取指定的区域主密钥；2)如果成功，正常返回；否则，返回指定的区域主密钥不存在

39、出错代码 0 x0C。卫士通信息产业股份有限公司http:/ 8 -2.4 定义打印格式定义打印格式说明：定义串口打印机打印格式。消息格式输入域长度类型备注命令码2H0 x07打印格式定义符NA打印控制符字节串输出域长度类型备注应答码1AA或应答码1AE错误码1H0 x30：打印机未准备好0 x68：输入数据长度错加密机处理过程：加密机判断定义符长度是否超出最大打印缓存空间，如果是，返回出错信息。打印控制符符号ASCII含义L3E 4C回车按行V3E 56纵向 TabH3E 48横向 TabF3E 46换页nnn3E 3n 3n 3nnnn 为 3 位十进制数，表示相对于左边界右移多少列P5E

40、 50插入明文 PIN 或者明文密钥的第一段（最前 64bit）,用于打印 64bit、128bit 或 192bit 的密钥Q5E 51插入明文密钥的第二段(中间 64bit)，用于打印 128bit或 192bit 的密钥R5E 52插入明文密钥的第三段(最后 64bit)，用于打印 192bit卫士通信息产业股份有限公司http:/ 9 -的密钥T5E 56插入密钥的校验码05E 30插入第 0 个打印字段15E 31插入第 1 个打印字段.95E 39插入第 10 个打印字段A5E 41插入第 11 个打印字段.F5E 46插入第 16 个打印字段卫士通信息产业股份有限公司http:/

41、 10 -2.5 存储一个索引的区域主密钥存储一个索引的区域主密钥说明：输入两个区域主密钥的分量和各自 CheckValue 以及管理员口令，合成区域主密钥存储在指定位置。消息格式：输入域长度类型备注命令1H0 x22银行索引号2H区域主密钥索引号分量一16H区域主密钥分量一分量一校验和4H分量一的校验和分量二16H区域主密钥的分量二分量二校验和4H分量二的校验和管理员口令8H银行密钥管理员一的口令(ASCII码)输出域长度类型备注应答码1A“A”区域主密钥16H用本地主密钥加密后的区域主密钥校验码4H合成的 BMK 的校验码或应答码1A“E”错误码1H0 x 0C：非法银行主密钥索引号0 x

42、 80：口令错误0 x 81：无效的校验值0 x 01：无主机主密钥SJL05 处理过程：卫士通信息产业股份有限公司http:/ 11 -1)验证管理员口令；2)计算分量一的校验和，与输入校验和对比，验证分量一有效性；3)计算分量二的校验和，与输入校验和对比，验证分量二有效性；4)将分量一与分量二按位异或，生成 16 字节的区域主密钥 ZMK；5)将 ZMK 存储在区域主密钥区中指定的索引位置；6)取出本地主密钥 LMK；7)用 LMK 对 ZMK 做 3DES 加密，得到结果 C_ZMK；8)如果成功，返回加密结果，区域主密钥 C_ZMK 和校验码。2.6 取回一个索引的区域主密钥取回一个索

43、引的区域主密钥说明：从加密机中取回指定索引的区域主密钥。消息板式：输入域长度类型备注命令1H0 x31银行索引号2H区域主密钥索引号输出域长度类型备注应答码1A“A”区域主密钥16H用本地主密钥加密后的区域主密钥CheckeValue8H校验值或应答码1A“E”错误码1H0 x 01：无主机主密钥0 x 02 ：无银行主密钥0 x 0C：非法银行主密钥索引号卫士通信息产业股份有限公司http:/ 12 -SJL05 处理过程：1)取出本地主密钥 LMK 和索引的区域主密钥 ZMK；2)用 LMK 对 ZMK 进行 3DES 加密，得到区域主密钥的密文C_ZMK；3)如果成功，返回加密结果 C_

44、ZMK。2.7 取回一个索引的终端主密钥取回一个索引的终端主密钥说明：从加密机中取回指定索引的终端主密钥。消息板式：输入域长度类型备注命令1H0 x32终端索引号2H终端主密钥索引号输出域长度类型备注应答码1A“A”终端主密钥16H用本地主密钥加密后的终端主密钥CheckeValue8H校验值或应答码1A“E”错误码1H0 x 01：无主机主密钥0 x0d：非法终端主密钥索引号卫士通信息产业股份有限公司http:/ 13 -2.8 加密一个加密一个 TMK 密钥密钥说明：用区域主密钥加密一个 TMK 密钥。消息格式：输入域长度类型备注命令1H0 x40TMK 密钥8HTMK 密钥明文银行索引号

45、2H区域主密钥索引输出域长度类型备注应答码1A“A”终端密钥8H用区域主密钥加密后的终端主密钥或应答码1A“E”错误码1H0 x 0C：非法银行主密钥索引号0 x 1C：没有指定索引的 BMKSJL05 处理过程：1)取出指定的区域主密钥 ZMK2)用 ZMK 对输入的终端密钥 TMK 做 3DES 加密，得到 TMK 的密文C_TMK；3)如果成功，返回加密结果 C_TMK。卫士通信息产业股份有限公司http:/ 14 -2.9 用用 BMK 解密解密 PIK说明：用 BMK 解密 PIK（采用 3DES 方式） 。消息格式：输入域长度类型备注命令1H0 x41PIK 密文8H银行索引号2H

46、区域主密钥索引输出域长度类型备注应答码1A“A”PIK 明文8H用区域主密钥解密或应答码1A“E”错误码1H0 x 0C：非法银行主密钥索引号0 x 1C：没有银行主密钥SJL05 处理过程：1)取出指定索引的 BMK。2)用 BMK 对 PIK 进行 3DES 解密。3)如果成功返回 PIK 明文。卫士通信息产业股份有限公司http:/ 15 -2.10 产生动态通信密钥产生动态通信密钥说明：产生随机通信密钥。消息格式：输入域长度类型备注命令1H0 x50通信主密钥索引2H区域主密钥索引DES/3DES 算法标识1H0：DES1：3DES通信密钥支持算法1H分散次数 N1H对通信主密钥分散次

47、数（02）分散数据N*8H对通信主密钥分散的数据输出域长度类型备注应答码1A“A”数据长度2H密文数据LH通信密钥密文或应答码1A“E”错误码1H0 x E0：无效的索引号0 x E1：无银行主密钥0 x E2：消息长度错误0 x E3：无效的标志SJL05 处理过程：1)随机产生通信密钥数据（DES：8 字节，3DES：16 字节） ；2)分散通讯主密钥（分散算法见附录 E） ；3)用分散后的通信主密钥加密通信密钥（加密算法见附录 E） 。4)如果成功，返回通信密钥的长度及密文。卫士通信息产业股份有限公司http:/ 16 -2.11 用通信密钥对数据算用通信密钥对数据算 MAC，验证，验证

48、MAC说明：用通信密钥对数据计算 MAC，与输入的 MAC 值比较，验证 MAC。消息格式：输入域长度类型备注命令1H0 x51通信主密钥索引2H区域主密钥索引DES/3DES 算法标识1H0：DES1：3DESCBC 算法标识1H0：CBC_X98 1：CBC_XORMAC 值4HMAC 值的左四字节分散次数 N1H对通信主密钥分散次数（02）数据长度 L2H数据LH分散因子N*8H对通信主密钥分散的数据通信密钥密值16/24HDES：16 字节3DES：24 字节输出域长度类型备注应答码1A“A”或应答码1A“E”错误码1H0 x E0：无效的索引号0 x E1：无银行主密钥0 x E2：

49、消息长度错误0 x E3：无效的标志0 x E4：解密错误0 x E5：无支持的算法0 x E6：验证 MAC 失败SJL05 处理过程：卫士通信息产业股份有限公司http:/ 17 -1)分散通讯主密钥（分散算法见附录 E） ；2)用分散后的通信主密钥解密通信密钥，并判断其支持算法是否满足要求（加密算法见附录 E） 。3)用通信密钥对数据计算 MAC（MAC 算法见附录 E） 。 4)与输入的 MAC 值比较。5)如果成功，即计算 MAC 与输入 MAC 一致，则正常返回。卫士通信息产业股份有限公司http:/ 18 -2.12 用通信密钥对数据计算用通信密钥对数据计算 MAC说明：用通信密

50、钥对输入数据计算 MAC。消息格式：输入域长度类型备注命令1H0 x52通信主密钥索引2H区域主密钥索引DES/3DES 算法标识1H0：DES1：3DESCBC 算法标识1H0：CBC_X98 1：CBC_XOR分散次数 N1H对通信主密钥分散次数（02）数据长度 L2H分散因子N*8H对通信主密钥分散的数据通信密钥密值16/24HDES：16 字节3DES：24 字节输出域长度类型备注应答码1A“A”MAC4HMAC 值的左四字节或应答码1A“E”错误码1H0 x E0：无效的索引号0 x E1：无银行主密钥0 x E2：消息长度错误0 x E3：无效的标志0 x E4：解密错误0 x E

51、5：无支持的算法SJL05 处理过程： 1)分散通讯主密钥（分散算法见附录 E） ；2)用分散后的通信主密钥解密通信密钥，并判断其支持算法是否满足卫士通信息产业股份有限公司http:/ 19 -要求（加密算法见附录 E） 。3)用通信密钥对数据计算 MAC（MAC 算法见附录 E） 。4）如果成功，返回 MAC（左边四个字节） 。卫士通信息产业股份有限公司http:/ 20 -2.13 用通信密钥对用通信密钥对 PIN 密文解密密文解密说明：用通信密钥对 PIN 密文做解密，返回密文 PIN 的解密结果。输入域长度类型备注命令1H0 x53通信主密钥索引2H区域主密钥索引PIN8HPinBlo

52、ck 密值DES/3DES 算法标识1H0：DES1：3DES分散次数 N1H对通信主密钥分散次数（02）数据LH分散因子N*8H对通信主密钥分散的数据通信密钥密值16/24HDES：16 字节3DES：24 字节输出域长度类型备注应答码1A“A”PIN8HPinBlock 明文或应答码1A“E”错误码1H0 x E0：无效的索引号0 x E1：无银行主密钥0 x E2：消息长度错误0 x E3：无效的标志0 x E4：解密错误0 x E5：无支持的算法SJL05 处理过程：1)分散通讯主密钥（分散算法见附录 E） ；2)用分散后的通信主密钥解密通信密钥，并判断其是否支持 PIN 解密算法（加

53、密算法见附录 E） 。3)用通信密钥对 PIN 密文做解密。卫士通信息产业股份有限公司http:/ 21 -4)如果成功，返回 PinBlock 明文。卫士通信息产业股份有限公司http:/ 22 -2.14 用通信密钥转换用通信密钥转换 PIN说明：转换 PinBlock。消息格式：输入域长度类型备注命令1H0 x54通信主密钥 1 索引2H区域主密钥索引通信主密钥 2 索引2HPIN18HPinBlock 密值DES/3DES 算法标识 11H0：DES1：3DESDES/3DES 算法标识 21H0：DES1：3DES分散次数 N11H对通信主密钥 1 分散次数（0-2）分散次数 N21

54、H对通信主密钥 2 分散次数（0-2）分散因子 1N*8H对通信主密钥 1 分散的数据分散因子 2N*8H对通信主密钥 2 分散的数据通信密钥密值 116/24HDES：16 字节3DES：24 字节通信密钥密值 216/24HDES：16 字节3DES：24 字节输出域长度类型备注应答码1A“A”PIN 密值 28H用通信密钥 2 加密明文 Pin或应答码1A“E”错误码1H0 x E0：无效的索引号0 x E1：无银行主密钥0 x E2：消息长度错误0 x E3：无效的标志0 x E4：解密错误卫士通信息产业股份有限公司http:/ 23 -E5：无支持的算法SJL05 处理过程：1)分散

55、通讯主密钥 1 和通信主密钥 2（分散算法见附录 E） ；2)用分散后的通信主密钥 1 解密通信密钥 1，并判断其是否支持 PIN变换算法；用分散后的通信主密钥 2 解密通信密钥 2，并判断其是否支持 PIN 加密算法（加密算法见附录 E） 。3)用通信密钥 1 对 PIN 密文做解密，解密后的结果用通信密钥 2 作加密。4)如果成功，返回 PIN 密文 2 值。卫士通信息产业股份有限公司http:/ 24 -2.15 计算计算TAC说明：对输入数据计算 TAC消息格式：输入域长度类型备注命令1H0 x55密钥索引号2H调帐子密钥索引数据长度2H数据NH计算 TAC 的数据输出域长度类型备注应

56、答码1A“A”TAC8H计算后的 TAC或应答码1A“E”错误码1H0 xE0：非法银行主密钥索引号0 xE1：无银行主密钥0 xE2：数据长度错SJL05 处理过程：1)取出指定的区域主密钥 ZMK，用 ZMK 对输入数据进行 TAC 计算；2)输出 TAC； 卫士通信息产业股份有限公司http:/ 25 -2.16 产生工作密钥产生工作密钥说明：产生工作密钥消息格式：输入域长度类型备注命令1H0 x56密钥索引号2H调帐子密钥索引节点号16H下级节点终端号输出域长度类型备注应答码1A“A”工作密钥 116H调帐子密钥加密的密文工作密钥 216H分散子密钥加密的密文 MAC8H工作密钥 2

57、的 MAC 值或应答码1A“E”错误码1H0 xE0：非法银行主密钥索引号0 xE1：无银行主密钥SJL05 处理过程：1）出指定的区域主密钥 ZMK，用 ZMK 对下级节点号分散得到子密钥DTMK；2）产生随机工作密钥，用 ZMK 和 DTMK 加密并输出3）对 DTMK 加密的密文计算 MAC 输出。 卫士通信息产业股份有限公司http:/ 26 -2.17 转换工作密钥转换工作密钥说明：工作密钥由通信主密钥 2 加密转换为通信主密钥 1 加密消息格式：输入域长度类型备注命令1H0 x57通信主密钥索引号 12H通信子密钥索引号 22H密钥 116HTEK密钥 1 的 MAC8HTEK 的

58、 MAC密钥 216HTAK密钥 2 的 MAC8HTAK 的 MAC输出域长度类型备注应答码1A“A”工作密钥 116HTEK 的密文工作密钥 216HTAK 的密文或应答码1A“E”错误码1H0 xE0：非法银行主密钥索引号0 xE1：无银行主密钥0 xE7：MAC 校验错SJL05 处理过程：1）指定的区域主密钥 ZMK 和 DTMK2）校验 TEK 和 TAK，MAC 是用 DTMK 对 TEK 和 TAK 计算的结果3）转换 TEK 和 TAK 的加密密钥。 卫士通信息产业股份有限公司http:/ 27 -2.18 计算计算 MAC说明：由输入的密钥计算 MAC消息格式：输入域长度类

59、型备注命令1H0 x58通信主密钥索引号2H密钥16H由通信主密钥加密的 WK数据长度2H数据NH输出域长度类型备注应答码1A“A”MAC8H或应答码1A“E”错误码1H0 xE0：非法银行主密钥索引号0 xE1：无银行主密钥0 xE2：数据长度错SJL05 处理过程：1）取出通信主密钥 ZMK，用 ZMK 解密得到工作密钥2）用 WK 对输入数据计算 MAC 并输出卫士通信息产业股份有限公司http:/ 28 -2.19 对输入数据加对输入数据加/解密解密说明：消息格式：输入域长度类型备注命令1H0 x59通信主密钥索引号2H标志1H0：加密 1：解密密钥16H由通信主密钥加密的 WK数据长

60、度2H为 8 的倍数长数据NH输出域长度类型备注应答码1A“A”数据长度2 H数据NH明文/密文或应答码1A“E”错误码1H0 xE0：非法银行主密钥索引号0 xE1：无银行主密钥0 xE3：标志错SJL05 处理过程：1）出通信主密钥 ZMK，用 ZMK 解密得到工作密钥2）WK 对输入数据加密或解密（由标志位决定）卫士通信息产业股份有限公司http:/ 29 -2.20 PIN 转换转换说明：消息格式：输入域长度类型备注命令1H0 x5a通信主密钥索引号2H密钥 116H由通信主密钥加密的 WKPIN 密文8密钥 216H由通信主密钥加密的 WK输出域长度类型备注应答码1A“A”PIN8H