XX-3-SYS-金融数据加密机操作手册

PAGE30密码机的使用PAGE30第2页共25页文档编号XX_3_SYS_金融数据加密机操作手册版本号V1.0密级内部公开金融数据加密机操作手册XXX信息技术有限公司

文档信息发布版本：V1.0最后发布时间：XX编写人：XX审核人：XX版本控制编号修订人修订时间版本号修订内容说明123

目录10895第1章金融数据密码机(高端）简介 592061.1密码机的功能 584141.2密码机的技术特点 5303321.3密码机的技术指标 6147371.4密码机的外形结构 627060第2章金融数据密码机(高端）的使用 8239592.1密码机的配套清单 8255302.2密码机的安装 881572.3.1安装步骤 8256012.3.2注入密钥 8167302.3密码机各部分的说明 9127202.3.3IC卡插座 9303362.3.4密钥销毁锁 965992.3.5机仓后部的锁 93172.3.6蜂鸣器 991292.4密码机的接口 930522.5注意事项 105821第3章IC卡的管理和使用 10217363.1IC卡的功能 10169603.2IC卡的管理 1130622第4章密码机连接 12165134.1哑终端连接 12182604.2主机端口连接 1231000第5章密码机初始化 1243505.1密码机IP地址、掩码 134865.2设置密码机通信端口 1312355.3客户IP输入 13155665.4PIN长度、消息头、字符编码等常用设置 1419847第6章密钥管理测试 15165276.1制作超级权限卡 15190256.2导入主密钥 1619756第7章卡片密钥管理 17189837.1从传输密钥卡中导入卡片密钥 17206697.2卡片密钥检查 1723001第8章常用终端命令 18265288.1CC<RETURN>设置密码机终端端口；需获取维护权限 1810018.2CH<RETURN>密码机常用设置；需获取维护权限 19233978.3QH<RETURN>查看密码机常用设置； 1962358.4IP<RETURN>密码机网络设置；需获取维护权限 20322368.5QP<RETURN>查看密码机网络设置； 209778.6CLIENT<RETURN>查看、增加、删除客户IP地址,需获取维护权限;（缩写CT） 20272708.7PORT<RETURN>设置密码机通信端口；需获取维护权限 21145088.8MKSUPER<RETURN>制作超级权限卡；密码机内有密钥时需获取超级权限。（缩写MK） 21176948.9MKADMINISTER<RETURN>制作管理权限卡；需获取超级权限。（缩写AD） 235198.10MKWORK<RETURN>制作维护权限卡；需获取管理权限。（缩写WK） 2440258.11LOADMK<RETURN>从三张超级权限卡中导入主密钥各成份，在密码机中自动合成主密钥；密码机内有密钥时需获取超级权限。（缩写LK） 25金融数据密码机(高端）简介金融数据密码机(高端）是用于XXXPOS平台与银行卡网络系统的支持多进程的主机节点数据密码机，直接与主机相连接，以规定的协议通讯。此密码机设计可靠，结构更合理，使用更方便，外型更加美观。密码机的功能金融数据密码机(高端）是金融网络安全系统的重要组成部分之一，主要的功能是实现对网络上传输的信息进行保护或鉴别，以保证金融信息的正确性，能够有效防止对通信数据的非法窃取或篡改。密码机的技术特点用于TCP/IP协议。所有密钥库的自动维护功能，包括密钥的产生、分发、注入和销毁。支持哑终端密钥管理方式。密码机具有完善的密钥保护功能，即使掉电,也能保护好密钥不被丢失；另外还有非法操作时的密钥销毁功能。具有完善的系统监测功能，可监测密码机硬件及软件的运行状态，并可对故障进行自动恢复。可以通过软件、硬件来设置、检测各部分的功能，设定系统的运行参数，具有完善的人机交互界面。密码机的技术指标接口方式： RJ/45及RS—232传输速率： 10M/100M/1G自适应工作电压： 220V25％、50HZ功耗： 85W可靠性： MTBF>20,000h密码机的外形结构图一：XXX图一：XXXPOS平台密码机前视图说明１、IC卡插座此处是管理密码机的IC卡的插入口２、密钥销毁锁紧极时可销毁密钥３、电源灯当密码机接通电源时，电源灯亮４、工作灯当密码机正进行加、脱密等安全处理时，加密灯亮５、报警灯当密码机处于非正常状态时，报警灯亮，并伴有报警声图二：POS平台密码机后视图说明图二：POS平台密码机后视图说明1、电源开关按钮控制对密码机的供电2、交流电源插座3、机仓后锁技术人员由此打开机箱维护密码机(用户请勿私自打开，否则可能造成严重后果)4、COM2：RS-232C9芯插座2（保留）5、LAN2：TCP/IP接口（保留）6、LAN1：TCP/IP接口（应用主机接口）7、并口（接并口打印机用）8、RS-232C9芯插座1（管理接口）金融数据密码机(高端）的使用密码机的配套清单密码机一台使用说明书一本220V交流电源线一根IC卡一套串口线一根密码机的安装安装步骤第一步 密码机通过TCP/IP接口与主机连接，即可进入生产环境。第二步 固定好线缆的两端，以保证其良好的接触和安全。第三步 接上220V的交流电源线，打开密码机交流电源开关。注入密钥密码机在使用之前应先注入密钥。如果没有注入密钥，密码机起动后会报警。密码机各部分的说明IC卡插座密码机采用推推式IC卡座。将密码机专用卡的触片面向上、向前，按照IC卡上标示的方向，对准插座方向适当用力推入即可操作，再轻推一下即可弹出，此时才可以拔出IC卡。密钥销毁锁用于销毁密钥。销毁密钥时，先将密码机电源关闭，然后密钥销毁锁转至销毁状态，1秒后密钥销毁。机仓后部的锁用来固定机仓。蜂鸣器密码机内部还装有蜂鸣器，用于异常时报警或者在有些操作过程中给予声音提示。密码机的接口密码机有5个接口：2个以太网口，2个串口，1个并口。注意事项密码机必须注入密钥才能正常工作。严禁带电打开密码机的机仓和拨/插通信线缆。严禁强电流、高电压对密码机的冲击。密码机不能正常工作时，请填好保修单，及时与供应商联系，以便进行检查、维修。若IC卡损坏，严禁随便丢弃，必须交还给配发单位，由配发单位统一处理。IC卡的管理和使用IC卡的功能密码机使用的IC卡共有6张：3张超级用户卡，2张管理员卡，1张维护员卡。它们的作用如下：进入超级授权状态，必须依次使用三张超级用户卡，由三个超级用户共同授权。超级用户卡上存放有本地主密钥的分量，密码机内保存有本地主密钥分量的检查值。当插入IC卡，并且IC卡口令验证通过后，还需重新计算IC卡上分量的检查值，如果等于密码机内保存的检查值，才允许授权。进入管理员授权状态，必须依次使用两张管理员卡，由两个管理员共同授权。要设置好本地主密钥后，才能制作管理员卡。制作管理员卡时，在一号管理员卡上写入索引号为47的本地主密钥的检查值，在二号管理员卡上写入索引号为48的本地主密钥的检查值。当插入IC卡，并且IC卡口令验证通过后，还需重新计算密码机内相应本地主密钥的检查值，如果等于IC卡上保存的检查值，才允许授权。进入维护员授权状态，必须使用维护员卡，由维护员授权。要设置好本地主密钥后，才能制作维护员卡。制作维护员卡时，在维护员卡上写入索引号为49的本地主密钥的检查值。当插入IC卡，并且IC卡口令验证通过后，还需重新计算密码机内索引号为49的本地主密钥的检查值，如果等于IC卡上保存的检查值，才允许授权。IC卡的管理IC卡一旦投入运行即属密件，如果发生丢失、被盗等情况，应根据有关规定及时做出相应的处理。IC卡应实行分级、分人的管理制度。密码机连接图1.密码机连接图哑终端连接用哑终端连接线缆连接PC机的串口和密码机的CONSOLE端口(com1)。测试过程中用PC机上Windows自带的“超级终端”软件模拟哑终端。在Windows桌面环境下依次点击：开始所有程序附件通信超级终端，运行“超级终端”。超级终端设置：9600bps、8位数据位、1位停止位、无奇偶校验位。主机端口连接用直连网线连接密码机和PC机以太网接口。密码机初始化哑终端连接好后，打开密码机电源，在哑终端上进行如下初始化：密码机IP地址、掩码为密码机分配一个IP地址，并设置好IP地址、网关及子网掩码。IP地址为：39网关：子网掩码为：步骤如下：SJL06-AUTH1>IP<Return>EnterIPaddress:39<Return>EnterDefaultGateway:<Return>EnterSubnetmask:<Return>设置密码机通信端口为密码机分配一个通信端口，端口号为8。步骤如下：SJL06-AUTH1>port<Return>Port:(currentvalue=9)8<Return>客户IP输入加密机保存一个合法客户IP地址列表，所有需要访问加密机的PC或主机IP地址必须被输入到加密机中。该操作命令为client（或CT）。例如：PC机的IP地址设为00，子网掩码设为。将PC机的IP作为客户端IP地址输入密码机。步骤如下：SJL06-AUTH1>clientADDCLIENT/DELCLIENT/DELALLCLIENT[A/D/X]:A<Return>EnternewclientIPaddress:00<Return>AddclientIPaddresssuccess!Contiune?[Y/N]:N<Return>PIN长度、消息头、字符编码等常用设置PIN长度设为6，消息头长度设为0，字符编码设为ASCII。步骤如下：SJL06-AUTH1>CH<Return>PinLength[4-12]:6<Return>MessageHeaderLength[0-99]:0<Return>PrinterResponse[1-2]:1<Return>Ascii/Ebcdic/IBM5250[A/E/I]:A<Return>Password/Clear[P/C]:P<Return>HsmSetupChanged!密钥管理测试制作超级权限卡按提示完成三张超级权限卡的制作。步骤如下：SJL06-AUTH3>mksuper<Return>Insertthesupercard1andpressENTER...Card1PIN:******component1checkvalue:27F5435687ADFFB3Makethesupercard1success!Insertthesupercard2andpressENTER!Card2PIN:******component2checkvalue:97C14E1CC0199A35Makethesupercard2success!Insertthesupercard3andpressENTER!Card3PIN:******component3checkvalue:FFEE4CF9D93B8611Makethesupercard3success!导入主密钥从三张超级权限卡中导入主密钥各成份，在密码机中自动合成主密钥步骤如下：SJL06-AUTH3>loadmkInsertthesupercard1andentercard1PIN:******NewHsmPassword1:******RetypeNewHsmPassword1:******HsmPassword1SetOk!component1checkvalue:27F5435687ADFFB3Insertthesupercard2andentercard2PIN:******NewHsmPassword2:******RetypeNewHsmPassword2:******HsmPassword2SetOk!component2checkvalue:97C14E1CC0199A35Insertthesupercard3andentercard3PIN:******NewHsmPassword3:******RetypeNewHsmPassword3:******HsmPassword3SetOk!component3checkvalue:FFEE4CF9D93B8611RMKcheckvalue:7BCAC91A72779A97卡片密钥管理从传输密钥卡中导入卡片密钥将传输密钥卡插入加密机，将卡内密钥导入加密机内。需要输入保护密钥的三个分量以及卡口令。Example:SJL06-AUTH3>cardkeyEntercomponent1:08080808080808080808080808080808Entercomponent2:00000000000000000000000000000000Entercomponent3:00000000000000000000000000000000PleaseInputPIN1:12345678PleaseInputPIN2:11111111ReadCardandLoadKey...Pleasewait!Load042keysuccess!注：表示成功导入42个密钥。卡片密钥检查根据输入的索引检查加密机中保存的卡片主密钥Example:SJL06-AUTH3>checkkeyEnterkeyindex:0156注：0156为索引0x0156(与命令集相对应)KEYcheckvalue:C83A常用终端命令CC<RETURN>设置密码机终端端口；需获取维护权限Example:SJL06-AUTH1>CC<Return>BAUDRATESWORDFORMATS1.1200 1.7bits,noparity,1stop2.2400 2.7bits,oddparity,1stop3.4800 3.7bits,evenparity,1stop4.9600 4.8bits,noparity,1stop5.19200 5.8bits,oddparity,1stop6.38400 6.8bits,evenparity,1stopInresponsetotheprompts,enterthenumberofthedesiredoptionor<RETURN>fornochange.Consolebaudrate:(currentvalue=4)6<Return>Consolewordformat:(currentvalue=4)4<Return>CH<RETURN>密码机常用设置；需获取维护权限Example:SJL06-AUTH1>CH<Return>PinLength[4-12]:6<Return>MessageHeaderLength[0-99]:0<Return>PrinterResponse[1-2]:1<Return>Ascii/Ebcdic/IBM5250[A/E/I]:A<Return>HsmSetupChanged!QH<RETURN>查看密码机常用设置；Example:SJL06>QH<Return>PinLength:06MessageHeaderLength:0PrinterResponse:1Ascii/Ebcdic/IBM5250:AIP<RETURN>密码机网络设置；需获取维护权限Example:SJL06-AUTH1>IP<Return>EnterIPaddress:39<Return>EnterDefaultGateway:54<Return>EnterSubnetmask:<Return>QP<RETURN>查看密码机网络设置；Example:SJL06>QP<Return>IPaddress:39DefaultGateway:54Subnetmask:CLIENT<RETURN>查看、增加、删除客户IP地址,需获取维护权限;（缩写CT）Inputs：ADDCLIENT/DELCLIENT/DELALLCLIENT[A/D/X]:A-增加;D-删除;X-全删除Example:SJL06-AUTH1>client1.122.93.134.33ADDCLIENT/DELCLIENT/DELALLCLIENT[A/D/X]:A<Return>EnternewclientIPaddress:4<Return>AddclientIPaddresssuccess!Contiune?[Y/N]:N<Return>PORT<RETURN>设置密码机通信端口；需获取维护权限NOTE:需重起密码机后，设置才有效！Example:SJL06-AUTH1>port<Return>Port:(currentvalue=9)8<Return>Setportsuccess!RebootHSM!MKSUPER<RETURN>制作超级权限卡；密码机内有密钥时需获取超级权限。（缩写MK）Inputs：分别输入3个192bits成份及3个超级权限密码。Outputs:各成份的较验值及合成后的主密钥较验值。Example:SJL06-AUTH3>mksuper<Return>Insetthesupercard1andpressENTER!<Return>Rmkcomponentone:************************************************Makesupercard1now!Pleasewaitfor...componentonecheckvalue:82E1Makethesupercard1success!NewHsmPassword1:****<Return>RetypeNewHsmPassword1:****<Return>HsmPassword1SetOk!Insetthesupercard2andpressENTER!<Return>Rmkcomponenttwo:************************************************Makesupercard2now!Pleasewaitfor...componentonecheckvalue:9574Makethesupercard2success!NewHsmPassword2:****<Return>RetypeNewHsmPassword2:****<Return>HsmPassword2SetOk!Insetthesupercard3andpressENTER!<Return>Rmkcomponentthree:************************************************Makesupercard3now!Pleasewaitfor...componentonecheckvalue:3453Makethesupercard3success!NewHsmPassword3:****<Return>RetypeNewHsmPassword3:****<Return>HsmPassword3SetOk!RMKcheckvalue:3F53MKADMINISTER<RETURN>制作管理权限卡；需