GB/T 21079.2-2022金融服务安全加密设备(零售)第2部分：金融交易中设备安全符合性检测清单

ICS3524040

CCSA.11.

中华人民共和国国家标准

GB/T210792—2022

.

代替GB/T205472—2006

.

金融服务安全加密设备零售

()

第2部分金融交易中设备安全

:

符合性检测清单

Financialservices—Securecrtorahicdevicesretail—

ypgp()

Part2Securitcomliancechecklistsfordevicesusedinfinancialtransactions

:y

ISO13491-22017MOD

(:,)

2022-12-30发布2022-12-30实施

国家市场监督管理总局发布

国家标准化管理委员会

GB/T210792—2022

.

目次

前言

…………………………Ⅰ

引言

…………………………Ⅱ

范围

1………………………1

规范性引用文件

2…………………………1

术语和定义

3………………2

安全符合性检测清单的使用

4……………2

附录规范性基本的物理逻辑和设备管理特性

A()SCD、………………4

附录规范性具有输入功能的设备

B()PIN……………11

附录规范性具有管理功能的设备

C()PIN……………16

附录规范性具有报文鉴别功能的设备

D()……………18

附录规范性具有密钥生成功能的设备

E()……………19

附录规范性具有密钥传输和加载功能的设备

F()……………………22

附录规范性具有数字签名功能的设备

G()……………26

附录规范性环境分类

H()………………28

参考文献

……………………31

GB/T210792—2022

.

前言

本文件按照标准化工作导则第部分标准化文件的结构和起草规则的规定

GB/T1.1—2020《1:》

起草

。

本文件是金融服务安全加密设备零售的第部分已经发布了

GB/T21079《()》2。GB/T21079

以下部分

:

第部分概念要求和评估方法

———1:、。

本文件代替银行业务安全加密设备零售第部分金融交易中设备

GB/T20547.2—2006《()2:

安全符合性检测清单与相比除结构调整和编辑性改动外主要技术变化

》,GB/T20547.2—2006,,

如下

:

增加了术语评估机构见

a)“”(3.4);

增加了经授权的准正式评估见

b)“”(4.4);

增加了我国密码算法相关要求见表的表的和表的

c)(A.5A21、B.3B18E.2E4);

增加了部分附录内容见

d)(A.3.4、A.3.6、B.2.1.2)。

本文件修改采用金融服务安全加密设备零售第部分金融交易中设备

ISO13491-2:2017《()2:

安全符合性检测清单

》。

本文件与相比做了下述结构调整

ISO13491-2:2017:

附录中表的序号对应中表的

———H,H.1H1~H5ISO13491-2:2017H.1H4~H8;

附录中表的序号对应中表的

———H,H.2H6~H8ISO13491-2:2017H.2H1~H3。

本文件与的技术差异及其原因如下

ISO13491-2:2017:

附录中表的序号关于加密算法操作模式和密钥长度的描述修改为设备使用

———A,A.5A21,、“

的加密算法操作模式密钥长度应符合

、、ISO11568-1、ISO11568-2、ISO11568-4、

和以符合我国密码管理部门有关要求

GB/T32918、GB/T32905GB/T32907”,;

附录中表的序号关于格式的描述修改为加密应采用

———B,B.3B18,PINBlock“PINISO9564-

规定的格式应采用规定的加密算法和分组密码算法以符合

1PINBlock,ISO9564-1SM4”,

我国密码管理部门有关要求

;

附录中表的序号关于密钥生成方法的描述修改为密钥生成方法应符合

———E,E.2E4,“

所有部分和以符合我国密码管理部

ISO11568()、GB/T32918、GB/T32905GB/T32907”,

门有关要求

。

请注意本文件的某些内容可能涉及专利本文件的发布机构不承担识别专利的责任

。。

本文件由全国金融标准化技术委员会提出并归口

(SAC/TC180)。

本文件起草单位北京银联金卡科技有限公司中国银联股份有限公司中国人民银行长沙中心

:、、

支行

。

本文件主要起草人杨波张彦超谭亦夫佟冬汤洋袁思思谭旺杜芮

:、、、、、、、。

本文件于年首次发布本次为第一次修订

2006,。

Ⅰ

GB/T210792—2022

.

引言

零售电子支付系统的安全性在很大程度上依赖于安全加密设备的安全性安全加密设备的安全性

。

要求基于这样一些假设计算机文件可能被非法访问和处理通信线路可能被窃听合法的数据和控

:,“”,

制指令可能被非法操作所取代尽管某些安全加密设备如主机安全模块放置在安全性相对较高的处

。()

理中心但大部分应用于零售银行业务的安全加密设备如密码键盘等都处在并不安全的环境中因

,()。

此在这些安全加密设备上处理个人标识码报文鉴别码密钥和其他机密数据时就存

,PIN()、MAC()、,

在设备受到入侵数据泄露或被篡改的风险

、。

通过合理使用以及正确管理具有特定物理和逻辑安全特性的安全加密设备有助于降低金融风险

,。

国际上系列标准属于金融交易过程中各类安全加密设备的使用管理及评估所参考和依据

,ISO13491、

的通用性基础标准按照中对安全加密设备以下简称的安全要求

。ISO13491-1(SCD),ISO13491-2:

基于和等标准规定

2017ISO9564-1、ISO9564-2、ISO16609、ISO11568-1、ISO11568-2ISO11568-4,

了评估金融服务环境中的安全符合性检测清单我国借鉴系列标准并结合我国密码

SCD。ISO13491,

管理部门和金融行业主管部门有关要求形成金融服务安全加密设备零售指导金

,GB/T21079《()》,

融行业零售业务中安全加密设备评估拟由两个部分组成

,。

第部分概念要求和评估方法旨在规定金融零售业务中用于保护报文密钥及其他敏感

———1:、。、

数据的的物理特性逻辑特性和管理要求包含了对的安全要求

SCD、,SCD。

第部分金融交易中设备安全符合性检测清单旨在提供用于评估安全加密设备的安全符

———2:。

合性检测清单内容包括设备必须具有的特性设备操作环境的特性和设备的管理方法存在

,、。

其他的评估框架并且也适合用于正式安全评估例如的至部分和

,,:ISO/IEC1540813

但这些已超出本部分的范围

ISO/IEC19790,GB/T21079。

中国零售金融业务正处于快速发展时期安全加密设备对于保障零售金融业务的安全性至关重要

,。

本文件提供了用于评估安全加密设备的安全符合性检测清单有助于提升金融行业安全加密设备安全

,

管理水平并为安全加密设备相关安全评估工作的标准化和规范化提供指导

,。

Ⅱ

GB/T210792—2022

.

金融服务安全加密设备零售

()

第2部分金融交易中设备安全

:

符合性检测清单

1范围

本文件规定了评估金融服务环境中安全加密设备的安全符合性检测清单集成电路支

(SCD)。(IC)

付卡在发卡前属于本文件范围发卡后将被视作一种个人设备且不属于本文件范围

,。

本文件适用于零售金融业务中应用的设备的安全符合性检测

SCD。

本文件不适用于由拒绝服务所引起的问题

SCD。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款其中注日期的引用文

。,

件仅该日期对应的版本适用于本文件不注日期的引用文件其最新版本包括所有的修改单适用于

,;,()

本文件

。

信息安全技术密码杂凑算法

GB/T32905SM3

信息安全技术分组密码算法

GB/T32907SM4

信息安全技术椭圆曲线公钥密码算法

GB/T32918SM2

金融服务个人识别码管理和安全第部分基于卡的系统中的基本原则和

ISO9564-11:PIN

要求

[Financialservices—PersonalIdentificationNumber(PIN)managementandsecurity—Part1:

BasicprinciplesandrequirementsforPINsincard-basedsystems]

注银行业务个人识别码的管理与安全第部分和系统中联机处理

:GB/T21078.1—20071:ATMPOSPIN

的基本原则和要求

(ISO9564-1:2002,MOD)

银行业务密钥管理零售第部分一般原则

ISO11568-1()1: