商业银行金融IC卡国密改造安全建设方案

一、背景

金融和重要领域国密改造是我国大力推进自主国产密码应用的重要政策。2011年3月,人民银行发布了《关于推进金融IC卡应用工作的意见》,开始全面启动我国金融IC卡迁移，要求2015年起银行业金融机构发卡银行卡均应为金融IC卡。2014年11月3日，人民银行印发了《关于进一步做好金融IC卡应用工作的通知》，要求自2015年4月1日起，各发卡银行新发金融IC卡应符合PBOC3.0规范。相较于PBOC2.0，PBOC3.0规范的核心内容是要求支持国产密码算法。

按照人民银行和密码管理部门的部署，河南某商业银行被选定作为金融IC卡国密改造试点，这也是国内第一家按照PBOC3.0规范建设的商业银行IC卡系统，主要针对发卡系统、受理系统、核心交易系统、密钥管理系统及ATM、POS机等交易终端进行国密改造，要求支持SM2/SM3/SM4等国密算法，用来开展金融IC卡借贷记、电子现金、电子钱包相关业务。

二、需求分析

按照PBOC3.0规范对金融IC卡国密改造的要求，结合该银行实际业务情况，关键是如何运用国密算法保证IC卡片发卡和交易过程安全，其密码应用安全体系建设主要有如下几点：

1、建立一整套采用国密算法的金融IC卡发卡解决方案。

2、密钥管理是国密改造的核心，需要建设符合PBOC3.0规范的密钥管理系统，保证密钥生命周期的安全。 

3、基于国密算法,为金融IC卡交易过程中涉及的各业务系统提供密码技术和应用安全服务。

三、解决方案

根据PBOC3.0规范、该银行业务实际情况以及国密改造试点专项的目标和要求，本次国密改造试点项目采用了江南天安基于国密算法和密码行业相关标准开发的金融IC卡安全支撑系统等密码产品和解决方案，实现了成功上线，保证了国密算法在金融IC卡发卡和交易过程的应用，为金融IC卡业务应用的安全性奠定了基础：

1、密钥管理系统

提供国密算法和国际通用算法的发卡行证书申请、导入、管理；认证中心根证书导入；IC卡证书的签发和管理；IC卡业务根密钥的生成、导出、管理、卡片子密钥的生成等。

2、数据准备系统

提供卡片模板定义和管理；提供与密钥管理系统交互，获取卡片密钥和证书数据；提供与IC卡业务系统交互，获取卡片原始制卡文件；按照卡片模板生成最终的制卡数据。

3、IC卡多应用发卡系统

提供制卡数据解析；提供卡指令和卡数据组织拼接；提供卡片应用加载，提供应用个人化功能。

4、密码服务平台

提供国密算法和国际算法的终端密钥生成、管理、更新接口；提供PIN的生成、转加密、验证接口；提供借贷记应用的ARQC\ARPC、脚本MAC、脚本加密等接口；提供8583报文传输的MAC计算、验证等接口。

5、金融数据加密机

提供国密算法和国际通用算法的密钥的生成和管理、提供业务所需的各类密码运算接口。

四、实施效果

国密改造试点项目的成功和金融IC卡安全支持系统的上线，使该商业银行金融IC卡系统成为国内第一家符合PBOC3.0规范并且正式商用的金融IC卡系统，为我国金融领域国产密码改造的应用推广打下了坚实基础，并在银行卡、社保卡、医疗健康卡、交通卡等IC卡金融应用领域的国产密码应用领域起到了示范效应。