醫療保險IC卡密鑰管理系統技術(shù)設計
文章出處：http://psychicreadingswithdeb.com 作者： 人氣： 發(fā)表時(shí)間：2011年12月12日
1. 密鑰管理系統技術(shù)方案
1.1. 密鑰管理系統的設計前提
密鑰管理是密碼技術(shù)的重要環(huán)節。在現代密碼學(xué)中，在密碼編碼學(xué)和密碼分析學(xué)之外，又獨立出一支密鑰管理學(xué)。密鑰管理包括密鑰的生成、分配、注入、保管、銷(xiāo)毀等環(huán)節，而其中最重要的就是密鑰的分配。IC卡的密鑰管理機制直接關(guān)系到整個(gè)系統的安全性、靈活性、通用性。密鑰的生成、發(fā)行、更新是系統的一個(gè)核心問(wèn)題，占有非常重要的地位。
為保證全省醫療保險系統的安全使用、保證信息不被侵犯，應在系統實(shí)施前建立起一套完整的密鑰管理系統。
密鑰管理系統的設計目標是在安全、靈活的前提下，可以安全地產(chǎn)生各級主密鑰和各類(lèi)子密鑰，并將子密鑰安全地下發(fā)給子系統的發(fā)卡中心，用來(lái)產(chǎn)生SAM卡、用戶(hù)卡和操作員卡的各種密鑰，確保以上所有環(huán)節中密鑰的安全性和一致性，實(shí)現集中式的密鑰管理。在全省內保證各個(gè)城市能夠發(fā)行自己的用戶(hù)卡和密鑰卡，并由省級管理中心進(jìn)行監控。
1.2. 密鑰管理系統的設計方法
1.2.1. 系統安全的設計：本系統是一個(gè)面向省級醫療保險行業(yè)、在各個(gè)城市進(jìn)行應用的系統，系統最終所發(fā)行的卡片包括SAM卡和用戶(hù)卡。SAM卡將放在多種脫機使用的設備上；用戶(hù)卡是由用戶(hù)自己保存與使用并存儲用戶(hù)的基本信息和電子資金信息。系統設計的關(guān)鍵是保障系統既具有可用性、開(kāi)放性，又具有足夠的安全性。本系統密鑰的存儲、傳輸都是使用智能卡來(lái)實(shí)現的，因為智能卡具有高度的安全性。用戶(hù)卡（提供給最終用戶(hù)使用的卡片）上的密鑰根本無(wú)法讀出，只是在達到一定的安全狀態(tài)時(shí)才可以使用。SAM卡（用來(lái)識別用戶(hù)卡的認證密鑰卡）中的密鑰可以用來(lái)分散出用戶(hù)卡中部分脫機使用的密鑰，但也無(wú)法讀出。各級發(fā)行密鑰母卡上的密鑰在達到足夠的安全狀態(tài)時(shí)可以導出，但導出的密鑰為密文，只有送到同類(lèi)的卡片內才可以解密。本系統的安全機制主要有卡片的物理安全、智能卡操作系統的安全、安全的算法、安全的密鑰生成與存儲、密鑰的安全傳輸與分散、保障安全的管理措施與審計制度。
1.2.2. 密鑰的分層管理：密鑰主要分層進(jìn)行管理，即省級密鑰管理中心只負責生成種子密鑰，各個(gè)城市根據密鑰種子負責生成自己的密鑰系統和用戶(hù)卡，這樣既可以在全省范圍內統一規劃，又可以靈活使用。
1.2.3. 安全的密鑰管理體制：密鑰受到嚴格的權限控制，特別是對密鑰的使用權限進(jìn)行分級管理和控制；密鑰的生成、注入、導出等功能由發(fā)卡中心（省醫療保險基金管理中心）進(jìn)行統一的控制和管理。
1.3. 系統功能
密鑰管理系統的目標就是安全地產(chǎn)生各級主密鑰和各類(lèi)子密鑰，并將子密鑰安全地下發(fā)給子系統的發(fā)卡中心，用來(lái)產(chǎn)生SAM卡、用戶(hù)卡和操作員卡中的各種密鑰，確保以上所有環(huán)節中密鑰的安全性和一致性，實(shí)現集中式的密鑰管理。系統通過(guò)IC卡硬件、IC卡操作系統、合理的密鑰管理系統設計、嚴格的安全管理規定來(lái)實(shí)現以上目標。
密鑰管理系統是IC卡應用系統中最重要的環(huán)節，主要功能有密鑰的產(chǎn)生、分配、使用、更新和銷(xiāo)毀。
密鑰的生成：產(chǎn)生省級各類(lèi)主密鑰和市級各類(lèi)子密鑰；產(chǎn)生用戶(hù)卡和操作員卡的各種密鑰。密鑰生成主要由三種形式結合使用：使用安全可靠、快速的軟件生成方法；使用卡片存儲密鑰；使用加密機生成密鑰。在密鑰生成過(guò)程中，必須在安全、保密的環(huán)境下進(jìn)行。
密鑰的分配：密鑰生成之后，再根據不同的業(yè)務(wù)種類(lèi)進(jìn)行密鑰的分發(fā)。之后將密鑰下發(fā)給城市，并保證密鑰的安全性和一致性。密鑰在IC卡中以密文的形式進(jìn)行下裝或分發(fā)到各個(gè)子系統，并且密鑰受到相應的安全控管，只有達到安全條件才可以使用密鑰進(jìn)行分配或下裝。IC卡作為傳輸密鑰的載體，由于其自身的安全系數非常高，通過(guò)合理的設計完全可以有效進(jìn)行密鑰傳輸和分發(fā)。
密鑰的使用：在各個(gè)分系統和IC卡中，可以設計密鑰使用的安全條件，只有達到密鑰的安全使用條件，才可以使用密鑰進(jìn)行相應的操作。而且密鑰在使用過(guò)程中，都是以非可見(jiàn)性的形式存儲的，任何人都沒(méi)有權限進(jìn)行讀取，包括卡片制造商和系統商。密鑰在受到非法攻擊時(shí)，能夠自行鎖住，從而達到防止非法破譯的目的。
密鑰的更新：密鑰的更新涉及到的安全問(wèn)題比較多，由于大多數密鑰的更新是在安全強度較弱的環(huán)境進(jìn)行的，且涉及的范圍很大，所以應當謹慎地進(jìn)行密鑰更新。如果需要更新密鑰，可以在安全保密的狀態(tài)下，密鑰以密文的形式，并且在一定的安全條件管理下，定期地進(jìn)行更新。
密鑰的失效：密鑰在使用一段時(shí)間后，由于安全的需要，可以將其強制失效，但可以起用備份密鑰進(jìn)行管理。如果密鑰受到非法攻擊，其也可以自動(dòng)失效，以保護整個(gè)密鑰系統的安全。密鑰卡和存有關(guān)鍵數據的IC卡失效之后，必須回收秘密銷(xiāo)毀。
密鑰管理系統主要分為兩大模塊：省級密鑰管理模塊，市級密鑰管理模塊。
省級密鑰管理模塊的主要功能是產(chǎn)生省級主密鑰，并為各城市產(chǎn)生城市主密鑰，以密鑰卡的形式傳輸到各城市，同時(shí)在密鑰卡上記錄發(fā)卡信息以便跟蹤審計，密鑰卡的文件結構和使用方法以書(shū)面形式記載。
市級密鑰管理模塊的主要功能是生成SAM卡、生成和安裝用戶(hù)卡上的各種密鑰并且初始化用戶(hù)卡。
1.4. 密鑰管理系統的運行與管理地點(diǎn)的設置
考慮到全省發(fā)行統一的醫療保險IC卡的要求，密鑰管理系統應在省醫療保險基金管理中心運行與管理。其中生成母密鑰的密碼應在省勞動(dòng)和社會(huì )保障廳封存。
1.5. 密鑰管理系統的總體功能結構
1) 母密鑰生成模塊
該模塊負責生成醫療保險系統的根密鑰（即母密鑰），只能在省醫療保險基金管理中心使用與控制。在完成二級密鑰的生成后，應將母密鑰卡進(jìn)行封存。母密鑰的生成必須在高度安全保密的情況下進(jìn)行，并由少數人進(jìn)行管理。生成母密鑰的種子由相關(guān)各部門(mén)的主要負責人輸入，然后再使用安全算法進(jìn)行處理，最終生成醫療保險系統的母密鑰。母密鑰生成之后，分成多個(gè)載體進(jìn)行保存和使用。
存放到IC卡中生成母密鑰卡（密鑰不可見(jiàn)）用于生成二級密鑰卡，并且每張母密鑰卡都受到PIN和外部認證密鑰卡的保護，也就是說(shuō)在生成母密鑰卡的同時(shí)也給每張母密鑰卡生成一個(gè)PIN和外部認證密鑰，且相對應生成外部認證密鑰卡，在使用母密鑰卡生成二級密鑰時(shí)，首先輸入個(gè)人密碼，然后母密鑰卡和外部認證卡進(jìn)行雙向認證，達到使用母密鑰的安全條件后才可以使用母密鑰生成下級密鑰。
密鑰種子必須以書(shū)面的形式嚴格保密存儲且必須分開(kāi)由幾個(gè)人各掌管一部分。
母密鑰的作用是生成二級密鑰。
2) 二級密鑰生成模塊
用母密鑰根據醫療保險系統的要求，生成二級密鑰。二級密鑰包括：發(fā)卡主密鑰、市級主密鑰（為16個(gè)地/州/市各生成一個(gè)市級主密鑰）、省級應用主密鑰。該級別的密鑰由省醫療保險基金管理中心使用與保管。
發(fā)卡主密鑰的作用：用于生成與發(fā)卡相關(guān)的各級功能密鑰，即發(fā)放密鑰、掛失密鑰、補辦密鑰、注銷(xiāo)密鑰、充值密鑰、查詢(xún)密鑰。
市級主密鑰的作用：根據系統要求，生成與市級應用相關(guān)的應用密鑰。
省級應用主密鑰的作用：根據系統功能要求，生成各種功能的省級應用密鑰。
3) 發(fā)卡密鑰生成模塊：該模塊將按要求生成各個(gè)市的發(fā)卡密鑰。
4) 市級密鑰生成模塊：該模塊將按要求，用本市的市級主密鑰生成相應的各種應用密鑰。
5) 省級應用級密鑰生成模塊：該模塊將按要求，用省級應用主密鑰生成省級各種應用密鑰。
6) 密鑰管理：該模塊將按要求，對所有密鑰的生成、發(fā)放進(jìn)行記錄與管理，并負責各種密鑰卡的掛失、注銷(xiāo)、黑名單、補辦等管理。
1.6. 密鑰的安全特性
1) 密鑰的裝載
密鑰的裝載采用方式，其控制過(guò)程如下：
卡片主控密鑰在卡片主控密鑰的控制下更新；
應用主控密鑰在卡片主控密鑰的控制下裝載；
應用主控密鑰在應用主控密鑰的控制下更新；
應用主工作密鑰在應用主控密鑰的控制下裝載和更新。
2) 密鑰的訪(fǎng)問(wèn)
密鑰不允許直接讀；
密鑰必須在主控密鑰的控制下更新；
各級密鑰不能被外界直接訪(fǎng)問(wèn)，只能接受內部操作系統發(fā)來(lái)的指令進(jìn)行計算；
計算臨時(shí)密鑰產(chǎn)生的結果只保留在卡片內部，不能被外界直接訪(fǎng)問(wèn)。
3) 密鑰的屬性：密鑰的使用都有一定的限制，必須滿(mǎn)足密鑰屬性的要求。
1.7. 密鑰的生成流程
1.8. 系統的發(fā)卡流程
1) IC卡生產(chǎn)發(fā)行過(guò)程的安全機制
當省或城市向卡廠(chǎng)訂購卡片時(shí)，制造商使用傳輸密鑰裝入測試合格的IC卡芯片內制成卡片，運送省級或城市IC管理中心。傳輸密鑰用來(lái)控制IC卡的安全傳輸，以防止卡片在生產(chǎn)商和省級或城市之間運送時(shí)被替換。
當省級或市級IC卡管理中心接到訂購的IC卡后，首先使用傳輸密鑰對卡片進(jìn)行鑒別，以檢驗卡片的合法性，防止非法卡片。
鑒別通過(guò)后，將省級或市級IC卡管理中心自己的主控密鑰用廠(chǎng)商傳輸密鑰加密，載入到IC卡中，再在IC卡中用廠(chǎng)商傳輸密鑰解密，得到主控密鑰用來(lái)替換掉IC卡中的傳輸密鑰，之后才可以在本系統內使用主控密鑰進(jìn)行密鑰的裝載。
2) 發(fā)卡流程
用來(lái)發(fā)行用戶(hù)卡的IC卡由指定的用戶(hù)卡制造商提供。省級或市級給每個(gè)授權的用戶(hù)卡制造商發(fā)放一張用戶(hù)卡傳輸主密鑰卡，卡廠(chǎng)將傳輸主密鑰裝入測試合格的IC卡芯片內制成卡片，再運送市級IC卡應用管理中心。
市級IC卡管理中心首先使用用戶(hù)卡制造主密鑰卡對這些卡片進(jìn)行認證，確?？ㄆ踩珎鬏?，認證通過(guò)以后，使用市級主密鑰卡、 城市主密鑰卡授權卡、SAM卡母卡、SAM卡母卡授權將這些卡片初始化成用戶(hù)卡。
確?？ㄆ踩珎鬏?，認證通過(guò)以后，使用市級主密鑰卡、 城市主密鑰卡授權卡、SAM卡母卡、SAM卡母卡授權將這些卡片初始化成用戶(hù)卡。
IC卡發(fā)卡流程圖
【稿件聲明】：如需轉載，必須注明來(lái)源和作者，保留文中圖片和內容的完整性，違者將依法追究。
