银联卡密钥安全管理规则.doc

《银联卡密钥安全管理规则.doc》由会员分享，可在线阅读，更多相关《银联卡密钥安全管理规则.doc（39页珍藏版）》请在三一文库上搜索。

1、附件附件 1 1 银联卡密钥安全管理规则银联卡密钥安全管理规则 【磁条卡部分磁条卡部分】V1.0 （经第一届中国银联风险管理委员会第一次会议审议通过）（经第一届中国银联风险管理委员会第一次会议审议通过） 二二 OO 四年七月四年七月 注意保密 1 目目 录录 第一章 总 则.3 1.目的.3 2.适用范围.3 3.遵循标准.3 4.与现有规范的关系.4 5.生效说明.4 6.与本规则配套的相关文档.5 第二章 个人标识代码（PIN）与密钥管理的基本规定 .6 1.银联卡个人标识代码（PIN）加解密基本规定 .6 2.密钥体系.6 第三章 密钥生命周期安全管理.9 1.密钥的生成.9 1.1 基

2、本要求.9 1.2 各类密钥的生成.10 2.密钥的传输.11 2.1 基本要求.11 2.2 传输过程.11 2.3 接收要求.12 3.密钥的注入和启用.12 3.1 基本要求.12 3.2 加密机主密钥的注入与启用.13 3.3 成员主密钥的注入与启用.13 3.4 工作密钥的启用.13 注意保密 2 4.密钥的保管.14 4.1 基本要求.14 4.2 各类密钥组件的保管.14 4.3 保管或接收保管.14 4.4 与密钥安全有关的机密设备及密码的保管.15 5.密钥的删除与销毁.16 5.1 基本要求.16 5.2 处理要求.16 6.密钥的泄漏与重置.17 6.1 密钥泄漏情况的界

3、定.17 6.2 审核程序.18 6.3 密钥泄漏后应采取的措施.18 第四章 设备安全管理.20 1.基本要求.20 2.硬件加密设备安全的管理要求.20 3.终端设备安全管理.21 第五章 制度监督.23 1.组织管理.23 1.1 主要工作职责.23 1.2 密钥维护人员的基本配备要求.23 2.审批与操作制度.24 3.自查与监督.25 3.1 业务开办前对个人标识代码（PIN）及密钥安全进行资格审查 .25 3.2 自查.25 3.3 监督.27 附录 A：术 语.31 附录 B：遵循标准.35 附录 C：密钥生命周期各阶段工作表格基本要素.38 注意保密 3 第一章第一章 总总 则

4、则 1.目的目的 提升磁条卡跨行交易的安全性和管理水平，确保持卡人个人标识代码 （PIN）与敏感信息在跨行交易过程中的安全传输与转接，维护通过跨行网络开 展银行卡交易的银联卡网络参与方的整体利益。 2.适用范围适用范围 银联卡密钥安全管理规则 （以下简称密钥规则 ）适用于通过跨行网 络进行银行卡交易的中国银联、成员机构、所有受理银联卡的联网机构及其他 关联机构（本规则统一简称为银联卡网络参与方） 。 本着循序渐进的原则，在现阶段密钥规则提出基于传统交易终端（如 ATM、POS）发起的跨行磁条卡敏感交易信息加解密的基本规定，主要适用于 对称算法的密钥管理。 本规则分章节叙述密钥生命周期各环节应达

5、到的基本要求，对银联卡网络 内的终端机具、硬件加密设备的安全管理做出基本规定；对人员管理及制度监 督提出原则意见；附录列出安全管理工作表格的基本要素。 本规则与 VISA、MASTERCARD 等境外信用卡公司的相关规定基本一致。 境外卡在银联卡网络的交易同样适用于本规则；银联卡在境外使用时参照本规 则执行。 3.遵循标准遵循标准 在实际应用当中，密钥按照体系和使用范围划分为不同类别，每个类别具 注意保密 4 有相应的功能与特点，遵循不同的标准与要求。 密钥规则规定：在有国内标 准的情况下应首先遵循国内标准，如国内标准尚未明确，一般应遵循 ISO 颁布 的相关国际标准。 4.与现有规范的关系与

6、现有规范的关系 现有规范是指由国家主管部门及中国银联制定颁布的，在金融机构范围内 实行，涉及银行卡信息交换密钥安全的有关规范，主要包括： 银行卡联网联合技术规范V1.0 2001（简称 1.0 版技术规范 ）第三 部分“公共接口说明”的第八章“数据传输安全说明”。 银行卡联网联合安全规范 （简称安全规范 ）第五部分“联网联合安全 技术应用”。 银行卡联网联合技术规范V2.0 2004（简称 2.0 版技术规范 ）第四 部分“数据安全传输控制规范”。 上述规范主要从技术实现的角度阐述了信息交换系统中密钥正确和安全使 用的相关规定。本规则重点从管理角度出发规定密钥生命周期各环节的操作规 则，与现有

7、规范互相补充、配套。 5.生效说明生效说明 本规则适用于当前及今后一段时期内的安全管理，其内容随着业务发展变 化的具体情况做相应调整和修订。 鉴于目前不同银联卡网络参与方的制度要求与操作方法存在一定差别，为 全面实现本规则的要求，现确定实施过渡期（具体期限另行确定） 。过渡期间， 各银联卡网络参与方应对照要求整章建制，更新相关设备和系统，落实人员， 注意保密 5 规范操作。过渡期末应达到本规则的基本要求： 涉及密码的交易必须采用硬件加密。硬件加密设备的要求必须符合本 规则第三章的相关规定； 凡有条件的银联卡网络参与方必须使用 128bit 或 128bit 以上的密钥； 涉及密钥生命周期的各项

8、操作均应执行双重控制、信息拆分、严密交 接、妥善保管、及时更新的基本要求，建立并履行权限划分、严格审批、详细 记录、实名操作的规章制度； 建立并严格执行自查与监督机制，实施业务准入评估与违规处罚。 6.与本规则配套的相关文档与本规则配套的相关文档 中国银联同步制定了银联卡密钥安全管理指南和中国银联密钥安全 管理暂行办法 。前者详细阐述各类密钥及其组件生命周期安全管理的推荐做法。 后者主要适用于中国银联银行卡信息交换总中心和各分公司，银联商务总公司 及其分支机构、银联卡网络参与方应比照这一办法制定相应的实施细则。 注意保密 6 第二章第二章 个人标识代码（个人标识代码（PIN）与密钥管理的基本规

9、定）与密钥管理的基本规定 本章概要叙述实际应用当中的密钥体系，按照使用范围划分为不同类别， 每个类别都具有相应的功能与特点，须遵循不同的标准与要求。 1.银联卡个人标识代码（银联卡个人标识代码（PIN）加解密基本规定）加解密基本规定 1.1 发卡机构发行带个人标识代码（PIN）的银联卡必须遵循如下规定： 校验密码的真实性； 个人标识代码（PIN）未经加密而传输的交易必须拒绝。 1.2 联机受理凭个人标识代码（PIN）使用的银联卡跨行交易应遵守如下基本要 求： 必须在专用的个人标识代码（PIN）输入设备中输密； 个人标识代码（PIN）加解密必须在专用的硬件加密设备中进行； 在包括受理方、转接方在

10、内的整个传输过程和主机设备中必须对个人 标识代码（PIN）加密； 加解密必须使用对称算法； 对 MAC 的要求视应用按照相关规范而定。 2.密钥体系密钥体系 银联卡网络的密钥根据实际使用情况划分成三层，三层密钥体系根据密钥 的使用对象而形成，上层对下层提供保护和一定的维护功能，不同层的密钥不 许相同，不能相互共享。 注意保密 7 同一密钥只能用于其生成时所定义的目的，不能用于其他用途； 不同的银联卡网络参与方、不同的地区、不同的终端设备不得使用相同的 密钥，必须确保密钥的唯一性。 2.1 第一层密钥（MK） 加密机主密钥，即本地主密钥，是最重要的密钥，用于加、解密本地存放 的其他密钥数据。MK

11、 长度规定为 128bit 或以上，在硬件加密机以外的地方保 管时必须采取严格的安全保管措施。MK 一般不更换。 2.2 第二层密钥（MMK） 加密机主密钥的下一层为成员主密钥（MMK）或终端主密钥（TMK）， 作用是加、解密需传递的工作密钥，实现工作密钥的联机实时传输或其他形式 的异地传输。成员主密钥在硬件加密机以外的系统中存放和使用时，处于本地 MK 的保护之下。两组不同的银联卡网络参与方之间不得使用相同的成员主密 钥。一般情况下，MMK 最长 23 年更换一次。 2.3 第三层密钥（PIK、MAK、TPK、TMK） 工作密钥为最底层的密钥，包括银联卡网络参与方之间使用的成员信息完 整性密

12、钥（MAK）和成员 PIN 保护密钥（PIK） 、终端到银联卡网络参与方之间 使用的终端信息完整性密钥（TAK）和终端 PIN 保护密钥（TPK）等，用于加 密各种数据，保证数据的保密性、完整性、真实性。第三层密钥一般称为工作 密钥（也称数据密钥） ，是使用最频繁的密钥，在本地存放时，受相应的 MK、 成员主密钥或终端主密钥的保护。在银联卡网络参与方之间进行传输时受成员 主密钥的保护，在终端与银联卡网络参与方主机之间传输时受终端主密钥的保 护。工作密钥采用定期（原则上每天更换一次） ，或人工触发方式，或按每隔一 定交易笔数申请更换。 注意保密 8 三层密钥体系结构如下图所示： 密钥体系结构图密

13、钥体系结构图 MK 加密机主密钥 MMKTMK MAKPIKTAKTPK 终端主密钥成员主密钥 成员信息完整密钥成员 PIN 保护密钥 终端信息完整密钥终端 PIN 保护密钥 2.4 各类密钥的基本要求 各类密钥及其组件的基本要求如下表所示。 通用三级密钥结构表通用三级密钥结构表 缩写缩写 密钥组密钥组 件段数件段数 长度长度存储方式存储方式备份方式备份方式更新频率更新频率 加密机 主密钥 MK3 段 128bit 或以上 HSM 内部或外 部明文组件存储 IC 卡保存 或纸质 一般不更新 成员主密钥 终端主密钥 MMK/TMK 2 段 128bit 或以上 明文 HSM 存储， 外部密文存储

14、 主机密文或 外部密文存 储 一定的更换 周期，更新 频率低 工作密钥 PIK/MAK TPK/TAK 与应用 相关 128bit 或以上 外部密文存储 外部密文存 储 定期更新， 更新频率高 其中，凡有条件的银联卡网络参与方必须使用 128bit 或以上的密钥；条件 不具备的银联卡网络参与方应在过渡期末更新过渡到 128bit 或以上。 注意保密 9 第三第三章章 密钥生命周期安全管理密钥生命周期安全管理 本章详细规定密钥的生成、注入和启用、传输、保管、泄漏与重置、删除 与销毁等生命周期各环节应遵循的基本规定。 1.密钥的生成密钥的生成 1.1 基本要求基本要求 1.1.1 生成原则 各类密

15、钥及其组件必须遵循随机或伪随机生成的原则。密钥生成工具中随 机数的产生必须遵循国家或国际标准中规定使用的算法。 1.1.2 生成方式及使用工具 应使用硬件加密机生成各种密钥。各种密钥生成工具，必须通过国家 主管部门的认证。 使用其他符合本规则规定，经必须程序认定安全的生成工具生成。 在无条件使用工具，只能用人工方式生成密钥时，应规定人工生成密 钥的具体步骤及辅助工具的使用方式。人工生成允许采用丢硬币、摸彩球、掷 骰子等方法；不允许采用随便用想象的方式或使用计算机语言中固有随机函数 产生。 1.1.3 生成记录 各类密钥生成过程必须履行严格的操作审批手续，详细记录，相关人员签 名确认，文档资料必

16、须妥善保管（相关工作表格要素详见附录） ，保存期限应不 低于记录对象的生命周期，确保各类密钥生成的安全性与规范性。 注意保密 10 1.2 各类密钥的生成各类密钥的生成 1.2.1 加密机主密钥（MK） 加密机主密钥必须由三个组件组成，每个组件的长度为 128bit 或以上。 1.2.1.1 使用硬件加密机生成 由加密机主密钥的三名生成人员在接受监督的情况下，通过硬件加密机分 别独立生成三段主密钥组件，分别记录（或写入 IC 卡、或打印密封信封）后密 封入三个信封，生成、监督人员分别加盖名章（或骑缝签名） ，由组件生成人员 分别保存到各自的保险箱内，负责该密钥组件的注入和保管。 1.2.1.2

17、 人工生成 三个加密机主密钥生成人员在接受监督的情况下，按照指定的人工生成方 法各自生成一段密钥组件，分别记录（或写入 IC 卡、或打印密封信封）后密封 入三个信封，生成和监督人员分别加盖名章（或骑缝签名） ，由组件生成人员分 别保存到各自的保险箱内，负责该密钥段的注入和保管。 1.2.1.3 采用其他工具生成 按照本规则规定，根据生成工具的具体使用方法生成。 1.2.2 成员主密钥（MMK） 成员主密钥一般由两段密钥组件组成，可由对应银联卡网络参与方各自生 成其中一段密钥组件，并以安全方式传递合成；也可由银联生成全部两段密钥 组件后生成。 成员主密钥在双方注入并投产试运行成功后，明文组件应及

18、时销毁。 终端主密钥的生成比照上述要求执行。 1.2.3 工作密钥（PIK、MAK、TPK、TAK） 注意保密 11 工作密钥一律采用联机方式由硬件加密机生成。 密钥生成后在硬件加密机中用相应的成员主密钥加密后送到主机，再通过 相应的联机报文发送到有关银联卡网络参与方及终端设备。 加密后的工作密钥，可存放在主机上供系统使用，存放在主机上的工作密 钥必须用加密机主密钥或成员主密钥加密保护；也可存放在终端上使用，存放 在终端上的工作密钥必须用终端主密钥（TMK）加密保护。 2.密钥的传输密钥的传输 2.1 基本要求基本要求 密钥明文传输应采用信息拆分、分人分段负责的方法。传输时须分为两个 及以上组

19、件，并使用多种渠道不在同一天运输。 密钥可采用以组件的硬拷贝、内含密钥组件的安全芯片等方式传输；不得 以内含完整密钥明文的硬拷贝或内含完整密钥的芯片方式传输。 各类密钥传输交接过程必须履行严格的操作审批手续，详细记录，相关人 员签名确认，文档资料必须妥善保管（相关工作表格要素详见附录） ，保存期限 应不低于记录对象的生命周期，确保各类密钥传输的安全性与规范性。 2.2 传输过程传输过程 2.2.1 同城传输 向同城银联卡网络参与方分发密钥时，每一段密钥组件接收机构必须分派 专人领取，不得由一人领取多段密钥；不同领取人员不得乘坐同一交通工具。 2.2.2 异地邮寄 注意保密 12 应使用机要方式

20、或邮政系统的特快专递邮寄，每一段密钥组件必须单独邮 寄，分别在不同日期寄出。 2.2.3 工作密钥的传输 成员机构间的工作密钥必须经对应的成员主密钥加密传输与转接，行内联 机方式可采用或比照银行卡联网联合技术规范中有关密钥切换的报文进行。 2.2.4 禁止方式 密钥明文及其组件不得采用电子邮件（E-mail） 、传真、电传、电话、短信 等方式直接传递。 2.3 接收要求接收要求 接收时接收机构的接收、保管、监督等相关人员在场，审核密封信封的完 整性和安全性，当场签名盖章，由接收人员或交给保管员存入安全容器内保管， 存入过程应记录相应文档。 3.密钥的注入和启用密钥的注入和启用 3.1 基本要求

21、基本要求 密钥组件必须采用双重控制和信息拆分的原则注入。注入数据不得被无关 人员以任何方式非法或无意获得，不得被人为窥视、摄像头监控以及网络截取 等方式获取。 各类密钥注入过程必须履行严格的操作审批手续，详细记录，相关人员签 名确认，文档资料必须妥善保管（相关工作表格要素详见附录） ，保存期限应不 注意保密 13 低于记录对象的生命周期，确保各类密钥注入的安全性与规范性。 3.2 加密机主密钥的注入与启用加密机主密钥的注入与启用 3.2.1 密钥启用前的审核 审核密钥组件信封是否有破损或被干预迹象，密封章是否完整。 3.2.2 密钥注入过程 注入密钥组件时，由注入人员分别在现场单独操作，其他人

22、员必须退出到 看不到密钥存储设备操作面板的地方。注入完毕后，操作面板上不得留下任何 密钥内容。 3.2.3 密钥注入后的工作 原已开封的密钥保管信封需重新封装，并加盖密封章和密钥监督人员的名 章，交由原来的保管员保管并做相应文档记录。保管方法须遵守本章 4.要求。 3.3 成员主密钥的注入与启用成员主密钥的注入与启用 成员主密钥的注入要求与加密机主密钥的注入过程基本一致。 注入完成并投产试运行成功后，凡记录在纸质上的密钥明文必须销毁，销 毁方法须遵守本章 5.要求。原密钥必须至少保留两个副本，副本保存可采用主 机密文文件或机外密文文件的方式。 3.4 工作密钥的启用工作密钥的启用 比照本规则

23、1.2.3 的相关规定进行。 注意保密 14 4.密钥的保管密钥的保管 4.1 基本要求基本要求 每一段密钥组件必须独立存储。 密钥存储介质要求用信封密封，加盖密封章（或骑缝签名）后置入保 险容器妥善保管；只有指定的密钥组件的生成人员或注入人员才有权打开容器 启用该组件。 保管地点应在安全区域内的保险容器中。 保管人员调离时，应按照规定办理交接手续。 4.2 各类密钥组件的保管各类密钥组件的保管 4.2.1 加密机主密钥组件 存储加密机主密钥各段组件的密封信封应在监督下，加盖名章（或骑缝签 名）后存入保险容器，且只能由生成人员（或授权人员）在监督下取用各自生 成的加密机主密钥组件。 4.2.2

24、 成员主密钥组件 各银联卡网络参与方不保存成员主密钥明文，除主机密文或机外密文留存 外，机外不允许有明文出现。 4.2.3 工作密钥 不应出现在应用系统、终端、注入设备等相关设备以外的任何介质上。 4.3 保管或接收保管保管或接收保管 4.3.1 由本机构自己生成的密钥组件的保管 注意保密 15 密钥组件生成后用信封密封，注明密钥名称、用途、长度、密封日期；生 成人员、监督人员与保管人员分别签名确认，加盖密封章，当场交保管人员置 入不同的保险容器保管。 4.3.2 由对方分发的密钥组件的保管 接收机构的领取人员、密钥监督人员和保管人员同时在场办理交接手续， 保管人员应审核信封及其名章的合法性和

25、有效性，当场存入安全容器内保管。 4.4 与密钥安全有关的机密设备及密码的保管与密钥安全有关的机密设备及密码的保管 4.4.1 存放密钥的保险容器 根据密钥保管方式的不同相应配备保险容器。 4.4.2 硬件加密机钥匙 硬件加密机钥匙可由设备管理人员负责保管，但密钥保管员不能开启密钥 注入设备。 4.4.3 与密钥有关的密码 硬件加密机的安全密码、操作窗口密码（或授权操作密码）应分别由设备 管理人员、设备操作人员掌管。 上述钥匙和密码应在保险容器保留一份，以备急用。 4.4.4 与硬件加密机相连的计算机设备（PC） 用于密钥维护的计算机设备（PC）必须专机专用，不得另做他用。 注意保密 16 5

26、.密钥的删除与销毁密钥的删除与销毁 5.1 基本要求基本要求 失效、作废或泄漏的密钥应及时采用安全可靠的方法删除或销毁； 各类密钥销毁过程必须专人监控和记录，相关人员签名确认，文档资 料必须妥善保管（相关工作表格要素详见附录） ； 执行删除操作时必须有监督员在场，经验证确认删除操作完整地执行 后，才可认定密钥已被完全删除。 5.2 处理要求处理要求 5.2.1 主机系统中的密钥 在主机系统中找出存放待删除密钥的数据库表或密钥索引文件，经授权后 由指定的操作员执行删除操作。 5.2.2 硬件加密机中的密钥 硬件加密机应具有密钥销毁功能，当加密机送检、维修或运输时应启动毁 钥功能，保证硬件加密机中

27、的所有密钥被彻底删除。 当需要删除加密机中的某个密钥时，应首先确定待删除的密钥在硬件加密 机中相应的索引值，然后对该密钥进行删除操作，对无删除密钥功能的加密机 可采用重写的方式覆盖需删除的密钥。若需删除加密机中所有的密钥时，可利 用加密机提供的毁钥功能来操作。 5.2.3 终端设备中的密钥 设备中存放的密钥报废不再使用时可采用物理销毁的方法来删除密钥。对 仍将继续使用的设备可采用覆盖的方法删除密钥。 注意保密 17 5.2.4 存放密钥组件的介质 纸介质：采用“十字”粉碎、焚毁、溶化的方式，确保不可辨认、不能 恢复； IC 卡：对可重复利用的介质，执行写卡操作，覆盖旧密钥，确保不可 恢复。对于

28、不再利用的介质采用芯片毁损的方式进行物理毁卡，确保不可恢复。 密钥传输及注入设备类：启动密钥枪或母 POS 等设备的毁钥功能销毁。 5. 2.5 相关机构的成员主密钥 当一方销毁密钥涉及另一方的成员主密钥时，应书面通知对方机构删除和 销毁成员主密钥，对方机构删除和销毁后需书面返回回执并由相关人员签字确 认。 6.密钥的泄漏与重置密钥的泄漏与重置 一旦发生密钥泄漏，应立即更换被怀疑或确认泄漏的密钥及所有由该密钥 保护的密钥，并重置已更新的密钥，密钥更新和重置后需向主管部门报告。 6.1 密钥泄漏情况的界定密钥泄漏情况的界定 有两段或两段以上密钥明文被盗或同时丢失； 有两段或两段以上密钥明文同时存

29、放在同一台可被人读取的设备上； 系统内大量密钥泄漏或被攻破； 系统内大量持卡人 PIN 被泄漏； 严重违反本管理规则的操作要求，导致有人掌握完整密钥； 注意保密 18 其他由密钥安全管理组织认定的情况。 6.2 审核程序审核程序 密钥泄漏和被攻破需经成员机构密钥安全管理的相关部门认定。 对于无法认定的情况，可聘请有关专家和管理人员进行审核，对于情况比 较复杂的事件需专题报告中国银联，必要时可报公安部门协查。 6.3 密钥泄漏密钥泄漏后应采取的措施后应采取的措施 6.3.1 主密钥泄漏 主密钥泄漏后，应重新生成新密钥并马上启用，需生成的密钥包括加密机 主密钥，成员主密钥和终端主密钥，以及各类工作

30、密钥。 6.3.2 成员主密钥泄漏 成员主密钥泄漏后，应重新生成相应成员主密钥并立即启用，并对该成员 主密钥所涉及的所有工作密钥予以更新。 6.3.3 终端主密钥泄漏 终端主密钥泄漏后，应重新生成相应的终端主密钥并立即启用，并对该终端 的工作密钥予以更新。 6.3.4 工作密钥的泄漏 工作密钥泄漏后，应立即联机更换。 6.4 其他需要重置的情况其他需要重置的情况 如发生硬件加密机无法正常工作或更换新的硬件设备等情况，可根据具体 要求进行密钥重置。重置过程比照上述规定执行。 注意保密 19 6.5 加强系统用户权限和操作密码的管理加强系统用户权限和操作密码的管理 对受理银联卡的各类系统应设置严格

31、的用户管理权限，按级别分别设置各 自不同的操作密码，各类密码只有相关人员本人掌握，不得共用密码。 如密码发生泄漏或人员离职，应及时更换或更改。 6.6 情况记录情况记录 详细记录各类密钥泄漏与处理情况，相关人员签名确认，文档资料必须妥 善保管（相关工作表格要素详见附录） 。 注意保密 20 第四章第四章 设备安全管理设备安全管理 本章对银联卡网络的终端机具、硬件加密设备的运行安全做出基本规定。 1.基本要求基本要求 银联卡网络参与方使用的硬件加密设备必须经过国家密码管理委员会 办公室审核通过。终端设备内的密钥安全模块应符合国家密码主管部门的规定 和相关标准并经过国家认可的权威机构检测通过；对于

32、未通过审核和批准使用 的设备不得在受理银联卡的网络系统中使用，已经使用的应予以更换。 设备应满足中国人民银行颁布的银行卡联网联合技术规范 、 银行 卡联网联合安全规范以及中国银联颁布的有关规范中规定的基本功能和安全 要求。 对个人标识代码（PIN）的加、解密以及报文鉴别等操作必须在硬件加 密设备中完成，完整的密钥和个人标识代码（PIN）的明文不得出现在加密机之 外的任何地方。 管理或维护人员应经常对安全设备的物理情况、监控效果和安全状况 进行检查，发现问题应立即纠正。 2.硬件加密设备安全的管理要求硬件加密设备安全的管理要求 2.1 设备操作 根据不同的操作权限，设置不同的操作密码；至少双人控

33、制钥匙或密 码来执行对设备的操作； 不能从硬件加密机的外部用任何形式读取密钥的明文； 注意保密 21 硬件加密设备的外壳一旦被强行打开，设备内的密钥应全部自毁； 具有打印功能的硬件加密机只能在生成新的密钥时才可打印密钥内容， 必须打印在密封信封内，由专用打印接口提供，不得通过网络方式提供。 2.2 设备运行 应采用双机热备，避免单机故障造成密钥丢失，影响正常交易； 应存放在带锁机柜中，机柜背板应固定，安放在严格进出管理的机房 内； 应配备摄像系统监控对硬件加密机的操作，但不得监控到注入内容； 配备摄像监控系统的地方，不得将监控器对准加密设备的操作面板； 与外部网络连接的加密设备必须设置防火墙隔离措施。 2.3 设备启用及报废 硬件加密机启用前应确定机壳未被拆卸过； 新购买的加密机应修改加密机相关的缺省口令，并执行毁钥操作； 若使用 IC 卡保存加密机的密钥，应首先更