SJL06磁条卡IC卡兼容加密机磁条卡命令集.docx

1、SJL06磁条卡IC卡兼容加密机磁条卡命令集（磁条卡规范）江南计算技术研究所一九九八年四月目 录第一章 密钥体制 121 磁条卡密钥 122 密钥检查 2第二章 密码机消息格式 3第三章 密码机命令 431 密钥管理命令 43.1.1 产生一个数据密钥 43.1.2 产生一个索引的银行主密钥 53.1.3 产生两个数据密钥 63.1.4 产生数据密钥检查值 73.1.5 转换一个数据密钥从Variant到无Variant。 83.1.6 给数据密钥加上奇偶校验位 93.1.7 产生一个数据密钥及其检查值 103.1.8 转换一个数据密钥从一个银行到另一个银行 113.1.9 存储一个索引的银行

2、主密钥 123.1.10 存储一个索引的终端密钥 133.1.11 取回一个索引的银行主密钥 143.1.12 取回一个索引的终端密钥 1532 PIN 命令 163.2.1 要求加密一个PIN 163.2.2 要求将PIN 从银行1转换到银行2 173.2.3 用终端密钥加密PIN 183.2.4 转换PIN从终端密钥加密到PIK加密 193.2.5 转换PIN从PIK加密到终端密钥加密 203.2.6 验证一个PIN 213.2.7 转换PIN从银行1到银行2 223.2.8 解密一个PIN 233.2.9 将PIN从银行1转换到银行2 2433 MAC命令 253.3.1 产生MAC 2

3、53.3.2 验证MAC 263.3.3 产生一个MAC，同时从终端上转换一个PIN 273.3.4 转换一个MAC 283.3.5 同时转换一个MAC和一个PIN 2934 测试命令 303.4.1 返回主密钥状态 303.4.2 返回一个银行主密钥状态 313.4.3 要求返回一个终端密钥状态 3235 VISA命令 333.5.1 产生一个卡校验值CVV 333.5.2 验证一个卡校验值CVV 343.5.3 产生一个PIN校验值PVV 353.5.4 验证一个PIN校验值PVV 3636 报文命令 37附录A 密码机出错代码表 1附录B PIN格式 2第一章 密钥体制SJL06T密码机

4、提供了适用于磁条卡（JK）与IC卡两种应用的指令集。这两套指令集的密钥分开管理，因此密码机为这两种应用分配了各自的密钥库，独立进行管理。密码机内有以下密钥：磁条卡应用密钥库： 主密钥MK（1个） 银行主密钥BMK（索引号000-511，共512个） 终端密钥ATK（索引号000-999，共1000个）IC卡应用密钥库： 主密钥MK（1个） 交易主密钥（版本0-2，每个版本有00-31共32组，每组有01-10共10个密钥） 终端密钥ATK（索引号000-999，共1000个）21 磁条卡密钥211 主密钥MK主密钥为16个字节，由三个成份合成，每个成份为16字节。可由三个人管理，每人输入一个成

5、份，送入密码机，合成最终的主密钥，并保存在密码机内。用于对银行主密钥加密。212 银行主密钥BMK银行主密钥为16个字节，由二个成份合成，每个成份为16字节。可由二个人管理，每人输入一个成份，送入密码机，合成最终的银行主密钥，并保存在密码机内。它必须在主密钥之后输入，以索引号的方式使用。用于对数据密钥（MAK，PIK）加解密。213 MAC密钥MAK MAC密钥为8个字节。它由交换中心的密码机产生并分发给成员行。MAK受银行主密钥保护，存放在主机内，密码机内不保存。用于产生消息鉴别码MAC。214 PIN密钥PIK PIN密钥为8个字节。它由交换中心的密码机产生并分发给成员行。PIK受银行主密

6、钥保护，存放在主机内，密码机内不保存。用于加密个人识别码PIN。215 ATM密钥ATK ATM密钥为8个字节。它由成员行人工输入，并保存在密码机内，以索引号的方式使用。22 密钥检查假如密钥的字节形式为 b7b6b5b4b3b2b1b0，则校验位b0=b7b6b5b4b3b2b11为异或算法。 由密码机生成的密钥，符合奇较验，且密码机可自动检查其是否为弱密钥（Weak Key）或半弱密钥（simi-weak key）。如果属于这类密钥，密码机将自动重新产生。 弱密钥为： 01 01 01 01 01 01 01 01 1F 1F 1F 1F 1F 1F 1F 1F E0 E0 E0 E0 F

7、1 F1 F1 F1 FE FE FE FE FE FE FE FE 半弱密钥为： E0 FE E0 FE F1 FE F1 FE FE E0 FE E0 FE F1 FE F1 1F FE 1F FE 0E FE 0E FE 01 FE 01 FE 01 FE 01 FE 1F E0 1F E0 0E F1 0E F1 01 E0 01 E0 01 F1 01 F1 FE 1F FE 1F FE 0E FE 0E E0 1F E0 1F F1 0E F1 0E FE 01 FE 01 FE 01 FE 01 E0 01 E0 01 F1 01 F1 01 01 1F 01 1F 01 0E

8、01 0E 1F 01 1F 01 0E 01 0E 01第二章 密码机消息格式1. 异步消息格式 异步通讯协议（ASYNC）采用8 bits数据位，1 bit停止位，无奇偶校验位，波特率19.2K。消息格式如下：STX消息内容检查和ETX1 BYTE N BYTES4 BYTES1 BYTE STX：控制字符(0x02），表示消息开始。ETX：控制字符(0x03），表示消息结束。检查和：消息内容各字节的算术和，取最后4位。用来对消息内容进行验证。 检查和的计算如下例： 消息“31001” 33 31 30 30 31 F5检查和: 00F52. TCP/IP消息格式 主机端：消息内容3. 消

9、息的传送所有消息均用ACSII字符方式传送。密钥和密文部分用十六进制数字表示。因此一个8字节的密钥应该转换成16个ASCII 码字符，一个16字节的密钥应转换成32个ASCII码字符输入。4. 字母缩写说明n： 可变长度域N： 十进制字符0-9A： 可打印字符H： 十六进制字符(0F)第三章 密码机命令31 密钥管理命令3.1.1 产生一个数据密钥密码机产生一个64bits的随机数，并用指定的银行主密钥加密后返回给主机。输 入 消 息 格 式 输 入 域长 度类 型内 容命 令2A值“1A”银行索引号3N银行主密钥索引号输 出 消 息 格 式输 出 域长 度类 型内 容应 答 码2A“1B”错

10、 误 码2“00”表示正确，以后同数 据 密 钥16H用银行主密钥加密后的数据密钥3.1.2 产生一个索引的银行主密钥 密码机产生一个128bits的随机数作为指定的银行主密钥，保存在密码机内，并用主密钥加密后返回给主机。输 入 消 息 格 式输 入 域长 度类 型内 容命 令2A值“11”银行索引号3N银行主密钥索引号输 出 消 息 格 式输 出 域长 度类 型内 容应 答 码2A“12”错 误 码2A数 据 密 钥32H用主密钥加密后的银行主密钥3.1.3 产生两个数据密钥 密码机产生两个64bits的随机数，并将它用指定的银行主密钥加密后返回给主机。输 入 消 息 格 式输 入 域长 度

11、类 型内 容命 令2A值“1B”银行索引号3N银行主密钥索引号输 出 消 息 格 式输 出 域长 度类 型内 容应 答 码2A“1C”错 误 码2A数 据 密 钥32H用银行主密钥加密后的数据密钥3.1.4 产生数据密钥检查值输入一个用银行主密钥加密的数据密钥的密文，返回数据密钥的检查值。输 入 消 息 格 式输 入 域 长 度 类 型内 容命 令2A值“13”银行索引号3N银行主密钥索引号数 据 密 钥16H用银行主密钥加密的数据密钥输 出 消 息 格 式输 出 域长 度类 型内 容应 答 码2A“14”错 误 码2A数据密钥检查值4H数据密钥加密0取最左两字节3.1.5 转换一个数据密钥从

12、Variant到无Variant。输入一个用银行主密钥及Variant加密的数据密钥的密文，返回用银行主密钥加密的数据密钥密文。输 入 消 息 格 式输 入 域长 度类 型内 容命 令2A值“1C”银行索引号3H银行主密钥索引号数 据 密 钥16H用银行主密钥及Variant加密的数据密钥Variant2N“01”-“31”输 出 消 息 格 式输 出 域长 度类 型内 容应 答 码2A“1D”错 误 码2A数据密钥16H单用银行主密钥加密的数据密钥3.1.6 给数据密钥加上奇偶校验位输入一个用银行主密钥加密的数据密钥的密文，返回用银行主密钥加密的符合奇偶校验的数据密钥的密文。输 入 消 息

13、格 式输 入 域 长 度类 型内 容命 令2A值“15”银行索引号3H银行主密钥索引号数 据 密 钥16H用银行主密钥加密的数据密钥输 出 消 息 格 式输 出 域长 度类 型内 容应 答 码2A“16”错 误 码2A数 据 密 钥16H用银行主密钥加密的符合奇偶校验的数据密钥3.1.7 产生一个数据密钥及其检查值 密码机产生一个64bits的数据密钥，返回该数据密钥密文及其检查值。输 入 消 息 格 式 输 入 域长 度类 型内 容命 令2A值“16”银行索引号3N银行主密钥索引号输 出 消 息 格 式输 出 域长 度类 型内 容应 答 码2A“17”错 误 码2A数 据 密 钥16H用银行

14、主密钥加密后的数据密钥数据密钥检查值16H用数据密钥加密03.1.8 转换一个数据密钥从一个银行到另一个银行密码机用BMK1解密KEY，如果KEY不符合奇校验，则使KEY符合奇校验，然后用BMK2加密后输出。输 入 消 息 格 式输 入 域长 度类 型内 容命 令2N值“17”银行索引号13N银行主密钥1索引号银行索引号23N银行主密钥2索引号数据密钥16H用银行主密钥1加密输 出 消 息 格 式输 出 域长 度类 型内 容应 答 码2A“18”错 误 码2A数据密钥16H用银行主密钥2加密3.1.9 存储一个索引的银行主密钥 输入用主密钥加密的银行主密钥密文，将它存储在密码机内。输 入 消

15、息 格 式输 入 域长 度类 型内 容命 令2A值“2A”银行索引号3N银行主密钥索引号银行主密钥32H用主密钥加密的银行主密钥输 出 消 息 格 式输 出 域长 度类 型内 容应 答 码2A“2B”错 误 码2A3.1.10 存储一个索引的终端密钥输入一个用银行主密钥加密的终端密钥（ATK或POK密钥），将它存储在密码机内。输 入 消 息 格 式输 入 域长 度类 型内 容命 令2A值“21”银行索引号3N银行主密钥索引号终端密钥索引号3N终端密钥索引号ATK或POK密钥16H用银行主密钥加密的ATK或POK密钥输 出 消 息 格 式输 出 域长 度类 型内 容应 答 码2A“22”错 误

16、码2A3.1.11 取回一个索引的银行主密钥 从密码机取回一个指定的银行主密钥密文。输 入 消 息 格 式输 入 域长 度类 型内 容命 令2A值“31”银行索引号3N银行主密钥索引号输 出 消 息 格 式输 出 域长 度类 型内 容应 答 码2A“32”错 误 码2A错 误 码银行主密钥32H用主密钥加密后的银行主密钥3.1.12 取回一个索引的终端密钥 从密码机取回一个索引的终端密钥（ATK或POK，受指定银行主密钥的保护）。输 入 消 息 格 式输 入 域长 度类 型内 容命 令2A值“32”银行索引号3N银行主密钥索引号终端密钥索引号3N终端密钥索引号输 出 消 息 格 式输 出 域长

17、 度类 型内 容应 答 码2A“33”错 误 码2A错 误 码ATK或POK16H用银行主密钥加密后的ATK或POK 32 PIN 命令3.2.1 要求加密一个PIN 用输入的PIK密钥加密PIN。输 入 消 息 格 式输 入 域长 度类 型内 容命 令2A值“60”PIN 类型1N1-7银行主密钥索引3N银行主密钥索引PIK 密钥16H用银行主密钥加密的PIN密钥明 文16H要加密的PIN 明文PAN16H仅当PIN类型为3或7时有此域输 出 消 息 格 式输 出 域长 度类 型内 容应 答 码2A“61”错 误 码2A错 误 码加密后的PIN16H用PIK密钥加密后的PIN块3.2.2 要

18、求将PIN 从银行1转换到银行2 密码机将输入的PIN块的密文用PIK1解密，然后用PIK2加密输出。输 入 消 息 格 式输 入 域长 度类 型内 容命 令2A值“61”银行主密钥1索引号3NPIK1的银行主密钥索引号PIK 116H用它解密PIN块银行主密钥2索引号3NPIK2的银行主密钥索引号PIK 216H用它加密PIN块PIN 的密文16H被转换的PIN 的密文PAN（或附加信息）16HPAN（或附加信息）输 出 消 息 格 式输 出 域长 度类 型内 容应 答 码2A“62”错 误 码2A错 误 码加密后的PIN16H用PIK2密钥加密后的PIN3.2.3 用终端密钥加密PIN 密

19、码机用指定终端密钥加密PIN。输 入 消 息 格 式输 入 域长 度类 型内 容命 令2A值“62”PIN类型1N终端密钥索引号3N银行主密钥索引明 文16H要加密的PIN的明文PAN（或附加信息）16H仅当PIN类型为3或7时有此域输 出 消 息 格 式输 出 域长 度类 型内 容应 答 码2A“63”错 误 码2A错 误 码加密后的PIN16H用终端密钥加密后的PIN3.2.4 转换PIN从终端密钥加密到PIK加密输入用终端密钥加密的PIN，密码机将它用终端密钥解密后，将ATM的PIN 格式转换成ANSI X9.8标准，并加上附加信息，再用PIK加密输出。PIN格式请参见附录B。输 入 消

20、 息 格 式输 入 域长 度类 型内 容命 令2A值“63”PIN类型1N终端密钥索引号3N终端密钥索引银行索引号3NPIK的银行主密钥索引号PIK密码16H用它加密PINPIN 的密文16H将要转换的PIN 的密文主帐号（附加信息）16H仅当PIN类型3,4,5,6,7时有此域输 出 消 息 格 式输 出 域长 度类 型内 容应 答 码2A“64”错 误 码2A错 误 码加密后的PIN16H用PIK加密后的PIN3.2.5 转换PIN从PIK加密到终端密钥加密 输入用PIK加密的PIN，密码机将它们用PIK解密后，将ANSI X9.8标准的PIN格式转换成终端格式，并用终端密钥加密后输出。输

21、 入 消 息 格 式输 入 域长 度类 型内 容命 令2A值“64”PIN类型1N终端密钥索引号3N终端密钥索引银行索引号3N加密PIK的银行主密钥索引号PIK密码16H用它解密PINPIN密文16H要转换的PIN的密文主帐号（附加信息）16H仅当PIN类型3,4,5,6,7时有此域输 出 消 息 格 式输 出 域长 度类 型内 容应 答 码2A“65”错 误 码2A错 误 码加密后的PIN16H用终端密钥加密后的PIN3.2.6 验证一个PIN输入用PIK加密的PIN和用终端密钥加密的PIN，密码机将它们解密后，验证它们是否一致。输 入 消 息 格 式输 入 域长 度类 型内 容命 令2A值

22、“65”银行索引号3N加密PIK的银行主密钥索引号PIK密码16H用它解密PINPIN的密文116H用PIK加密附加信息16H附加信息终端密钥索引号3N终端密钥索引号PIN的密文216H用ATK加密输 出 消 息 格 式输 出 域长 度类 型内 容应 答 码2A“66”错 误 码2A错 误 码3.2.7 转换PIN从银行1到银行2 密码机将输入的PIN的密文用PIK1解密，然后用PIK2加密输出。此命令与61命令相似，但用PIK1加密的PIN块不含PAN。输 入 消 息 格 式输 入 域长 度类 型内 容命 令2A值“67”银行主密钥1索引号3NPIK 1 的银行主密钥索引号PIK116H用它

23、解密PIN银行主密钥2索引号3NPIK 2 的银行主密钥索引号PIK216H用它加密PINPIN 的密文16H被转换的PIN 的密文PAN（或附加信息）16HPAN（或附加信息）输 出 消 息 格 式输 出 域长 度类 型内 容应 答 码2A“68”错 误 码2A错 误 码加密后的PIN16H用PIK2密钥加密后的PIN3.2.8 解密一个PIN用PIK密钥解密一个PIN。输 入 消 息 格 式输 入 域长 度类 型内 容命 令2A值“68”银行索引号3N银行主密钥索引号PIK16H用它解密PINPIN 的密文16H将要解密的PIN 的密文附加信息16H附加信息输 出 消 息 格 式输 出 域

24、长 度类 型内 容应 答 码2A“69”错 误 码2A错 误 码PIN明码16H3.2.9 将PIN从银行1转换到银行2 密码机将输入的PIN 的密文用PIK1解密，然后用PIK2加密输出。此命令与61命令相似，但PIK1和PIK2使用不同的附加信息。输 入 消 息 格 式输 入 域长 度类 型内 容命 令2A值“69”银行主密钥1索引号3NPIK 1 的银行主密钥索引号PIK116H用它解密PIN银行主密钥2索引号3NPIK 2 的银行主密钥索引号PIK216H用它加密PINPIN 的密文16H要转换的PIN的密文附加信息116H附加信息1附加信息216H附加信息2输 出 消 息 格 式输 出 域长 度类 型内 容应 答 码2A“6：”错 误 码2A错 误 码加密后的PIN16H用PIK2密钥加密后的PIN33 MAC命令3.3.1 产生MAC 密码机用MAK密钥产生一个MAC。输 入 消 息 格 式输 入 域长 度类 型内 容命 令2A值“80”银行索引号3N加密MAK的银行主密钥索引号MAK密码16H用它产生MACMAC数据的长度3N输入的MAC数据的字节数输入MAC 数据