路径: 主页 > GB/T > 第701页 > GB/T 21078.2-2011 | 标准编号 | GB/T 21078.2-2011 (GB/T21078.2-2011) | | 中文名称 | 银行业务 个人识别码的管理与安全 第2部分：ATM和POS系统中脱机PIN处理的要求 | | 英文名称 | Banking -- Personal identification number management and security -- Part 2: Requirements for offline PIN handling in ATM and POS systems | | 行业 | 国家标准 (推荐) | | 中标分类 | A11 | | 国际标准分类 | 35.240.40 | | 字数估计 | 10,134 | | 发布日期 | 2011-12-30 | | 实施日期 | 2012-02-01 | | 引用标准 | GB/T 16649.1; GB/T 21078.1-2007; EMV 2000; GB/T 16649.2; GB/T 16649.3; GB/T 16649.4; GB/T 16649.5; GB/T 16649.6; GB/T 16649.7; GB/T 16649.8; GB/T 16649.9; GB/T 16649.10; GB/T 16649.12; GB/T 16649.15 | | 采用标准 | ISO 9564-3-2003, MOD | | 标准依据 | 国家标准批准发布公告2011年第23号 | | 发布机构 | 中华人民共和国国家质量监督检验检疫总局、中国国家标准化管理委员会 | | 范围 | 本部分规定了脱机PIN处理的最低安全要求和在脱机环境下交换PIN数据的标准方法。本部分适用于要求脱机PIN验证的卡发起的金融交易, 也适用于那些负贵在ATM和收单方布放的POS终端中实施PIN管理和保护技术的机构。本部分不适用于下列情况:a)联机PIN环境下的PIN管理和安全, GB/T21078.1包含该项内容;b)核准的PIN加密算法;c)在开放网络环境下使用PIN, GB/T21078.3包含该项内容;d)防止用户或者发卡方及其代理商的授权雇员丢失或故意误用而采取的PIN保护;e)非PIN交易数据的私密性 | GB/T 21078.2-2011
Banking.Personal identification number management and security.Part 2: Requirements for offline PIN handling in ATM and POS systems
ICS 35.240.40
A11
中华人民共和国国家标准
银行业务 个人识别码的管理与安全
第2部分:ATM和POS系统中脱机PIN
处理的要求
(ISO 9564-3:2003,MOD)
2011-12-30发布
2012-02-01实施
中华人民共和国国家质量监督检验检疫总局
中国国家标准化管理委员会发布
目次
前言 Ⅲ
引言 Ⅳ
1 范围 1
2 规范性引用文件 1
3 术语和定义 1
4 在PIN输入设备(PED)和IC卡读卡器之间传输时的PIN保护 2
5 物理安全 2
6 PINBLOCK格式 3
6.1 概述 3
6.2 格式2的PINBLOCK 3
参考文献 4
前言
GB/T 21078《银行业务 个人识别码的管理和安全》分为以下3个部分:
---第1部分:ATM和POS系统中联机PIN处理的基本原则和要求;
---第2部分:ATM和POS系统中脱机PIN处理的要求;
---第3部分:开放网络中PIN处理指南。
本部分为GB/T 21078的第2部分。
本部分按照GB/T 1.1-2009给出的规则起草。
本部分修改采用ISO 9564-3:2003《银行业务 个人识别码的管理与安全 第3部分:ATM 和
POS系统中脱机PIN处理的要求》(英文版)。
本部分与ISO 9564-3:2003的技术性差异为:根据国内的实际应用情况,将6.1中“应为每笔交易
使用惟一密钥”的要求扩展为“应为每笔交易使用惟一密钥或者定期更换加密密钥”。有关技术性差异
已编入正文并在其涉及的条款的页边空白处用垂直单线标识。
本部分删除了ISO 前言。
本部分由中国人民银行提出。
本部分由全国金融标准化技术委员会(SAC/TC180)归口。
本部分负责起草单位:中国金融电子化公司。
本部分参加起草单位:中国工商银行、中国银行、交通银行、中国人民银行兴化市中心支行、中国银
联股份有限公司。
本部分主要起草人:王平娃、陆书春、李曙光、贾树辉、赵志兰、仲志晖、王治纲、冉平、周燕媚、张凡、
贾静、刘运、景芸、张艳。
引 言
内置集成电路的金融交易卡在技术上已可使用IC卡进行脱机的PIN验证。目前发卡方可以选择
脱机或者联机方式进行PIN验证。GB/T 21078的本部分为脱机处理PIN提出了明确的要求。
脱机PIN验证不要求把持卡人的PIN发送到发卡方主机验证,因此通过网络进行PIN保护的相
关安全要求不适用。但是,尽管PIN 可以脱机验证,许多通用的PIN 保护原则和技术仍然适用。
GB/T 21078的本部分给出了对脱机类PIN处理的具体要求,除非明确说明,GB/T 21078.1-2007给
出的PIN管理的基本原则适用于本部分。
ISO 10202的第6部分定义了使用IC卡进行持卡人验证的安全要求。应当指出,ISO 10202定义
了对IC卡自身的要求,而非对收单方IC卡接受设备的要求,因此可以看成是对GB/T 21078的补充。
银行业务 个人识别码的管理与安全
第2部分:ATM和POS系统中脱机PIN
处理的要求
1 范围
本部分规定了脱机PIN处理的最低安全要求和在脱机环境下交换PIN数据的标准方法。
本部分适用于要求脱机PIN验证的卡发起的金融交易,也适用于那些负责在ATM和收单方布放
的POS终端中实施PIN管理和保护技术的机构。
本部分不适用于下列情况:
a) 联机PIN环境下的PIN管理和安全,GB/T 21078.1包含该项内容;
b) 核准的PIN加密算法;
c) 在开放网络环境下使用PIN,GB/T 21078.3包含该项内容;
d) 防止用户或者发卡方及其代理商的授权雇员丢失或故意误用而采取的PIN保护;
e) 非PIN交易数据的私密性;
f) 保护交易报文,防止修改或替换,例如联机授权响应;
g) 防止PIN或交易重放;
h) 特定的密钥管理技术;
i) IC卡是否接受加密PIN的决策;
j) 非接触式IC卡。
GB/T 21078.1-2007的第4章描述的PIN管理的基本原则也适用于本部分。
与多应用IC卡相关的要求由发卡方负责,不包括在本部分内。
本部分适用于IC卡技术,但不局限于IC卡技术。
2 规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文
件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
GB/T 16649(所有部分) 识别卡 带触点的集成电路卡(ISO/IEC 7816-1:1998,MOD)
GB/T 21078.1-2007 银行业务 个人识别码的管理与安全 第1部分:ATM和POS系统中联
机PIN处理的基本原......
|