一种终端数据加密方法和装置制造方法
【专利摘要】本发明提供了一种终端数据加密方法，所述方法包括：使用第一分散因子对预先存储在所述终端中的主密钥进行第一次分散以得到临时密钥；使用第二分散因子对所述临时密钥进行第二次分散以得到工作密钥；使用所述工作密钥对待加密数据进行加密处理；其中所述第一分散因子和所述第二分散因子由所述待加密数据中的一个或多个关键要素构成。另外，本发明还提供了执行上述方法的装置。
【专利说明】一种终端数据加密方法和装置
【技术领域】
[0001]本发明涉及数据安全【技术领域】，并且更具体地涉及一种终端数据加密方法和装置。
【背景技术】
[0002]随着信息技术和网络技术的不断发展，越来越多的信息将通过各种渠道远程地被传送。信息加密是保障信息安全的重要途径，以密文方式在相对安全的信道上传递信息，可以让用户比较放心地使用网络。因此，需要在密钥的产生、存储、传递和定期等各个方面进行有效地控制，并且引入密钥管理机制，以增加信息联网传输的安全性和抗攻击性。
[0003]以金融行业为例，由于支付渠道的日益丰富，交易数据将频繁地通过网络被传递，包括从前置系统到主机平台，从诸如ATM、POS的终端设备到前置系统等等。终端设备与银行前置系统的网络连接方式包括PSTN(Public Switched Telephone Network,即公共交换电话网)拨号模式、GPRS无线通讯模式、TCP/IP通讯协议接入等。包括持卡人帐户密码的交易信息在这类公共信道上的传输必须经过安全可靠的加密机制。
[0004]在许多其他涉及敏感数据传输的业务领域，对数据加密的安全性和抗攻击性也有很高的要求。
【发明内容】
[0005]鉴于上述情况，本发明的目的在于提供一种具有高安全性和抗攻击性的终端数据加密方法和装置。
[0006]为了实现上述目标，本发明提供了一种终端数据加密方法，所述方法包括:使用第一分散因子对预先存储在所述终端中的主密钥进行第一次分散以得到临时密钥；使用第二分散因子对所述临时密钥进行第二次分散以得到工作密钥；使用所述工作密钥对待加密数据进行加密处理；其中所述第一分散因子和所述第二分散因子分别由所述待加密数据中的一个或多个关键要素构成。
[0007]在本发明的一些实施例中，所述关键要素被选择为所述待加密数据中具有高动态性的字段。
[0008]在本发明的一些实施例中，所述第一次分散包括通过所述主密钥对所述第一分散因子做3DES加密或解密，并且所述第二次分散包括通过所述临时密钥对所述第二分散因子做3DES加密或解密。
[0009]在本发明的一些实施例中，对待加密数据进行加密处理包括使用所述工作密钥计算消息鉴别码MAC并且使用所述工作密钥对所述待加密数据的预定字段进行加密。
[0010]在本发明的一些实施例中，所述方法还包括在对所述待加密数据进行加密处理之后删除所述工作密钥。
[0011]在本发明的一些实施例中，所述终端为银行交易终端，所述待加密数据为交易请求报文，并且所述关键要素包括交易流水号、批次号、日期、时间、商户代码、终端代码和交易处理码。
[0012]在本发明的一些实施例中，所述第一分散因子由商户代码和交易流水号构成，并且所述第二分散因子由终端代码、交易时间、交易日期和交易处理码构成。
[0013]在本发明的一些实施例中，使用所述工作密钥对待加密数据进行加密处理包括使用所述工作密钥计算消息鉴别码MAC并且使用所述工作密钥对所述交易请求报文中的用户密码字段进行加密。
[0014]另一方面，本发明还提供了一种终端数据加密装置，所述装置包括:第一分散单元，其被配置为使用第一分散因子对预先存储在所述终端中的主密钥进行第一次分散以得到临时密钥；第二分散单元，其被配置为使用第二分散因子对所述临时密钥进行第二次分散以得到工作密钥；加密单元，其被配置为使用所述工作密钥对待加密数据进行加密处理；其中所述第一分散因子和所述第二分散因子分别由所述待加密数据中的一个或多个关键要素构成。
[0015]与现有技术相比，本发明所提供的终端数据加密方法和装置通过对终端主密钥进行两次分散并且利用特定于数据的分散因子而大大减少了终端主密钥被暴露的风险以及被恶意攻击的可能性。此外，本发明所提供的终端数据加密方法和装置可以完全基于终端所具有的信息，而无需向外部系统请求加密过程所需要的信息，由此大大提高了处理效率并且节省了通信资源。
【专利附图】
【附图说明】
[0016]本发明的前述和其他目标、特征和优点根据下面对本发明的实施例的更具体的说明将是显而易见的，这些实施例在附图中被示意。
[0017]图1是根据本发明的终端数据加密方法的流程图。
[0018]图2是根据本发明的一个实施例的终端数据加密过程的示意图。
【具体实施方式】
[0019]以下结合附图和【具体实施方式】进一步详细说明本发明。需要说明的是，附图中的各结构只是示意性说明，用以使本领域普通技术人员最佳地理解本发明的原理，其不一定按比例绘制。
[0020]图1是根据本发明的终端数据加密方法的流程图。所述终端可以是在任何涉及敏感数据传输的系统中发送或者接收数据的一方。
[0021]如图1所示，首先在步骤SlOl中使用第一分散因子对预先存储在终端中的主密钥进行第一次分散以得到临时密钥。
[0022]在步骤S103中，使用第二分散因子对临时密钥进行第二次分散以得到工作密钥。
[0023]在步骤S105中，使用工作密钥对待加密数据进行加密处理。
[0024]在本发明所提供的加密方法中，第一分散因子和第二分散因子将分别由待加密数据中的一个或多个关键要素构成。所述关键要素可以被选择为所述待加密数据中具有高动态性的定长字段。所谓动态性是指，对于具有相似结构的待加密数据而言，这些关键要素字段中的内容大体上对于每组数据都是不同的。这样的动态性能够进一步增强工作密钥的破解难度。在实践中，该第一和第二分散因子可以是相同的，也可以是不同的。[0025]另外，本发明所提供的加密方法可以适于对称密钥加密，即信息的发送方和接收方用同一个密钥去加密和解密数据。在实践中,仅需要加密数据的接收方也存储有同一主密钥，并且能够解析出加密数据中用于生成第一和第二分散因子的关键要素。
[0026]图2是根据本发明的一个实施例的终端数据加密过程的示意图。在图2所示的实施例中，第一和第二次分散被示出为利用3DES算法进行加密或解密，但本领域的技术人员应理解，可以采用已知或将被开发的任何密钥分散算法来进行该第一和第二次分散。可结合图2来解释本发明所提供的终端数据加密过程在银行交易系统中的使用。
[0027]以通过POS终端进行联机交易为例，可以首先在POS终端内存储主密钥TMK，这通常在POS终端入网之前就已经预先被配置。待加密数据可以是交易请求报文，POS终端需要首先将加密的交易请求报文发送至银行的后台系统以使交易能够继续进行。
[0028]一般而言，交易请求报文的关键要素可以包括但不限于交易流水号、批次号、交易日期、交易时间、商户代码、终端代码和交易处理码。交易请求报文中的这些字段是定长的，并且对于每次交易而言都需要进行相应地调整，因此具有足够的动态性。另外，在后台系统处也可以方便地对这些关键字段进行检测，从而便于对称地进行解密。因此，两次分散所采用的分散因子优选地可以用以上所列的关键要素中的一个或多个来构成。
[0029]根据示例性的银行交易终端规范在下面的表1中列出了交易请求报文中的一些关键要素的信息:
【权利要求】
1.一种终端数据加密方法，其特征在于，所述方法包括: 使用第一分散因子对预先存储在所述终端中的主密钥进行第一次分散以得到临时密钥； 使用第二分散因子对所述临时密钥进行第二次分散以得到工作密钥； 使用所述工作密钥对待加密数据进行加密处理；其中 所述第一分散因子和所述第二分散因子分别由所述待加密数据中的一个或多个关键要素构成。
2.如权利要求1所述的方法，其特征在于，所述关键要素被选择为所述待加密数据中具有高动态性的字段。
3.如权利要求1所述的方法，其特征在于，所述第一次分散包括通过所述主密钥对所述第一分散因子做3DES加密或解密，并且所述第二次分散包括通过所述临时密钥对所述第二分散因子做3DES加密或解密。
4.如权利要求1所述的方法，其特征在于，对待加密数据进行加密处理包括使用所述工作密钥计算消息鉴别码MAC并且使用所述工作密钥对所述待加密数据中的预定字段进行加密。
5.如权利要求1 所述的方法，其特征在于，所述方法还包括在对所述待加密数据进行加密处理之后删除所述工作密钥。
6.如权利要求1所述的方法，其特征在于，所述终端为银行交易终端，所述待加密数据为交易请求报文，并且所述关键要素包括交易流水号、批次号、日期、时间、商户代码、终端代码和交易处理码。
7.如权利要求6所述的方法，其特征在于，所述第一分散因子由商户代码和交易流水号构成，并且所述第二分散因子由终端代码、交易时间、交易日期和交易处理码构成。
8.如权利要求6所述的方法，其特征在于，使用所述工作密钥对待加密数据进行加密处理包括使用所述工作密钥计算消息鉴别码MAC并且使用所述工作密钥对所述交易请求报文中的用户密码字段进行加密。
9.一种终端数据加密装置，其特征在于，所述装置包括: 第一分散单元，其被配置为使用第一分散因子对预先存储在所述终端中的主密钥进行第一次分散以得到临时密钥； 第二分散单元，其被配置为使用第二分散因子对所述临时密钥进行第二次分散以得到工作密钥； 加密单元，其被配置为使用所述工作密钥对待加密数据进行加密处理；其中 所述第一分散因子和所述第二分散因子分别由所述待加密数据中的一个或多个关键要素构成。
10.如权利要求9所述的装置，其特征在于，所述关键要素被选择为所述待加密数据中具有高动态性的字段。
11.如权利要求9所述的装置，其特征在于，所述第一次分散包括通过所述主密钥对所述第一分散因子做3DES加密或解密，并且所述第二次分散包括通过所述临时密钥对所述第二分散因子做3DES加密或解密。
12.如权利要求9所述的装置，其特征在于，对待加密数据进行加密处理包括使用所述工作密钥计算消息鉴别码MAC并且使用所述工作密钥对所述待加密数据的预定字段进行加密。
13.如权利要求9所述的装置，其特征在于，所述加密单元还被配置为在对所述待加密数据进行加密处理之后删除所述工作密钥。
14.如权利要求9所述的装置，其特征在于，所述终端为银行交易终端，所述待加密数据为交易请求报文，并且所述关键要素包括交易的流水号、批次号、日期、时间、商户代码、终端代码和交易处理码。
15.如权利要求14所述的装置，其特征在于，所述第一分散因子由商户代码和交易流水号构成，并且所述第二分散因子由终端代码、交易时间、交易日期和交易处理码构成。
16.如权利要求14所述的装置，其特征在于，使用所述工作密钥对待加密数据进行加密处理包括使用所述工作密钥计算消息鉴别码MAC并且使用所述工作密钥对所述交易请求报文中的用户密码字段进行 加密。
【文档编号】H04L9/28GK103684759SQ201210333676
【公开日】2014年3月26日 申请日期:2012年9月11日 优先权日:2012年9月11日
【发明者】钟国业, 郑建宾 申请人:中国银联股份有限公司