本发明涉及电子支付领域，尤其涉及一种终端主密钥的远程分发方法及其系统。
背景技术：
随着电子支付产业的迅速发展，比如银行卡支付、消费卡支付、行业卡支付以及其它借由网络的电子支付技术，以其快捷方便的特点越来越受到人们的欢迎。
电子支付系统包括终端设备、收单平台和银行核心系统等组成部分。为了确保支付过程中消费者个人敏感信息的安全性，要求对交易过程中对个人敏感信息进行加密处理，主要通过主密钥/工作密钥(masterkey/sessionkey，mk/sk)的密钥体系来完成。以pos(pointofsale，销售点终端)的消费交易为例，终端设备保护交易敏感信息的原理如下：在mk/sk密钥体系中，要求pos与收单平台预先同步mk(主密钥)，随后支付交易终端通过签到等有效方式与收单系统同步sk(会话密钥)，终端通过sk中的pik(pinkey)对个人识别码进行加密处理，使用sk中的mak(mackey)对交易报文进行mac运算，以保证交易不被篡改且完整。
在mk/sk密钥系统中，需要将一个主密钥mk预先同步到终端设备中。传统上，要求pos在安全房中通过物理连接方式下载mk到设备中，即终端管理员在安全房区域中，通过串口通讯的方式，将密钥母pos中的mk直接下载到子pos中。但上述方案存在以下缺点：
缺点1：在安全房中，通过串口通讯方式下载密钥到pos中，要求pos统一送到安全房中，且需要大量的人力来完成mk的注入，大大增加了终端设备的运维成本。
缺点2：终端部署时，出厂的终端设备应先送往终端密钥管理机构，完成终端密钥注入工作后，再重新发往终端的实际使用方案，这对业务开展造成了巨大的开销，包括繁冗时间成本和人力成本等，同时减缓了业务扩展的速度。
技术实现要素：
本发明所要解决的技术问题是：提供一种终端主密钥的远程分发方法及其系统，可解决传统的本地密钥注入方式流程繁琐、运维费用高昂等问题，且满足安全、便捷性要求。
为了解决上述技术问题，本发明采用的技术方案为：一种终端主密钥的远程分发方法，包括：
厂商设备生成终端主密钥和客户保护密钥，并将所述客户保护密钥注入至硬件加密机；
使用所述客户保护密钥加密所述终端主密钥，得到第一终端主密钥密文；
将所述第一终端主密钥密文与支付终端的唯一标识码进行关联，并将关联关系保存至密钥管理系统；
支付终端生成传输密钥，并将所述传输密钥以及所述支付终端的唯一标识码发送至密钥管理系统；
密钥管理系统根据所述支付终端的唯一标识码，获取对应的第一终端主密钥密文；
根据硬件加密机中的客户保护密钥和所述传输密钥，对所述第一终端主密钥密文进行转加密，得到第二终端主密钥密文，并将所述第二终端主密钥密文发送至支付终端；
支付终端使用传输密钥解密所述第二终端主密钥密文，并将解密得到的终端主密钥存储至安全区域中。
本发明还涉及一种终端主密钥的远程分发系统，包括厂商设备、硬件加密机、密钥管理系统和支付终端；所述厂商设备分别与所述硬件加密机和密钥管理系统通信连接，所述密钥管理系统分别与所述硬件加密机和支付终端通信连接；
所述厂商设备包括第一处理器及第一存储器，所述第一存储器存储有第一程序，并且被配置成由所述第一处理器执行以下步骤：
生成终端主密钥和客户保护密钥，并将所述客户保护密钥注入至硬件加密机；
使用所述客户保护密钥加密所述终端主密钥，得到第一终端主密钥密文；
将所述第一终端主密钥密文与支付终端的唯一标识码进行关联，并将关联关系保存至密钥管理系统；
所述支付终端包括第二处理器及第二存储器，所述第二存储器存储有第二程序，并且被配置成由所述第二处理器执行以下步骤：
生成传输密钥，并将所述传输密钥以及所述支付终端的唯一标识码发送至密钥管理系统；
接收到密钥管理系统发送的第二终端主密钥密文后，使用传输密钥解密所述第二终端主密钥密文，并将解密得到的终端主密钥存储至安全区域中；
所述密钥管理系统包括第三处理器及第三存储器，所述第三存储器存储有第三程序，并且被配置成由所述第三处理器执行以下步骤：
接收到支付终端发送的传输密钥以及所述支付终端的唯一标识码后，根据所述支付终端的唯一标识码，获取对应的第一终端主密钥密文；
根据硬件加密机中的客户保护密钥和所述传输密钥，对所述第一终端主密钥密文进行转加密，得到第二终端主密钥密文，并将所述第二终端主密钥密文发送至支付终端。
本发明的有益效果在于：终端主密钥生成后使用客户保护密钥加密后输出导入到密钥管理系统，客户保护密钥在客户端和密钥管理系统端均被注入到硬件加密机中，因此，终端主密钥的生成和传输均满足机密性的要求；密钥管理系统使用传输密钥对终端主密钥进行加密处理，由于传输密钥是一机一密的，只有密钥管理系统和对应的支付终端持有该密钥，第三方无法直接获取加密后的终端主密钥，因此，终端主密钥的分发满足机密性要求。本发明通过一种简单、可靠、安全的方式远程分发终端主密钥，在生产阶段将管理的终端主密钥安全可靠地远程分发到支付终端中，减少了终端主密钥分发的人力成本，也提高了业务拓展速度。
附图说明
图1为本发明实施例一的一种终端主密钥的远程分发方法的流程图；
图2为本发明实施例三中步骤s6的方法流程图；
图3为本发明实施例三中步骤s7的方法流程图。
具体实施方式
为详细说明本发明的技术内容、所实现目的及效果，以下结合实施方式并配合附图详予说明。
本发明最关键的构思在于：将终端主密钥的分发流程提前到终端出厂前，由密钥管理系统作为密钥母pos的角色，完成对出厂的子pos的密钥分发。
缩略语和关键术语定义：
zkms：zkeymanagementsystem，自营密钥管理系统，在本发明中是一种密钥分发系统；
pos：pointofsale，销售点终端，在本发明中是密钥分发的接收者；
密钥母pos：一种作为密钥分发端的终端设备，其管理并分发收单系统的密钥；
hsm：highsecuritymachine，高安全设备，在本发明中为硬件加密机；
tmk：terminalmasterkey，终端主密钥，在本发明中是密钥分发的主体；
cpk：customprotectkey，客户保护密钥，其被用于加密保护tmk，客户端和zkms端的hsm应该预先同步该密钥；
tk：transferkey，传输密钥，其是一个概念性的密钥名称，包含有传输加密密钥tk-tek和认证密钥tk-auk；
tk-tek：transferencryptionkey，传输密钥的传输加密密钥；
tk-auk：authenticationkey，传输密钥的认证密钥；
mac：messageauthenticationcheckvalue，消息校验码，一种数据完整性校验算法。
请参阅图1，一种终端主密钥的远程分发方法，包括：
厂商设备生成终端主密钥和客户保护密钥，并将所述客户保护密钥注入至硬件加密机；
使用所述客户保护密钥加密所述终端主密钥，得到第一终端主密钥密文；
将所述第一终端主密钥密文与支付终端的唯一标识码进行关联，并将关联关系保存至密钥管理系统；
支付终端生成传输密钥，并将所述传输密钥以及所述支付终端的唯一标识码发送至密钥管理系统；
密钥管理系统根据所述支付终端的唯一标识码，获取对应的第一终端主密钥密文；
根据硬件加密机中的客户保护密钥和所述传输密钥，对所述第一终端主密钥密文进行转加密，得到第二终端主密钥密文，并将所述第二终端主密钥密文发送至支付终端；
支付终端使用传输密钥解密所述第二终端主密钥密文，并将解密得到的终端主密钥存储至安全区域中。
从上述描述可知，本发明的有益效果在于：生产阶段将终端主密钥安全可靠地远程分发到支付终端中，减少了终端主密钥分发的人力成本，也提高了业务拓展速度。
进一步地，“将所述客户保护密钥注入至硬件加密机”具体为：
将所述客户保护密钥以密钥分量方式注入至硬件加密机。
由上述描述可知，保证客户保护密钥的安全性。
进一步地，“支付终端生成传输密钥，并将所述传输密钥以及所述支付终端的唯一标识码发送至密钥管理系统”之前，进一步包括：
硬件加密机生成非对称密钥对，包括产线公钥和产线私钥；
将所述产线公钥通过数字证书发送至支付终端。
进一步地，“将所述传输密钥以及所述支付终端的唯一标识码发送至密钥管理系统”具体为：
支付终端使用所述产线公钥加密所述传输密钥以及所述支付终端的唯一标识码，得到请求密文，并将所述请求密文发送至密钥管理系统；
密钥管理系统使用硬件加密机中的产线私钥解密所述请求密文，得到传输密钥以及所述支付终端的唯一标识码。
由上述描述可知，传输密钥tk可由支付终端随机生成，其由产线公钥加密后传输到密钥管理系统zkms，密钥管理系统zkms使用硬件加密机hsm中的产线私钥才可解密得到传输密钥tk，因此，传输密钥tk的生成、传输以及处理均满足机密性要求。
进一步地，根据硬件加密机中的客户保护密钥和所述传输密钥，对所述第一终端主密钥密文进行转加密，得到第二终端主密钥密文，并将所述第二终端主密钥密文发送至支付终端”具体为：
使用硬件加密机中的客户保护密钥对所述第一终端主密钥密文进行解密，得到终端主密钥；
使用所述传输密钥对所述终端主密钥进行加密，得到第二终端主密钥密文，并将所述第二终端主密钥密文发送至支付终端。
由上述描述可知，保证终端主密钥在密钥管理系统中都处于加密的状态，从而保证终端主密钥的安全性。
进一步地，所述传输密钥包括传输加密密钥和认证密钥；“使用所述传输密钥对所述终端主密钥进行加密，得到第二终端主密钥密文，并将所述第二终端主密钥密文发送至支付终端”具体为：
使用所述传输加密密钥对所述终端主密钥进行加密，得到第二终端主密钥密文；
使用所述认证密钥对所述第二终端主密钥密文进行mac运算，得到第一mac值；
将所述第二终端主密钥密文和第一mac值发送至支付终端。
进一步地，“支付终端使用传输密钥解密所述第二终端主密钥密文，并将解密得到的终端主密钥存储至安全区域中”具体为：
支付终端使用认证密钥对所述第二终端主密钥密文进行mac运算，得到第二mac值；
若第二mac值与所述第一mac值一致，则使用传输加密密钥解密所述第二终端主密钥密文，得到终端主密钥；
将所述终端主密钥存储至安全区域中。
由上述描述可知，通过采用mac加密运算的方法，保证传输数据的完整性和可认证性。
进一步地，采用x9.19算法进行mac运算。
本发明还提出了一种终端主密钥的远程分发系统，包括厂商设备、硬件加密机、密钥管理系统和支付终端；所述厂商设备分别与所述硬件加密机和密钥管理系统通信连接，所述密钥管理系统分别与所述硬件加密机和支付终端通信连接；
所述厂商设备包括第一处理器及第一存储器，所述第一存储器存储有第一程序，并且被配置成由所述第一处理器执行以下步骤：
生成终端主密钥和客户保护密钥，并将所述客户保护密钥注入至硬件加密机；
使用所述客户保护密钥加密所述终端主密钥，得到第一终端主密钥密文；
将所述第一终端主密钥密文与支付终端的唯一标识码进行关联，并将关联关系保存至密钥管理系统；
所述支付终端包括第二处理器及第二存储器，所述第二存储器存储有第二程序，并且被配置成由所述第二处理器执行以下步骤：
生成传输密钥，并将所述传输密钥以及所述支付终端的唯一标识码发送至密钥管理系统；
接收到密钥管理系统发送的第二终端主密钥密文后，使用传输密钥解密所述第二终端主密钥密文，并将解密得到的终端主密钥存储至安全区域中；
所述密钥管理系统包括第三处理器及第三存储器，所述第三存储器存储有第三程序，并且被配置成由所述第三处理器执行以下步骤：
接收到支付终端发送的传输密钥以及所述支付终端的唯一标识码后，根据所述支付终端的唯一标识码，获取对应的第一终端主密钥密文；
根据硬件加密机中的客户保护密钥和所述传输密钥，对所述第一终端主密钥密文进行转加密，得到第二终端主密钥密文，并将所述第二终端主密钥密文发送至支付终端。
进一步地，“将所述客户保护密钥注入至硬件加密机”具体为：
将所述客户保护密钥以密钥分量方式注入至硬件加密机。
进一步地，所述硬件加密机包括第四处理器及第四存储器，所述第四存储器存储有第四程序，并且被配置成由所述第四处理器执行以下步骤：
生成非对称密钥对，包括产线公钥和产线私钥；
将所述产线公钥通过数字证书发送至支付终端。
进一步地，“将所述传输密钥以及所述支付终端的唯一标识码发送至密钥管理系统”具体为：
接收到硬件加密机发送的产线公钥后，使用所述产线公钥加密所述传输密钥以及所述支付终端的唯一标识码，得到请求密文，并将所述请求密文发送至密钥管理系统；
所述密钥管理系统的第三程序还被配置成由所述第三处理器执行以下步骤：使用硬件加密机中的产线私钥解密所述请求密文，得到传输密钥以及所述支付终端的唯一标识码。
进一步地，“根据硬件加密机中的客户保护密钥和所述传输密钥，对所述第一终端主密钥密文进行转加密，得到第二终端主密钥密文，并将所述第二终端主密钥密文发送至支付终端”具体为：
使用硬件加密机中的客户保护密钥对所述第一终端主密钥密文进行解密，得到终端主密钥；
使用所述传输密钥对所述终端主密钥进行加密，得到第二终端主密钥密文，并将所述第二终端主密钥密文发送至支付终端。
进一步地，所述传输密钥包括传输加密密钥和认证密钥；“使用所述传输密钥对所述终端主密钥进行加密，得到第二终端主密钥密文，并将所述第二终端主密钥密文发送至支付终端”具体为：
使用所述传输加密密钥对所述终端主密钥进行加密，得到第二终端主密钥密文；
使用所述认证密钥对所述第二终端主密钥密文进行mac运算，得到第一mac值；
将所述第二终端主密钥密文和第一mac值发送至支付终端。
进一步地，“使用传输密钥解密所述第二终端主密钥密文，并将解密得到的终端主密钥存储至安全区域中”具体为：
使用认证密钥对所述第二终端主密钥密文进行mac运算，得到第二mac值；
若第二mac值与所述第一mac值一致，则使用传输加密密钥解密所述第二终端主密钥密文，得到终端主密钥；
将所述终端主密钥存储至安全区域中。
进一步地，采用x9.19算法进行mac运算。
实施例一
请参照图1，本发明的实施例一为：一种终端主密钥的远程分发方法，该方法可在生成阶段完成对终端主密钥的远程分发，适应于任何类型的金融终端设备，如pos机、atm等。在进行该方法前，需先搭建密钥管理系统zkms，其相当于密钥母pos的角色，完成对出厂的子pos的密钥分发。所述方法包括如下步骤：
s1：厂商设备生成终端主密钥和客户保护密钥，并将所述客户保护密钥注入至硬件加密机；具体地，支付终端生产前，支付厂商设备随机生成终端主密钥tmk和客户保护密钥cpk，并将将客户保护密钥cpk以密钥分量方式注入至硬件加密机hsm中。
s2：使用所述客户保护密钥加密所述终端主密钥，得到第一终端主密钥密文；具体地，支付终端生产前，支付厂商设备使用客户保护密钥cpk对终端主密钥tmk进行加密，得到第一终端主密钥密文。
s3：将所述第一终端主密钥密文与支付终端的唯一标识码进行关联，并将关联关系保存至密钥管理系统；即支付终端生产前，支付厂商设备将终端主密钥tmk以安全的方式导入到密钥管理系统zkms，同时，将加密后的终端主密钥tmk与支付终端的唯一标识码进行关联，用于后续终端主密钥tmk的分发。其中，支付终端的唯一标识码可以是支付厂商设备生成的唯一编号，生成后再发送给支付终端，也可以是支付终端的设备序列号。
s4：支付终端生成传输密钥，并将所述传输密钥以及所述支付终端的唯一标识码发送至密钥管理系统；具体地，支付终端在生产阶段，调用安全模块的随机密钥生成方法生成传输密钥tk，并根据密钥管理系统zkms交易接口组织密钥分发请求报文，然后通过安全的网络链路请求密钥管理系统zkms，其中，密钥分发请求报文中包括传输密钥tk以及支付终端的唯一标识码。
s5：密钥管理系统根据所述支付终端的唯一标识码，获取对应的第一终端主密钥密文；即密钥管理系统zkms接收密钥分发请求后，根据请求报文中的支付终端的唯一标识码，获取该支付终端对应的第一终端主密钥密文。
s6：根据硬件加密机中的客户保护密钥和所述传输密钥，对所述第一终端主密钥密文进行转加密，得到第二终端主密钥密文，并将所述第二终端主密钥密文发送至支付终端。
具体地，使用硬件加密机中的客户保护密钥cpk对所述第一终端主密钥密文进行解密，得到终端主密钥tmk；然后使用所述传输密钥tk对所述终端主密钥tmk进行加密，得到第二终端主密钥密文，并将所述第二终端主密钥密文发送至支付终端。即密钥管理系统zkms调用加密机应用服务的转加密功能，将终端主密钥tmk由客户保护密钥cpk加密翻译到由传输密钥tk加密，输出第二终端主密钥密文，然后将第二终端主密钥密文响应给支付终端。
s7：支付终端使用传输密钥解密所述第二终端主密钥密文，并将解密得到的终端主密钥存储至安全区域中，即存储到安全模块中。
优选地，可将支付终端与密钥下载工具进行通信连接，支付终端通过密钥下载工具与密钥管理系统zkms进行密钥分发的请求与响应。
本实施例中，终端主密钥tmk生成后使用客户保护密钥cpk加密后输出导入到密钥管理系统zkms，客户保护密钥cpk在客户端和密钥管理系统zkms端均被注入到硬件加密机hsm中，因此，终端主密钥tmk的生成和传输均满足机密性的要求；密钥管理系统zkms使用传输密钥tk对终端主密钥tmk进行加密处理，由于传输密钥tk是一机一密的，只有密钥管理系统zkms和对应的支付终端持有该密钥，第三方无法直接获取加密后的终端主密钥tmk，因此，终端主密钥tmk的分发满足机密性要求。本实施例通过一种简单、可靠、安全的方式远程分发终端主密钥，在生产阶段将管理的终端主密钥安全可靠地远程分发到支付终端中，减少了终端主密钥分发的人力成本，也提高了业务拓展速度。
实施例二
本实施例是实施例一的进一步拓展，相同之处不再累述，区别在于，在步骤s4之前，即支付终端发送传输密钥到密钥管理系统zkms之前，硬件加密机生成非对称密钥对，包括产线公钥和产线私钥，然后将所述产线公钥通过数字证书发送至支付终端，即可以将包括产线公钥的数字证书发送给支付终端，支付终端对数字证书进行验证后，获取产线公钥。
在支付终端发送传输密钥到密钥管理系统zkms时，即步骤s4中，支付终端使用所述产线公钥加密所述传输密钥以及所述支付终端的唯一标识码，得到请求密文，并将所述请求密文发送至密钥管理系统；密钥管理系统使用硬件加密机中的产线私钥解密所述请求密文，得到传输密钥以及所述支付终端的唯一标识码。
本实施例中，传输密钥tk是由支付终端随机生成的，其由产线公钥加密后传输到密钥管理系统zkms，密钥管理系统zkms使用硬件加密机hsm中的产线私钥才可解密得到传输密钥tk，保证传输密钥tk的生成、传输以及处理的机密性。
实施例三
请参照图2-3，本实施例是实施例一中步骤s6、s7的进一步拓展。
本实施例中，传输密钥tk包括传输加密密钥tk-tek和认证密钥tk-auk。
如图2所示，步骤s6包括如下步骤：
s61：使用硬件加密机中的客户保护密钥cpk对所述第一终端主密钥密文进行解密，得到终端主密钥tmk；
s62：使用传输加密密钥tk-tek对所述终端主密钥tmk进行加密，得到第二终端主密钥密文；
s63：使用认证密钥tk-auk对所述第二终端主密钥密文进行mac运算，得到第一mac值；
s64：将所述第二终端主密钥密文和第一mac值发送至支付终端。
如图3所示，步骤s7包括如下步骤：
s71：支付终端使用认证密钥对所述第二终端主密钥密文进行mac运算，得到第二mac值；
s72：判断所述第二mac值与所述第一mac值是否一致，若是，则执行步骤s73。
s73：使用传输加密密钥tk-tek解密所述第二终端主密钥密文，得到终端主密钥tmk；
s74：将所述终端主密钥tmk存储至安全区域中。
进一步地，步骤s63和步骤s71中，采用x9.19算法进行mac运算。
终端主密钥的分发过程中，使用支付终端预置的认证密钥tk-auk对加密后的终端主密钥进行了x9.19算法的mac运算，支付终端在收到第二终端主密钥密文后，使用支付终端预置的认证密钥tk-auk即可验证密文数据的mac值。本实施例通过采用mac加密运算的方法，保证传输数据的完整性和可认证性。
实施例四
本实施例是上述实施例的一具体应用场景。
在进行终端主密钥的远程分发之前，先进行前期部署，主要包括以下几个方面的准备工作：
1、密钥管理系统zkms的搭建
由于涉及到终端主密钥tmk的远程分发，且由于采用了一机一密的解决方案，因此要求搭建统一的客户密钥管理系统zkms，用于导入、管理和翻译终端主密钥tmk。
密钥管理系统zkms的主要功能是管理客户信息和其终端主密钥tmk，其接受终端的密钥远程分发请求，获取分发的终端主密钥tmk并将其翻译到终端的传输密钥tk进行加密，由传输密钥tk的加密机制保证分发密钥块信息的机密性和完整性。
2、客户保护密钥cpk的同步
客户保护密钥cpk是保护终端主密钥tmk的顶级密钥，其要求被输入到硬件加密机hsm中，在终端主密钥tmk被导入到密钥管理系统zkms前就应该完成注入。
3、终端主密钥tmk的传输和导入
终端主密钥tmk由客户保护密钥cpk加密后，从客户密钥管理平台(如实施例一中的厂商设备)输出，并通过安全、有效的方式传输到密钥管理系统zkms，密钥管理系统zkms收到终端主密钥tmk的密文后，通过密钥管理系统zkms的管理页面导入到系统中。
前期部署成功完成后，开始进行终端主密钥tmk的分发，包括如下步骤：
s101：支付终端在生成阶段，调用安全模块的随机密钥生成方法，生成传输加密密钥tk-tek和认证密钥tk-auk，统称为传输密钥tk；
s102：密钥下载工具从支付终端获取传输密钥tk，并根据密钥管理系统zkms交易接口组织密钥分发请求报文，然后用产线公钥加密后通过安全的网络链路请求密钥管理系统zkms；
s103：密钥管理系统zkms接收密钥分发请求并用产线私钥解密后，根据请求的终端编号或终端序列号等信息获取对应的终端主密钥tmk的密文，并根据请求中的传输密钥tk，调用加密机应用服务的转加密功能，将终端主密钥tmk的密文由客户保护密钥cpk加密翻译为由传输加密密钥tk-tek加密，输出最终的终端主密钥tmk的密文；
s104：密钥管理系统zkms根据预设的密钥块的生成格式组织密钥块，并使用认证密钥tk-auk对密钥块的内容进行x9.19算法的mac运算，然后根据响应接口格式发送交易响应；
s105：密钥下载工具接收交易响应后，将密钥块数据注入到支付终端中；
s106：支付终端接收密钥块数据后，使用认证密钥tk-auk校验密钥块的mac值，验证通过后使用传输加密密钥tk-tek处理密钥块数据，处理成功后得到终端主密钥tmk，并存入到支付终端的安全模块中。
本实施例中，密钥分发的相关密钥的生成、处理、传输以及存储都是满足机密性要求的。
实施例五
本实施例是对应上述实施例的一种终端主密钥的远程分发系统，包括厂商设备、硬件加密机、密钥管理系统和支付终端；所述厂商设备分别与所述硬件加密机和密钥管理系统通信连接，所述密钥管理系统分别与所述硬件加密机和支付终端通信连接；
所述厂商设备包括第一处理器及第一存储器，所述第一存储器存储有第一程序，并且被配置成由所述第一处理器执行以下步骤：
生成终端主密钥和客户保护密钥，并将所述客户保护密钥注入至硬件加密机；
使用所述客户保护密钥加密所述终端主密钥，得到第一终端主密钥密文；
将所述第一终端主密钥密文与支付终端的唯一标识码进行关联，并将关联关系保存至密钥管理系统；
所述支付终端包括第二处理器及第二存储器，所述第二存储器存储有第二程序，并且被配置成由所述第二处理器执行以下步骤：
生成传输密钥，并将所述传输密钥以及所述支付终端的唯一标识码发送至密钥管理系统；
接收到密钥管理系统发送的第二终端主密钥密文后，使用传输密钥解密所述第二终端主密钥密文，并将解密得到的终端主密钥存储至安全区域中；
所述密钥管理系统包括第三处理器及第三存储器，所述第三存储器存储有第三程序，并且被配置成由所述第三处理器执行以下步骤：
接收到支付终端发送的传输密钥以及所述支付终端的唯一标识码后，根据所述支付终端的唯一标识码，获取对应的第一终端主密钥密文；
根据硬件加密机中的客户保护密钥和所述传输密钥，对所述第一终端主密钥密文进行转加密，得到第二终端主密钥密文，并将所述第二终端主密钥密文发送至支付终端。
进一步地，“将所述客户保护密钥注入至硬件加密机”具体为：
将所述客户保护密钥以密钥分量方式注入至硬件加密机。
进一步地，所述硬件加密机包括第四处理器及第四存储器，所述第四存储器存储有第四程序，并且被配置成由所述第四处理器执行以下步骤：
生成非对称密钥对，包括产线公钥和产线私钥；
将所述产线公钥通过数字证书发送至支付终端。
进一步地，“将所述传输密钥以及所述支付终端的唯一标识码发送至密钥管理系统”具体为：
接收到硬件加密机发送的产线公钥后，使用所述产线公钥加密所述传输密钥以及所述支付终端的唯一标识码，得到请求密文，并将所述请求密文发送至密钥管理系统；
所述密钥管理系统的第三程序还被配置成由所述第三处理器执行以下步骤：使用硬件加密机中的产线私钥解密所述请求密文，得到传输密钥以及所述支付终端的唯一标识码。
进一步地，“根据硬件加密机中的客户保护密钥和所述传输密钥，对所述第一终端主密钥密文进行转加密，得到第二终端主密钥密文，并将所述第二终端主密钥密文发送至支付终端”具体为：
使用硬件加密机中的客户保护密钥对所述第一终端主密钥密文进行解密，得到终端主密钥；
使用所述传输密钥对所述终端主密钥进行加密，得到第二终端主密钥密文，并将所述第二终端主密钥密文发送至支付终端。
进一步地，所述传输密钥包括传输加密密钥和认证密钥；“使用所述传输密钥对所述终端主密钥进行加密，得到第二终端主密钥密文，并将所述第二终端主密钥密文发送至支付终端”具体为：
使用所述传输加密密钥对所述终端主密钥进行加密，得到第二终端主密钥密文；
使用所述认证密钥对所述第二终端主密钥密文进行mac运算，得到第一mac值；
将所述第二终端主密钥密文和第一mac值发送至支付终端。
进一步地，“使用传输密钥解密所述第二终端主密钥密文，并将解密得到的终端主密钥存储至安全区域中”具体为：
使用认证密钥对所述第二终端主密钥密文进行mac运算，得到第二mac值；
若第二mac值与所述第一mac值一致，则使用传输加密密钥解密所述第二终端主密钥密文，得到终端主密钥；
将所述终端主密钥存储至安全区域中。
进一步地，采用x9.19算法进行mac运算。
进一步地，当支付终端的唯一标识码是厂商设备生成的唯一编号时，厂商设备还可以与支付终端通信连接，用于传输支付终端的唯一标识码。
综上所述，本发明提供的一种终端主密钥的远程分发方法及其系统，终端主密钥生成后使用客户保护密钥加密后输出导入到密钥管理系统，客户保护密钥在客户端和密钥管理系统端均被注入到硬件加密机中，因此，终端主密钥的生成和传输均满足机密性的要求；密钥管理系统使用传输密钥对终端主密钥进行加密处理，由于传输密钥是一机一密的，只有密钥管理系统和对应的支付终端持有该密钥，第三方无法直接获取加密后的终端主密钥，因此，终端主密钥的分发满足机密性要求。传输密钥是由支付终端随机生成的，其由产线公钥加密后传输到密钥管理系统，密钥管理系统使用硬件加密机中的产线私钥才可解密得到传输密钥，保证传输密钥的生成、传输以及处理的机密性。终端主密钥的分发过程中，使用支付终端预置的认证密钥对加密后的终端主密钥进行了mac运算，支付终端在收到第二终端主密钥密文后，使用支付终端预置的认证密钥即可验证密文数据的mac值，通过采用mac加密运算的方法，保证传输数据的完整性和可认证性。本发明通过一种简单、可靠、安全的方式远程分发终端主密钥，在生产阶段将管理的终端主密钥安全可靠地远程分发到支付终端中，减少了终端主密钥分发的人力成本，也提高了业务拓展速度。
以上所述仅为本发明的实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等同变换，或直接或间接运用在相关的技术领域，均同理包括在本发明的专利保护范围内。