【正文】 合度。 錯誤檢測銀聯(lián)和成員機(jī)構(gòu)必須采用錯誤檢測服務(wù)以監(jiān)測相關(guān)系統(tǒng)并快速確認(rèn)任何可能的根 CA 密鑰泄漏或發(fā)卡行密鑰泄漏。根 CA 和成員機(jī)構(gòu)必須在需要時執(zhí)行緊急恢復(fù)計劃。28 / 42 銀聯(lián)金融 IC 卡支付系統(tǒng)規(guī)則 根 CA系統(tǒng)密鑰對業(yè)務(wù)規(guī)則 根 CA 密鑰對一般業(yè)務(wù)規(guī)則中國銀聯(lián)規(guī)定了銀聯(lián) IC 卡支付系統(tǒng)關(guān)于密鑰對的下列規(guī)定:? 針對一個 RID 使用的根 CA 公鑰最大個數(shù)為 6 個。? 支付系統(tǒng)公鑰指數(shù)為 3 或 216＋1。? 當(dāng)前的公鑰長度不超過 1984 比特。? 支付系統(tǒng)公鑰的失效日期為規(guī)定年份的 12 月 31 日。銀聯(lián) IC 卡支付系統(tǒng)密鑰參數(shù)的選定是基于下列因素：? 基于密碼學(xué)界對于 RSA 簽名算法安全的專業(yè)知識以確認(rèn)使得系統(tǒng)安全的最小公鑰長度。其目標(biāo)是確保使用當(dāng)前已知技術(shù)的密碼攻擊無法在實際上破解系統(tǒng)所使用的密鑰。? IC 卡存儲和處理能力。? 支付終端公鑰認(rèn)證的處理能力。? 將支付終端需要處理的公鑰數(shù)目降低到最小。? 為發(fā)卡行根據(jù)其頒發(fā)的 IC 卡能力和安全要求提供密鑰可選范圍。 銀聯(lián)金融 IC 卡根 CA 密鑰方案基于本規(guī)范第 節(jié)的安全性規(guī)則，銀聯(lián)根 CA 使用表 1 所列長度的簽名密鑰對：表 1 根 CA 公鑰長度及其失效期密鑰長度 失效日期1,024 bits 2022 年 12 月 31日29 / 421,152 bits 2022 年 12 月 31日1,408 bits 2022 年 12 月 31日1,984 bits 2022 年 12 月 31日上述長度的密鑰對為銀聯(lián)金融 IC 卡根 CA 目前正在使用的密鑰對，他們的失效日期如表中所示。銀聯(lián)將有計劃地引入新的根 CA 密鑰對。 發(fā)卡行應(yīng)確保由其頒發(fā)的金融 IC 卡在該 IC 卡有效期內(nèi)，其對應(yīng)的 IC 卡公鑰證書（若支持 DDA） 、發(fā)卡行公鑰證書、和相關(guān)的根 CA 公鑰是有效的。 重新評估金融 IC 卡支付系統(tǒng)密鑰安全性中國銀聯(lián)在每一年都將對銀聯(lián)金融 IC 卡公鑰支付系統(tǒng)中密鑰的長度及其安全性做一評估。這項評估以本規(guī)范第 節(jié)所述安全因素，并以密碼界的任何有關(guān)新的進(jìn)展為基礎(chǔ)。同時，安全性評估也將借鑒 EMV 的年度簽名密鑰長度安全評估結(jié)論。對評估結(jié)果，中國銀聯(lián)將報備與中國人民銀行。銀聯(lián)將在每年底前發(fā)布對 RSA 密鑰長度及其安全性的安全評估結(jié)論和相關(guān)的對當(dāng)前使用的根 CA 密鑰的有效期的任何調(diào)整。 現(xiàn)有銀聯(lián)金融 IC 卡支付系統(tǒng)根 CA密鑰長度安全性（有效期）的延伸除了每年一度的根 CA 密鑰長度安全性的評估，銀聯(lián)也將根據(jù)該評估結(jié)果決定當(dāng)前正在使用的根 CA 公私鑰對有效期的延伸。任何這樣的變更將會由銀聯(lián)“安全通告”發(fā)布。 新的根 CA密鑰對的引入在計劃的 CA 密鑰對有效期到期時，銀聯(lián)將常規(guī)地引入新的根 CA 密鑰對以取代到期的密鑰對。同時根據(jù)銀聯(lián) IC 卡支付系統(tǒng)公鑰安全年度評估報告，銀聯(lián)也會決定引入新的根 CA 密鑰對。30 / 42在銀聯(lián)決定引入新的根 CA 密鑰對時，下述規(guī)則必須遵守：? 新的根 CA 密鑰對總是在有效期到期當(dāng)年的 12 月 31 日作廢。? 銀聯(lián)將在新的根 CA 密鑰對生效年份的前一年的 10 月 31 日前將新引入的根 CA 密鑰對發(fā)布在“安全通告”中。? 銀聯(lián)將確保各個成員機(jī)構(gòu)在新的根 CA 密鑰對生效年份的前一年的 12月 31 日前收到新引入的根 CA 密鑰對。? 收單機(jī)構(gòu)必須確保由其擁有的所有終端在新引入的根 CA 密鑰對生效當(dāng)年的 6 月 30 日前布置好新引入的根 CA 公鑰。? 銀聯(lián)將在新引入的根 CA 密鑰對生效年份的 1 月 1 日開始用新的根 CA密鑰簽發(fā)發(fā)卡行證書。? 發(fā)卡行必須確保所有使用相應(yīng)的新的發(fā)卡行公私鑰對頒發(fā)的金融 IC 卡的生效期不早于新的根 CA 密鑰對生效年份的 6 月 30 日。 根 CA密鑰對的提前撤銷根 CA 密鑰對的提前撤銷是指在根 CA 密鑰對有效期到期之前將根 CA 密鑰對撤銷。根 CA 密鑰對的提前撤銷是當(dāng)新的密碼分析技術(shù)威脅到現(xiàn)有密鑰長度的密鑰的安全性，或懷疑根 CA 密鑰對失密，或因其它原因使得繼續(xù)使用當(dāng)前的根 CA 密鑰對會造成可能的嚴(yán)重安全隱患，或無法繼續(xù)使用當(dāng)前的根 CA密鑰對時進(jìn)行的。基于根 CA 密鑰對的提前撤銷對金融 IC 卡系統(tǒng)及其業(yè)務(wù)會造成沖擊，銀聯(lián)金融 IC 卡支付系統(tǒng)將鑒別下列密鑰失密的類型：1．懷疑的密鑰失密? 當(dāng)密碼分析技術(shù)取得突破性進(jìn)展或針對 IC 卡支付系統(tǒng)使用的 RSA簽名算法的具體攻擊方式取得突破性進(jìn)展時，實際發(fā)生密鑰失密的可能性急劇加大；? 基于實際發(fā)生的欺詐性交易，現(xiàn)實意外事件隱含的威脅，公布的或懷疑的欺詐，可以懷疑根 CA 簽名私鑰已經(jīng)失密。2．證實的密鑰失密? 中國銀聯(lián)已經(jīng)收到證據(jù)，基于密碼界對根 CA 所使用的簽名算法的分析和攻擊取得突破性進(jìn)展，顯示根 CA 私鑰已經(jīng)失密，或?qū)谠?1 / 42密鑰對的有效期到期之前失密。? 銀聯(lián)已經(jīng)確認(rèn)下列兩種對根 CA 密鑰的有效攻擊，兩者都能夠?qū)嶋H破解根 CA 私鑰：? 非惡意攻擊：攻擊者并非卷入金融犯罪但會公布其破譯方法和結(jié)果，其結(jié)果將導(dǎo)致實際的對根 CA 私鑰的破譯。? 惡意攻擊：攻擊者實際掌握了對根 CA 私鑰的有效攻擊手段并將卷入金融犯罪。這兩種密鑰失密都將導(dǎo)致根 CA 密鑰的提前撤銷。 作廢根 CA 密鑰對前的業(yè)務(wù)規(guī)則一旦決定需要將當(dāng)前使用的根 CA 密鑰對作廢，銀聯(lián)金融 IC 卡根 CA 將立即停止使用失密的根 CA 簽名私鑰簽發(fā)發(fā)卡行證書，同時銀聯(lián)將立即將事件通知各有關(guān)成員機(jī)構(gòu)。銀聯(lián)將以銀聯(lián)金融 IC 卡支付系統(tǒng)公鑰認(rèn)證管理機(jī)構(gòu)為基礎(chǔ)成立由業(yè)務(wù)管理部、技術(shù)管理部、風(fēng)險管理部、戰(zhàn)略發(fā)展部、IC 卡應(yīng)用部、銀聯(lián)金融認(rèn)證中心、以及其它銀聯(lián)相關(guān)部門組成的工作組，并由負(fù)責(zé)金融 IC 卡支付業(yè)務(wù)的銀聯(lián)公司總裁室領(lǐng)導(dǎo)擔(dān)任組長以協(xié)調(diào)相關(guān)業(yè)務(wù)。銀聯(lián)將聯(lián)合各個銀聯(lián)發(fā)卡行和收單機(jī)構(gòu)以確認(rèn)由于作廢當(dāng)前使用的根 CA密鑰對而帶來的金融業(yè)務(wù)沖擊，包括進(jìn)行風(fēng)險評估。風(fēng)險評估包括：? 長度更長的密鑰對交易時間和 IC 卡存儲性能的影響。? 對正在使用的 IC 卡和終端的影響。? 由之導(dǎo)致的或潛在的欺詐風(fēng)險。? 對金融 IC 卡業(yè)務(wù)或技術(shù)的沖擊。? 對銀聯(lián)品牌在國內(nèi)或國際的影響以及加固銀聯(lián)品牌、加固銀聯(lián)與合作方關(guān)系的戰(zhàn)略。? 相關(guān)的法律專家確定各方的責(zé)任與義務(wù)并與銀聯(lián)相關(guān)的國內(nèi)或國際業(yè)務(wù)合作方進(jìn)行合作。? 銀聯(lián)安全和安全風(fēng)險管理團(tuán)隊進(jìn)行包括涉及法律法規(guī)方面在內(nèi)的安全和安全風(fēng)險管理和增強(qiáng)。32 / 42 獲得批準(zhǔn)作廢一個正在使用的根 CA 公私鑰對的程序銀聯(lián)將遵循下列程序以獲得對一個正在使用的根 CA 公私鑰對的撤銷：1. 根據(jù)上述業(yè)務(wù)風(fēng)險和安全風(fēng)險評估結(jié)果，工作組完成一份撤銷具有風(fēng)險的根 CA 密鑰對的建議書。2. 工作組將建議書交給銀聯(lián)信息安全委員會進(jìn)行評估。3. 工作組將根據(jù)征詢到的建議和評估結(jié)論對建議書進(jìn)行適當(dāng)修改，并上報銀聯(lián)總裁辦公會議。4. 銀聯(lián)總裁辦公會議審批該建議書。同時將批準(zhǔn)后的建議書遞交給中國人民銀行備案。在銀聯(lián)總裁辦公會議批準(zhǔn)建議書后，銀聯(lián)按照《中國金融集成電路（IC）卡規(guī)范 》 （2022 版）第七部分的第十章規(guī)則撤銷受到影響的根 CA 公私鑰對。 成員發(fā)卡行業(yè)務(wù)規(guī)則 密鑰周期發(fā)卡成員機(jī)構(gòu)在生成他們的發(fā)卡行公鑰時必須確定該公鑰的失效日期。發(fā)卡成員機(jī)構(gòu)公鑰失效日期必須早于或等于用來簽發(fā)該發(fā)卡行公鑰證書的根 CA 公私鑰對的失效日期。同時成員發(fā)卡行必須確保使用它的一個發(fā)卡行公私鑰對簽發(fā)的 IC 卡的失效日期不晚于這個發(fā)卡行公鑰的失效日期。 發(fā)卡成員機(jī)構(gòu)的公私鑰對個數(shù)銀聯(lián)不限制成員發(fā)卡行使用的發(fā)卡行公私鑰對個數(shù)，因為發(fā)卡行公私鑰對的個數(shù)并不影響終端對一張 IC 卡的認(rèn)證。這樣成員發(fā)卡行可以根據(jù)其業(yè)務(wù)需求選擇使用一個或多個發(fā)卡行公私鑰對進(jìn)行它的發(fā)卡業(yè)務(wù)，需要考慮的因素有每一類 IC 卡產(chǎn)品、持卡人所在區(qū)域等。然而，為安全性考慮，銀聯(lián)建議成員發(fā)卡行按照它的發(fā)卡業(yè)務(wù)，根據(jù)銀行鑒別碼（BIN）來申請發(fā)卡行公鑰證書，并使用不同的發(fā)卡行公私鑰對來對具有不同 BIN 號的 IC 卡進(jìn)行發(fā)卡業(yè)務(wù)。這種方式能在發(fā)生發(fā)卡行簽名私鑰失密時更有效地控制安全和業(yè)務(wù)風(fēng)險。這樣，銀聯(lián)33 / 42要求成員發(fā)卡行的公鑰證書申請中包括 BIN 號。 成員收單機(jī)構(gòu)業(yè)務(wù)規(guī)則 引入新的根 CA公私鑰對見本規(guī)范第 節(jié)。 撤銷一對根 CA公鑰成員收單機(jī)構(gòu)必須確保其擁有的所有終端在一個根 CA 公私鑰對失效日期后的 6 個月內(nèi)將該公鑰移出終端并將其作廢。這個規(guī)則包括計劃的根 CA 公私鑰對的撤銷和提前根 CA 公私鑰對的撤銷。附錄 A 中國銀聯(lián)金融 IC 卡支付系統(tǒng)公鑰認(rèn)證服務(wù)會員注冊表中國銀聯(lián)金融 IC 卡支付系統(tǒng)公鑰認(rèn)證服務(wù)會員注冊表會員機(jī)構(gòu)名稱會員機(jī)構(gòu)代碼（IIN ）新的注冊 □ 更新已有注冊 □成員發(fā)卡行 □ 成員收單機(jī)構(gòu) □成員發(fā)卡和收單機(jī)構(gòu) □ 會員服務(wù)提供機(jī)構(gòu) □請指明應(yīng)用提供者標(biāo)識符 RID銀聯(lián)支付系統(tǒng)借記/貸記 RID D1 56 00 00 01其它 RID會員機(jī)構(gòu)授權(quán)安全官員信息（至少兩個安全官員）安全官員一 新加入 □ 刪除 □ 更新 □姓名 先生 □ 女士 □郵政地址郵政編碼電話號碼轉(zhuǎn)真號碼手機(jī)號碼2 / 42電子郵箱簽名 日期安全官員二 新加入 □ 刪除 □ 更新 □姓名 先生 □ 女士 □郵政地址郵政編碼電話號碼轉(zhuǎn)真號碼手機(jī)號碼電子郵箱簽名 日期附加安全官員安全官員三 新加入 □ 刪除 □ 更新 □姓名 先生 □ 女士 □郵政地址郵政編碼電話號碼轉(zhuǎn)真號碼3 / 42手機(jī)號碼電子郵箱簽名 日期安全官員四 新加入 □ 刪除 □ 更新 □姓名 先生 □ 女士 □郵政地址郵政編碼電話號碼轉(zhuǎn)真號碼手機(jī)號碼電子郵箱簽名 日期請指明成員機(jī)構(gòu)注冊在中國銀聯(lián)金融 IC 卡支付系統(tǒng)公鑰認(rèn)證服務(wù)的 BIN 碼，請在表中列出單個 BIN 碼或 BIN 碼的范圍。起始 BIN 碼 終止 BIN 碼起始 BIN 碼 終止 BIN 碼起始 BIN 碼 終止 BIN 碼起始 BIN 碼 終止 BIN 碼起始 BIN 碼 終止 BIN 碼起始 BIN 碼 終止 BIN 碼4 / 42起始 BIN 碼 終止 BIN 碼起始 BIN 碼 終止 BIN 碼起始 BIN 碼 終止 BIN 碼起始 BIN 碼 終止 BIN 碼起始 BIN 碼 終止 BIN 碼起始 BIN 碼 終止 BIN 碼起始 BIN 碼 終止 BIN 碼起始 BIN 碼 終止 BIN 碼起始 BIN 碼 終止 BIN 碼授權(quán)的會員機(jī)構(gòu)安全官員姓名簽名 日期姓名簽名 日期以下僅供銀聯(lián)內(nèi)部使用銀聯(lián)金融 IC 卡支付系統(tǒng)公鑰認(rèn)證服務(wù)審核員姓名 職務(wù)簽名 日期銀聯(lián)金融 IC 卡支付系統(tǒng)公鑰認(rèn)證服務(wù)審核員姓名 職務(wù)簽名 日期銀聯(lián)金融 IC 卡支付系統(tǒng)公鑰認(rèn)證服務(wù)機(jī)構(gòu)批準(zhǔn)姓名 職務(wù)5 / 42簽名 日期附錄 B 中國銀聯(lián)銀行卡 BIN 申請表銀聯(lián)銀行卡 BIN 申請表單位名稱地址（郵編）聯(lián)系人姓名聯(lián)系電話銀行卡種類是否帶 IC 芯片 □是 □否 如是請說明 IC 芯片上有何應(yīng)用卡種 □借記卡 □貸記卡 □準(zhǔn)貸記卡是否聯(lián)名卡 □是 □否 卡號長度 □□銀行卡用途說明卡片使用范圍 □國內(nèi) □國際 業(yè)務(wù)功能（請說明該銀行卡受理業(yè)務(wù)種類）： 2 / 42磁道信息格式標(biāo)準(zhǔn)（請注明使用了哪幾個磁道，各磁道符合什么標(biāo)準(zhǔn)，CVN、CVN2 校驗設(shè)置情況）申請?zhí)柎a個數(shù)銀行卡發(fā)行地點 此代碼預(yù)計啟用時間單位負(fù)責(zé)人簽字 單位蓋章 申請日期 3 / 42附錄 C 發(fā)卡行公鑰證書工作申請表中國銀聯(lián)金融 IC 卡支付系統(tǒng)公鑰認(rèn)證服務(wù)成員發(fā)卡行公鑰證書工作申請表 成員發(fā)卡行名稱申請記錄號會員機(jī)構(gòu)代碼（IIN）要求的 BIN 碼證書失效日期發(fā)卡行密鑰長度請求簽發(fā)證書的銀聯(lián)公鑰標(biāo)識發(fā)卡行所在地區(qū)發(fā)卡行證書申請類別 生產(chǎn)證書 □ 測試證書 □遞交申請的發(fā)卡行安全官員一 姓名電話 電子郵箱遞交申請的發(fā)卡行安全官員二 姓名電話 電子郵箱機(jī)構(gòu) 完成者 完成日期 遞交給 傳遞方式發(fā)卡行 銀聯(lián)審核員銀聯(lián)審核員 銀聯(lián) IC 卡部銀聯(lián) IC 卡部同 銀聯(lián)根 CA4 / 42意銀聯(lián) IC 卡部拒絕銀聯(lián)根 CA根 CA 簽發(fā) 銀聯(lián)審核員銀聯(lián)審核員 發(fā)卡行發(fā)卡行驗證 銀聯(lián)審核員