本發(fā)明涉及銀行信息安全技術領域，特別涉及一種基于聯(lián)機方式的銀行卡密鑰集中管理的動態(tài)實現(xiàn)方法及裝置。

背景技術：

銀行卡密碼是銀行系統(tǒng)驗證客戶身份真實性的重要方式?？蛻糨斎氲拿魑你y行卡密碼，銀行系統(tǒng)一般采用硬加密的方式產生PINOFFSET密文進行存儲，以保證客戶密碼安全而不被泄露。

銀行多個系統(tǒng)間如果涉及客戶PIN傳輸，都需要提前交換約定ZPK。當客戶輸入并設置銀行卡明文PIN后，由上游前端系統(tǒng)生成ZPK加密的PINBLOCK傳輸給下游后臺系統(tǒng)，銀行后臺系統(tǒng)會將接收到的ZPK加密的PINBLOCK密文轉換生成為PVK加密的PINOFFSET密文數(shù)據(jù)并保存在數(shù)據(jù)庫中。當客戶交易輸入密碼時，銀行后臺系統(tǒng)會將接收到的ZPK加密的PINBLOCK密文、PVK以及數(shù)據(jù)庫中的PINOFFSET密文都上送加密機進行硬加密的驗證，如果一致則驗密成功。在此過程中，客戶密碼驗證都是通過加密機硬件邏輯實現(xiàn)，密碼明文不會出現(xiàn)在加密機硬件之外，從而確保了客戶密碼的安全性。

在銀行卡密鑰集中管理的過程中，因為存量的銀行卡都是按照之前的分散密鑰生成的PINOFFSET，直接更換密鑰會導致存量銀行卡無法進行驗密；故為了所有的銀行卡在密鑰集中后能正常驗密，這就需要開發(fā)一個專有的工具，調用加密機將PINOFFSET按照之前的分散密鑰反算出PINBLOCK，然后再按照新的集中密鑰生成新的PINOFFSET。由于存量卡數(shù)量巨大，密鑰的更新無法在短時間內完成，會使系統(tǒng)切換窗口增加，加大系統(tǒng)投產風險。

技術實現(xiàn)要素：

本發(fā)明實施例的主要目的在于構建一種基于聯(lián)機方式的銀行卡密鑰集中管理的動態(tài)實現(xiàn)方法及裝置，摒棄使用一次性的更換所有存量銀行卡的密鑰方式，采取聯(lián)機方式代替批量工具轉換方式，在客戶進行銀行卡聯(lián)機交易時才對卡片密鑰進行更換。

為實現(xiàn)上述目的，本發(fā)明提供了一種銀行卡密鑰集中管理的動態(tài)實現(xiàn)方法，包括：

使用銀行卡交易時獲取銀行卡號；

根據(jù)所述銀行卡號獲取當前卡對應的加密密鑰標識位，利用所述加密密鑰標識位確定加密密鑰類型；

如果所述加密密鑰類型為分散密鑰加密，則利用所述銀行卡號對應的PINBLOCK及分散密鑰進行驗密；

驗密成功后，獲得新密鑰，根據(jù)所述新密鑰和所述銀行卡號對應的PINBLOCK生成新的PINOFFSET；并利用所述新的PINOFFSET更新當前卡的PINOFFSET，同時修改當前卡的加密密鑰標識位為集中密鑰類型，對當前卡的分散密鑰更換為集中密鑰。

可選的，在本發(fā)明一實施例中，還包括：

如果所述加密密鑰類型為集中密鑰加密，則將所述銀行卡號對應的集中密鑰進行驗密；

驗密成功后，執(zhí)行銀行卡交易。

可選的，在本發(fā)明一實施例中，所述銀行卡號在輸入交易密碼進行銀行卡交易時獲得。

可選的，在本發(fā)明一實施例中，還包括：

存儲所述銀行卡的分散密鑰和集中密鑰。

為實現(xiàn)上述目的，本發(fā)明還提供了一種銀行卡密鑰集中管理的動態(tài)實現(xiàn)裝置，包括：

銀行卡號獲取單元，用于使用銀行卡交易時獲取銀行卡號；

加密密鑰類型確定單元，用于根據(jù)所述銀行卡號獲取當前卡對應的加密密鑰標識位，利用所述加密密鑰標識位確定加密密鑰類型；

第一驗密單元，用于如果所述加密密鑰類型為分散密鑰加密，則利用所述銀行卡號對應的PINBLOCK及分散密鑰進行驗密；

密鑰更換單元，用于驗密成功后，獲得新密鑰，根據(jù)所述新密鑰和所述銀行卡號對應的PINBLOCK生成新的PINOFFSET；并利用所述新的PINOFFSET更新當前卡的PINOFFSET，同時修改當前卡的加密密鑰標識位為集中密鑰類型，對當前卡的分散密鑰更換為集中密鑰。

可選的，在本發(fā)明一實施例中，還包括：

第二驗密單元，用于如果所述加密密鑰類型為集中密鑰加密，則將所述銀行卡號對應的集中密鑰進行驗密；

交易單元，用于驗密成功后，執(zhí)行銀行卡交易。

可選的，在本發(fā)明一實施例中，所述銀行卡號獲取單元在輸入交易密碼進行銀行卡交易時獲得銀行卡號。

可選的，在本發(fā)明一實施例中，還包括：

存儲單元，用于存儲所述銀行卡的分散密鑰和集中密鑰。

上述技術方案具有如下有益效果：

本技術方案能減少開發(fā)成本，在簡單的密鑰數(shù)據(jù)遷移和對當前的密碼驗證和生產模塊上進行優(yōu)化即可完成密鑰集中的工作，無須重新開發(fā)新的工具操作數(shù)據(jù)和加密機。

同時本技術方案縮短了密鑰集中的切換時間窗口，將統(tǒng)一切換密鑰分散到系統(tǒng)平時的聯(lián)機交易中，保證了切換系統(tǒng)的平穩(wěn)過渡，也減少了系統(tǒng)故障風險。

附圖說明

為了更清楚地說明本發(fā)明實施例或現(xiàn)有技術中的技術方案，下面將對實施例或現(xiàn)有技術描述中所需要使用的附圖作簡單地介紹，顯而易見地，下面描述中的附圖僅僅是本發(fā)明的一些實施例，對于本領域普通技術人員來講，在不付出創(chuàng)造性勞動的前提下，還可以根據(jù)這些附圖獲得其他的附圖。

圖1為本發(fā)明實施例提供的一種銀行卡密鑰集中管理的動態(tài)實現(xiàn)裝置框圖；

圖2為本發(fā)明實施例提供的一種銀行卡密鑰集中管理的動態(tài)實現(xiàn)方法流程圖；

圖3為本實施例的工作流程圖。

具體實施方式

下面將結合本發(fā)明實施例中的附圖，對本發(fā)明實施例中的技術方案進行清楚、完整地描述，顯然，所描述的實施例僅僅是本發(fā)明一部分實施例，而不是全部的實施例?；诒景l(fā)明中的實施例，本領域普通技術人員在沒有做出創(chuàng)造性勞動前提下所獲得的所有其他實施例，都屬于本發(fā)明保護的范圍。

本領域技術技術人員知道，本發(fā)明的實施方式可以實現(xiàn)為一種系統(tǒng)、裝置、設備、方法或計算機程序產品。因此，本公開可以具體實現(xiàn)為以下形式，即：完全的硬件、完全的軟件(包括固件、駐留軟件、微代碼等)，或者硬件和軟件結合的形式。

根據(jù)本發(fā)明的實施方式，提出了一種擴展防火墻的應用層深度檢測方法、裝置及電子設備。

在本文中，需要理解的是，所涉及的術語中：

1、PIN：Personal Identification Number，即客戶個人密碼。

2、ZPK：一種工作密鑰，用于加密兩個通訊系統(tǒng)間需要傳輸?shù)目蛻裘魑腜IN。

3、PVK：PIN Verification Key，即PIN驗證密鑰，用于產生PINOFFSET及校驗PIN。

4、PINBLOCK：PINBLOCK目前主要使用標準ANSI X9.8Format(帶主賬號信息)格式，即客戶明文PIN按位異或主賬號得到的數(shù)據(jù)塊。銀行系統(tǒng)對于客戶輸入的明文PIN在交互傳輸?shù)倪^程中一般采用密鑰ZPK加密后的PINBLOCK密碼塊。

5、PINOFFSET：是客戶輸入的銀行賬號明文PIN在銀行系統(tǒng)的實際存儲形式。銀行系統(tǒng)對于接收到的ZPK加密的PINBLOCK，會轉換為PVK加密的PIN密文，即PINOFFSET，并將其存儲在銀行系統(tǒng)數(shù)據(jù)庫中。

此外，附圖中的任何元素數(shù)量均用于示例而非限制，以及任何命名都僅用于區(qū)分，而不具有任何限制含義。

下面參考本發(fā)明的若干代表性實施方式，詳細闡釋本發(fā)明的原理和精神。

發(fā)明概述

因為技術上的限制，之前銀行廣泛采取的后臺系統(tǒng)都是分散的子系統(tǒng)，在密鑰管理上經常會出現(xiàn)全國多把密鑰甚至在一個省內多把密鑰的情況，為了加強安全性，方便管理、維護，各銀行在進行后臺核心系統(tǒng)的大集中，其中就包括對密鑰的集中管理；密鑰的集中過程需要對銀行現(xiàn)有的分散管理的多個密鑰進行統(tǒng)一替換成一個集中密鑰。作為銀行系統(tǒng)中非常重要的一部分，銀行卡驗密處理和密鑰本身的更改都涉及到銀行系統(tǒng)海量存量銀行卡數(shù)據(jù)的更新，工作量和風險都很大。

目前現(xiàn)有技術主要有以下幾個問題：

1、成本問題；一次性更新所有的存量卡加密方式需要專有批量轉換工具，調用加密機對加密密鑰進行更換，這個工具本身需要開發(fā)成本。

2、效率問題；對銀行海量存量銀行卡進行一次性的密鑰更新需要大量時間，這會增大密鑰切換窗口時間。

3、風險問題；在密鑰切換過程中，一旦切換失敗可能會導致舊密鑰加密的PIN OFFSET丟失，這將導致客戶之后無法驗密，嚴重影響客戶體驗；同時密鑰切換窗口時間的增加也會帶來系統(tǒng)風險。

針對以上問題，本案針對銀行卡密鑰的集中管理提出了一種動態(tài)實現(xiàn)的方法，用聯(lián)機方式代替批量轉換方式，在生產環(huán)境中逐步修改存量銀行卡的加密密鑰和加密算法，將密鑰集中管理的系統(tǒng)壓力分散到一個長期的過程中，以達到穩(wěn)定、安全、循序漸進地實現(xiàn)對現(xiàn)有分散式密鑰的集中管理。

工作原理

本案實現(xiàn)了銀行后臺系統(tǒng)對多個密鑰和多種加密方式的兼容，在客戶輸入銀行卡密碼進行交易時，銀行后臺系統(tǒng)將根據(jù)當前銀行卡對應的舊的加密方法和舊的分散密鑰進行驗密，一旦驗密通過，則根據(jù)聯(lián)機上送的PINBLOCK執(zhí)行轉加密操作，并動態(tài)更新銀行卡為大集中的新密鑰標識，從而實現(xiàn)對存量銀行卡的密鑰集中管理。在此過程中，客戶不會感受到銀行后臺密鑰集中管理所帶來的影響。

在客戶聯(lián)機交易的過程中，存量的銀行卡逐步從分散的密鑰管理更新為統(tǒng)一的大集中密鑰，平滑地實現(xiàn)了密鑰的集合上收管理。

在介紹了本發(fā)明的基本原理之后，下面具體介紹本發(fā)明的各種非限制性實施方式。

示例性裝置

下面結合本案的工作原理，參考圖1分別對本發(fā)明示例性實施方式的裝置進行介紹。

參見圖1，為本發(fā)明實施例提供的一種銀行卡密鑰集中管理的動態(tài)實現(xiàn)裝置框圖。包括：

銀行卡號獲取單元101，用于使用銀行卡交易時獲取銀行卡號；

在本實施例中，所述銀行卡號獲取單元在輸入交易密碼進行銀行卡交易時獲得銀行卡號。

加密密鑰類型確定單元102，用于根據(jù)所述銀行卡號獲取當前卡對應的加密密鑰標識位，利用所述加密密鑰標識位確定加密密鑰類型；

第一驗密單元103，用于如果所述加密密鑰類型為分散密鑰加密，則利用所述銀行卡號對應的PINBLOCK及分散密鑰進行驗密；

密鑰更換單元104，用于驗密成功后，獲得新密鑰，根據(jù)所述新密鑰和所述銀行卡號對應的PINBLOCK生成新的PINOFFSET；并利用所述新的PINOFFSET更新當前卡的PINOFFSET，同時修改當前卡的加密密鑰標識位為集中密鑰類型，對當前卡的分散密鑰更換為集中密鑰。

在圖1的基礎上，本裝置還包括：

第二驗密單元，用于如果所述加密密鑰類型為集中密鑰加密，則將所述銀行卡號對應的集中密鑰進行驗密；

交易單元，用于驗密成功后，執(zhí)行銀行卡交易。

在本技術方案中，第一驗密模塊和第二驗密模塊共同構成驗密模塊，該驗密模塊兼容多種密鑰驗密，可以根據(jù)卡號查詢判定加密密鑰類型，根據(jù)加密密鑰類型選擇相應的加密密鑰進行驗密，密鑰更換單元可以使用聯(lián)機上送的PINBLOCK和集中密鑰更新PINOFFSET；客戶在輸入密碼時調用驗密單元，如果驗密通過且加密密鑰為分散密鑰，則調用密鑰更換單元將當前卡的加密密鑰從舊的分散密鑰更換為集中密鑰。

本領域普通技術人員可以理解實現(xiàn)上述實施例方法中的全部或部分流程，可以通過計算機程序來指令相關的硬件來完成，所述的程序可存儲于一般計算機可讀取存儲介質中，該程序在執(zhí)行時，可包括如上述各方法的實施例的流程。其中，所述的存儲介質可為磁碟、光盤、只讀存儲記憶體(Read-Only Memory，ROM)或隨機存儲記憶體(Random Access Memory，RAM)等。

本領域技術人員還可以了解到本發(fā)明實施例列出的各種功能是通過硬件還是軟件來實現(xiàn)取決于特定的應用和整個系統(tǒng)的設計要求。本領域技術人員可以對于每種特定的應用，可以使用各種方法實現(xiàn)所述的功能，但這種實現(xiàn)不應被理解為超出本發(fā)明實施例保護的范圍。

此外，盡管在上文詳細描述中提及了裝置的若干單元，但是這種劃分僅僅并非強制性的。實際上，根據(jù)本發(fā)明的實施方式，上文描述的兩個或更多單元的特征和功能可以在一個單元中具體化。同樣，上文描述的一個單元的特征和功能也可以進一步劃分為由多個單元來具體化。

示例性方法

在介紹了本發(fā)明示例性實施方式的設備之后，接下來，參考圖2對本發(fā)明示例性實施方式的方法進行介紹。

如圖2所示，為本發(fā)明實施例提供的一種銀行卡密鑰集中管理的動態(tài)實現(xiàn)方法流程圖。包括：

步驟201)：使用銀行卡交易時獲取銀行卡號；

在本實施例中，所述銀行卡號在輸入交易密碼進行銀行卡交易時獲得。

步驟202)：根據(jù)所述銀行卡號獲取當前卡對應的加密密鑰標識位，利用所述加密密鑰標識位確定加密密鑰類型；

步驟203)：如果所述加密密鑰類型為分散密鑰加密，則利用所述銀行卡號對應的PINBLOCK及分散密鑰進行驗密；

步驟204)：驗密成功后，獲得新密鑰，根據(jù)所述新密鑰和所述銀行卡號對應的PINBLOCK生成新的PINOFFSET；并利用所述新的PINOFFSET更新當前卡的PINOFFSET，同時修改當前卡的加密密鑰標識位為集中密鑰類型，對當前卡的分散密鑰更換為集中密鑰。

在本技術方案中，存儲所述銀行卡的分散密鑰和集中密鑰。

在圖2的基礎上，本方法還包括：

如果所述加密密鑰類型為集中密鑰加密，則將所述銀行卡號對應的集中密鑰進行驗密；

驗密成功后，執(zhí)行銀行卡交易。

由上述描述可知，本技術方案的驗密技術同時兼容多種驗密體系，能按照對應的加密方式和密鑰調用加密機對上送的PINBLOCK進行準確的驗密，同時在對分散密鑰生成的密碼在聯(lián)機方式驗證密碼正確后可以按照集中密鑰重新生成PIN OFFSET。

本發(fā)明實施例還提供一種計算機可讀程序，其中當在電子設備中執(zhí)行所述程序時，所述程序使得計算機在所述電子設備中執(zhí)行如圖2所述的銀行卡密鑰集中管理的動態(tài)實現(xiàn)方法。

本發(fā)明實施例還提供一種存儲有計算機可讀程序的存儲介質，其中所述計算機可讀程序使得計算機在電子設備中執(zhí)行如圖2所述的銀行卡密鑰集中管理的動態(tài)實現(xiàn)方法。

應當注意，盡管在附圖中以特定順序描述了本發(fā)明方法的操作，但是，這并非要求或者暗示必須按照該特定順序來執(zhí)行這些操作，或是必須執(zhí)行全部所示的操作才能實現(xiàn)期望的結果。附加地或備選地，可以省略某些步驟，將多個步驟合并為一個步驟執(zhí)行，和/或將一個步驟分解為多個步驟執(zhí)行。

實施例

為了能夠更加直觀的描述本發(fā)明的特點和工作原理，下文將結合一個實際運用場景來描述。

如圖3所示，為本實施例的工作流程圖。在實際中，對于一張銀行卡的客戶密碼，銀行后臺系統(tǒng)主要存儲的是PIN OFFSET密文；同時銀行后臺系統(tǒng)也存儲了ZPK、多個分散的子系統(tǒng)PVK、大集中PVK等系統(tǒng)工作密鑰。在密鑰集中的過程中，整合后的銀行后臺系統(tǒng)在存儲每張銀行卡的PINOFFSET的基礎上，同時為每張銀行卡設置標識位，標記當前銀行卡的加密密鑰類型。

對于密鑰集中管理后的銀行后臺系統(tǒng)，當客戶首次使用銀行卡交易并輸入密碼時，銀行前端上游系統(tǒng)會將ZPK加密后的PINBLOCK上送到銀行后臺系統(tǒng)；銀行后臺系統(tǒng)根據(jù)獲得的卡號查詢數(shù)據(jù)庫，獲得當前卡對應的加密密鑰類型；因為客戶是首次在密鑰集中整合后使用銀行卡，當前的加密方式仍然是分散密鑰系統(tǒng)的密鑰加密，故返回的密鑰類型還是初始值即分散密鑰加密；此時后臺再根據(jù)卡號判斷當前卡之前是哪個子系統(tǒng)的密鑰加密，并從數(shù)據(jù)庫中取出對應的密鑰；之后系統(tǒng)將上傳的PINBLOCK和取出的對應密鑰送加密機，加密機返回驗密結果。由此系統(tǒng)實現(xiàn)了對多種密鑰驗密方式的兼容。

當銀行卡聯(lián)機驗密結果返回后，如果卡片驗密結果為成功，且卡片密鑰類型為分散密鑰，銀行后臺系統(tǒng)會對當前卡的密碼進行轉加密操作，根據(jù)上送的PINBLOCK和新的大集中密鑰，送加密機處理生成新的PINOFFSET，此功能可以在現(xiàn)有密鑰生成硬件上利用軟件復用技術簡單修改即可實現(xiàn)；然后銀行后臺系統(tǒng)會將新的PINOFFSET覆蓋數(shù)據(jù)庫內當前卡記錄的原PIN OFFSET，同時修改卡的加密密鑰標識位為大集中密鑰類型。最后執(zhí)行交易。

如果客戶不是首次使用銀行卡交易，則在輸入密碼時，銀行前端上游系統(tǒng)會將ZPK加密后的PINBLOCK上送到銀行后臺系統(tǒng)；銀行后臺系統(tǒng)根據(jù)獲得的卡號查詢數(shù)據(jù)庫，獲得當前卡對應的加密密鑰類型；因為客戶不是首次在密鑰集中整合后使用銀行卡，當前的加密方式根據(jù)標識位確定為集中密鑰系統(tǒng)的密鑰加密。從數(shù)據(jù)庫中取出對應的集中密鑰，之后輸入至加密機，加密機返回驗密結果。

當銀行卡聯(lián)機驗密結果返回后，如果卡片驗密結果為成功，則直接執(zhí)行交易。

經過以上操作，當前銀行卡的加密密鑰完成了從舊密鑰系統(tǒng)的分散密鑰到新密鑰系統(tǒng)的集中密鑰動態(tài)遷移；當客戶再次使用這張銀行卡并進行驗密時，系統(tǒng)識別當前卡已是集中密鑰加密，則按照集中后的密鑰體系使用集中密鑰驗密，完全脫離了分散密鑰的使用。

隨著新集中密鑰系統(tǒng)的運行，存量銀行卡中使用分散密鑰加密的數(shù)據(jù)將逐漸減少，銀行系統(tǒng)的密鑰集中管理將自動平滑的實現(xiàn)。

本技術方案不需要批量工具，減少了開發(fā)成本；同時化整為零，避免了切換窗口時間過長的問題；客戶在交易時上送了PINBLOCK，無須增加專有的加密機指令支持反算PINBLOCK，密鑰的切換也更安全。

以上具體實施方式，對本發(fā)明的目的、技術方案和有益效果進行了進一步詳細說明，所應理解的是，以上僅為本發(fā)明的具體實施方式而已，并不用于限定本發(fā)明的保護范圍，凡在本發(fā)明的精神和原則之內，所做的任何修改、等同替換、改進等，均應包含在本發(fā)明的保護范圍之內。