概述

    居民健康卡采用IC卡技術，在居民健康卡及涉及的相關業務中，密碼技術是保障業務數據的安全的基礎手段。卡片的制作、管理及應用系統的業務流程都需要密碼技術的支撐。

    居民健康卡數據安全保障系統由密鑰、加密算法、加密設備、密鑰服務、管理系統軟件組成。

    密鑰管理系統負責卡片級密鑰、管理密鑰、消費密鑰、第三方合作機構密鑰接入的管理，是居民健康卡的核心系統，和應用系統一起構成居民健康卡卡系統的安全保障體系。密鑰管理系統需要為應用系統以及數量巨大卡片的制作、管理提供有效的支持，完善、可控的密鑰管理體系是保障居民健康卡項目合規、安全、發展的重要組成部分。

    建設方案

    本方案采用江南科友“密鑰管理系統”為基礎的安全技術，提供各業務系統的密鑰管理、安全計算支持，完善居民健康卡系統的安全保障體系。

    密鑰管理系統提供如下功能：
    負責完成PBOC2.0 標準的發卡機構證書的申請、管理等；
    負責IC卡應用相關的密鑰（包括應用密鑰、卡片個人化交換主密鑰等）管理；
    負責分發各類密鑰到卡片制造商、卡片個人化中心及業務前置交易加密機等；
    對于對稱、非對稱密鑰體系的各種密鑰管理；
    其它與密鑰管理相關的功能需求，如密鑰操作審計，密鑰操作權限限制的等功能。

    密鑰系統中密鑰間的層次關系見如下圖。

    在居民健康卡業務系統中，江南科友“密鑰管理系統”支持衛生部支持的CA系統，且可以實現居民健康卡中涉及的各種密鑰的管理。

    密鑰管理系統邏輯架構

{$page$}

    如圖所示，密鑰管理系統主要包括管理服務器軟件、核心服務軟件、管理界面軟件、API四個軟件模塊。

    密鑰管理系統主要完成如下工作：
    多版本的密鑰管理功能，保證密鑰版本在整個生命周期內產生、存儲、更新、傳輸、使用、銷毀的正確性和安全性；
    審計密鑰管理操作、配置管理操作等；
    管理發卡機構的密鑰、證書數據。包括IC卡根密鑰的產生及存儲、發卡機構RSA對生成及存儲、發卡機構證書申請及存儲、根CA公鑰文件下載及存儲等；
    管理IC卡卡片密鑰、證書數據。包括IC卡交易主密鑰生成、IC卡RSA對生成、簽發IC卡證書、簽名IC卡靜態應用數據等；
    管理發卡機構IC卡交易主密鑰分發。包括MDKs密鑰向加密服務系統分發等；管理根CA公鑰文件向終端的分發。包括根CA公鑰文件的下載等。

    產品及技術

    密鑰管理系統KMS

    “密鑰管理系統”，是廣州江南科友科技股份有限公司基于銀行、移動、電信、衛生等各種機構對密鑰管理的安全需求，以及多年的數據安全設計經驗，自主開發設計的安全密鑰管理系統，滿足各種機構密鑰管理的安全需求，并支持各種安全介質管理、發行和業務處理。

    “密鑰管理系統”主要功能是為服務系統提供密鑰管理與服務功能，可以廣泛應用于衛生、銀行、移動、電信、社保、交通等多個行業的電子計算機網絡系統中。該產品借鑒了國內外同類產品設計的先進思想，采用配置化管理，滿足用戶多應用多業務密鑰管理需求，并且具有良好的人機管理操作界面。在安全管理上，具有完善的人員認證、安全控制、運維監控及審計機制，并且支持雙機熱備工作模式，大大增強了系統的可靠性。

    該系統是一套軟件系統，以安全硬件密碼設備為支撐，從密鑰使用的角度對業務系統中的各種密鑰進行管理，關鍵算法運算和操作通過安全硬件密碼設備來實現，安全性得到保障。

    應用該產品可以幫助客戶快速構建一套安全、自動、高效的密鑰管理體系，大大提高應用系統的安全性，這對于維護國家和客戶利益，保守信息秘密，防止各種信息犯罪，具有十分重要的意義。

    密鑰管理中心是安全服務的基礎平臺，密碼設備只是密碼算法提供者，而應用只是平臺的服務對象，密鑰管理中心不與任何設備型號或應用類型綁定，具備設備無關性和應用無關性兩大特點。

    通過密鑰集中管理與維護，設計、實施、管理操作的標準化等手段，可以有效降低安全管理成本。

    通過密鑰集中管理，可以將各業務系統如用戶密鑰、設備密鑰、卡片米啊喲等關鍵密鑰的產生、分發、處理、存儲以及銷毀等生命周期的各個環節進行集中安全管理，將密鑰、設備、口令的安全管理流程化、制度化，提升整體安全性。

    由于密鑰管理系統在IC卡應用系統中至關重要的安全核心作用，對該系統的研發、生產和銷售的全過程需要嚴格遵循《商用密碼管理條例》，具體要求包括以下幾點：

    密鑰管理系統（包括相關的軟硬件平臺）需要經過國家密碼管理局的認證；
    密鑰管理系統使用經國家密碼管理局審定通過的算法實現密鑰的生成、分散、傳輸等密鑰管理功能；
    上述算法的實現使用經國家密碼管理局審定通過的硬件加密設備（包括加密卡、加密機、IC卡等）；
    系統采用合理的安全性設計，確保密鑰在生成、存儲、傳輸、使用等環節的安全；
    密鑰管理加密機禁止提供通過網絡導出密鑰的功能；
    加密機中的密鑰任何時候都不以明文形式傳輸到加密機之外。

    江南科友

    廣州江南科友科技股份有限公司（以下簡稱“江南科友”）成立于1991年，注冊資本3100萬元人民幣，注冊經營地為廣州市天河高新技術產業開發區工業園。

    江南科友專注于金融領域的信息安全，業務覆蓋全國，四大國有銀行以及幾乎所有全國性股份制商業銀行都采用了江南科友提供的安全產品或服務。公司司長期關注行業發展方向，不斷開發新的產品和服務項目，特別是整合多年專業經驗推出的“密碼服務平臺”、“運維審計服務”等產品，創造性地解決了客戶所關心的問題，獲得了客戶的高度認同。