我在哪里可以得到BDK进行DUKPT解密

Question

我在Thales HSM中为DUKPT生成了BDK Type3密钥。 我已将此BDK（已在HSM的LMK下加密）发送给终端制造商，以生成IPEK密钥并将其注入终端。

收到加密数据后，我有了KSN，现在又需要BDK对其进行解密。我没有将BDK存储在我的HOST应用程序中的任何位置。如何再次获得BDK进行解密。它存储在HSM中的某个位置吗？ 。如果有多个BDK，如何找到用于此特定终端的正确BDK？

Answer 1

BDK （基本派生密钥）应保留在HSM中，以便在需要解密时可用。 在解密期间，您会将KSN （密钥序列号）作为输入传递给HSM ，然后HSM将重新创建终端使用的DUKPT密钥，以从BDK进行加密。

Answer 2

对于数据解密，可以将THALES HSM命令M2与参数一起使用

• BDK（在LMK下）-这是您发送到终端的密钥
  制造商
• 加密数据-从终端接收
• KSN-从终端收到

关于BDK交换（您和终端制造商之间）

简单的过程是：

1. 在您和制造商之间交换ZMK（区域主密钥）
2. 在ZMK下加密BDK
3. 制造商在安全环境（密钥注入室）中解密BDK（使用ZMK）
4. 制造商使用透明的BDK生产IPEK

您的BDK在LMK下已加密。 换句话说，您的BDK受LMK保护，这样您就不能使用BDK（超级密钥）。 一致地，如果您发送BDK（在LMK下），则制造商无法将BDK（明文）用于IPEK生成。 这就是为什么您在流程中需要ZMK的原因。