我在哪里可以得到BDK進行DUKPT解密

Question

我在Thales HSM中為DUKPT生成了BDK Type3密鑰。 我已將此BDK（已在HSM的LMK下加密）發送給終端制造商，以生成IPEK密鑰並將其注入終端。

收到加密數據后，我有了KSN，現在又需要BDK對其進行解密。我沒有將BDK存儲在我的HOST應用程序中的任何位置。如何再次獲得BDK進行解密。它存儲在HSM中的某個位置嗎？ 。如果有多個BDK，如何找到用於此特定終端的正確BDK？

Answer 1

BDK （基本派生密鑰）應保留在HSM中，以便在需要解密時可用。 在解密期間，您會將KSN （密鑰序列號）作為輸入傳遞給HSM ，然后HSM將重新創建終端使用的DUKPT密鑰，以從BDK進行加密。

Answer 2

對於數據解密，可以將THALES HSM命令M2與參數一起使用

• BDK（在LMK下）-這是您發送到終端的密鑰
  制造商
• 加密數據-從終端接收
• KSN-從終端收到

關於BDK交換（您和終端制造商之間）

簡單的過程是：

1. 在您和制造商之間交換ZMK（區域主密鑰）
2. 在ZMK下加密BDK
3. 制造商在安全環境（密鑰注入室）中解密BDK（使用ZMK）
4. 制造商使用透明的BDK生產IPEK

您的BDK在LMK下已加密。 換句話說，您的BDK受LMK保護，這樣您就不能使用BDK（超級密鑰）。 一致地，如果您發送BDK（在LMK下），則制造商無法將BDK（明文）用於IPEK生成。 這就是為什么您在流程中需要ZMK的原因。