POS终端中的那些密钥以及POS签到那些事

加密机主密钥（MK——Master Key）

加密机主密钥是存入在HSM机内的由三个成分合成的一对最上层密钥。在HSM机器以外的地方不会以明文形式存放，它采用双倍标准DES密钥（长达112位）实现三重数据加密。由于DES算法依靠某一个密钥进行加密，同时所有密钥和数据都经由MK进行加密，所以MK必须通过一种安全的方法生成和维护。MK由三个成分组成，32位十六进制数为一个成分。MK以密文行书存储在加密机黑匣子中，且永远不以明文形式出现。一般说来TMK通过MK加密后保持在数据库中。

终端主密钥（TMK——Terminal Master Key）

TMK，主要作用是用来验证工作密钥是否合法，以及加密TAK、TPK，保证TAK和TPK在传输线路上地安全性。一般情况下，TMK是人工在POS设置或者通过IC卡导入，也有可能通过母POS下发。TMK被写入密钥保护芯片，此芯片具有自毁功能，能很好地保护TMK的安全性。TMK是和每一台POS相关联的，即主密钥和POS设备是一一对应的。TMK又分为明文和密文，由具备银联认可资质的服务商下发（举例：工商银行、招商银行、建设银行）。如果是密文，则需要先解密，然后校验，校验通过后，在本地存储。

如果终端主密钥时密文，该如何解密呢？需要用KEK进行解密，那么KEK又是什么呢？KEK为密钥加密密钥。

工作密钥

工作密钥也称为数据密钥，包含PIN密钥，MAC密钥以及磁道密钥。在POS每次做签到交易时，由POS中心下发给POS。存储在本地，需要经常性地定期更换，通常每天更换一次。

PIN密钥

终端PIN密钥是一个数据加密用的密钥，用于加密PIN，什么是PIN呢？PIN就是你的银行卡密码。在签到时，以密文的形式下发给POS终端，POS机接收到密文后，需要用TMK去解密，然后校验，校验通过后，将TPK存储在专用地密钥保护芯片里。TPK用于加密在局域网内POS终端和POS中心之间传送地PIN。

TPK的用法：当你在密码键盘上输入银行卡密码时，输出的是加密后的密文（通过TPK加密），那么在网络传输中，一直都使用该密文，即使被截获，得到的也是密文。

这里有个注意点，就是校验。通过校验KCV，签到的时候，下发给POS机的不仅有工作密钥，还有每个密钥的checkvalue。

终端认证密钥(TAK–Terminal Administrative Key)

终端认证密钥用于计算校验MAC。MAC是用来完成消息来源正确性鉴别，防止数据被篡改或非法用户切入的数据。TAK也同样是在签到时，以密文的形式下发给POS终端，POS机接收到密文后，用TMK终端主密钥解密，然后校验，校验通过后，将TAK存储在专用的密钥保护芯片里。TAK用于局域网内POS终端与POS中心之间传送消息时，生成和校验一个消息认证码（Message Authentication Code), 从而达到消息认证的目的。TAK需要经常性地定期更换，通常每天更换一次。

POS机签到的定义

POS机签到一般分为操作员签到和POS机签到。

操作员签到是验证操作员的合法性，需要输入操作员号和密码，该签到在POS机上完成，属于脱机操作。
POS签到是验证POS机的合法性，需要和POS中心发生通讯，POS签到时一般会有数据接受发送对的提示，签到时后台会下发一个MAC（消息认证码），之后的联机操作都会上送这个MAC以确保交易发生在同一台POS机上。

POS签到的意义

为什么要吃饱了撑着没事干，搞个POS签到，直接进行交易不可以吗？POS签到主要是连接后台验证该POS机设备时合法的，以及下载最新的工作密钥。POS设备硬件芯片在出厂时会设置唯一标识的设备ID。签到就是POS设备向服务器发起签到请求，然后让服务器返回三个工作密钥。POS签到还将得到批次号。