Р 1323565.1.013-2017. Рекомендации по стандартизации. Информационная технология. Криптографическая защита информации. Использование режимов алгоритма блочного шифрования в протоколе защищенного обмена сообщениями в процессе эмиссии платежных карт

(утв. и введены в действие Приказом Росстандарта от 28.12.2017 № 2116-ст)

Утверждены и введены в действие Приказом Федерального агентства по техническому регулированию и метрологии от 28 декабря 2017 г. № 2116-ст

РЕКОМЕНДАЦИИ ПО СТАНДАРТИЗАЦИИ

ИНФОРМАЦИОННАЯ ТЕХНОЛОГИЯ

КРИПТОГРАФИЧЕСКАЯ ЗАЩИТА ИНФОРМАЦИИ

ИСПОЛЬЗОВАНИЕ РЕЖИМОВ АЛГОРИТМА БЛОЧНОГО ШИФРОВАНИЯ В ПРОТОКОЛЕ ЗАЩИЩЕННОГО ОБМЕНА СООБЩЕНИЯМИ В ПРОЦЕССЕ ЭМИССИИ ПЛАТЕЖНЫХ КАРТ

Information technology. Cryptographic data security. Using of block encryption algorithm modes in secure messaging protocol for issuance of payment card

Р 1323565.1.013-2017

ОКС 35.040

Дата введения 1 июня 2018 года

Предисловие

1 РАЗРАБОТАНЫ Открытым акционерным обществом «Информационные технологии и коммуникационные системы» (ОАО «ИнфоТеКС»)

2 ВНЕСЕНЫ Техническим комитетом по стандартизации ТК 26 «Криптографическая защита информации»

3 УТВЕРЖДЕНЫ И ВВЕДЕНЫ В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 28 декабря 2017 г. № 2116-ст

4 ВВЕДЕНЫ ВПЕРВЫЕ

Правила применения настоящих рекомендаций установлены в статье 26 Федерального закона от 29 июня 2015 г. № 162-ФЗ «О стандартизации в Российской Федерации». Информация об изменениях к настоящим рекомендациям публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе «Национальные стандарты», а официальный текст изменений и поправок — в ежемесячном информационном указателе «Национальные стандарты». В случае пересмотра (замены) или отмены настоящих рекомендаций соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя «Национальные стандарты». Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)

Введение

В настоящих рекомендациях рассматривается протокол SCP-F2, предназначенный для защищенного обмена сообщениями между интегральной схемой смарт-карты и терминалом. Протокол SCP-F2 основывается на протоколе SCP02 спецификаций открытого стандарта GlobalPlatform [1]. В отличие от SCP02 в SCP-F2 используются российские криптографические алгоритмы ГОСТ 28147-89, ГОСТ Р 34.10-2012 и ГОСТ Р 34.11-2012.

Конструкции протокола SCP-F2 представляют собой защищенный канал связи между картой и внешним объектом, основанный на криптографических алгоритмах аутентификации, выработки ключей, конфиденциальности и целостности сообщений и предназначенный для использования системами при загрузке, установке и удалении приложений (апплетов) в интегральную схему смарт-карты.

Примечание — Настоящие рекомендации дополнены приложением А.

1 Область применения

Описанный в настоящих рекомендациях протокол рекомендуется применять при удаленном управлении контентом смарт-карты.

2 Нормативные ссылки

В настоящих рекомендациях использованы нормативные ссылки на следующие документы:

ГОСТ 28147-89 Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования

ГОСТ Р 34.10-2012 Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи

ГОСТ Р 34.11-2012 Информационная технология. Криптографическая защита информации. Функция хэширования

Р 50.1.113-2016 Информационная технология. Криптографическая защита информации. Криптографические алгоритмы, сопутствующие применению алгоритмов электронной цифровой подписи и функции хэширования

Р 1323565.1.010-2017 Информационная технология. Криптографическая защита информации. Использование функции диверсификации для формирования производных ключей платежного приложения

Примечание - При пользовании настоящими рекомендациями целесообразно проверить действие ссылочных документов в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет или по ежегодному информационному указателю «Национальные стандарты», который опубликован по состоянию на 1 января текущего года, и по выпускам ежемесячного информационного указателя «Национальные стандарты» за текущий год. Если заменен ссылочный документ, на который дана недатированная ссылка, то рекомендуется использовать действующую версию этого документа с учетом всех внесенных в данную версию изменений. Если заменен ссылочный документ, на который дана датированная ссылка, то рекомендуется использовать версию этого документа с указанным выше годом утверждения (принятия). Если после утверждения настоящих рекомендаций в ссылочный документ, на который дана датированная ссылка, внесено изменение, затрагивающее положение, на которое дана ссылка, то это положение рекомендуется применять без учета данного изменения. Если ссылочный документ отменен без замены, то положение, в котором дана ссылка на него, применяется в части, не затрагивающей эту ссылку.

3 Обозначения

В настоящих рекомендациях использованы следующие обозначения:

Vn — Конечномерное векторное пространство размерности n;

A||B — Конкатенация строк, то есть если A \in V_{n_{1}} , B \in V_{n_{2}} , A = (an1-1, an1-2,..., a0), B = (bn2-1, bn2-2,..., b0), то A||B = (a_{n1 - 1},a_{n1 - 2},...,a_{0},b_{n2 - 1},b_{n2 - 2},...,b_{0}) \in V_{n1 + n2} ;

- Операция покомпонентного сложения по модулю 2 двух двоичных строк одинаковой длины;

0r — Строка, состоящая из r нулей;

ATC — Счетчик сессий (Application Transaction Counter). Длина счетчика равна 2 байтам;

APDU — Протокольный Блок Данных Приложения;

CIN — Номер Образа Карты/Идентификационный Номер Карты;

CLA — Класс Командного Сообщения. Длина значения равна 1 байту;

C-MAC — Имитовставка запроса; формируется для всех команд, начиная с EXTERNAL AUTHENTICATE;

DAP — Шаблон Аутентификации Данных;

DK — Функция расшифрования;

EK — Функция шифрования;

HMAC₂₅₆ - Функция вычисления кода аутентификации сообщения HMAC, использующей алгоритм HMAC_GOSTR3411_2012_256, описанный в Р 50.1.113-2016. Длина значения равна 32 байтам;

ICC — Смарт-карта;

ICV — Начальный Вектор Формирования Цепи;

INS — Указательный байт командного сообщения. Длина значения равна 1 байту;

ISD — Домен Безопасности Эмитента;

KDF — Функция диверсификации, использующая алгоритм KDF_GOSTR3411_2012_256, описанный в Р 50.1.113-2016. Длина значения равна 32 байтам;

KENC — Мастер-ключ, используемый для генерации сессионного ключа (SENC) для аутентификации и шифрования (формирования/проверки криптограммы аутентификации); формируется в соответствии с Р 1323565.1.010-2017. Длина значения равна 32 байтам;

KMAC — Мастер-ключ, используемый для генерации сессионного ключа (SMAC) для обеспечения целостности (генерации и проверки имитовставки); формируется в соответствии с Р 1323565.1.010-2017. Длина значения равна 32 байтам;

KDEC — Мастер-ключ, используемый для генерации сессионного ключа (SDEC) для шифрования и расшифрования критичных данных; формируется в соответствии с Р 1323565.1.010-2017. Длина значения равна 32 байтам;

Lc — Точная длина данных команды. Длина значения равна 1 байту;

Le — Максимальная длина данных, ожидаемых в ответ на команды. Длина значения равна 1 байту;

MAC — Код Аутентификации Сообщения;

P1 — Параметр 1 контроля указателя. Длина значения равна 1 байту;

P2 — Параметр 2 контроля указателя. Длина значения равна 1 байту;

RFU — Зарезервировано для последующего использования;

R-MAC — Имитовставка для контроля целостности ответных сообщений; вычисляется, начиная со следующей после EXTERNAL AUTHENTICATE команды;

SCP — Протокол Защищенного Канала;

SW — Слово Состояния. Длина значения равна 2 байтам;

SW1 — Первый байт Слова состояния;

SW2 — Второй байт Слова состояния;

SENC — Сессионный ключ для аутентификации и шифрования (формирования/проверки криптограммы аутентификации). Длина значения равна 32 байтам;

S_{MAC}^{C} — Сессионный ключ для обеспечения целостности (генерации и проверки имитовставки C-MAC). Длина значения равна 32 байтам;

S_{MAC}^{R} — Сессионный ключ для обеспечения целостности (генерации и проверки имитовставки R-MAC). Длина значения равна 32 байтам;

SDEC — Сессионный ключ для шифрования и расшифрования критичных данных. Длина значения равна 32 байтам.

4 Описание

Возможные значения аргументов функций в представленных алгоритмах ограничены допустимостью их использования в качестве входных параметров преобразований.

4.1 Криптографический протокол

Для аутентификации между интегральной схемой карты и терминалом осуществляется следующее взаимодействие:

4.2 APDU-команды SCP-F2

В таблице 1 собраны минимальные требования безопасности для APDU-команд.

Таблица 1

4.2.1 Команда INITIALIZE UPDATE

4.2.1.1 Назначение и применение

Команда INITIALIZE UPDATE используется при установке защищенного соединения для передачи данных карты и сессионных данных между картой и хостом. Эта команда инициирует установку сессии защищенного соединения.

В любой момент в течение текущего защищенного соединения команда INITIALIZE UPDATE может быть выдана карте для инициирования новой сессии защищенного соединения.

4.2.1.2 Командное сообщение

В таблице 2 показан формат командного сообщения INITIALIZE UPDATE.

Таблица 2

4.2.1.3 Ответное сообщение

Поле данных в ответном сообщении содержит конкатенацию без разделителей элементов данных, описанных в таблице 3.

Таблица 3

4.2.1.4 Обработка состояния, возвращаемого в ответном сообщении

При успешном выполнении команды байты статуса имеют значение '0x90' '0x00'.

Данная команда может возвращать одну из ошибок состояния INITIALIZE UPDATE, определенных в таблице 4.

Таблица 4

4.2.2 Команда EXTERNAL AUTHENTICATE

4.2.2.1 Назначение и применение

Команда EXTERNAL AUTHENTICATE используется картой во время инициирования защищенного соединения для аутентификации хоста и определения уровня безопасности, требуемого для последующих команд.

Этой команде должно предшествовать успешное выполнение команды INITIALIZE UPDATE.

4.2.2.2 Командное сообщение

В таблице 5 показан формат командного сообщения EXTERNAL AUTHENTICATE.

Таблица 5

Возможные значения управляющего параметра P1 команды EXTERNAL AUTHENTICATE описаны в таблице 6.

Таблица 6

4.2.2.3 Обработка состояния, возвращаемого в ответном сообщении

Об успешном выполнении команды свидетельствуют значения байт статуса '0x90' '0x00'.

Эта команда может возвращать один из кодов предупреждения команды EXTERNAL AUTHENTICATE, определенных в таблице 7.

Таблица 7

4.3 Уровень безопасности (Security Level)

Текущий уровень безопасности (Current Security Level) какого-либо обмена сообщениями, не включенного в сессию защищенного соединения, должен быть установлен в значение NO_SECURITY_LEVEL.

Текущий уровень безопасности (Current Security Level) для сессии защищенного соединения SCP-F2 представляет собой комбинацию следующих битов: AUTHENTICATED, C_MAC, R_MAC и C_DECRYPTION. Текущий уровень безопасности (Current Security Level) должен формироваться следующим образом:

• NO_SECURITY_LEVEL, если сессия защищенного соединения завершена или еще не полностью установлена;
• AUTHENTICATED устанавливается после успешной обработки команды EXTERNAL AUTHENTICATE. Бит AUTHENTICATED должен быть сброшен, как только сессия защищенного соединения завершена;
• C_MAC устанавливается после успешной обработки команды EXTERNAL AUTHENTICATE с управляющим параметром P1, указывающим на применение C-MAC (P1 = 'x1' или 'x3'). Бит C_MAC должен быть сброшен, как только сессия защищенного соединения завершена. C_MAC синхронизирован с AUTHENTICATED и одновременно с ним выставляется и сбрасывается;
• C_DECRYPTION устанавливается после успешной обработки команды EXTERNAL AUTHENTICATE с управляющим параметром P1, указывающим на шифрование команды (P1 = 'x3'). Бит C_DECRYPTION должен быть сброшен, как только сессия ЗОС завершена. C_DECRYPTION всегда синхронизирован с AUTHENTICATED и C_MAC и одновременно с ними выставляется и сбрасывается;
• R_MAC устанавливается после успешной обработки команды EXTERNAL AUTHENTICATE со значением управляющего параметра P1, указывающим на R-MAC (P1 = '1x'). Бит R_MAC должен быть сброшен, как только сессия защищенного соединения завершена. R_MAC всегда используется вместе с AUTHENTICATED и одновременно с ним выставляется и сбрасывается. R_MAC может также сочетаться с C_MAC или C_DECRYPTION (в соответствии со значением управляющего параметра P1 команды EXTERNAL AUTHENTICATE) и одновременно с ними устанавливаться и сбрасываться.

4.4 Правила протокола

К протоколу SCP-F2 применяются следующие правила:

• при успешной установке сессии защищенного соединения текущий уровень безопасности (Current Security Level) устанавливается в значение, указанное в команде EXTERNAL AUTHENTICATE;
• текущий уровень безопасности (Current Security Level) сохраняется в течение всей сессии защищенного соединения до тех пор, пока не будет успешно модифицирован по запросу приложения карты, открывшего эту сессию;
• когда текущий уровень безопасности (Current Security Level) не установлен в значение AUTHENTICATED (имеет значение NO_SECURITY_LEVEL), то:
• если сессия защищенного соединения была прервана во время той же самой сессии приложения, входящая команда должна быть отклонена с ошибкой безопасности;
• в противном случае верификация безопасности входящей команды не производится;
• если сессия защищенного соединения задействована для входящих команд (то есть Current Security Level установлен как минимум в AUTHENTICATED), безопасность входящей команды проверяется в соответствии с текущим уровнем безопасности (Current Security Level) независимо от признаков ЗОС в байте CLA заголовка команды:
• когда безопасность команды не соответствует текущему уровню безопасности (Current Security Level) (в том числе превышает), команда должна быть отвергнута с ошибкой безопасности, сессия защищенного соединения прервана, а текущий уровень безопасности (Current Security Level) сброшен в NO_SECURITY_LEVEL;
• если обнаружена ошибка протокола (некорректная криптограмма, неверный формат команды), команда должна быть отвергнута с ошибкой безопасности, сессия защищенного соединения прервана, а текущий уровень безопасности (Current Security Level) сброшен в значение NO_SECURITY_LEVEL;
• во всех остальных случаях сессия защищенного соединения остается активной, а значение текущего уровня безопасности (Current Security Level) неизменным. За дальнейшую обработку команды отвечает приложение;
• если сессия защищенного соединения прервана (ABORTED), она еще не считается завершенной (TERMINATED);
• текущая сессия защищенного соединения (прерванная или еще открытая) должна быть завершена, а текущий уровень безопасности (Current Security Level) сброшен в значение NO_SECURITY_LEVEL в следующих случаях:
• попытка инициирования новой сессии защищенного соединения (новая команда INITIALIZE UPDATE);
• завершение сессии приложения (например, выбор нового приложения);
• завершение сессии карты (карта сброшена или выключено ее питание).

4.5 Криптографические алгоритмы

Для SCP-F2 применяются криптографические алгоритмы, описанные в ГОСТ 28147-89, и алгоритмы хэширования, описанные в ГОСТ Р 34.11-2012.

При использовании алгоритмов шифрования ГОСТ 28147-89 должны использоваться следующие параметры алгоритма (узлы замены):

id-tc26-gost-28147-param-Z, «1.2.643.7.1.2.5.1.1».

4.5.1 Режим сцепления блоков для ГОСТ 28147-89

4.5.1.1 Зашифрование

Открытый и при необходимости дополненный текст P \in V^{*} , |P| = 64·q, представляется в виде: P = P1||P2||...||Pq, P_{i} \in V_{64} , i = 1, 2,..., q.

Блоки шифртекста вычисляются по следующему правилу:

C0 = 064,

C_{i} = E_{K}(P_{i}C_{i - 1}) , i = 1, 2,..., q.

Результирующий шифртекст имеет вид: C = C1||C2||...||Cq.

4.5.1.2 Расшифрование

Шифртекст представляется в виде: C = C1||C2||...||Cq, C_{i} \in V_{64} , i = 1, 2,..., q.

Блоки открытого текста вычисляются по следующему правилу:

C0 = 064,

P_{i} = D_{K}(C_{i})C_{i - 1} .

Исходный (дополненный) открытый текст имеет вид: P = P1||P2||...||Pq.

4.5.2 Сессионные ключи ГОСТ 28147-89

Сессионные ключи ГОСТ 28147-89 генерируются каждый раз при установлении защищенного соединения. Эти сессионные ключи должны быть использованы для защиты всех последующих команд.

4.5.2.1 Сессионный ключ для вычисления имитовставки запроса C-MAC

Формирование сессионного ключа S_{MAC}^{C} осуществляется с использованием функции диверсификации KDF_GOSTR3411_2012_256 на основе HMAC256 и определяется выражением:

S_{MAC}^{C} = KDF(K_{in},label,seed) = HMAC_{256}(K_{in},0x01||label||0x00||seed||0x01||0x00) ,

где:

Kin = KMAC

label = (0x01||0x01)

seed = ATC,

то есть

S_{MAC}^{C} = HMAC_{256}(K_{MAC},0x01||label||0x00||ATC||0x01||0x00) .

4.5.2.2 Сессионный ключ для вычисления имитовставки ответа R-MAC

Формирование сессионного ключа S_{MAC}^{R} осуществляется с использованием функции диверсификации KDF_GOSTR3411_2012_256 на основе HMAC256 и определяется выражением:

S_{MAC}^{R} = KDF(K_{in},label,seed) = HMAC_{256}(K_{in},0x01||label||0x00||seed||0x01||0x00) ,

где:

Kin = KMAC

label = (0x01||0x02)

seed = ATC,

то есть

S_{MAC}^{R} = HMAC_{256}(K_{MAC},0x01||label||0x00||ATC||0x01||0x00) .

4.5.2.3 Сессионный ключ для формирования/проверки криптограммы аутентификации

Формирование сессионного ключа S_{MAC}^{C} осуществляется с использованием функции диверсификации KDF_GOSTR3411_2012_256 на основе HMAC256 и определяется выражением:

SENC = KDF(Kin, label, seed) = HMAC256(Kin, 0x01||label||0x00||seed||0x01||0x00),

где:

Kin = KENC

label = (0x01||0x82)

seed = ATC,

то есть

SENC = HMAC256(KENC, 0x01||label||0x00||ATC||0x01||0x00).

4.5.2.4 Сессионный ключ для шифрования/расшифрования критичных данных

Формирование сессионного ключа S_{MAC}^{C} осуществляется с использованием функции диверсификации KDF_GOSTR3411_2012_256 на основе HMAC256 и определяется выражением:

SDEC = KDF(Kin, label, seed) = HMAC256(Kin, 0x01||label||0x00||seed||0x01||0x00),

где:

Kin = KDEC

label = (0x01||0x81)

seed = ATC,

то есть

SENC = HMAC256(KDEC, 0x01||label||0x00||ATC||0x01||0x00).

4.5.3 Криптограмма аутентификации при инициировании защищенного соединения

Как карта, так и терминальное устройство (хост) генерируют криптограммы аутентификации. Терминальное устройство верифицирует криптограмму карты, а карта верифицирует криптограмму хоста. При генерации и верификации криптограмм аутентификации используется сессионный ключ SENC в режиме сцепления блоков. Криптограмма аутентификации представляет собой старшие (первые) 6 байтов последнего блока.

4.5.3.1 Криптограмма аутентификации карты

Генерация и верификация криптограммы карты выполняется посредством конкатенации 8 байтов случайного числа хоста (терминального устройства), 2 байтов счетчика сессий и 6 байтов случайного числа карты в один 16-байтовый блок.

Эти данные должны быть дополнены блоком из 8 байтов — ('0x80'||'0x00'||'0x00'||'0x00'||'0x00'||'0x00'||'0x00'||'0x00').

Далее к этому 24-байтовому блоку применяется алгоритм зашифрования ГОСТ 28147-89 в режиме сцепления блоков с использованием сессионного ключа SENC и синхропосылки ICV = ('0x00'||'0x00'||'0x00'||'0x00'||'0x00'||'0x00'||'0x00'||'0x00').

Криптограмма аутентификации представляет собой старшие (первые) 6 байтов последнего блока.

4.5.3.2 Криптограмма аутентификации хоста

Генерация и верификация криптограммы хоста выполняется посредством конкатенации 2 байтов последовательного счетчика, 6 байтов случайного числа карты и 8 байтов случайного числа хоста в один 16-байтовый блок.

Эти данные должны быть дополнены блоком из 8 байтов — ('0x80'||'0x00'||'0x00'||'0x00'||'0x00'||'0x00'||'0x00'||'0x00').

Далее к этому 24-байтовому блоку применяется алгоритм шифрования ГОСТ 28147-89 в режиме сцепления блоков с использованием сессионного ключа SENC и синхропосылки ICV = ('0x00'||'0x00'||'0x00'||'0x00'||'0x00'||'0x00'||'0x00'||'0x00').

Криптограмма аутентификации представляет собой старшие (первые) 6 байтов последнего блока.

4.5.4 Генерация и верификация имитовставки C-MAC APDU-команды

Имитовставка запроса (C-MAC) генерируется терминальным устройством по всем полям APDU запроса, кроме Le.

Имитовставка C-MAC имеет размер 4 байта и вычисляется по следующей схеме:

1 C-MAC формируется для всех команд, начиная с EXTERNAL AUTHENTICATE. Для вычисления первого C-MAC0 команды EXTERNAL AUTHENTICATE используется синхропосылка, состоящая из двоичных нулей;

2 Для всех последующих команд в качестве синхропосылки ICVC используется имитовставка предыдущей команды, выровненная стандартным способом [добавление справа ('0x80'||'0x00'||'0x00'||'0x00')] и зашифрованная по ГОСТ 28147-89 в режиме простой замены с сессионным ключом для расчета имитовставки (S_{MAC}^{C}) , то есть

ICV_{i}^{C} = E_{S_{MAC}^{C}}[C - MAC_{i - 1}||'0x80'||'0x00'||'0x00'||'0x00'] , i = 1,...;

3 Корректируется Lc с учетом добавления C-MAC к полю данных запроса, то есть

Lc' = Lc + 4 (Lc' — модифицированный Lc);

4 Модифицируется CLA: устанавливается бит защиты сообщений (в 3-й бит устанавливается значение '1'). CLA' — модифицированный CLA;

5 Подготавливаются данные для вычисления C-MAC:

M = (CLA'||INS||P1||P2||Lc'||[Data]);

6 Выполняется вычисление имитовставки по алгоритму ГОСТ 28147-89 на сессионном ключе S_{MAC}^{C} :

C - MAC = MAC(S_{MAC}^{C})[ICV^{C}||M] ;

7 C-MAC добавляется в конец командного сообщения APDU к полю данных.

После вычисления C-MAC APDU команда имеет вид:

APDU = CLA'||INS||P1||P2||Lc'||Data||C-MAC.

Чтобы верифицировать имитовставку C-MAC, карта использует синхропосылку ICVC и сессионный ключ S_{MAC}^{C} , аналогичные тем, что использовались терминальным устройством для генерации имитовставки C-MAC. Верифицированная имитовставка C-MAC запоминается и используется в качестве синхропосылки ICVC для следующей имитовставки. Это справедливо независимо от того, выполнена команда APDU успешно или нет, то есть верифицированная имитовставка C-MAC никогда не сбрасывается (в случае ошибки команда может быть повторена, но имитовставка должна быть другой).

Если сессия защищенного соединения происходит на вспомогательном логическом канале (Supplementary Logical Channel), номер логического канала добавляется к байту класса сообщения после генерации имитовставки C-MAC и до передачи сообщения карте. Карта должна удалять любую информацию о логическом канале из байта класса (то есть считать, что номер логического канала равен нулю) перед верификацией имитовставки C-MAC.

4.5.5 Генерация и верификация имитовставки R-MAC APDU-ответа

Протокол SCP-F2 предусматривает возможность контроля целостности ответных сообщений при помощи имитовставки R-MAC. Если при инициировании сессии защищенного соединения указан уровень безопасности, предполагающий вычисление R-MAC, то имитовставка R-MAC автоматически присоединяется ко всем ответным сообщениям, не считая первого (на команду EXTERNAL AUTHENTICATE).

Имитовставка R-MAC имеет размер 4 байта и вычисляется по следующей схеме:

1 R-MAC вычисляется, начиная со следующей после EXTERNAL AUTHENTICATE команды. В качестве ICVR для вычисления первого R-MAC берется C-MAC от команды EXTERNAL AUTHENTICATE, дополненный до 8 байтов нулями, то есть

ICV_{1}^{R} = (C - MAC_{0}||'0x00'||'0x00'||'0x00'||'0x00') ;

2 Для всех последующих команд в качестве ICVR берется предыдущий R-MAC, дополненный до 8 байтов нулями, то есть

ICV_{i}^{R} = (R - MAC_{i - 1}||'0x00'||'0x00'||'0x00'||'0x00') , i = 2,...;

3 В байте CLA команды сбрасываются биты защищенного обмена и номер логического канала (CLA' — модифицированный CLA);

4 Выставляется байт Li, в котором закодирована длина данных ответа по модулю 256. Li генерируется картой. Если данных ответа нет, этот байт все равно присутствует и установлен в ноль. В случае ошибки байт Li выставляется в '0x00', указывая на отсутствие данных ответа;

5 Подготавливаются данные для вычисления R-MAC:

M = (CLA'||INS||P1||P2||Lc (без учета шифрования и C-MAC)||

Data (без шифрования и C-MAC)||Li||R-Data (данные ответа)||SW);

6 Выполняется вычисление имитовставки по ГОСТ 28147-89 на сессионном ключе S_{MAC}^{R} (с надлежащим выравниванием данных) и использованием синхропосылки ICVR:

R - MAC = MAC(S_{MAC}^{R})[ICV^{R}||M] ;

7 R-MAC добавляется к полю ответа.

После вычисления R-MAC APDU команда имеет вид:

APDU = CLA'||INS||P1||P2||Lc||Data||Li||R-Data||R-MAC||SW.

Сгенерированная имитовставка R-MAC должна сохраняться и использоваться как синхропосылка ICVR для вычисления следующего значения R-MAC, независимо от того, выполнена APDU-команда успешно или нет. В случае обработки команд, в которых не предусмотрено поле данных ответа, добавляется поле Le, равное нулю, что означает готовность терминала принять до 256 байтов данных в ответе.

4.5.6 Шифрование поля данных APDU-команды

В SCP-F2 для всех APDU-команд может применяться шифрование сообщений.

Терминальное устройство зашифровывает поле данных командного сообщения, передаваемого карте. Любая ключевая информация внутри поля данных, которая шифруется на сессионном ключе шифрования критичных данных SDEC, например секретные или закрытые ключи, также шифруется вместе с другими данными. Заголовок и имитовставка при этом не шифруются.

Шифрование и расшифрование командного сообщения производится с использованием ГОСТ 28147-89 в режиме сцепления блоков, с использованием сессионного ключа SENC и синхропосылки ICVE, которая вычисляется следующим образом:

Синхропосылка ICVE для команды-запроса вычисляется по схеме:

ICV_{i}^{E} = E_{S_{MAC}^{C}}[C - MAC_{i}||'0x80'||'0x00'||'0x00'||'0x00'] , i = 1,...

Синхропосылка ICVE для команды-ответа вычисляется по схеме:

ICV_{i}^{E} = E_{S_{MAC}^{R}}[R - MAC_{i}||'0x80'||'0x00'||'0x00'||'0x00'] , i = 1,...

Результат операции становится частью поля данных в командном сообщении.

Перед шифрованием данных они должны быть выровнены согласно следующей процедуре:

• добавить '0x80' справа от блока данных;
• если полученная длина блока данных кратна 64 битам, то дальнейшее заполнение не требуется;
• добавлять двоичные нули в правой части блока данных, пока длина блока данных не станет кратной 64 битам.

В отличие от имитовставки байты выравнивания теперь становятся частью поля данных, в результате чего снова требуется изменить значение Lc. Шифрование данных выполняется после вычисления имитовставок C-MAC и R-MAC, если они предусмотрены действующим уровнем безопасности.

Сообщение передается карте. Карта должна сначала расшифровать командное сообщение и удалить байты выравнивания, прежде чем анализировать имитовставку C-MAC. При расшифровании используется синхропосылка ICVE, вычисленная по той же схеме, что и для шифрования, и тот же сессионный ключ SENC. Байты выравнивания должны быть удалены, а длина Lc модифицирована. В результате длина Lc будет равна сумме длины оригинального текста и длины имитовставки C-MAC.

4.5.7 Шифрование и расшифрование критичных данных

Шифрование данных используется при передаче карте критичных данных. Например, в команде PUT KEY необходимо шифровать все передаваемые карте ключи.

Процесс шифрования данных производится с использованием ГОСТ 28147-89 в режиме сцепления блоков, с использованием сессионного ключа SDEC и синхропосылки ICVE, которая вычисляется следующим образом:

Синхропосылка ICVE для команды-запроса вычисляется по схеме:

ICV_{i}^{E} = E_{S_{MAC}^{C}}[C - MAC_{i}||'0x80'||'0x00'||'0x00'||'0x00'] , i = 1,...

Синхропосылка ICVE для команды-ответа вычисляется по схеме:

ICV_{i}^{E} = E_{S_{MAC}^{R}}[R - MAC_{i}||'0x80'||'0x00'||'0x00'||'0x00'] , i = 1,...

Поскольку все стандартные ключи имеют длину 32 байта (кратны размеру блока — 8 байтов), выравнивание для операций шифрования не требуется.

К зашифрованным критичным данным применяются все криптографические операции защищенного обмена сообщениями (шифрование, вычисление C-MAC, R-MAC), как к обыкновенным данным команды.

Процесс расшифрования критичных данных картой прямо противоположен описанной выше операции: в частности, при операции расшифрования не удаляются выравнивающие байты, так как выравнивание не используется.

4.6 Управление контентом карты

Введем коды для криптографических алгоритмов на эллиптических кривых, которые можно использовать для ГОСТ Р 34.10-2012:

'B0' — ECC public key;

'B1' — ECC private key.

Управление контентом карты осуществляется согласно базовой спецификации с учетом следующих особенностей.

4.6.1 Проверка DAP-блока

Провайдер приложения или контролирующий орган могут потребовать проверить целостность кода приложения и аутентификацию до того, как код приложения загружен, установлен или доступен держателю карты. Привилегии обязательной DAP-верификации предоставляют данные сервисы от имени контролирующего органа.

Проверка DAP-блока осуществляется с использованием алгоритма ГОСТ 28147-89 в режиме вычисления имитовставки. Для генерации Load File Data Block Hash должен использоваться алгоритм ГОСТ Р 34.11-2012 (длина выходного значения хэш-функции равна 256 битов). Для вычисления имитовставки от хэш-значения используется отдельный ключ K-DAP. Длина имитовставки — 4 байта.

4.6.2 Токены

Токены делегированного управления являются подписями одной или нескольких функций делегированного управления (загрузка, установка и выгрузка), сформированных эмитентом карты и использующихся для обеспечения контроля эмитентом карты изменений ее контента. Токены требуются, когда Домен Безопасности Эмитента (ISD) не может сам отслеживать изменения. ISD должен проверять токены.

Для вычисления токенов используется алгоритм вычисления ЭП ГОСТ Р 34.10-2012 вместе с алгоритмом хэширования ГОСТ Р 34.11-2012. Управление ключами производится согласно документу [2]. Размер подписи — 64 байта.

4.6.3 Квитанции (receipts)

ISD может формировать квитанции в процессе делегированного управления. Квитанции подтверждают эмитенту карты, что диспетчер приложения изменил контент карты.

Для вычисления квитанций используется алгоритм ГОСТ 28147-89 в режиме вычисления имитовставки. Длина квитанции соответствует длине имитовставки — 4 байта.

Приложение А (справочное)

КОНТРОЛЬНЫЕ ПРИМЕРЫ

Приводимые ниже значения счетчика ATC, случайных чисел карты и хоста, данных APDU-команд, а также значения мастер-ключей KMAC, KENC, KDEC рекомендуется использовать только для проверки корректной работы конкретной реализации алгоритмов, описанных в настоящих рекомендациях.

Все числовые значения приведены в десятичной или шестнадцатеричной записи. Нижний индекс в записи числа обозначает основание системы счисления.

В данном приложении двоичные строки из V*, длина которых кратна 4, записываются в шестнадцатеричном виде, а символ конкатенации («||») опускается. То есть строка a \in V_{4r} будет представлена в виде ar-1 ar-2 ... a0, где a_{i} \in {0,1,...,9,a,b,c,d,e,f} , i = 0, 1,..., r — 1. Соответствие между двоичными строками длины 4 и шестнадцатеричными строками длины 1 задается естественным образом (таблица А.1).

Таблица А.1

Соответствие между двоичными и шестнадцатеричными строками

Преобразование, ставящее в соответствие двоичной строке длины 4r шестнадцатеричную строку длины r, и соответствующее обратное преобразование для простоты записи опускаются.

Символ «\» обозначает перенос числа на новую строку.

А.1 Исходные данные

ATC = 001016

Случайное число карты: 01020304050616

Случайное чисто хоста: 010203040506070816

А.1.1 Сессионные ключи

Мастер-ключи:

А.1.1.1 Сессионный ключ для вычисления имитовставки запроса C-MAC

Для вычисления сессионного ключа S_{MAC}^{C} используются мастер-ключ KMAC и константа label = 010116. На основе этих исходных данных получаем следующее значение сессионного ключа S_{MAC}^{C} :

А.1.1.2 Сессионный ключ для вычисления имитовставки ответа R-MAC

Для вычисления сессионного ключа S_{MAC}^{R} используются мастер-ключ KMAC и константа label = 010216. На основе этих исходных данных получаем следующее значение сессионного ключа S_{MAC}^{R} :

А.1.1.3 Сессионный ключ для формирования/проверки криптограммы аутентификации

Для вычисления сессионного ключа SENC используются мастер-ключ KENC и константа label = 018216. На основе этих исходных данных получаем следующее значение сессионного ключа SENC:

А.1.1.4 Сессионный ключ для шифрования/расшифрования критичных данных

Для вычисления сессионного ключа SDEC используются мастер-ключ KDEC и константа label = 018116. На основе этих исходных данных получаем следующее значение сессионного ключа SDEC:

А.1.2 Криптограмма аутентификации карты

Для вычисления криптограммы аутентификации карты используются сессионный ключ SENC, случайное число карты, случайное число хоста и счетчик сессий. На основе этих исходных данных получаем следующее значение криптограммы карты:

cardCryptogram = ab404dd3a93116

А.1.3 Криптограмма аутентификации хоста

Для вычисления криптограммы аутентификации хоста используются сессионный ключ SENC, случайное число карты, случайное число хоста и счетчик сессий. На основе этих исходных данных получаем следующее значение криптограммы хоста:

terminalCryptogram = 2b9b124505c016

А.1.4 Генерация имитовставки C-MAC APDU-команды

Для вычисления имитовставки C-MAC для команды EXTERNAL AUTHENTICATE используются сессионный ключ S_{MAC}^{C} и следующие исходные данные:

(CLA||INS||P1||P2||Lc||Data) = (84||82||13||00||06||2b₉b124505c0)16

ICV = 0000000016

На основе этих исходных данных получаем следующее значение C-MAC:

C-MAC = 9843485416

Тогда APDU-команда будет иметь вид:

EXTERNAL AUTHENTICATE = 848213000a2b9b124505c09843485416

А.1.5 Генерация имитовставки R-MAC APDU-команды

Для вычисления имитовставки R-MAC для команды, следующей за EXTERNAL AUTHENTICATE, используются сессионный ключ S_{MAC}^{R} и следующие исходные данные:

(CLA||INS||P1||P2||Lc||Data) = (84||ca||13||00||03||119a10)16

Данные ответа отсутствуют, то есть: (Li||R-Data) = (00)16

SW = 900016

ICV = 9843485416

На основе этих исходных данных получаем следующее значение R-MAC:

R-MAC = 3d82433716

Тогда APDU-команда будет иметь вид:

APDU = 84ca130003119a10003d824337900016

А.1.6 Шифрование поля данных APDU-команды

Команда APDU с имитовставкой C-MAC:

APDU = 84ca130007119a1014ac12dc16

Следовательно, шифруются данные: Data = 119a1016

После шифрования поля данных на сессионном ключе SENC команда принимает вид:

APDU = 84ca13000c7b91cf97ccc6a3d014ac12dc16

А.1.7 Шифрование критичных данных APDU-команды

Команда APDU с критичными данными и имитовставкой C-MAC:

Следовательно, шифруются критичные данные:

После шифрования критичных данных на сессионном ключе SDEC команда принимает вид:

А.2 Исходные данные

ATC = 000316

Случайное число карты: 11021304151616

Случайное чисто хоста: 612233540506293816

А.2.1 Сессионные ключи

Мастер-ключи:

А.2.1.1 Сессионный ключ для вычисления имитовставки запроса C-MAC

Для вычисления сессионного ключа S_{MAC}^{C} используются мастер-ключ KMAC и константа label = 010116. На основе этих исходных данных получаем следующее значение сессионного ключа S_{MAC}^{C} :

А.2.1.2 Сессионный ключ для вычисления имитовставки ответа R-MAC

Для вычисления сессионного ключа S_{MAC}^{R} используются мастер-ключ KMAC и константа label = 010216. На основе этих исходных данных получаем следующее значение сессионного ключа S_{MAC}^{R} :

А.2.1.3 Сессионный ключ для формирования/проверки криптограммы аутентификации

Для вычисления сессионного ключа SENC используются мастер-ключ KENC и константа label = 018216. На основе этих исходных данных получаем следующее значение сессионного ключа SENC:

А.2.1.4 Сессионный ключ для шифрования/расшифрования критичных данных

Для вычисления сессионного ключа SDEC используются мастер-ключ KDEC и константа label = 018116. На основе этих исходных данных получаем следующее значение сессионного ключа SDEC:

А.2.2 Криптограмма аутентификации карты

Для вычисления криптограммы аутентификации карты используются сессионный ключ SENC, случайное число карты, случайное число хоста и счетчик сессий. На основе этих исходных данных получаем следующее значение криптограммы карты:

cardCryptogram = 9fe76e33976b16

А.2.3 Криптограмма аутентификации хоста

Для вычисления криптограммы аутентификации хоста используются сессионный ключ SENC, случайное число карты, случайное число хоста и счетчик сессий. На основе этих исходных данных получаем следующее значение криптограммы хоста:

terminalCryptogram = 1be4f4ae3e0316

А.2.4 Генерация имитовставки C-MAC APDU-команды

Для вычисления имитовставки C-MAC для команды EXTERNAL AUTHENTICATE используются сессионный ключ S_{MAC}^{C} и следующие исходные данные:

(CLA||INS||P1||P2||Lc||Data) = (84||82||13||00||06||1be4f4ae3e03)16

ICV = 0000000016

На основе этих исходных данных получаем следующее значение C-MAC:

C-MAC = f43be2fb16

Тогда APDU-команда будет иметь вид:

EXTERNAL AUTHENTICATE = 848213000a1be4f4ae₃e03f43be₂fb16

А.2.5 Генерация имитовставки R-MAC APDU-команды

Для вычисления имитовставки R-MAC для APDU-команды используются сессионный ключ S_{MAC}^{R} и следующие исходные данные:

Данные ответа:

На основе этих исходных данных получаем следующее значение R-MAC:

R-MAC = 4aca4f1416

Тогда APDU-команда будет иметь вид:

А.2.6 Шифрование поля данных APDU-команды

Команда EXTERNAL AUTHENTICATE с имитовставкой C-MAC:

EXTERNAL AUTHENTICATE = 848213000a1_be4f4ae3e03f43be2fb16

Следовательно, шифруются данные: Data = 1be4f4ae3e0316

После шифрования поля данных на сессионном ключе SENC команда принимает вид:

EXTERNAL AUTHENTICATE = 848213000c8b33b1ddf6dcfabaf43be2fb16

А.2.7 Шифрование критичных данных APDU-команды

Команда APDU с критичными данными:

Следовательно, шифруются критичные данные:

После шифрования критичных данных на сессионном ключе SDEC команда принимает вид:

А.3 Исходные данные

ATC = 000116

Случайное число карты: 11221356238916

Случайное чисто хоста: 783233631206293416

А.3.1 Сессионные ключи

Мастер-ключи:

А.3.1.1 Сессионный ключ для вычисления имитовставки запроса C-MAC

Для вычисления сессионного ключа S_{MAC}^{C} используются мастер-ключ KMAC и константа label = 010116. На основе этих исходных данных получаем следующее значение сессионного ключа S_{MAC}^{C} :

А.3.1.2 Сессионный ключ для вычисления имитовставки ответа R-MAC

Для вычисления сессионного ключа S_{MAC}^{R} используются мастер-ключ KMAC и константа label = 010216. На основе этих исходных данных получаем следующее значение сессионного ключа S_{MAC}^{R} :

А.3.1.3 Сессионный ключ для формирования/проверки криптограммы аутентификации

Для вычисления сессионного ключа SENC используются мастер-ключ KENC и константа label = 018216. На основе этих исходных данных получаем следующее значение сессионного ключа SENC:

А.3.1.4 Сессионный ключ для шифрования/расшифрования критичных данных

Для вычисления сессионного ключа SDEC используются мастер-ключ KDEC и константа label = 018116. На основе этих исходных данных получаем следующее значение сессионного ключа SDEC:

А.3.2 Криптограмма аутентификации карты

Для вычисления криптограммы аутентификации карты используются сессионный ключ SENC, случайное число карты, случайное число хоста и счетчик сессий. На основе этих исходных данных получаем следующее значение криптограммы карты:

cardCryptogram = b845e5f95f3716

А.3.3 Криптограмма аутентификации хоста

Для вычисления криптограммы аутентификации хоста используются сессионный ключ SENC, случайное число карты, случайное число хоста и счетчик сессий. На основе этих исходных данных получаем следующее значение криптограммы хоста:

terminalCryptogram = eb3203fc84ab16

А.3.4 Генерация имитовставки C-MAC APDU-команды

Для вычисления имитовставки C-MAC для команды EXTERNAL AUTHENTICATE используются сессионный ключ S_{MAC}^{C} и следующие исходные данные:

(CLA||INS||P1||P2||Lc||Data) = (84||82||13||00||06||eb3203fc84ab)16

ICV = 0000000016

На основе этих исходных данных получаем следующее значение C-MAC:

C-MAC = 3b6ccdb416

Тогда APDU-команда будет иметь вид:

EXTERNAL AUTHENTICATE = 848213000ae_b3203fc84ab3b6ccdb416

А.3.5 Генерация имитовставки R-MAC APDU-команды

Для вычисления имитовставки R-MAC для APDU-команды используются сессионный ключ S_{MAC}^{R} и следующие исходные данные:

(CLA||INS||P1||P2||Lc||Data) = (84||ca||13||00||06||119aba122190)16

Данные ответа: (Li||R-Data) = (07||000120aa809012)16

SW = 900016

ICV = 4aca4f1416

На основе этих исходных данных получаем следующее значение R-MAC:

R-MAC = 814dbd0f16

Тогда APDU-команда будет иметь вид:

А.3.6 Шифрование поля данных APDU-команды

Команда APDU с имитовставкой R-MAC:

APDU = 84ca130006119aba12219007000120aa809012814dbd0f900016

Следовательно, шифруются данные:

Data = 119a_ba12219016

R-Data = 000120aa80901216

После шифрования поля данных на сессионном ключе SENC команда принимает вид:

APDU = 84c_a13000833dfc3b82e3bd06c0864fc317abf1062aa814dbd0f900016

А.3.7 Шифрование критичных данных APDU-команды

Команда APDU с имитовставкой C-MAC и критичными данными:

Следовательно, шифруются критичные данные:

После шифрования критичных данных на сессионном ключе SDEC команда принимает вид:

Библиография