lucasma的博客

不要以为我这篇文章是告诉你什么是8583，告诉你map的原理,然后分析各个域是什么意思，格式如何, 再有详细一点的甚至告诉你如何写程序等等. 不是, 之所以不写上面这些，基于两点:1 太多的人写这些了, 网上一搜8583,出来的文章都是关于这些的.2 作用不大, 因为这些规范上都有, 大家一看规范就明白了, 我写了也是无用.我篇文章适合两类人看:1 对8583报文非常熟悉...

与国际流程不同，国密的验签都没有解密的步骤，公钥都是以明文的形式在公钥证书里保存的，然后签名拼接在最后面。 终端只需要调用SM2接口验签，然后保存公钥即可。

首先paywave很多检测标准和emv是重叠的，接触式功能(VSDC)的终端，如果已经通过了EMV L1&L2, 并不需要在去visa指定的实现室送检了。visa是认可EMV的证书的。非接功能(qVSDC)的终端，visa只认可EMV非接通讯协议的证书，也就是非接EMV level1。level2及以上应用要到visa指定的实验室检测通过才能拿到paywave的证书。

如果得到的是发卡行主密钥MDK-MAC，需要联合卡号以及卡片序列号分散成卡片子密钥，具体步骤参见安全规范11.1.4部分。这里不再详述。

转载请注明出处http://blog.csdn.net/pony_maggie/article/details/39780825作者:小马 很多银行的制卡数据，电子现金和借贷记的tag 9F46( IC卡公钥证书)都是不相同的，原因是什么呢? 通常 首先，发卡行公钥证书是相同的，那么发行卡公钥是相同的，那么发卡行私钥肯定是相同的。IC卡公钥证书是用发

转载请注明出处http://blog.csdn.net/pony_maggie/article/details/39780825作者:小马 第一种情况卡片收到GPO的命令，分析不满足电子现金的条件，也就是下面几个条件中任意一个不满足: 1 命令中包含电子现金终端支持指示器（设置为“1”）；2 交易货币代码与应用货币代码匹配；3 授权金

圈存脚本执行失败，是否一定要冲正？要分是什么情况。先来看看脚本的格式：

EMV在欧洲最早开始推行，当时在英国使用EMV卡支付时，基本都是要输入脱机pin的。也就是说当时脱机pin是作为首选的CVM。所以英国银行业就给这种基于EMV卡片的支付方式起了一个名字叫chip and pin。当时也有另外一种支付方法叫chip and signature, 也就是基于持卡人签名的验证方法，但是在欧洲用得比较少，持卡人至少心理上是认为输入pin更全一些。

转载请注明出处http://blog.csdn.net/pony_maggie/article/details/39780825作者:小马产生区别的原因在于非接环境做交易有可能走快速支付的流程，为了减少交易时间就必须要优化指令流。有人可能会有疑问，如果是走非接PBOC，PPSE的FCI是否就可以和PSE一样了？答案是否定的，因为在选择PPSE阶段，卡片并

完全理解ECC算法需要一定的数学功底，因为涉及到射影平面坐标系，齐次方程求解, 曲线的运算规则等概念。这里不做过多的数学分析(主要是我自己也没有完全整明白)。想要深入了解ECC的我推荐网名为ZMWorm 的大牛在多年前写的<<椭圆曲线ECC加密算法入门介绍>>。此人是早年看雪论坛中的一个版主，对算法和密码学很有研究。 本篇的主旨还是希望能以简单通俗的语言，讲清楚PBOC3.0认证过程中，所用到的SM2的相关概念，包括它的实现，使用等。

转载请注明出处http://blog.csdn.net/pony_maggie/article/details/38854811作者:小马本篇接《韩国PAYWAVE认证之技术篇》  3 数据检查和处理限制 如果做了读数据处理(非联机), 在读数据结束后,终端要检查是否已经读完所有的必要数据,比如, CID(tag 9f27), I

之前关于paywave认证写过一篇韩国PAYWAVE认证之韩城攻略>>,是非技术类的文章，主要介绍了相关的饮食，实验室附近住宿等情况。后来有读者留言希望能写一篇技术攻略，因为本人太懒，一直拖到现在才出来。  这篇文章并不打算定位在入门级别，还是希望看的人能有一定的EMV/PBOC的应用基础，因为我会讲到很多二者之间的差异性。 因为之前是去做的终端方面的认证，不涉及卡片，所以下面

这几个概念在金融电子支付领域用得比较多，我忽然觉得把它们串起来一起讲,层层引入，可能更好理解一些。希望能以最简单朴实的方式讲明白他们之间的关系。一非对称算法关于非对称算法，你只要知道下面这些就行了，密钥是一对，一个叫公钥，一个叫私钥，前者公开，后者保密。假设你有一对公私钥，给你一串数据，你可以用私钥加密，然后把密文和公钥都放出去，别人可以用这个公钥解密。同样反过来，别人也可以用...

最近到韩国做paywave认证，回来想一篇类似攻略性质的文章，希望对以后要去韩国做paywave认证的业内同僚，尤其是第一次去的人，提供参考。 另外也有一部分原因， paywave实验室(ICTK)的Miss Ma, 以及测试员Mrs Jung, 两个人都非常nice, 让我这个第一次去韩国的人感到很亲切，希望能帮她们宣传一下ICTK. 首先你在国内时，建议把ICTK的韩文和英文地

先说说脚本的格式,如下图

实际应用中，遇到这样一个情况，上送55域到后台，后台报ARQC校验错.仔细查找发现，在GAC阶段送给卡片的TVR和上送到后台的TVR不一样. 因为TVR本身要参与ARQC的运算，所以两处送的不一样，会导致卡片计算的ARQC和后台计算的ARQC结果不一样. 再说说TVR不一致的原因,是因为在第一次GAC时，卡片返回的CID，bit2置位, 终端程序在处理时，根据这个置位，把TVR中的”P

这种情况下是需要拒绝交易的，规范里明确写明，这种情况属于CDA失败，对于终端就可以直接拒绝这笔交易了，同时置位TVR中的”CDA失败”. 如下:  从上面的分析来看，似乎明文的CID存在没有意义了，因为既然是以签名中恢复出来的为准，明文的是否可以不存在了呢？ 其实不然，明文的CID, 要用在CDA最开始的阶段，终端用这个CID来判断卡片是否返回了AAC, 如果是就会

PBOC3.0规范中QPBOC部分，增加了fDDA01算法, 简单来讲，相比较00算法，加了几个tag用于签名，相对安全一些. 下面站在终端的角度详细说说. 首先，在9f66原来缺省的第四个字节的bit8, 要指明终端支持哪个算法, 1表示fDDA01, 0表示fDDA00算法.这个值很关键，因为在PDOL中要送给卡片，卡片要把这个值作为用哪个算法的其中一个决定因素. 如果

转载请注明出处作者:小马设想这么一种情况, QPBOC卡消费, 在读应用数据阶段, 终端一条条发读记录命令，卡片一条条回, 当卡片返回了最后一条记录时，卡片在这个瞬间远离了终端. 终端”读最后一条记录失败”.这种情况下，卡片认为交互已经结束了，并且成功了，它会把钱扣掉，但是终端会报错，这笔消费对于终端是失败的，商户当然不会把商品给到持卡人,持卡人是吃亏的.不用”这种情况

转载请注明出处作者:小马严格来说,9f5d的概念是qpboc里，可用脱机余额. 9f79叫电子现金余额. 由于本身qpboc和电子现金就不是完全独立的两个概念，再加上这两个tag又都表示余额,所以往往，这两个概念很难区分. 没错，我是用了很难区分这样的说法。 因为我自己也不是很清楚这两个tag“真正的”区别是什么, 只是想根据自己的理解，阐述一下他们各自的用途和应用

Des是在金融电子领域用的比较多的一种加解密算法, 比如POS,ATM,智能IC卡等领域. 这个算法网上可以找到很多, 这篇文章只是自己整理一个版本，加入了一些自己的理解和注释.

转载请注明出处作者:小马 建立应用列表有两种方法, PSE目录选择方法和AID选择方法. 后者比较简单，看规范容易理解. 这篇文章只介绍目录选择方法. 步骤是这样的:1 终端选择PSE，从卡片返回的FCI中读到SFI.PSE本身是一个EF文件,所以通过SFI来定位, EF文件又是由很多记录组成, 通过read record来读取. 记录的个数不一定, 终端应该从第一条记

转载请注明出处作者:小马 尽管PBOC基本是中文版的EMV， 但还是需要根据国情做一些适当的差异化处理. 这一点在持卡人认证方面有很明显的体现.EMV支持脱机密文PIN，PBOC不支持. 但PBOC支持身份证件验证,EMV不支持. 身份证件验证是根据国情增加的，谁让咱们国家证多呀. 持卡人认证并不是必备的EMV流程, 终端是否应该执行持卡人认证, 决定因素在两点. 一是AI

转载请注明出处作者:小马看这篇文章之前，建议了解非对称加密解密的工作原理.  SDA的意思是静态数据认证，首先如何理解这个静态。参与认证的都是静态的卡片数据，这些数据在卡片个人化后就不会在改变，比如卡号. 它的目的是确认存放在IC卡中的由应用文件定位器（AFL）和可选的静态数据认证标签列表所标识的，关键的静态数据的合法性，从而保证IC卡中的发卡行数据在个人化以后没有被非法篡改.

前一篇文章讲了SDA，DDA的步骤可以这样理解:先执行SDA，再执行DDA特有的步骤. 所以这篇文章主要讲这个特有的步骤.正是这个特有的步骤，使得DDA不仅具有SDA的功能(保证卡片上的数据在个人化后不会被修改),还可以防止卡片被复制伪造.第一步,取IC公钥在SDA阶段取得的发卡行公钥,在DDA时还有一个用途，就是恢复IC卡公钥. 可以用下面的公式表示:发卡行公钥+IC卡公...

CDA其实是DDA的衍生方法. 所以它和DDA有很多相同的地方. 先简要说明一下CDA的几个要点:1 它也执行SDA，这个和DDA是一致的.  2 它也执行DDA，更先进的技术总是向下兼容的.  3 它也用到签名的动态应用数据, 不过这个数据不是内部认证请求的，而是在GAC时终端请求的. 而且这个数据的组成除了一些和DDA相似的组成(DOL

转载请注明出处作者:小马  之前的一篇文章已经对电子现金做了一些介绍, 这篇文章站在开发者的角度，深入的探讨一下电子现金的应用. 做一个电子现金的交易, 第一步当然是选中当前的应用, 方法是调用select命令, 传入当前的应用AID号, 如果卡片的状态码返回9000,则表示选中成功. 下面举一个例子:发送: 00 a4 04 00 08 a0 00 00 04 4

对于普通的用户来说，电子钱包和电子现金(下面分别简称EP和EC)是几乎没有区别的, 为什么这么说呢. 因为EP和EC都是为了做小额支付而生的. 我们拿着一张IC卡去超市的POS机上消费，或是坐公交消费，只需轻轻一刷，你不必关心这张卡是基于EP的应用还是基于EC的应用.但是, 如果你是金融电子这个行业里的人，尤其是对于开发人员, 不知道EP和EC的区别真的要补习一下功课了.首...

电子现金的概念是在PBOC规范的第十三部分<<基于借记/贷记应用的小额支付规范>>里提出的。 可以这样理解，电子现金是PBOC里的一个应用,它基于借贷记.这个应用被提出的目的就是实现小额支付功能.基于电子现金的IC卡一般有如下几个特点:1是由银行发行,这个是必须的,否则就不会叫金融IC卡了.2卡里只有一个应用，也就是一个AID，因为目前国内...

PBOC的IC卡大部分数据都是TLV格式的. EMV的手册简单的编码规则说明. 我下面很详细的分析TLV的编码格式并给出相应的TLV解码的伪代码.TLV是tag, length和value的缩写.一个基本的数据元就包括上面三个域. Tag唯一标识该数据元, length是value域的长度. Value就是数据本身了.举个例子,下面是一个tlv格式的AID（应用标识符）字节串”9F0...

EMV标准共分四册,分别是book1到book4,这四册里没有对小额支付和EP/ED的相关说明,也就是说，PBOC L2的这两个标准在EMV L2里是没有的.所以，PBOC L2里借贷记部分实际上才是对应的EMV L2标准.可以说这PBOC这部分差不多就是EMV L2的中文版.PBOC标准制定的背景就是EMV的全球化迁移趋势.它的两次理更新也是随着EMV的(PBOC1.0对应...

开始看PBOC/EMV中IC卡的文件结构时，就被DF, MF, EF,DDF,ADF这些概念弄晕了.文档里对这几个概念讲解的都不够通俗.不过这也不奇怪,这种所谓的标准如果讲的太通俗，那么制定这些标准的人又怎么能够称得上是专家呢!下面根据自己的理解,把这几个概念讲解一下.首先，MF, DF和EF这三个其实是iso7816里的概念.是7816里规定的卡的文件结构.这种...

PBOC/EMV里有两个非常重要的概念, SDA(static data authentication)和DDA(dynamic data authentication)，分别叫做静态数据认证和动态数据认证.这两个认证都是脱机下(off-line)的认证.业内人都知道磁卡和IC卡迁移的一个很重要的原因就是安全问题.举两个磁卡犯罪的例子:1磁卡本身的构造原理使得它的数据非常容易被非法修...