社保系统(1~6)选读

1、社保系统（ 16 ）1介绍社会保障系统环境 SSSE的应用标识符为 7378312E73682EC9E7BBE1B1A3D5CF (sx1.sh社.会保障 )。 SSSE可以位于 MF，也可以位于 MF 下的 DDF。 社会保障应用各个具体应用的标识符（ AID）必须采用国家 IC 卡注册中心颁发的 RID，并通过 RID 选择该应用；对尚未获得 RID 的应用则采用规定的应用标签，并通过应用标签选择该应用。基本数据文件的选择可以通过两种方式来实现：隐式选择，使用READ或UPDATE命令并采用 SFI；显式选择，使用SELECT命令并采用文件标识符。由于许多数据项的实际长度随持卡人的具体情况

2、存在差异，足定义的长度时，对格式为cn 的数据项左靠齐并且右补十六进制当某一数据项的实际长度不 F，格式为 an 的数据项左靠齐并且右补十六进制0，使数据项的长度达到所定义的长度。应用名称应用标识符应用标签应用标识符和维护单位公共应用D1 56 00 00 05 00公共应用信息区人力资源和社会保障部信息中心就业与失业D1 56 00 00 05 01就业与失业信息区人力资源和社会保障部信息中心社会保险 1D1 56 00 00 05 02社会保险信息区1人力资源和社会保障部信息中心社会保险 2D1 56 00 00 05 03社会保险信息区2人力资源和社会保障部信息中心人事与人才D1 56

3、00 00 05 04人事人才信息区人力资源和社会保障部信息中心生命与健康D1 56 00 00 05 05生命与健康信息区社会救助与优待抚恤D1 56 00 00 05 06救助与优抚信息区2文件系统卡片允许在可用空间内建立自己的文件系统。 支持多层目录结构。 在同层目录中文件不能有相同的 ID（标识符）。数据文件中数据元以记录方式或二进制方式存储，文件结构及引用方式由文件的用途决定。除目录文件外，数据文件的内容和布局在社会保障（个人）卡规范第 6 部分：应用数据结构中说明，也可由发卡方补充定义。2.1. 文件类型三种专用文件（ DF）类型：? MF：根目录，是整个文件系统的根，同属应用环境

4、类。MF 下可以有 EF（基本文件）、 SF（安全文件）、 DDF(目录文件 )、 ADF（应用文件）；? DDF：目录文件，用于定义一个应用环境，它是应用的集合。DDF 下可以有 ADF、子 DDF、EF、 SF、公钥文件和私钥文件等结构。? ADF：应用文件，用于定义具体应用。ADF 下可以有 EF、 SF、公钥文件和私钥文件。一个 AEF 包含有一个或多个原始BER-TLV数据对象（记录结构的AEF），或一个非结构化的纯数据元（透明结构的 AEF）。在选择了某一应用后， AEF 既能通过其文件标识符进行查询，也可以通过其短文件标识符（ SFI）进行查询。记录结构的 AEF 具有如下属性：

5、记录的长度是固定的或是可变的；记录的组织结构是线形结构或循环结构。四种基本文件（EF）类型：? 透明文件：文件数据是通过连续空间中的字节地址进行存取。? 记录文件：数据以固定长度格式记录在文件中，文件内最多可以容纳255 条记录。 以明文方式存取时，最大记录长度可以为255 个字节。记录文件有以下几种形式：1) 线性定长记录文件：同一文件内的所有记录都是等长度的。2) 线性变长记录文件：同一文件内的每个记录的长度可以不相等。3) 循环定长记录文件：同一文件内的所有记录都是等长度的。支持对文件中的记录循环存取。? 交易文件：该类文件为特定格式文件。通过交易命令对这类文件进行操作。交易文件有以下几

6、种形式：1) 个人帐户文件：完成帐户划入和医疗消费交易。执行帐户划入交易前须提交用户口令。适用于社保环境。2) 电子存折文件：完成圈存、消费等交易。执行交易命令前须提交用户口令。适用于金融环境。3) 电子钱包文件：完成圈存和消费交易。执行圈存交易前须提交用户口令。适用于金融环境。? 安全文件类型（ SF）：1) 安全文件：该文件只能写入不能读出。文件内可存放密钥或口令。2.2. 文件查询依照其类型，文件可以通过文件名、文件标识符或SFI进行查询。1) 文件名查询：卡中的任何 ADF 或 DDF可通过其 DF 名查询， ADF的 DF 名对应其 AID，每个 DF 名在给定的卡中应是唯一的。2)

7、文件标识符查询：卡中的任何ADF、 DDF 或 AEF 可通过其文件标识符查询，每个DF 的文件标识符在给定的卡中应是唯一的， AEF 的文件标识符在一个给定的应用中必须是唯一的。3) SFI 查询： SFI用于选择 AEF。对给定应用中的任何 AEF，可以通过 SFI（5 位代码，取值范围从 130）查询。 SFI的编码在每个用到它的命令中描述。 在一个给定的应用中 SFI应是唯一的。专用 SFI的使用由应用决定。2.3. 目录文件社会保障系统目录文件是一个线性文件，用5 到 15 的短文件标识符（SFI）标识。该目录文件附属于 DDF，目录文件的 SFI 包含在 DDF 文件控制信息中。目

8、录文件可以使用“READRECORD”命令进行读取。目录文件中一个记录可以包含几个入口地址，但一个入口地址不能跨越多个记录存储。社会保障系统目录文件的每一个入口地址都是一个应用模板 (61 标记 )。在 IC 卡中社会保障系统外的其他目录是可选的，且不限制它们存在的数量。其中每个目录的位置由包括在每个 DDF 中的 FCI的目录 SFI数据对象指定。如果不存在目录文件，则认为社会保障卡中包含了社会保障（个人）卡规范所定义的所有应用。DDF 目录入口地址格式如下：标识长度值4F5-16DDF 名称存在状态MADF 目录入口地址格式如下：标识长度值存在状态4F5-16ADF 名称（ AID）M50

9、1-16应用标签M终端可以通过使用社保环境目录文件来确定卡片所支持的应用。的步骤如下：终端正确使用社保目录文件1) 终端进入社会保障系统环境后， 如果目录文件不存在， 转至步骤 5）；如果目录文件存在，则进入目录文件。2) 终端从第一条记录开始，连续读目录中的所有记录，直到卡返回6A83，表示所需记录序号已不存在。在执行“READ RECORD”命令查找第一个记录时，如果卡回送SW1 SW2=6A83，则表示目录为空，转至步骤5）。3) 如果目录中某个 ADF 名与终端支持的一个应用名相符，则将该应用列入最终应用选择的“候选名单”中。4) 如果目录中出现一个指向DDF的入口地址，且该 DDF的

10、名称至少与一个终端所支持的AID的前几位匹配（例如：一个名为D156123456 的 DDF 可与一个名为的 AID 匹配），则终端选择该DDF。使用所选DDF的文件控制信息 （ FCI）中的目录短文件标识符（ SFI）读出目录并按步骤3 处理，之后终端继续回到上一个目录处理。5) 当终端处理完社会保障系统环境目录的列表后， 所有能够按此方式找到的 ADF 就确定了，查找完毕。6) 终端也可以采用其他方式寻找卡内其他的专用应用（例如用AID找出本地特有的或非社会保障应用的专用选择方式），但不在本规范范围之内。3文件结构3.1. 基本应用数据区基本应用数据区是指那些在社

11、会保障卡的整个生命周期中不会改变的信息，该区内包括发卡机构数据文件 ( EF05、)持卡人的基本信息文件 ( EF06、)指纹数据文件 ( EF07和)照片信息文件 ( EF08四)个文件，它们被组织成基本文件存于 SSSE的 DDF下。注意卡的识别码计算过程以及规范版本（ 1.0 版或 2.0 版或 2.01 版，具体请看各地市的卡结构规范） ，初始化机构编号的写入方式。3.2. 公共应用数据区公共应用数据是指社会保障卡中由不同的应用提供方分别维护，但各种专业应用都需要使用的信息，包括持卡人的户籍信息文件(EF05、)常住地信息文件( EF06、)个人状况信息文件 ( EF07、)婚姻状况信

12、息文件( EF08、)人员身份及就业单位信息文件（EF09）、国籍及政治面貌信息文件（ EF0A）、学历信息文件 ( EF15及)5 个预留文件（ EF16-1A），它们被组织成基本文件存在于标识符为 DF01的 DF 下。3.3. 就业与失业数据区就业与失业应用数据是指社会保障卡中由人力资源和社会保障部门维护，记录持卡人就业和失业等信息，包括职业和专业技能信息文件（EF05）、就业状况信息文件（EF06）、就业记录信息文件（EF07）、就业失业登记证信息文件（EF09）、就业援助对象认定信息文件（ EF15）、就业扶持政策享受信息文件（EF16），它们被组织成基本文件存在于标志符未 DF02

13、的DF 下。3.4. 社会保险数据区1本数据区中的应用数据是指社会保障卡中由人力资源社会保障部门维护，记录持卡人除医疗保险以外的各项社会保险的信息，包括失业保险信息文件（EF05）、劳动能力鉴定信息文件（ EF 06）、养老保险信息文件（EF 07）、工伤保险信息文件（EF 15）、生育保险信息文件（ EF16）、工伤认定信息文件（EF17）、供养亲属信息文件（EF18）、参保凭证信息文件（ EF19），它们被组织成基本文件存在于标识符为DF03的 DF 下。3.5. 社会保险数据区2本数据区中的应用数据是指社会保障卡中由医疗保险管理部门维护，记录持卡人医疗保险有关情况的信息。包括医疗保险基本

14、信息文件（ EF 05）、医疗保险脱网结算信息文件（ EF06）、医疗保险交易明细文件（ EF 08）、特殊医疗结算记录文件（ EF15）。它们被组织成基本文件存在于标识符为DF 04的DF 下。3.6. 生命与健康应用数据区生命与健康信息应用数据是指社会保障卡中由卫生部门维护，记录持卡人有关健康状况的信息，它们被组织成基本文件存在于标识符为DF 05的DF 下。3.7. 社会救助与优待抚恤应用数据区社会救助与优待抚恤应用数据是指社会保障卡中由民政部门维护，救助和优待抚恤情况的信息， 包括社会救助信息和优待抚恤信息，在于标识符为 DF 06的DF 下。记录持卡人享受社会它们被组织成基本文件存3

15、.8. 人事与人才应用数据区人事与人才应用数据是指社会保障卡中由不同的应用提供方分别维护， 但各种专业应用都需要使用的信息，包括荣誉信息文件 ( EF05、)专家信息文件 ( EF06、)军队转业干部信息文件 ( EF07它们),被组织成基本文件存在于标识符为 DF07的DF 下。4卡片设计卡面设计主要包括社会保障卡正面、背面的印刷内容、 布局和颜色设计以及具体的尺寸要求。4.1. 卡正面卡正面应包括以下要素：国徽、卡名（中华人民共和国社会保障卡）。卡正面布局见图4.2. 卡背面卡背面应包括以下区域：照片、芯片、基本信息区、发卡机构标识区、合作应用标识区、合作应用定义区及发卡单位印章等。5基本

16、指令本部分的指令是ISO/IEC 7816定义的基本指令，包括：? APPLICATION BLOCK（应用锁定）? CARD BLOCK（卡片锁定）? CHANGE PIN（修改个人密码）? EXTERNAL AUTHENTICATION（外部鉴别）? GET RESPONSE（获取响应）? GET CHALLENGE（获取随机数）? INTERNAL AUTHENTICATION（内部鉴别）? PIN CHANGE/UNBLOCK（个人密码修改 / 解锁）? READ BINARY（读取二进制数据）? READ RECORD（读取记录内容）? SELECT（选择文件）? UPDATE BI

17、NARY（更新二进制数据）? UPDATE RECORD（更新记录内容）? VERIFY（校验个人密码）5.1. 内部认证INTERNALAUTHENTICATE命令要求卡向接口设备提供认证数据，以使接口设备对卡进行认证。用途：使用IRK对发卡方进行验证，IC 卡有效性检查随机数 1（终端） | 随机数 2（终端） | 密钥版本号（如果有）1. CPURESET()2. 00A4000002DDF13.IRK=00000000000000000000000000000000/ 主内部认证密钥：004. 0084000008(RAM+9000)5. ECB_3DES_EN(RAM,IRK,PRO

18、CESSK)/ 过程密钥6. ECB_SDES_EN(0102030405060708,PROCESSK,AUTHD) / 产生鉴别数据7. 0088000010+RAM+01020304050607088. 0088000011+RAM+0102030405060708+01/ 密钥版本号（如果有）9. 00C0000008(AUTHD_+9000)If( AUTHD = AUTHD_)校验成功，否则IRK 错误。5.2. PIN 修改，解锁PIN CHANGE/UNLOCK命令为发卡者提供了修改 PIN、重装 PIN 和解锁 PIN 的功能。重装后 PIN 文件的错误限制数恢复到建立时的初

19、值。CHANGE PIN命令允许持卡人将当前个人密码修改为新的密码。1. / 个人 PIN 码解锁， 修改，首先需要认证 PUK，然后用 STK 计算过程密钥进行解锁，修改2. CPURESET()3. 00A4000002DDF14. / 认证 PUK5. PUK=000000000124300000000008880111006. 0084000008(RAMD+9000)7. ECB_3DES_EN(RAMD,PUK,ENDATA)8. ECB_SDES_EN(0102030405060708,ENDATA,ENDATA1)9.0082000610+ENDATA1+01020304050

20、60708/ 标识： 0610.11. /修改 PIN12. 0084000008(RAMDOM+9000)13. STK=0002200001243000 /PIN 信息中 STK-KID 指向密钥 STK14. ECB_SDES_EN(RAMDOM,STK,SESSIONK) / 产生过程密钥15. ECB_SDES_EN(03888888+80000000,SESSIONK,ENCDATA) / 计算密文16. 3DES_MAC(0000000000000000+842400010C+ENCDATA+800000,SESSIONK,MAC)17. 842400010C+ENCDATA+M

21、AC(9000)/P2 ：01 更改 PIN ，尝试计数器重置，同时修改 PIN18. /认证 PIN19. 002000000388888820.21. /解锁 PIN22. ECB_SDES_EN(RAMDOM,STK,SESSIONK) / 产生过程密钥23. 3DES_MAC(0000000000000000+8424000004+800000,SESSIONK,MAC)24.8424000004+MAC(9000) /P2 ： 00 解锁 PIN ，尝试计数器重置，但不修改PIN25.26. / /CHANGE PIN27. 00A4000002DDF128. 805E010007+

22、888888FF123456/ 当前 PIN |FF|新的 PIN29. /认证 PIN30. 00200000038888885.3. 应用锁定APPLICATION BLOCK命令使当前被选择的应用失效。失效后的应用仍可以选择（选择后返回 SW1_SW2_6A81），但是该应用下的文件则是不可访问的，任何试图的访问都将返回SW1SW2=6A81。对失效的应用在返回 6A81 后，仍然可以用 GetResponse 命令来得到应用的FCI信息。对永久锁定的应用返回 9303 。注：如果 BL-KID 为 00h ，则使用主控密钥 （用途为 00h ）验算 MAC；如果 BL-KID 不为 0

23、0h，则使用传输密钥（用途为 01h）验算 MAC。例如： 80E0000213DF0205DB0000000000390002089000)BL-KID：用途 01，标识 02-STKSTK： 100102010100DD0000Access-Right： DDLK,BK：1800030100000003DDSSB： DDCARD BLOCK命令后，卡被锁定，除GET INFO命令外，卡拒绝执行任何命令，返回状态信息6A811./ 首先认证LK，然后用 STK 计算过程密钥计算MAC2. 00A4000002DDF13. 00A4000002DF044. / 认证

24、LK,BK5. LK=000000000000000000000000000000006. 0084000008(RAM+9000)7. ECB_3DES_EN(RAM,LK,ENDATA)8. ECB_SDES_EN(0102030405060708,ENDATA,ENDATA1)9.0082008310+ENDATA1+0102030405060708(9000)/标志 0310. / / 用 STK锁应用11. STK=000000000000000012. 0084000008(RAMD+9000)13. ECB_SDES_EN(RAMD,STK,SSK)14. 3DES_MAC(00

25、00000000000000+841E000104+800000,SSK,MAC)15. 841E000104+MAC /8416000104(BK)5.4. 外部认证EXTERNALAUTHENTICATE命令的目的是IC 卡验证外部接口设备的有效性，使接口设备对IC卡获得某种操作授权。例如：更新文件信息UK(UPDATAKEY)，读取文件信息RK(READKEY)1. 0084000008(RAM+9000)2. ECB_3DES_EN(RAM,00000000000000000000000000000000,ENDATA)3. ECB_SDES_EN(0102030405060708,E

26、NDATA,ENDATA)4. 0082000111+ENDATA+0102030405060708+VERSION(9000)5. P2：6.0x x x x x x x全局密钥标识（认证MF或 DDF下的密钥）7.1x x x x x x x局部密钥标识 （ ADF 下的密钥）8.00000000当前 DF 下的 MK9. Lc ：10. 金融环境： 0811. 社保环境：10,11,00( 检验 P2 参数所指密钥是否存在 (6A88NO), 计数器当前的值(63Cx)12.5.5. 读写记录文件READ RECORD（ 00B2 或 04B2）命令读记录文件中指定的记录。UPDATE

27、RECORD（ 00DC 或 04DC）命令用给定的数据代替记录文件中指定的纪录。13. CPURESET()14. 00A4000002DDF115. 00A4000002DF0416. 00A4000002EF0517. 0084000008(RAM+9000) /满足读权限18. ECB_3DES_EN(RAM,88657368201020122336060719830728,ENDATA) ECB_3DES _EN(0102030405060708,ENDATA,ENDATA)19. 0082008510+ENDATA+0102030405060708(9000)20. / / 读记录

28、 01( 第一条记录 )+04(P1 记录号 )+01( 期望返回值长度 )21. 00B2+01+04+03 /满足写权限22. 0084000008(RAM+9000)23. ECB_3DES_EN(RAM,88657368201020122336060719830728,ENDATA) ECB_SDES_EN(0102030405060708,ENDATA,ENDATA) 0082008811+ENDATA+01020304050 60708+01(9000)24./ 更新记录01( 第一条记录 )+04(P1记录号 )+03( 更新记录的长度, 必须和之前写的长度一致，如果之前未写入数

29、据，可以任意更新)25. 00DC010403+C10116账户划入交易通过账户划入交易， 持卡人可将其在基本医疗保险个人账户上的资金划入卡内基本医疗保险个人账户中。特点：1) 终端上联网进行2) 提交个人密码（ PIN ）（如持卡人设置）步骤：1)终端：启动账户划入交易 (INITIALIZEFOR LOAD)2)IC卡：处理 INITIALIZEFOR LOAD命令3)检查是否支持命令中提供的密钥(DLK) 索引号 (NO ： 9403).4)产生过程密钥 (SESPK) ：伪随机数 (ICC)|基本医疗保险个人帐户划入交易序号| 80005)产生 MAC1：基本医疗保险个人帐户余额+ 交

30、易金额 +交易类型 + 终端机编号6)终端：验证 MAC1, 主机将生成 SESLK 并确认 MAC1 是否有效。7) 回送错误状态：如果不接受帐户划入交易，则主机应通知终端8) 交易处理：扣减帐户划入金额 , 产生一个报文鉴别码 (MAC2)9) 发出 “ CREDITFOR LOAD” 命令：更新卡内基本医疗保险个人帐户10) IC卡：验证 MAC2(NO ： 9302).11) 交易处理：个人帐户划入交易序号加 1, 交易金额累加到基本医疗保险个人帐户余额上, 更新交易明细12) 返回确认： IC 卡将 TAC 回送给终端1. 00A404000F7378312E73682EC9E7BBE1B1A3D5CF2.0020000003123456/验证 pin3.00A4040006DF04 ：社会保险信息区4. MONEY=001000005. DLK=000000000000000000002220000000006. DTK_=000000000111110000006660002200007. DTKL=copy(DTK_,0,16)8.