发布日期：2026-03-18 浏览次数：
Thales（泰雷兹） payShield HSM（以 10K 为代表）的全生命周期密钥管理，是一套硬件级、全流程、强合规的支付密钥管控体系，覆盖密钥从生成、分发、使用、轮换到销毁的全链路，核心是密钥永不落地、全程硬件加密、职责分离、审计可追溯。
payShield 是金融级支付 HSM（硬件安全模块），其密钥管理以LMK（Local Master Key，本地主密钥） 为根信任，所有业务密钥（如 ZMK、PIN 密钥、EMV 密钥）均在 HSM 内由 LMK 加密保护，明文密钥永不离开 HSM。
管理工具：payShield Manager（本地 / 远程浏览器管理）、TMD（Trusted Management Device）（远程密钥安全分发）、Monitor（监控平台）。
安全基础：FIPS 140-2 Level 3、PCI HSM v3、EMVCo 等认证，物理防篡改、侧信道攻击防护。
根密钥（LMK）：由多方智能卡拆分生成（如 3/5 门限），无单一人员掌握完整 LMK，生成全程在 HSM 内完成。
业务密钥：HSM 内置NIST 标准真随机数发生器，生成 DES/3DES、AES（128/192/256 位）、RSA/ECC 等密钥，支持 EMV、PCI、银联等规范。
输出：密钥以TR-31 密钥块格式封装，仅在 HSM 内以密文存在。
所有密钥仅以 LMK 加密密文形式存储于 HSM 的安全非易失性存储，无明文落地。
支持多 LMK 并行（最多 20 个），按业务 / 客户隔离密钥域，实现多租户安全。
备份：密钥备份以拆分组件形式存储于安全介质（智能卡、加密服务器），需多人授权恢复。
远程密钥加载（RKL）：支持 ATM、POS、终端的安全远程密钥注入，无需现场操作。
跨 HSM / 跨区域分发：通过TR-34 非对称密钥交换或 ZMK（Zone Master Key）加密传输，确保传输安全。
身份认证：操作需智能卡 + PIN + 角色权限三重验证，远程管理需 TMD 安全通道。
隔离使用：密钥仅在 HSM 安全域内参与加密、解密、签名、PIN 验证、EMV 交易授权等操作，明文不对外暴露。
权限控制：基于角色的访问控制（RBAC），严格分离密钥管理员、操作员、审计员职责，杜绝越权。
交易场景：覆盖 POS/ATM 交易、发卡 / 收单、移动支付、Tokenization、磁条 / 芯片数据准备等全支付场景。
自动 / 定时轮换：按合规要求（如 PCI DSS）设定轮换周期，HSM 自动生成新密钥，平滑切换，不中断业务。
密钥版本管理：支持多版本密钥共存，保障历史交易可追溯、新交易用新密钥。
迁移：支持 LMK / 业务密钥的安全迁移，全程加密、审计留痕。
密钥泄露、过期、业务终止时，立即标记为撤销 / 停用，HSM 拒绝其参与任何加密操作。
保留撤销记录，用于审计与合规检查。
永久删除：HSM安全擦除密钥存储区域，数据不可恢复。
组件销毁：拆分的密钥备份组件（智能卡等）物理销毁，全程审计。
日志留存：销毁操作记入防篡改审计日志，满足 PCI、监管合规要求。
集中化与自动化：统一管控全量密钥，自动执行分发、轮换、审计，降低人工风险。
远程安全管理：payShield Manager + TMD 实现无接触、远程密钥运维，减少数据中心物理接触风险。
合规与审计：全操作留痕、不可篡改日志，支持 PCI DSS、银联、人行等合规审计。
高可用与灾备：集群部署、主备切换、异地灾备，密钥管理不中断。
多算法 / 多场景适配：兼容 DES/3DES、AES、RSA、ECC，支持 EMV、移动支付、云支付等全场景。
发卡行：卡片个人化密钥（ICC、CVK、PEK）全生命周期管理。
收单机构：POS/ATM 终端密钥加载、交易 PIN 加密与验证。
支付处理器：跨机构 ZMK 管理、交易路由加密、Tokenization 密钥管控。
移动支付：手机端密钥安全注入、云端 HSM 密钥协同。
payShield Manager：HSM 本地 / 远程配置、LMK 管理、审计日志查看。
TMD：远程安全密钥分发、离线密钥操作。
payShield Monitor：全面的HSM监控平台，让运营团队全天候查看所有payShield HSM的状态。
满足PCI DSS、PCI HSM、PCI PIN、EMVCo、银联、人行等全球与国内支付安全规范。
实现职责分离、最小权限、密钥不可泄露、全程可审计，通过各类安全审计。
payShield 的全生命周期密钥管理，以硬件根信任、全程加密、集中管控、强审计为核心，为支付行业提供了从密钥生成到销毁的端到端安全保障，是金融支付安全的基石级方案。
揽阁信息是 Thales 的重要合作伙伴，为众多客户提供了 payShield HSM 产品和技术支持，欢迎联系我们获取更多资料。
揽阁信息 · 值得您信赖的信息安全顾问！
沪公网安备31011202021337号 网站地图
友情链接： Thales官网 芯片产品网站 服务热线
