社保系統(tǒng)(1~6)選讀

1、社保系統(tǒng)（ 16 ）1介紹社會保障系統(tǒng)環(huán)境 SSSE的應用標識符為 7378312E73682EC9E7BBE1B1A3D5CF (sx1.sh社.會保障 )。 SSSE可以位于 MF，也可以位于 MF 下的 DDF。 社會保障應用各個具體應用的標識符（ AID）必須采用國家 IC 卡注冊中心頒發(fā)的 RID，并通過 RID 選擇該應用；對尚未獲得 RID 的應用則采用規(guī)定的應用標簽，并通過應用標簽選擇該應用?；緮?shù)據(jù)文件的選擇可以通過兩種方式來實現(xiàn)：隱式選擇，使用READ或UPDATE命令并采用 SFI；顯式選擇，使用SELECT命令并采用文件標識符。由于許多數(shù)據(jù)項的實際長度隨持卡人的具體情況

2、存在差異，足定義的長度時，對格式為cn 的數(shù)據(jù)項左靠齊并且右補十六進制當某一數(shù)據(jù)項的實際長度不 F，格式為 an 的數(shù)據(jù)項左靠齊并且右補十六進制0，使數(shù)據(jù)項的長度達到所定義的長度。應用名稱應用標識符應用標簽應用標識符和維護單位公共應用D1 56 00 00 05 00公共應用信息區(qū)人力資源和社會保障部信息中心就業(yè)與失業(yè)D1 56 00 00 05 01就業(yè)與失業(yè)信息區(qū)人力資源和社會保障部信息中心社會保險 1D1 56 00 00 05 02社會保險信息區(qū)1人力資源和社會保障部信息中心社會保險 2D1 56 00 00 05 03社會保險信息區(qū)2人力資源和社會保障部信息中心人事與人才D1 56

3、00 00 05 04人事人才信息區(qū)人力資源和社會保障部信息中心生命與健康D1 56 00 00 05 05生命與健康信息區(qū)社會救助與優(yōu)待撫恤D1 56 00 00 05 06救助與優(yōu)撫信息區(qū)2文件系統(tǒng)卡片允許在可用空間內(nèi)建立自己的文件系統(tǒng)。 支持多層目錄結(jié)構(gòu)。 在同層目錄中文件不能有相同的 ID（標識符）。數(shù)據(jù)文件中數(shù)據(jù)元以記錄方式或二進制方式存儲，文件結(jié)構(gòu)及引用方式由文件的用途決定。除目錄文件外，數(shù)據(jù)文件的內(nèi)容和布局在社會保障（個人）卡規(guī)范第 6 部分：應用數(shù)據(jù)結(jié)構(gòu)中說明，也可由發(fā)卡方補充定義。2.1. 文件類型三種專用文件（ DF）類型：? MF：根目錄，是整個文件系統(tǒng)的根，同屬應用環(huán)境

4、類。MF 下可以有 EF（基本文件）、 SF（安全文件）、 DDF(目錄文件 )、 ADF（應用文件）；? DDF：目錄文件，用于定義一個應用環(huán)境，它是應用的集合。DDF 下可以有 ADF、子 DDF、EF、 SF、公鑰文件和私鑰文件等結(jié)構(gòu)。? ADF：應用文件，用于定義具體應用。ADF 下可以有 EF、 SF、公鑰文件和私鑰文件。一個 AEF 包含有一個或多個原始BER-TLV數(shù)據(jù)對象（記錄結(jié)構(gòu)的AEF），或一個非結(jié)構(gòu)化的純數(shù)據(jù)元（透明結(jié)構(gòu)的 AEF）。在選擇了某一應用后， AEF 既能通過其文件標識符進行查詢，也可以通過其短文件標識符（ SFI）進行查詢。記錄結(jié)構(gòu)的 AEF 具有如下屬性：

5、記錄的長度是固定的或是可變的；記錄的組織結(jié)構(gòu)是線形結(jié)構(gòu)或循環(huán)結(jié)構(gòu)。四種基本文件（EF）類型：? 透明文件：文件數(shù)據(jù)是通過連續(xù)空間中的字節(jié)地址進行存取。? 記錄文件：數(shù)據(jù)以固定長度格式記錄在文件中，文件內(nèi)最多可以容納255 條記錄。 以明文方式存取時，最大記錄長度可以為255 個字節(jié)。記錄文件有以下幾種形式：1) 線性定長記錄文件：同一文件內(nèi)的所有記錄都是等長度的。2) 線性變長記錄文件：同一文件內(nèi)的每個記錄的長度可以不相等。3) 循環(huán)定長記錄文件：同一文件內(nèi)的所有記錄都是等長度的。支持對文件中的記錄循環(huán)存取。? 交易文件：該類文件為特定格式文件。通過交易命令對這類文件進行操作。交易文件有以下幾

6、種形式：1) 個人帳戶文件：完成帳戶劃入和醫(yī)療消費交易。執(zhí)行帳戶劃入交易前須提交用戶口令。適用于社保環(huán)境。2) 電子存折文件：完成圈存、消費等交易。執(zhí)行交易命令前須提交用戶口令。適用于金融環(huán)境。3) 電子錢包文件：完成圈存和消費交易。執(zhí)行圈存交易前須提交用戶口令。適用于金融環(huán)境。? 安全文件類型（ SF）：1) 安全文件：該文件只能寫入不能讀出。文件內(nèi)可存放密鑰或口令。2.2. 文件查詢依照其類型，文件可以通過文件名、文件標識符或SFI進行查詢。1) 文件名查詢：卡中的任何 ADF 或 DDF可通過其 DF 名查詢， ADF的 DF 名對應其 AID，每個 DF 名在給定的卡中應是唯一的。2)

7、文件標識符查詢：卡中的任何ADF、 DDF 或 AEF 可通過其文件標識符查詢，每個DF 的文件標識符在給定的卡中應是唯一的， AEF 的文件標識符在一個給定的應用中必須是唯一的。3) SFI 查詢： SFI用于選擇 AEF。對給定應用中的任何 AEF，可以通過 SFI（5 位代碼，取值范圍從 130）查詢。 SFI的編碼在每個用到它的命令中描述。 在一個給定的應用中 SFI應是唯一的。專用 SFI的使用由應用決定。2.3. 目錄文件社會保障系統(tǒng)目錄文件是一個線性文件，用5 到 15 的短文件標識符（SFI）標識。該目錄文件附屬于 DDF，目錄文件的 SFI 包含在 DDF 文件控制信息中。目

8、錄文件可以使用“READRECORD”命令進行讀取。目錄文件中一個記錄可以包含幾個入口地址，但一個入口地址不能跨越多個記錄存儲。社會保障系統(tǒng)目錄文件的每一個入口地址都是一個應用模板 (61 標記 )。在 IC 卡中社會保障系統(tǒng)外的其他目錄是可選的，且不限制它們存在的數(shù)量。其中每個目錄的位置由包括在每個 DDF 中的 FCI的目錄 SFI數(shù)據(jù)對象指定。如果不存在目錄文件，則認為社會保障卡中包含了社會保障（個人）卡規(guī)范所定義的所有應用。DDF 目錄入口地址格式如下：標識長度值4F5-16DDF 名稱存在狀態(tài)MADF 目錄入口地址格式如下：標識長度值存在狀態(tài)4F5-16ADF 名稱（ AID）M50

9、1-16應用標簽M終端可以通過使用社保環(huán)境目錄文件來確定卡片所支持的應用。的步驟如下：終端正確使用社保目錄文件1) 終端進入社會保障系統(tǒng)環(huán)境后， 如果目錄文件不存在， 轉(zhuǎn)至步驟 5）；如果目錄文件存在，則進入目錄文件。2) 終端從第一條記錄開始，連續(xù)讀目錄中的所有記錄，直到卡返回6A83，表示所需記錄序號已不存在。在執(zhí)行“READ RECORD”命令查找第一個記錄時，如果卡回送SW1 SW2=6A83，則表示目錄為空，轉(zhuǎn)至步驟5）。3) 如果目錄中某個 ADF 名與終端支持的一個應用名相符，則將該應用列入最終應用選擇的“候選名單”中。4) 如果目錄中出現(xiàn)一個指向DDF的入口地址，且該 DDF的

10、名稱至少與一個終端所支持的AID的前幾位匹配（例如：一個名為D156123456 的 DDF 可與一個名為的 AID 匹配），則終端選擇該DDF。使用所選DDF的文件控制信息 （ FCI）中的目錄短文件標識符（ SFI）讀出目錄并按步驟3 處理，之后終端繼續(xù)回到上一個目錄處理。5) 當終端處理完社會保障系統(tǒng)環(huán)境目錄的列表后， 所有能夠按此方式找到的 ADF 就確定了，查找完畢。6) 終端也可以采用其他方式尋找卡內(nèi)其他的專用應用（例如用AID找出本地特有的或非社會保障應用的專用選擇方式），但不在本規(guī)范范圍之內(nèi)。3文件結(jié)構(gòu)3.1. 基本應用數(shù)據(jù)區(qū)基本應用數(shù)據(jù)區(qū)是指那些在社

11、會保障卡的整個生命周期中不會改變的信息，該區(qū)內(nèi)包括發(fā)卡機構(gòu)數(shù)據(jù)文件 ( EF05、)持卡人的基本信息文件 ( EF06、)指紋數(shù)據(jù)文件 ( EF07和)照片信息文件 ( EF08四)個文件，它們被組織成基本文件存于 SSSE的 DDF下。注意卡的識別碼計算過程以及規(guī)范版本（ 1.0 版或 2.0 版或 2.01 版，具體請看各地市的卡結(jié)構(gòu)規(guī)范） ，初始化機構(gòu)編號的寫入方式。3.2. 公共應用數(shù)據(jù)區(qū)公共應用數(shù)據(jù)是指社會保障卡中由不同的應用提供方分別維護，但各種專業(yè)應用都需要使用的信息，包括持卡人的戶籍信息文件(EF05、)常住地信息文件( EF06、)個人狀況信息文件 ( EF07、)婚姻狀況信

12、息文件( EF08、)人員身份及就業(yè)單位信息文件（EF09）、國籍及政治面貌信息文件（ EF0A）、學歷信息文件 ( EF15及)5 個預留文件（ EF16-1A），它們被組織成基本文件存在于標識符為 DF01的 DF 下。3.3. 就業(yè)與失業(yè)數(shù)據(jù)區(qū)就業(yè)與失業(yè)應用數(shù)據(jù)是指社會保障卡中由人力資源和社會保障部門維護，記錄持卡人就業(yè)和失業(yè)等信息，包括職業(yè)和專業(yè)技能信息文件（EF05）、就業(yè)狀況信息文件（EF06）、就業(yè)記錄信息文件（EF07）、就業(yè)失業(yè)登記證信息文件（EF09）、就業(yè)援助對象認定信息文件（ EF15）、就業(yè)扶持政策享受信息文件（EF16），它們被組織成基本文件存在于標志符未 DF02

13、的DF 下。3.4. 社會保險數(shù)據(jù)區(qū)1本數(shù)據(jù)區(qū)中的應用數(shù)據(jù)是指社會保障卡中由人力資源社會保障部門維護，記錄持卡人除醫(yī)療保險以外的各項社會保險的信息，包括失業(yè)保險信息文件（EF05）、勞動能力鑒定信息文件（ EF 06）、養(yǎng)老保險信息文件（EF 07）、工傷保險信息文件（EF 15）、生育保險信息文件（ EF16）、工傷認定信息文件（EF17）、供養(yǎng)親屬信息文件（EF18）、參保憑證信息文件（ EF19），它們被組織成基本文件存在于標識符為DF03的 DF 下。3.5. 社會保險數(shù)據(jù)區(qū)2本數(shù)據(jù)區(qū)中的應用數(shù)據(jù)是指社會保障卡中由醫(yī)療保險管理部門維護，記錄持卡人醫(yī)療保險有關(guān)情況的信息。包括醫(yī)療保險基本

14、信息文件（ EF 05）、醫(yī)療保險脫網(wǎng)結(jié)算信息文件（ EF06）、醫(yī)療保險交易明細文件（ EF 08）、特殊醫(yī)療結(jié)算記錄文件（ EF15）。它們被組織成基本文件存在于標識符為DF 04的DF 下。3.6. 生命與健康應用數(shù)據(jù)區(qū)生命與健康信息應用數(shù)據(jù)是指社會保障卡中由衛(wèi)生部門維護，記錄持卡人有關(guān)健康狀況的信息，它們被組織成基本文件存在于標識符為DF 05的DF 下。3.7. 社會救助與優(yōu)待撫恤應用數(shù)據(jù)區(qū)社會救助與優(yōu)待撫恤應用數(shù)據(jù)是指社會保障卡中由民政部門維護，救助和優(yōu)待撫恤情況的信息， 包括社會救助信息和優(yōu)待撫恤信息，在于標識符為 DF 06的DF 下。記錄持卡人享受社會它們被組織成基本文件存3

15、.8. 人事與人才應用數(shù)據(jù)區(qū)人事與人才應用數(shù)據(jù)是指社會保障卡中由不同的應用提供方分別維護， 但各種專業(yè)應用都需要使用的信息，包括榮譽信息文件 ( EF05、)專家信息文件 ( EF06、)軍隊轉(zhuǎn)業(yè)干部信息文件 ( EF07它們),被組織成基本文件存在于標識符為 DF07的DF 下。4卡片設計卡面設計主要包括社會保障卡正面、背面的印刷內(nèi)容、 布局和顏色設計以及具體的尺寸要求。4.1. 卡正面卡正面應包括以下要素：國徽、卡名（中華人民共和國社會保障卡）?？ㄕ娌季忠妶D4.2. 卡背面卡背面應包括以下區(qū)域：照片、芯片、基本信息區(qū)、發(fā)卡機構(gòu)標識區(qū)、合作應用標識區(qū)、合作應用定義區(qū)及發(fā)卡單位印章等。5基本

16、指令本部分的指令是ISO/IEC 7816定義的基本指令，包括：? APPLICATION BLOCK（應用鎖定）? CARD BLOCK（卡片鎖定）? CHANGE PIN（修改個人密碼）? EXTERNAL AUTHENTICATION（外部鑒別）? GET RESPONSE（獲取響應）? GET CHALLENGE（獲取隨機數(shù)）? INTERNAL AUTHENTICATION（內(nèi)部鑒別）? PIN CHANGE/UNBLOCK（個人密碼修改 / 解鎖）? READ BINARY（讀取二進制數(shù)據(jù)）? READ RECORD（讀取記錄內(nèi)容）? SELECT（選擇文件）? UPDATE BI

17、NARY（更新二進制數(shù)據(jù)）? UPDATE RECORD（更新記錄內(nèi)容）? VERIFY（校驗個人密碼）5.1. 內(nèi)部認證INTERNALAUTHENTICATE命令要求卡向接口設備提供認證數(shù)據(jù)，以使接口設備對卡進行認證。用途：使用IRK對發(fā)卡方進行驗證，IC 卡有效性檢查隨機數(shù) 1（終端） | 隨機數(shù) 2（終端） | 密鑰版本號（如果有）1. CPURESET()2. 00A4000002DDF13.IRK=00000000000000000000000000000000/ 主內(nèi)部認證密鑰：004. 0084000008(RAM+9000)5. ECB_3DES_EN(RAM,IRK,PRO

18、CESSK)/ 過程密鑰6. ECB_SDES_EN(0102030405060708,PROCESSK,AUTHD) / 產(chǎn)生鑒別數(shù)據(jù)7. 0088000010+RAM+01020304050607088. 0088000011+RAM+0102030405060708+01/ 密鑰版本號（如果有）9. 00C0000008(AUTHD_+9000)If( AUTHD = AUTHD_)校驗成功，否則IRK 錯誤。5.2. PIN 修改，解鎖PIN CHANGE/UNLOCK命令為發(fā)卡者提供了修改 PIN、重裝 PIN 和解鎖 PIN 的功能。重裝后 PIN 文件的錯誤限制數(shù)恢復到建立時的初

19、值。CHANGE PIN命令允許持卡人將當前個人密碼修改為新的密碼。1. / 個人 PIN 碼解鎖， 修改，首先需要認證 PUK，然后用 STK 計算過程密鑰進行解鎖，修改2. CPURESET()3. 00A4000002DDF14. / 認證 PUK5. PUK=000000000124300000000008880111006. 0084000008(RAMD+9000)7. ECB_3DES_EN(RAMD,PUK,ENDATA)8. ECB_SDES_EN(0102030405060708,ENDATA,ENDATA1)9.0082000610+ENDATA1+01020304050

20、60708/ 標識： 0610.11. /修改 PIN12. 0084000008(RAMDOM+9000)13. STK=0002200001243000 /PIN 信息中 STK-KID 指向密鑰 STK14. ECB_SDES_EN(RAMDOM,STK,SESSIONK) / 產(chǎn)生過程密鑰15. ECB_SDES_EN(03888888+80000000,SESSIONK,ENCDATA) / 計算密文16. 3DES_MAC(0000000000000000+842400010C+ENCDATA+800000,SESSIONK,MAC)17. 842400010C+ENCDATA+M

21、AC(9000)/P2 ：01 更改 PIN ，嘗試計數(shù)器重置，同時修改 PIN18. /認證 PIN19. 002000000388888820.21. /解鎖 PIN22. ECB_SDES_EN(RAMDOM,STK,SESSIONK) / 產(chǎn)生過程密鑰23. 3DES_MAC(0000000000000000+8424000004+800000,SESSIONK,MAC)24.8424000004+MAC(9000) /P2 ： 00 解鎖 PIN ，嘗試計數(shù)器重置，但不修改PIN25.26. / /CHANGE PIN27. 00A4000002DDF128. 805E010007+

22、888888FF123456/ 當前 PIN |FF|新的 PIN29. /認證 PIN30. 00200000038888885.3. 應用鎖定APPLICATION BLOCK命令使當前被選擇的應用失效。失效后的應用仍可以選擇（選擇后返回 SW1_SW2_6A81），但是該應用下的文件則是不可訪問的，任何試圖的訪問都將返回SW1SW2=6A81。對失效的應用在返回 6A81 后，仍然可以用 GetResponse 命令來得到應用的FCI信息。對永久鎖定的應用返回 9303 。注：如果 BL-KID 為 00h ，則使用主控密鑰 （用途為 00h ）驗算 MAC；如果 BL-KID 不為 0

23、0h，則使用傳輸密鑰（用途為 01h）驗算 MAC。例如： 80E0000213DF0205DB0000000000390002089000)BL-KID：用途 01，標識 02-STKSTK： 100102010100DD0000Access-Right： DDLK,BK：1800030100000003DDSSB： DDCARD BLOCK命令后，卡被鎖定，除GET INFO命令外，卡拒絕執(zhí)行任何命令，返回狀態(tài)信息6A811./ 首先認證LK，然后用 STK 計算過程密鑰計算MAC2. 00A4000002DDF13. 00A4000002DF044. / 認證

24、LK,BK5. LK=000000000000000000000000000000006. 0084000008(RAM+9000)7. ECB_3DES_EN(RAM,LK,ENDATA)8. ECB_SDES_EN(0102030405060708,ENDATA,ENDATA1)9.0082008310+ENDATA1+0102030405060708(9000)/標志 0310. / / 用 STK鎖應用11. STK=000000000000000012. 0084000008(RAMD+9000)13. ECB_SDES_EN(RAMD,STK,SSK)14. 3DES_MAC(00

25、00000000000000+841E000104+800000,SSK,MAC)15. 841E000104+MAC /8416000104(BK)5.4. 外部認證EXTERNALAUTHENTICATE命令的目的是IC 卡驗證外部接口設備的有效性，使接口設備對IC卡獲得某種操作授權(quán)。例如：更新文件信息UK(UPDATAKEY)，讀取文件信息RK(READKEY)1. 0084000008(RAM+9000)2. ECB_3DES_EN(RAM,00000000000000000000000000000000,ENDATA)3. ECB_SDES_EN(0102030405060708,E

26、NDATA,ENDATA)4. 0082000111+ENDATA+0102030405060708+VERSION(9000)5. P2：6.0x x x x x x x全局密鑰標識（認證MF或 DDF下的密鑰）7.1x x x x x x x局部密鑰標識 （ ADF 下的密鑰）8.00000000當前 DF 下的 MK9. Lc ：10. 金融環(huán)境： 0811. 社保環(huán)境：10,11,00( 檢驗 P2 參數(shù)所指密鑰是否存在 (6A88NO), 計數(shù)器當前的值(63Cx)12.5.5. 讀寫記錄文件READ RECORD（ 00B2 或 04B2）命令讀記錄文件中指定的記錄。UPDATE

27、RECORD（ 00DC 或 04DC）命令用給定的數(shù)據(jù)代替記錄文件中指定的紀錄。13. CPURESET()14. 00A4000002DDF115. 00A4000002DF0416. 00A4000002EF0517. 0084000008(RAM+9000) /滿足讀權(quán)限18. ECB_3DES_EN(RAM,88657368201020122336060719830728,ENDATA) ECB_3DES _EN(0102030405060708,ENDATA,ENDATA)19. 0082008510+ENDATA+0102030405060708(9000)20. / / 讀記錄

28、 01( 第一條記錄 )+04(P1 記錄號 )+01( 期望返回值長度 )21. 00B2+01+04+03 /滿足寫權(quán)限22. 0084000008(RAM+9000)23. ECB_3DES_EN(RAM,88657368201020122336060719830728,ENDATA) ECB_SDES_EN(0102030405060708,ENDATA,ENDATA) 0082008811+ENDATA+01020304050 60708+01(9000)24./ 更新記錄01( 第一條記錄 )+04(P1記錄號 )+03( 更新記錄的長度, 必須和之前寫的長度一致，如果之前未寫入數(shù)

29、據(jù)，可以任意更新)25. 00DC010403+C10116賬戶劃入交易通過賬戶劃入交易， 持卡人可將其在基本醫(yī)療保險個人賬戶上的資金劃入卡內(nèi)基本醫(yī)療保險個人賬戶中。特點：1) 終端上聯(lián)網(wǎng)進行2) 提交個人密碼（ PIN ）（如持卡人設置）步驟：1)終端：啟動賬戶劃入交易 (INITIALIZEFOR LOAD)2)IC卡：處理 INITIALIZEFOR LOAD命令3)檢查是否支持命令中提供的密鑰(DLK) 索引號 (NO ： 9403).4)產(chǎn)生過程密鑰 (SESPK) ：偽隨機數(shù) (ICC)|基本醫(yī)療保險個人帳戶劃入交易序號| 80005)產(chǎn)生 MAC1：基本醫(yī)療保險個人帳戶余額+ 交

30、易金額 +交易類型 + 終端機編號6)終端：驗證 MAC1, 主機將生成 SESLK 并確認 MAC1 是否有效。7) 回送錯誤狀態(tài)：如果不接受帳戶劃入交易，則主機應通知終端8) 交易處理：扣減帳戶劃入金額 , 產(chǎn)生一個報文鑒別碼 (MAC2)9) 發(fā)出 “ CREDITFOR LOAD” 命令：更新卡內(nèi)基本醫(yī)療保險個人帳戶10) IC卡：驗證 MAC2(NO ： 9302).11) 交易處理：個人帳戶劃入交易序號加 1, 交易金額累加到基本醫(yī)療保險個人帳戶余額上, 更新交易明細12) 返回確認： IC 卡將 TAC 回送給終端1. 00A404000F7378312E73682EC9E7BBE1B1A3D5CF2.0020000003123456/驗證 pin3.00A4040006DF04 ：社會保險信息區(qū)4. MONEY=001000005. DLK=000000000000000000002220000000006. DTK_=000000000111110000006660002200007. DTKL=copy(DTK_,0,16)8.