密钥的分散机制和分层保护的思想

　　目前主流的IC卡应用系统所采用的密钥管理体系主要有基于公开密钥基础设施的密钥管理和基于对称算法的密钥管理。

　　PKI是一种以公开密钥算法为基础，统一解决密钥发布、管理和使用的系统。它不是一个单一的对象或者软件，而是由许多互相联系的组件共同协作来提供一套服务，这些服务使得用户能够简单方便地使用公开密钥系统来解决存在的安全问题。

　　分层产生密钥基本思想是用密钥来保护密钥。即用第i层的密钥Ki来保护第i+1层的密钥Ki+1，同时i受第i-1层密钥Ki-1的保护。采用这种分层的方法可以大大提高系统的安全性。由于下层的密钥可以按照设计成某种协议不断变化，从而使得整个的密钥管理系统表现为一种动态的特性。

　　密钥的分散算法是固定的，在建设事业或PBOC等标准上有相应的算法流程图。密钥分散机制是保护密钥安全的有效手段，通过密钥分散，使得每张IC卡交易时使用的密钥都不同，实现了“一卡一密”，并要求在密钥操作时和控制密钥配合使用，提高密钥使用的安全性。

　　基于对称算法的密钥管理 对称算法要求通信双方共享一个秘密数据作为加密密钥，对密钥的管理与交换变得稍微复杂。对称算法还经常应用于身份鉴别协议，在此过程中密钥管理也基于对称算法。在基于对称算法的密钥管理体系中，借助IC卡能够产生硬件随机数等特点，可以在身份鉴别过程中同一个用户ID每一次鉴别都使用变化的PW，从而使重放攻击失效。

　　相对于公开密钥算法，对称算法具有运算速度快，占用资源少的优点，因此在IC卡应用系统中，得到了广泛的应用。密钥的分散机制和分层保护的思想也源自于对称密钥管理方式。