®
01
密钥仪式是经过规划的工作流程
在开展仪式之前，会预先确定前提条件、角色分工、控制步骤和终止条件。密钥分量和访问凭证，会依照约定的流程交由不同的保管人分别保管。记录会记载操作过程，但不会披露秘密组件本身。在交换密钥块时，例如使用 TR-31 或 TR-34，双方必须一致支持相同的格式、密钥用途和允许的操作。在涉及生产密钥或支付路径之前，会先用模拟数据进行测试，以验证这些约定。
您对 OTOKO® 的委托
我们为您承接的工作。
我们会梳理您的系统在支付流程中承担的角色，以及它实际需要哪些密码运算。密钥用途、参与方和交接节点都会形成文档。用于通用场景的 HSM，并不会自动适用于支付指令。选型会综合考虑您所连接的网络和合作方的要求，以及现有处理系统所支持的方式。
可能的服务范围
- 梳理支付流程、参与方和密钥层级结构
- 规划合适的支付 HSM 配置和接口
- 制定职责分离的密钥仪式流程
- 协调合作方交接流程和密钥块格式
- 测试切换、回退和控制对账
具体范围、您的参与方式以及验收标准，我们会在项目开始前明确约定。
把技术讲清楚
我们是这样落实任务的。
02
以业务对账验证迁移
切换方案会规划时间窗口、合作方的可用性、回退标准和交易对账。并非每一笔已经执行的支付，都能通过技术回滚撤销。因此，回退路径和人工处理会从业务角度进行协调。您将获得已记录的测试结果、职责划分，以及为您的审核流程约定的证明材料；正式认证与此相互独立。
03
选择支付功能而非通用密码功能
PIN 处理、卡片个人化和终端密钥流程，与企业 PKI 的要求并不相同。我们会将所需的指令、密钥用途和格式，与所使用的支付平台进行核对。这也包括主机对接、测试接入方式以及相关合作方的要求。通用 HSM 即便密码运算性能再高，也无法替代受支持的支付功能。反过来，支付 HSM 也不应在未经核查的情况下，被当作面向任意应用的通用密钥平台使用。
04
在实践中测试密钥块和合作方变更
在密钥转移过程中，发送方和接收方需要支持的不仅仅是相同的密钥长度。用途绑定、算法、允许的操作以及传输保护，都必须相互匹配。我们会记录计划采用的密钥块和分发方式，使用非生产密钥测试受支持的格式，并核查错误返回。TR-31 密钥块和基于 TR-34 的分发，会被当作两项不同的任务分别处理，而不是可以随意互换的格式。
05
示例：将支付环境切换到新一代设备
在更换设备之前，OTOKO® 会与您的运维团队一起，对使用的指令和密钥区进行盘点。测试计划会将技术响应代码与业务预期对应起来。我们会为切换预先安排相关合作方的联系人、审批和控制对账。只有在测试成功、并商定切换计划之后，才会进入生产窗口。总结报告会记录哪些密钥和流程完成了切换，以及哪些遗留项仍需继续使用。
一个可验证的成果
这将成为您后续工作的基础。
- 支付 HSM 集成方案
- 仪式脚本与记录模板
- 已验收的测试与切换流程
移交环节将实施成果与文档记录结合在一起。我们会共同检查约定的场景，并记录尚待完成的任务。
在迈出第一步之前
您关于 支付 HSM 的问题。
生产密钥能否直接导出？
这取决于密钥属性、安全规则以及所支持的迁移方式。我们只会规划合规的转移方式；不可导出的密钥可能需要采用其他迁移路径。
整个仪式是否由 OTOKO® 独自完成？
角色分工遵循您已批准的控制模型。所需的参与人员和职责分离，会提前确定，不会因为提供了技术服务而被取消。
通用 HSM 能否替代支付 HSM？
如果没有证明具备所需的支付功能和条件，则不能替代。支付指令、密钥处理方式和具体的认证状态，都必须符合处理链的要求。我们会在推荐设备之前核查这些要点。
测试中是否会使用真实 PIN 或生产密钥？
对于集成测试和故障测试，我们会使用非生产的测试数据和测试密钥。生产环境的仪式会单独获得审批，并遵循已商定的控制模型。秘密密钥材料不应出现在工单或测试记录中。
双人复核原则和知识分割（Split Knowledge）指的是什么？
分离控制旨在防止单独一人执行关键操作。知识分割（Split Knowledge）会依照既定流程，将有关某个秘密的知识分散到多人手中。具体流程所需的角色和技术机制，会针对该流程单独确定。
完成集成后，我们能否获得 PCI 认证？
技术集成本身并不能对整个环境做出正式确认。OTOKO® 会准备约定好的技术证明材料和运维文档。相应的审计人员、评估范围和正式审批，会另行商定。
