加密機(jī)主密鑰（MK——Master Key）
加密機(jī)主密鑰是存入在HSM機(jī)內(nèi)的由三個(gè)成分合成的一對(duì)最上層密鑰。在HSM機(jī)器以外的地方不會(huì)以明文形式存放，它采用雙倍標(biāo)準(zhǔn)DES密鑰（長(zhǎng)達(dá)112位）實(shí)現(xiàn)三重?cái)?shù)據(jù)加密。由于DES算法依靠某一個(gè)密鑰進(jìn)行加密，同時(shí)所有密鑰和數(shù)據(jù)都經(jīng)由MK進(jìn)行加密，所以MK必須通過一種安全的方法生成和維護(hù)。MK由三個(gè)成分組成，32位十六進(jìn)制數(shù)為一個(gè)成分。MK以密文行書存儲(chǔ)在加密機(jī)黑匣子中，且永遠(yuǎn)不以明文形式出現(xiàn)。一般說來TMK通過MK加密后保持在數(shù)據(jù)庫中。
終端主密鑰（TMK——Terminal Master Key）
TMK，主要作用是用來驗(yàn)證工作密鑰是否合法，以及加密TAK、TPK，保證TAK和TPK在傳輸線路上地安全性。一般情況下，TMK是人工在POS設(shè)置或者通過IC卡導(dǎo)入，也有可能通過母POS下發(fā)。TMK被寫入密鑰保護(hù)芯片，此芯片具有自毀功能，能很好地保護(hù)TMK的安全性。TMK是和每一臺(tái)POS相關(guān)聯(lián)的，即主密鑰和POS設(shè)備是一一對(duì)應(yīng)的。TMK又分為明文和密文，由具備銀聯(lián)認(rèn)可資質(zhì)的服務(wù)商下發(fā)（舉例：工商銀行、招商銀行、建設(shè)銀行）。如果是密文，則需要先解密，然后校驗(yàn)，校驗(yàn)通過后，在本地存儲(chǔ)。
如果終端主密鑰時(shí)密文，該如何解密呢？需要用KEK進(jìn)行解密，那么KEK又是什么呢？KEK為密鑰加密密鑰。
工作密鑰
工作密鑰也稱為數(shù)據(jù)密鑰，包含PIN密鑰，MAC密鑰以及磁道密鑰。在POS每次做簽到交易時(shí)，由POS中心下發(fā)給POS。存儲(chǔ)在本地，需要經(jīng)常性地定期更換，通常每天更換一次。
PIN密鑰
終端PIN密鑰是一個(gè)數(shù)據(jù)加密用的密鑰，用于加密PIN，什么是PIN呢？PIN就是你的銀行卡密碼。在簽到時(shí)，以密文的形式下發(fā)給POS終端，POS機(jī)接收到密文后，需要用TMK去解密，然后校驗(yàn)，校驗(yàn)通過后，將TPK存儲(chǔ)在專用地密鑰保護(hù)芯片里。TPK用于加密在局域網(wǎng)內(nèi)POS終端和POS中心之間傳送地PIN。
TPK的用法：當(dāng)你在密碼鍵盤上輸入銀行卡密碼時(shí)，輸出的是加密后的密文（通過TPK加密），那么在網(wǎng)絡(luò)傳輸中，一直都使用該密文，即使被截獲，得到的也是密文。
這里有個(gè)注意點(diǎn)，就是校驗(yàn)。通過校驗(yàn)KCV，簽到的時(shí)候，下發(fā)給POS機(jī)的不僅有工作密鑰，還有每個(gè)密鑰的checkvalue。
終端認(rèn)證密鑰(TAK–Terminal Administrative Key)
終端認(rèn)證密鑰用于計(jì)算校驗(yàn)MAC。MAC是用來完成消息來源正確性鑒別，防止數(shù)據(jù)被篡改或非法用戶切入的數(shù)據(jù)。TAK也同樣是在簽到時(shí)，以密文的形式下發(fā)給POS終端，POS機(jī)接收到密文后，用TMK終端主密鑰解密，然后校驗(yàn)，校驗(yàn)通過后，將TAK存儲(chǔ)在專用的密鑰保護(hù)芯片里。TAK用于局域網(wǎng)內(nèi)POS終端與POS中心之間傳送消息時(shí)，生成和校驗(yàn)一個(gè)消息認(rèn)證碼（Message Authentication Code), 從而達(dá)到消息認(rèn)證的目的。TAK需要經(jīng)常性地定期更換，通常每天更換一次。
為什么POS機(jī)要簽到？
其實(shí)POS協(xié)議的簽到不是單純的開機(jī)報(bào)到，它是加強(qiáng)整個(gè)交互的安全性和可靠性。POS機(jī)簽到有兩個(gè)目的：一是鏈接主機(jī)證明該P(yáng)OS機(jī)設(shè)備是合法的，二是下載最新的工作密鑰。POS設(shè)備硬件芯片在出廠時(shí)會(huì)設(shè)置一個(gè)設(shè)備ID和一個(gè)密鑰。簽到就是POS設(shè)備向服務(wù)器發(fā)起簽到請(qǐng)求，然后讓服務(wù)器返回三個(gè)工作密鑰，分別用于加密POS傳輸給服務(wù)器的銀行卡的三個(gè)信息。三個(gè)工作密鑰是通過POS設(shè)備硬件芯片內(nèi)的密鑰（在服務(wù)器端也有）進(jìn)行加密的。
