TR-31 エクスポート (CSNBT31X および CSNET31X)

CALL CSNBT31X(
			return_code,	
			reason_code,	
			exit_data_length,			
			exit_data,			
			rule_array_count,
			rule_array,
			key_version_number,
			key_field_length,
			source_key_identifier_length,
			source_key_identifier,
			unwrap_kek_identifier_length,
			unwrap_kek_identifier,
			wrap_kek_identifier_length,
			wrap_kek_identifier,
			opt_blks_length,
			opt_blocks,
			tr31_key_block_length,	
			tr31_key_block)

return_code

方向	タイプ
出力	整数

戻りコードは、呼び出し可能サービスの一般的な結果を示しています。 ICSF および暗号化コプロセッサーの戻りコードおよび理由コードに、戻りコードがリストされています。

reason_code

方向	タイプ
入出力	整数

理由コードは、アプリケーション・プログラムに返される、呼び出し可能サービスの結果を示しています。 戻りコードにはそれぞれ、特定の処理問題を示すさまざまな理由コードが割り当てられています。 ICSF および暗号化コプロセッサーの戻りコードおよび理由コード に、理由コードがリストされています。

exit_data_length

方向	タイプ
出力	整数

インストール・システム出口に渡されるデータの長さ。 データは exit_data パラメーターで識別されます。

exit_data

方向	タイプ
入出力	ストリング

このデータはインストール出口に渡されます。

rule_array_count

方向	タイプ
入力	整数

rule_array パラメーターで指定するキーワード数。 rule_array_count パラメーターは 3、4、または 5 でなければなりません。

rule_array

方向	タイプ
入力	ストリング

rule_array には、制御情報をこの呼び出し可能サービスに提供するキーワードが含まれます。 このキーワードの長さは 8 バイトです。 このキーワードは左寄せにして、右側にスペース文字を埋め込む必要があります。 下表に、この呼び出し可能サービスの rule_array キーワードを示します。 用途とモードの有効な組み合わせについては、表 2 を参照してください。

表 1. TR-31 エクスポート規則配列制御情報のキーワード

キーワード	意味
TR-31 鍵ブロック保護方式 - いずれかが必須
VARXOR-A	これは、TR-31 鍵ブロック・バージョン ID「A」(0x41) に対応する変種作成方式を使用します。
VARDRV-B	これは、TR-31 鍵ブロック・バージョン ID「B」(0x42) に対応する鍵導出方式を使用します。
VARXOR-C	これは、TR-31 鍵ブロック・バージョン ID「C」(0x43) に対応する変種作成方式を使用します。
出力鍵用の TR-31 鍵用途値 - いずれかが必須 注: 制御ベクトル・トランスポート・グループから ATTR-CV が指定される場合は、用途キーワードは指定してはなりません。 専有用途「10」が使用されます。
BDK	ベース導出鍵 (BDK) - ( B0 )
CVK	カード検証鍵 (CVK) - ( C0 )
ENC	データ暗号鍵 - ( D0 )
EMVACMK	EMV アプリケーション暗号文マスター鍵 - ( E0 )
EMVSCMK	機密性マスター鍵の EMV セキュア・メッセージング - ( E1 )
EMVSIMK	保全性マスター鍵の EMV セキュア・メッセージング - ( E2 )
EMVDAMK	EMV データ認証コード鍵 - ( E3 )
EMVDNMK	EMV 動的数マスター鍵 - ( E4 )
EMVCPMK	EMV カード個別設定マスター鍵 - ( E5 )
KEK	鍵暗号鍵 - ( K0 )
KEK-WRAP	TR-31 ブロックをラップするための鍵暗号鍵 (TR-31 鍵ブロック・バージョン ID「B」および「C」の場合のみ) - ( K1 )
ISOMAC0	TDES を使用する ISO 16609 MAC アルゴリズム 1 の鍵 - ( M0 )
ISOMAC1	ISO 9797-1 MAC アルゴリズム 1 の鍵 - ( M1 )
ISOMAC3	ISO 9797-1 MAC アルゴリズム 3 の鍵 - ( M3 )
PINENC	PIN 暗号鍵 - ( P0 )
PINVO	PIN 検査鍵、「その他」のアルゴリズム - ( V0 )
PINV3624	IBM 3624 アルゴリズムの PIN 検査鍵 - ( V1 )
VISAPVV	PIN 検査鍵、VISA PVV アルゴリズム - ( V2 )
鍵用途の TR-31 モード - いずれかが必須 注: 制御ベクトル・トランスポート・グループから ATTR-CV が指定される場合は、モード・キーワードは指定してはなりません。 専有モード「1」が使用されます。
ENCDEC	暗号化および暗号化解除 - ( B )
DEC-ONLY	暗号化解除のみ - ( D )
ENC-ONLY	暗号化のみ - ( E )
GENVER	MAC または PIN の生成および検査 - ( C ) MAC 鍵では生成ビットおよび検証ビットがオンになっていなければなりません PIN 鍵では PINGEN ビットおよび EPINVER ビットがオンになっていなければなりません
GEN-ONLY	MAC または PIN の生成のみ - ( G ) MAC 鍵では生成ビットのみがオンになっていなければなりません PIN 鍵では PINGEN ビットがすべてオンになっていて EPINVER ビットがすべてオフになっていなければなりません
VER-ONLY	MAC または PIN の検査のみ ( V ) MAC 鍵では検証ビットのみがオンになっていなければなりません PIN 鍵では PINGEN ビットがすべてオフになっていて EPINVER ビットがすべてオンになっていなければなりません
DERIVE	鍵導出 (TR-31 鍵ブロック・バージョン ID「B」および「C」の場合のみ) - ( X )
ANY	すべてのモードを許可 - ( N )
TR-31 鍵ブロック内のエクスポート・フィールドを設定するためのエクスポート制御 - オプション
EXP-ANY	エクスポートで任意の鍵暗号鍵を使用できます。 これがデフォルトです。
EXP-TRST	エクスポートで、TR-31 に定義されているように、トラステッド鍵暗号鍵を使用できます。 注: X9.24 準拠の CCA 鍵ブロックでラップされた CCA 鍵はトラステッド鍵とみなされます。
EXP-NONE	エクスポートが禁止されます。
制御ベクトル・トランスポート制御 - オプション 注: このグループのキーワードが指定されない場合、source_key_identifier 内の CV は、 上記のグループから指定された「鍵用途」キーワードおよび「用途モード」キーワードに適合するように引き続き検証されます。
INCL-CV	これは、CCA 制御ベクトルを TR-31 鍵ブロック・ヘッダーのオプション・フィールドに組み込みます。 TR-31 用途フィールドおよび用途モード・フィールドでは鍵属性が示されます。 その属性 (上記のグループから渡されたキーワードから導出) は、組み込まれた制御ベクトル内の属性と両立するように呼び出し可能サービスによって検証されます。
ATTR-CV	これは、CCA 制御ベクトルを TR-31 鍵ブロック・ヘッダーのオプション・フィールドに組み込みます。 TR-31 用途は組み込まれた CV に用途情報が指定されていることを示す専有 ASCII 値「10」(‘3130’x) に設定されます。 用途モードは、同様に CV にモードが指定されていることを示す専有 ASCII 値「1」(‘ 31’x) に設定されます。 注: このキーワードが指定されている場合は、前のグループからの用途キーワードやモード・キーワードを指定してはなりません。 専有値が使用されます。

key_version_number

方向	タイプ
入力	ストリング

このパラメーターにある 2 つのバイトは、 出力 TR-31 鍵ブロックの「Key Version Number」フィールドにコピーされます。 鍵バージョン番号が不要な場合は、値を EBCDIC (「00」) にする必要があります。 パラメーター source_key_identifier に含まれる CCA 鍵が鍵パーツの 場合 (CV ビット 44 が 1 の場合)、TR-31 鍵ブロックに含まれる鍵バージョン番号は、TR-31 標準に従って「c0」(0x6330) に設定されます。 これは、TR-31 ブロックに鍵パーツが含まれることを示します。 この場合、key_version_number パラメーターで呼び出し可能サービスに渡される値は無視されます。

key_field_length

方向	タイプ
入力	整数

このパラメーターは、TR-31 ブロックにおいて暗号化される鍵フィールドの長さを指定します。 この長さは、8 (DES 暗号ブロックのサイズ) の倍数でなければなりません。 また、この長さは、パラメーター source_key_identifier で渡される非暗号化テキスト鍵の 長さに、TR-31 ブロックにおいてこの鍵の前にある 2 バイトの鍵の長さを加えたものと同じが、それより長くなければなりません。 例えば、ソース鍵が長さ 16 バイトの倍長 TDES 鍵の場合、鍵フィールドの長さは (16+2) バイトより長い 8 の倍数でなければなりません。 つまり、この場合、key_field_length の最小値は 24 です。 TR-31 では非暗号化テキスト鍵の後に任意の数のバイトを埋め込むことができるため、 呼び出し側は、8 の倍数のブロックを形成するために必要とされるだけの数のバイトで埋め込みを行うことを選択できます。 通常、これを行うのは、非暗号化テキスト鍵の長さを、その鍵を復号できない第三者から隠すためです。 多くの場合、暗号化ブロックを調べることで TR-31 ブロックで保持されている長さを判断することができないように、 すべての鍵 (単一長、倍長、3 倍長) に対して同じ長さに埋め込みが行われます。

このパラメーターでは、TR-31 の仕様に従って鍵フィールドに保管された暗号化データを ASCII でエンコードできるようにすることは 想定されていないことに注意してください。 例えば、ここで値 24 をユーザーが渡すと、上記の最小の例に従って、出力 TR-31 鍵ブロック内の鍵フィールドにおける 最終的な ASCII エンコード暗号化データの長さは 48 バイトになります。

source_key_identifier_length

方向	タイプ
入力	整数

このパラメーターは、source_key_identifier パラメーターの 長さ (バイト) を指定します。 現在、ソース鍵パラメーターに対してサポートされているのは CCA 鍵トークンのみであるため、 このパラメーターの値は 64 でなければなりません。

source_key_identifier

方向	タイプ
入出力	ストリング

このパラメーターには、 エクスポート対象の鍵のラベルまたは鍵トークンが含まれます。 その鍵は CCA 内部/外部トークンでなければなりません。 ソース鍵が内部トークンの場合、ソース鍵をラップする KEK の ID は unwrap_kek_identifier パラメーターで 渡されなければなりません。 サポートされる鍵は DES/TDES 鍵のみです。 古いマスター鍵でラップされた鍵トークンが渡されると、その鍵トークンは現行マスター鍵でラップされるように出力で更新されます。

unwrap_kek_identifier_length

方向	タイプ
入力	整数

このパラメーターは、unwrap_kek_identifier パラメーターの 長さ (バイト) を指定します。 source_key_identifier が外部 CCA トークンの場合、このパラメーターは 64 でなければなりません。 それ以外の場合、このパラメーターは 0 でなければなりません。

unwrap_kek_identifier

方向	タイプ
入出力	ストリング

source_key_identifier が 外部 CCA トークンの場合、このパラメーターには、現在の source_key_identifier のラップに 使用された KEK のラベルまたは鍵トークンが含まれます。 これはタイプ EXPORTER または OKEYXLAT の CCA 内部 DES KEK トークンでなければなりません。 source_key_identifier が外部 CCA トークンでない場合、このパラメーターは無視されます。 古いマスター鍵でラップされた鍵トークンが渡されると、その鍵トークンは現行マスター鍵でラップされるように出力で更新されます。

wrap_kek_identifier_length

方向	タイプ
入力	整数

このパラメーターは、wrap_kek_identifier パラメーターの 長さ (バイト) を指定します。 出力 TR-31 鍵ブロックをラップするために unwrap_kek_identifier も使用する場合は、 このパラメーターに対して 0 を指定します。 それ以外の場合、このパラメーターは 64 でなければなりません。

wrap_kek_identifier

方向	タイプ
入出力	ストリング

wrap_kek_identifier_length が 0 の場合、 このパラメーターは無視されて、出力 TR-31 鍵ブロックをラップするために unwrap_kek_identifier も使用されます。 それ以外の場合、このパラメーターには、出力 TR-31 鍵ブロックをラップするために KEK で使用されるラベルまたは鍵トークンが含まれます。 これは KEK EXPORTER/OKEYXLAT タイプの CCA 内部トークンでなければならず、unwrap_kek_identifier と同じ非暗号化鍵が必要です。 古いマスター鍵でラップされた鍵トークンが渡されると、その鍵トークンは現行マスター鍵でラップされるように出力で更新されます。

注: 「E」エクスポート可能性を持っているか、または持つことになる TR-31 バージョン「B」/「C」鍵ブロックを ラップ/ラップ解除するために、ECB モードでラップされた DES 鍵 (CCA レガシー・ラップ・モード) は使用できません。 これは、ECB モードが ANSI X9.24 Part 1 に準拠していないためです。

このパラメーターは KEK を分離できるようするために用意されています。 CCA 外部鍵をラップするための KEK を TR-31 外部鍵のラップに使用できないようにしたり、その逆を行ったりするために、KEK で ラップできる項目に関して KEK を制限できます。

opt_blks_length

方向	タイプ
入力	整数

このパラメーターは、 パラメーター opt_blocks の長さ (バイト) を指定します。 オプション・データを TR-31 鍵ブロックに含めない場合は、このパラメーターをゼロに設定する必要があります。

opt_blocks

方向	タイプ
入力	ストリング

このパラメーターには、出力 TR-31 鍵ブロックに組み込まれる オプション・ブロック・データが含まれます。 オプション・ブロック・データは、TR-31 オプション・データ作成呼び出し可能サービスを使用して作成されます。 また、オプション・ブロック・データは ASCII になっていなければなりません。 opt_blks_length がゼロの場合、このパラメーターは無視されます。

TR31_key_block_length

方向	タイプ
入出力	整数

このパラメーターは、TR31_key_block パラメーターの 長さ (バイト) を指定します。 入力では、このパラメーターには、出力 TR-31 鍵ブロックに使用できるバッファーのサイズを指定しなければなりません。 戻りでは、返される鍵ブロックの実際の長さを含むように、このパラメーターが更新されます。 指定されたバッファーが出力 TR-31 鍵ブロックに十分な大きさでない場合は、エラーが返されます。 出力 TR-31 鍵ブロックの最大サイズは 9992 バイトです。

TR31_key_block

方向	タイプ
出力	ストリング

この パラメーターは、wrap_kek_identifier パラメーターで指定されるエクスポート鍵でラップされたエクスポート TR-31 鍵ブロックの 位置を指定します。

この呼び出し可能サービスでは、DES 鍵および TDES 鍵のみがエクスポートされます。

TR-31 ヘッダー・フィールドの専用値は、ヘッダー内のオプション・ブロックに制御ベクトルを指定する場合に IBM CCA で使用される専用値を除いて、 この呼び出し可能サービスではサポートされません。

特にほかで注記されていない限り、TR-31 鍵ブロックとの間で読み書きが行われるストリング・パラメーターはすべて EBCDIC フォーマットになります。 入力パラメーターは TR-31 鍵ブロックに書き込まれる前に ASCII に変換され、 出力パラメーターは返される前に EBCDIC に変換されます (EBCDIC および ASCII のデフォルト変換テーブルを参照してください)。 TR-31 鍵ブロック自体は、ANSI TR-31 の仕様で要求されているとおり、必ず印刷可能な ASCII フォーマットになります。

キーワード INCL-CV または ATTR-CV が指定されている場合、このサービスでは、CCA 制御ベクトルがソース鍵から TR-31 ヘッダー内の オプション・データ・フィールドに挿入されます。 TR-31 インポート呼び出し可能サービスでは、この CV を抽出して、TR-31 ブロックのインポート時に作成される CCA 鍵の CV として使用できます。 これにより、CCA 鍵の移送に TR-31 を使用したり、送受信ノードで CCA 鍵が同じ制御ベクトルを持つようにしたりできるようになります。 INCL-CV と ATTR-CV の違いは、INCL-CV が通常の TR-31 エクスポートであるということです。 INCL-CV では、TR-31 鍵属性は、指定された規則配列キーワードに基づいて設定されますが、 詳細情報を追加するために CV も TR-31 ブロックに組み込まれます。 これに対して ATTR-CV では、このサービスによって、CV が組み込まれますが、TR-31 用途フィールドおよび用途モード・フィールドが、 用途およびモードの情報が TR-31 ヘッダーにではなく CV に指定されることを示す専有値に設定されます。 オプション INCL-CV の場合、エクスポート操作は、関連アクセス制御点の設定によって課せられる制限を引き続き受けます。 オプション ATTR CV の場合、そのアクセス制御点は検査されず、CV 内のエクスポート制御フィールドで許可される限り、 いずれの CCA 鍵もエクスポートできます。

呼び出し側がこの呼び出し可能サービス、鍵ラベル、または CKDS に保管された内部セキュア鍵トークンの使用を許可されているかを検査するために、SAF が呼び出される場合があります。

オプション・データがある場合、そのデータに埋め込みブロック (ID「PB」) があらかじめ組み込まれていてはなりません。 必要に応じて、適切なサイズの埋め込みブロックが TR-31 鍵ブロックの作成時に追加されます。 この呼び出し可能サービスでオプション・ブロック・データに埋め込みブロックが検出されると、エラーが発生します。

次の表は、TR-31 鍵ブロックに CCA 鍵をエクスポートするための有効な属性変換を、その属性変換を管理するアクセス制御点とともにリストしたものです。 ここにリストされていない変換はすべてエラーになります。 ブランクになっている個別のセルは、値がすぐ上の値と同じであることを示しています。

下表に、各サーバー・タイプに必要な暗号化ハードウェアを示し、この呼び出し可能サービスの制約事項について説明します。