YD/T 3147-2016 标准解读

一、标准适用范围与执行边界

• 适用主体：本标准适用于在中国境内提供手机支付服务的可信服务管理平台（TSM）建设方、运营方及与其对接的移动应用提供商、安全单元（SE）供应商、支付机构等。
• 适用场景：涵盖基于SE（如UICC、eSE、SD卡SE）实现的近场通信（NFC）支付、远程支付等业务场景中，TSM平台在服务生命周期管理、密钥分发、应用下载、权限控制等环节的技术实现。
• 排除条件：不适用于非基于SE架构的纯软件支付方案（如HCE无SE模式）、非支付类TSM服务（如门禁、交通卡非支付功能）、以及境外TSM平台独立部署且不接入中国境内支付生态的系统。

二、核心实操技术要求

1. 平台安全架构：TSM平台须部署于通过国家信息安全等级保护三级及以上认证的环境；所有与SE交互的指令必须经由加密通道传输，采用SM2/SM4国密算法或经国家密码管理局认可的国际算法。
2. 密钥管理体系：主密钥（MK）与派生密钥（DK）分离存储；DK生成需满足YD/T 3147-2016第6.2.3条规定的随机性与唯一性要求；密钥轮换周期不得超过180天。
3. 服务生命周期管理：支持服务开通、激活、暂停、注销四阶段状态控制；服务注销后，SE内对应应用数据须在24小时内完成逻辑擦除，物理擦除应在90日内完成。
4. 接口规范：TSM对外接口须遵循标准RESTful或SOAP协议，支持ISO/IEC 7816-4 APDU封装；与SE间通信延迟应≤500ms（95%分位）。
5. 审计与日志：所有关键操作（如密钥注入、服务授权）须记录不可篡改日志，留存时间不少于5年；日志字段至少包含操作时间、操作者ID、操作类型、目标SE标识、结果状态。

三、典型业务场景应用案例

四、实操难点与解决方案

• 难点1：多厂商SE兼容性差
  对策：严格遵循YD/T 3147-2016附录A定义的SE抽象接口层（SAL），将TSM与具体SE硬件解耦；建立SE能力注册表，动态适配不同厂商指令集。
• 难点2：密钥分发过程存在中间人风险
  对策：采用双向证书认证+动态会话密钥机制；密钥传输前需通过TSM与SE间的挑战-应答协议验证对方身份，符合6.2.5条安全通道建立流程。
• 难点3：服务注销后SE残留数据难以彻底清除
  对策：在SE个人化阶段预置安全擦除指令；TSM触发注销时同步发送逻辑删除指令，并记录擦除确认回执；对无法物理擦除的旧版SE，采用密钥废止替代数据清除，确保残留数据不可用。
• 难点4：跨机构TSM互联缺乏统一鉴权机制
  对策：参照标准第9章“TSM间互操作”要求，部署基于X.509证书的联邦身份认证体系；所有跨平台服务请求须携带经CA签发的操作令牌，令牌有效期≤5分钟。