Thales PayShield 10K Manuel utilisateur

Ce manuel convient aux modèles suivants

Table des matières

Autres manuels Thales Carte réseau

Thales

Thales Cinterion MV31-W sub6 USB Manuel utilisateur

Thales

Thales Cinterion MLA31-W Manuel utilisateur

Thales

Thales mPLS62 Manuel utilisateur

Thales

Thales gemalto Cinterion mPLAS9-W Manuel utilisateur

Manuels Carte réseau populaires d'autres marques

FirstComm

FirstComm OBiWiFi5G Manuel utilisateur

Sun Microsystems

Sun Microsystems Interface Adapter Manuel utilisateur

TRENDnet

TRENDnet TU2-ETG Manuel utilisateur

YASKAWA

YASKAWA SI-EN3 Manuel utilisateur

Paradyne

Paradyne BitStorm 2600 IP DSLAM Manuel utilisateur

Belkin

Belkin F5D7050 Manuel utilisateur

3Com

3Com EtherLink 3C509B Manuel utilisateur

TRENDnet

TRENDnet TEG-PCITX Manuel utilisateur

Cisco

Cisco MC16E Manuel utilisateur

Delta Electronics

Delta Electronics Braking Modules VFDB Series Manuel utilisateur

TwinMOS

TwinMOS Booming Manuel utilisateur

Dialogic

Dialogic Media Board DM/V1200BTEPEQ Manuel utilisateur

Buffalo

Buffalo AirStation WLI-PCM-L11GP Manuel utilisateur

National Instruments

National Instruments NI 9234 Manuel utilisateur

Hama

Hama 49276 Manuel utilisateur

Linksys

Linksys WCF54G - Wireless-G Compact Flash Card Manuel d'utilisation

Compaq

Compaq Wireless LAN 100 Manuel utilisateur

Bose

Bose PowerMatch Dante Manuel utilisateur

cpl.thalesgroup.com

payShield

®10K

nstallation and User Guide

PUGD0535

-006

payShield 10K Installation and User Guide

Date: January 2021

Doc. Number: PUGD0535-006, updated 15 January 2021

All information herein is either public information or is the property of and owned solely by Thales DIS

France S.A. and/or its subsidiaries or affiliates who shall have and keep the sole right to file patent

applications or any other kind of intellectual property protection in connection with such information.

Nothing herein shall be construed as implying or granting to you any rights, by license, grant or otherwise,

under any intellectual and/or industrial property rights of or concerning any of Thales DIS France S.A. and

any of its subsidiaries and affiliates (collectively referred to herein after as “Thales”) information.

This document can be used for informational, non-commercial, internal and personal use only provided

that:

•The copyright notice below, the confidentiality and proprietary legend and this full warning notice appear

in all copies.

•This document shall not be posted on any network computer or broadcast in any media and no

modification of any part of this document shall be made.

Use for any other purpose is expressly prohibited and may result in severe civil and criminal liabilities.

The information contained in this document is provided "AS IS" without any warranty of any kind. Unless

otherwise expressly agreed in writing, Thales makes no warranty as to the value or accuracy of information

contained herein.

The document could include technical inaccuracies or typographical errors. Changes are periodically added

to the information herein. Furthermore, Thales reserves the right to make any change or improvement in

the specifications data, information, and the like described herein, at any time.

Thales hereby disclaims all warranties and conditions with regard to the information contained herein,

including all implied warranties of merchantability, fitness for a particular purpose, title and non-

infringement. In no event shall Thales be liable, whether in contract, tort or otherwise, for any indirect,

special or consequential damages or any damages whatsoever including but not limited to damages

resulting from loss of use, data, profits, revenues, or customers, arising out of or in connection with the use

or performance of information contained in this document.

Thales does not and shall not warrant that this product will be resistant to all possible attacks and shall not

incur, and disclaims, any liability in this respect. Even if each product is compliant with current security

standards in force on the date of their design, security mechanisms' resistance necessarily evolves

according to the state of the art in security and notably under the emergence of new attacks. Under no

circumstances, shall Thales be held liable for any third party actions and in particular in case of any

successful attack against systems or equipment incorporating Thales products. Thales disclaims any

liability with respect to security for direct, indirect, incidental or consequential damages that result from any

use of its products. It is further stressed that independent testing and verification by the person using the

product is particularly encouraged, especially in any application in which defective, incorrect or insecure

functioning could result in damage to persons or property, denial of service or loss of privacy.

service marks of Thales and/or its subsidiaries and affiliates and are registered in certain countries. All

other trademarks and service marks, whether registered or not in specific countries, are the properties of

their respective owners.

Follow this link to find the End User Licensing Agreement: https://cpl.thalesgroup.com/legal/eula

payShield 10K Installation and User Guide

Contents

1 Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-9

1.1 Documentation Overview . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-9

1.2 Audience . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-9

1.3 payShield 10K General Description . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-9

1.4 Typical Configuration. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-10

1.4.1 Command Flow . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-11

1.5 Smart cards . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-11

1.6 Customer Trust Authority (CTA) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-12

1.6.1 Customer Security Domain . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-13

1.7 Keys . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-13

1.7.1 Encryption Mechanism . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-13

1.7.2 HSM Recovery Key . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-13

1.7.3 Local Master Keys (LMKs) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-14

1.7.3.1 Multiple LMKs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-14

1.7.4 Zone Master Key . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-15

1.7.4.1 Zone PIN Key . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-15

1.7.5 Terminal Master Key . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-15

1.7.5.1 Terminal PIN Key . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-15

1.7.6 Terminal Authentication Key . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-15

1.7.7 Terminal Encryption Key . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-16

1.7.8 PIN Verification Key . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-16

1.7.9 Card Verification Key . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-16

1.7.10 Master Session Key . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-16

1.8 Key Shares . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-16

1.9 Host Commands supporting multiple LMKs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-17

1.9.1 LMK Usage in Host Commands . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-18

1.10 payShield 10K license packages. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-19

1.11 Trusted Management Device (TMD) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-21

1.11.1 Introduction. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-21

1.11.2 Background . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-21

1.11.3 Description . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1-21

1.11.4 How Keys Are Shared With payShield and 3rd Parties . . . . . . . . . . . . . . . . . . 1-22

1.11.5 Example Sequence of Steps to Set-Up and Transfer Keys . . . . . . . . . . . . . . . 1-23

2 Backwards Compatibility and Differences. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2-25

2.1 payShield 9000 / payShield 10K . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2-25

2.1.1 Host Interface and Commands. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2-25

2.1.2 Options for Managing payShield 10K. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2-26

2.1.3 Modifications made to the console commands . . . . . . . . . . . . . . . . . . . . . . . . . 2-26

2.1.4 Feature Comparison. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2-27

2.1.5 Front Panel. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2-29

2.1.6 Front Panel LEDs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2-29

2.1.7 Front Panel Key Lock Positions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2-29

2.1.8 Rear Panel . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2-30

2.1.9 Enhanced Security Features . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2-30

2.1.10 Diagnostics. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2-31

2.1.11 Monitoring. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2-31

2.1.12 Transitioning Smart Cards . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2-31

2.1.12.1 Transitioning legacy Manager Smart Cards . . . . . . . . . . . . . . . . . . . . . . . . . 2-32

payShield 10K Installation and User GuidepayShield 10K Installation and User Guide

2.1.12.2 Transitioning non-supported legacy HSM Smart Cards . . . . . . . . . . . . . . . . 2-33

2.1.12.3 Copying a card at the console . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2-33

2.1.13 User Documentation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2-33

3 Physical Description . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-35

3.1 Front panel . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-35

3.1.1 Key locks and keys . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-35

3.1.1.1 Changing the HSM state via the key locks . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-35

3.1.2 Smart Card Reader . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-36

3.1.3 Front panel LEDs. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-36

3.1.3.1 Health LED . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-37

3.1.3.2 Service LED . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-37

3.1.3.3 Tamper LED . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-38

3.1.3.4 Boot-up LED Sequence . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-38

3.1.3.5 Blue LED. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-38

3.1.4 Air Inlets. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-38

3.2 Rear panel . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-39

3.2.1 AC/DC power supplies. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-39

3.2.1.1 Swapping out the Power Supply . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-39

3.2.2 Fan trays . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-40

3.2.3 Battery . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-40

3.2.4 AC Power on/off switch . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-41

3.2.5 PCIe card interface . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-41

3.2.6 Ethernet ports . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-41

3.2.7 USB Type A port . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-41

3.2.8 Erase Button and LED . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-41

3.2.9 Ground Lug . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3-41

4 Installation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4-43

4.1 Pre-installation tasks. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4-43

4.1.1 Mechanical and Electrical Specifications. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4-43

4.1.1.1 Physical Characteristics . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4-43

4.1.1.2 Power Considerations. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4-43

4.1.1.3 Environmental Considerations . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4-44

4.1.1.4 Battery consideration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4-44

4.2 Installation Procedure . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4-44

5 payShield 10K 10G Ethernet Hardware Platform Variant. . . . . . . . . . . . . . . . . . 5-49

5.1 Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5-49

5.2 Rear Panel Overview . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5-50

5.3 General Notes. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5-50

5.4 Installing 10Gb ports . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5-50

5.5 Power Consumption . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5-51

6 payShield Management Options . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6-53

7 Commission using payShield Manager. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7-55

7.1 Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7-55

7.2 Prerequisites. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7-55

7.3 Preparing for Commissioning . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7-55

7.3.1 Configuring payShield 10K for Static IP (if required) . . . . . . . . . . . . . . . . . . . . . 7-55

7.3.2 Install Smart Card Reader Driver. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7-56

7.3.3 Check the Proxy Configuration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7-56

7.3.4 Configure DNS. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7-56

payShield 10K Installation and User Guide

7.3.5 Connect to the Network . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7-57

7.4 Connecting to payShield 10K, Installing Browser Extensions and

Configuring Smart Card Reader. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7-58

7.4.1 Connecting to payShield 10K . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7-58

7.4.2 Installing Thales Browser Extensions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7-59

7.4.3 Configure the Smart Card reader . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7-65

7.5 Commissioning payShield 10K . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7-66

7.5.1 Open the Commissioning Wizard page . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7-67

7.5.2 Create a new Security Domain. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7-68

7.5.3 Load the Security Domain . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7-73

7.5.4 Set HSM Recovery Key (HRK) passphrases . . . . . . . . . . . . . . . . . . . . . . . . . . . 7-78

7.5.5 Create Left and Right Remote Access Control key cards . . . . . . . . . . . . . . . . . 7-79

7.5.6 Adding Additional Warranted HSMs to the Security Domain . . . . . . . . . . . . . . . 7-84

7.6 Additional Information . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7-85

7.6.1 Using payShield Manager with MacOS Catalina . . . . . . . . . . . . . . . . . . . . . . . . 7-85

8 Using payShield Manager . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-89

8.1 Introduction to payShield Manager . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-89

8.2 Logging into payShield Manager. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-89

8.3 Top Tab descriptions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-91

8.3.1 Summary Tab. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-91

8.3.2 Status Tab . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-91

8.3.3 Operational Tab . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-92

8.3.4 Domain Tab . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-93

8.3.5 Configuration Tab. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-93

8.4 Virtual Console Tab. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-94

8.4.1 Quick Links. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-94

8.4.2 Terminate Session . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-94

8.5 Lower screen icons . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-94

8.5.1 payShield 10K States . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-95

8.5.1.1 Online . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-95

8.5.1.2 Offline . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-95

8.5.1.3 Secure . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-95

8.5.1.4 Switching to Online or Offline State . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-95

8.5.1.5 Switching to Secure State . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-95

8.5.2 Time Remaining . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-96

8.5.3 Information . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-96

8.5.4 User . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-96

8.5.5 Status . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-97

8.5.6 Smart Card Operations . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-97

8.5.7 Login/Logout of Users . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-98

8.5.7.1 Login Additional Users . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-98

8.5.7.2 User Logout. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-98

8.6 Summary Page . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-99

8.6.1 Summary Dashboard . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-99

8.6.2 Health Dashboard . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-100

8.6.2.1 How to resolve reported errors . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-100

8.6.3 Configuration Dashboard . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-103

8.6.4 Local Master Key . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-104

8.7 Status page . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-105

8.7.1 Device Information . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-106

8.7.2 Utilization Statistics . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-107

8.7.3 Health Statistics/Diagnostics . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-111

8.7.3.1 Health/Stats. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-111

8.7.3.2 Diagnostics . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-112

payShield 10K Installation and User GuidepayShield 10K Installation and User Guide

8.7.3.3 Maintenance . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-113

8.7.4 Error Log . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-113

8.7.5 Audit Log . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-114

8.7.6 Software Info . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-121

8.7.6.1 Software - how to update software . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-122

8.7.7 FIPS/Licensing. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-123

8.7.7.1 License Summary - how to update Licensing . . . . . . . . . . . . . . . . . . . . . . . . 8-123

8.7.7.2 Installed Licenses . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-124

8.7.7.3 FIPS Validated Algorithms . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-125

8.7.8 Import Certificate . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-125

8.7.8.1 General Information . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-125

8.7.8.2 TLS Management . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-126

8.7.8.3 Secure Host Communications . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-126

8.8 Operational . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-127

8.8.1 Local Master Keys . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-128

8.8.1.1 Generate LMK - create trusted officer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-128

8.8.1.2 Verify an LMK Card . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-137

8.8.1.3 Create an Authorizing Card . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-137

8.8.1.4 Duplicate an LMK Card. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-138

8.8.1.5 Generate an LMK . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-138

8.8.1.6 Install an LMK from RLMK Card Set. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-139

8.8.1.7 Delete an Installed LMK . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-139

8.8.1.8 Replace an installed LMK . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-140

8.8.1.9 Set the Default LMK . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-140

8.8.1.10 Set the Management LMK . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-141

8.8.1.11 Enter Authorized State . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-142

8.8.1.12 Single Authorization Mode . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-143

8.8.1.13 Multiple Authorization Mode . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-143

8.8.1.14 Key Change Storage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-143

8.8.1.15 Install LMK from RLMK card set . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-143

8.8.1.16 Delete an installed LMK . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-144

8.8.1.17 Replace an Old LMK. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-144

8.9 Domain . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-145

8.9.1 payShield Security Group . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-146

8.9.2 Security Domain . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-147

8.9.2.1 Commission a Smart Card . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-147

8.9.2.2 Decommission a Card . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-152

8.9.2.3 Copy a Domain Card . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-152

8.9.2.4 Create a New Security Domain . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-152

8.9.2.5 HRK Operations . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-152

8.10 Configuration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-154

8.10.1 Host Settings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-155

8.10.2 Active Host Interface . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-155

8.10.3 Ethernet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-156

8.10.3.1 IP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-157

8.10.3.2 Access Control List (ACL). . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-158

8.10.3.3 TCP/UDP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-159

8.10.3.4 TLS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-160

8.10.3.5 Printer Settings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-161

8.10.4 Security Settings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-163

8.10.4.1 Security Parameter Descriptions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-165

8.10.5 Management Settings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-165

8.10.5.1 Management - Interface . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-165

8.10.5.2 Management - Timeouts. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-167

payShield 10K Installation and User Guide

8.10.5.3 Management - TLS Certificate . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-168

8.10.6 General Settings. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-168

8.10.6.1 General - PIN Blocks. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-169

8.10.6.2 General - Alarms . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-170

8.10.6.3 General - Fraud . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-171

8.10.6.4 General - Date and Time. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-172

8.10.6.5 General - Miscellaneous . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-172

8.10.7 Configure Commands . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-173

8.10.8 Audit Settings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-175

8.10.8.1 Audit - General . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-175

8.10.8.2 Audit - Console Commands . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-176

8.10.8.3 Audit - Host Commands . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-177

8.10.8.4 Audit - Management Commands. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-178

8.10.9 SNMP Settings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-179

8.10.10 Load/Save Settings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-180

8.11 Virtual Console . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8-180

9 Migrating LMKs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-183

9.1 Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-183

9.2 Multiple LMKs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-183

9.3 Overview of the process . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-183

9.4 Generating new LMK component Smart Cards. . . . . . . . . . . . . . . . . . . . . . . . . . 9-184

9.4.1 Types of LMK component cards. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-185

9.5 Formatting LMK Smart Cards . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-185

9.5.1 HSM LMK Cards . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-185

9.5.2 payShield Manager LMK Cards . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-185

9.6 Generating LMK Component Cards . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-186

9.6.1 HSM LMK Cards . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-186

9.6.2 payShield Manager RLMK Cards. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-186

9.7 Creating Copies of LMK Component Cards . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-186

9.7.1 Duplicating HSM LMK cards . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-186

9.7.2 Duplicating a payShield Manager RLMK card . . . . . . . . . . . . . . . . . . . . . . . . . 9-187

9.8 Loading the new LMK . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-187

9.8.1 Using the Console . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-187

9.8.1.1 Loading (or forming) the LMK . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-187

9.8.1.2 Checking the LMK . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-187

9.8.2 Using payShield Manager . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-188

9.8.2.1 Installing the LMK . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-188

9.8.2.2 Checking the LMK . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-188

9.9 Loading the old LMK . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-188

9.9.1 Using the Console . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-188

9.9.2 Using payShield Manager . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-189

9.10 Migrating keys between Variant LMKs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-189

9.10.1 BW Host command . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-189

9.10.2 BX Response to the Host . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-192

9.11 Migrating keys from Variant to Key Block LMKs . . . . . . . . . . . . . . . . . . . . . . . . 9-193

9.11.1 BW Host command . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-193

9.11.2 BX Response to the Host . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-195

9.12 Migrating keys between Key Block LMKs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-196

9.12.1 BW Host command . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-196

9.12.2 BX Response to the Host . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-197

9.13 Migrating keys from Key Block to Variant LMKs . . . . . . . . . . . . . . . . . . . . . . . . 9-197

9.14 Migrating keys for PCI HSM compliance. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-198

9.15 Re-encrypting PINs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-198

9.15.1 BG Host Command . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-198

payShield 10K Installation and User GuidepayShield 10K Installation and User Guide

9.15.2 BH Response. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-199

9.16 Re-encrypting decimalization tables . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-200

9.17 Switching to the new LMK . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-201

9.18 Taking advantage of Multiple LMKs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-202

9.19 Clean-up after migration to a new LMK . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-203

9.19.1 Deleting the Old LMK from Key Change Storage . . . . . . . . . . . . . . . . . . . . . 9-203

9.19.1.1 Using the console . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-203

9.19.1.2 Using payShield Manager. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-203

9.19.1.3 Using a Host Command . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-203

9.19.2 Deleting the New LMK . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-204

9.19.2.1 Console. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-205

9.19.2.2 Using payShield Manager. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9-205

Appendix A - Console Commands. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10-207

Appendix B - Configuring Ports Using the Console . . . . . . . . . . . . . . . . . . . . . 11-449

B.1 Configure the Management Port . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11-449

B.2 Configure the Printer Port. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11-451

B.3 Configure the Host Ports . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11-451

B.3.1 Configuring the Software. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11-451

B.3.1.1 Message Header Length . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11-452

B.3.1.2 Ethernet Communications . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11-452

B.3.1.3 Software Parameters . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11-453

Appendix C - Commission payShield Manager using Console Commands. . 12-457

C.1 Background information . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12-457

C.2 Prerequisites . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12-458

C.3 Procedure. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12-458

C.3.1 Secure the HSM . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12-458

C.3.2 Generate a Customer Trust Authority . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12-458

C.3.3 Create the HRK passphrases . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12-460

C.3.4 Commission the HSM . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12-461

C.3.5 Commission Smart Cards . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12-463

C.3.6 Migrate LMK Cards to become RLMK Cards . . . . . . . . . . . . . . . . . . . . . . . . 12-463

Appendix D - Technical Support Contacts . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13-465

payShield 10K Installation and User Guide

Revision Status

Revision Date Changes

001 March 2019 Initial Issue

002 December 2019 Editorial updates

Addition of FF1 License

Correction in Section 2.1.4, Feature Comparison

003 January 2020 Editorial updates

004 March 2020 FF1 license (Section 1.10, “payShield 10K license packages”, on

page 19)

payShield Monitor updated

VR command updated (Chapter 8, “Connect to the payShield 10K”

and in Appendix , “Console Commands”)

payShield Monitor dashboard updated (Section 8.6.1, “Summary

Dashboard”, on page 99

payShield Monitor Summary License updated (Section 8.7.7.1,

“License Summary - how to update Licensing”, on page 123

payShield Monitor Software tab modified (Section 8.7.6.1, “Software

- how to update software”, on page 122

004a April 2020 Minor editorial changes

005 October 2020 payShield 10K 10G Ethernet Hardware Platform Variant support

documented in Chapter 5, “payShield 10K 10G Ethernet Hardware

Platform Variant”.

Links to Chapter 5 added to: Chapter 1, “Introduction”, Chapter 2,

“Backwards Compatibility and Differences”, Chapter 3, “Physical

Description”, Chapter 4, “Installation”

006 January 2021 Editorial updates

Trusted Management Device update (Section 1.11, “Trusted

Management Device (TMD)”, on page 21)

payShield 10K Installation and User GuidepayShield 10K Installation and User Guide

Thales payShield 10K Manuel utilisateur

Manuels Carte réseau populaires d'autres marques