APDU Command 80 72等指令功能及ISO 7816-4标准对应定义问询

ISO 7816-4 8.1.2章节定义了智能卡与交互终端之间身份鉴别的核心指令规范，所有APDU指令遵循CLA INS P1 P2 Lc 数据域的基础结构，本次三条指令的CLA字段均为80，属于行业通用类命令，未封装安全报文。

指令1：80 72 00 00 08 00 00 00 00 11 72 76 11 #

• 对应INS值0x72：*初始化更新（INITIALIZE UPDATE）*指令
• 字段解析：P1=0x00、P2=0x00标识默认安全上下文，Lc=0x08表示后续携带8字节终端侧生成的随机挑战值
• 功能：终端向智能卡发起安全通道建立的第一步请求，提交自身生成的随机数，卡收到后会返回卡侧随机挑战、密钥版本、会话密钥派生参数等内容，为后续双方生成会话密钥、完成身份鉴别做准备。

指令2：80 76 00 9F 08 16 08 45 44 A4 5A F6 5C #

• 对应INS值0x76：*外部鉴别（EXTERNAL AUTHENTICATE）*指令
• 字段解析：P1=0x00、P2=0x9F标识使用的密钥参考与安全上下文，Lc=0x08表示后续携带8字节加密后的鉴别数据
• 功能：终端向卡证明自身身份合法性，携带的8字节数据是终端使用协商好的会话密钥，对卡之前返回的卡侧随机挑战加密生成的校验值；卡收到后会用自身存储的密钥解密验证，验证通过则认可终端的身份权限。

指令3：80 74 00 9F 08 6E C3 1A C8 B3 A9 4C 6C #

• 对应INS值0x74：*内部鉴别（INTERNAL AUTHENTICATE）*指令
• 字段解析：P1=0x00、P2=0x9F与外部鉴别指令使用同一安全上下文与密钥参考，Lc=0x08表示后续携带8字节待卡加密的终端挑战值
• 功能：终端要求卡证明自身身份合法性，卡会使用对应的会话密钥对收到的8字节挑战值进行加密运算，返回加密结果给终端校验；终端验证通过即可确认卡的身份合法性，结合第二条的外部鉴别即可完成双向身份校验，为后续业务操作建立可信安全通道。

内容的提问来源于stack exchange，提问作者Benahmed Hadj Kouider