近年來，隨著金融支付行業(yè)和互聯(lián)網(wǎng)行業(yè)的迅猛發(fā)展，銷售點(diǎn)（POS）終端接入互聯(lián)網(wǎng)進(jìn)行通訊的需求也日益增強(qiáng)。POS接入互聯(lián)網(wǎng)的支付過程是否安全、傳輸?shù)慕灰讛?shù)據(jù)是否能防篡改也受到了行業(yè)和使用者的廣泛關(guān)注。
今年6月，銀聯(lián)頒布了《POS終端支持互聯(lián)網(wǎng)接入的技術(shù)安全要求》（以下簡稱《要求》），是《銀聯(lián)卡受理終端安全規(guī)范第一部分 銷售點(diǎn)（POS）終端安全規(guī)范》的補(bǔ)充?！兑蟆芬?guī)定，自2014年10月1日起，收單機(jī)構(gòu)應(yīng)采購?fù)ㄟ^銀聯(lián)終端安全認(rèn)證的產(chǎn)品。對(duì)于已布放的支持互聯(lián)網(wǎng)接入的POS終端，如不滿足安全要求的，收單機(jī)構(gòu)應(yīng)采取有效手段加強(qiáng)安全管理，并于2015年1月1日前完成改造。
在此背景下，銀行卡檢測(cè)中心根據(jù)銀聯(lián)補(bǔ)充要求的規(guī)定，結(jié)合銷售點(diǎn)終端安全的檢測(cè)經(jīng)驗(yàn)，已完成支持互聯(lián)網(wǎng)接入的終端（目前包括傳統(tǒng)POS、智能POS以及腳本POS三種）檢測(cè)案例升級(jí)、檢測(cè)環(huán)境搭建等相關(guān)工作，將立即針對(duì)接入互聯(lián)網(wǎng)的終端進(jìn)行開展檢測(cè)服務(wù)。
本次新增要求主要包含以下幾個(gè)方面：
1. 固件和應(yīng)用程序
受理終端固件和應(yīng)用程序的更新機(jī)制應(yīng)確保實(shí)現(xiàn)保密性、完整性和服務(wù)的真實(shí)性。
2. 報(bào)文數(shù)據(jù)
支持互聯(lián)網(wǎng)的POS終端應(yīng)保證對(duì)磁道信息、卡片驗(yàn)證碼、卡片有效期等敏感數(shù)據(jù)安全加密，與PIN保護(hù)的邏輯安全要求相同。
3. 數(shù)據(jù)傳輸
終端應(yīng)采用安全協(xié)議，保證網(wǎng)絡(luò)傳輸數(shù)據(jù)的保密性、發(fā)送數(shù)據(jù)的完整性和服務(wù)器身份的真實(shí)有效性。
終端應(yīng)確保所支持的所有有效的傳輸協(xié)議和接口不存在可利用的弱點(diǎn)。
終端應(yīng)能及時(shí)檢測(cè)信息反饋，并對(duì)異常情況進(jìn)行安全處理。
4. 數(shù)據(jù)采集
終端宜支持地理位置信息獲取和上送能力。
5. 密鑰和證書
所有涉及的證書和密鑰應(yīng)滿足《銀聯(lián)卡密碼算法使用與密鑰管理規(guī)范》（Q/CUP 058）的基本安全要求。
