基于MAXQ1850的双芯片架构的支付终端设计

　　第三种方法，也是随着PCI PED认证的普及而被广泛用于安全金融终端的方法，即选择融合高集成度、高性能μC的单芯片架构(图3)。与通用微控制器一样，这些μC采用了最新的半导体制造工艺;具有多种通信接口，例如USB、SPI和智能卡;并且支持功能丰富的操作系统，例如Linux? OS。这些微控制器嵌入了高速现代处理器，能够管理大容量外部存储器，例如NOR和NAND闪存，以及各种各样的RAM。

　　图3. 大多数小尺寸终端架构采用的单片μC包括了所有必要的安全功能。

　　与安全管理器一样，这些器件嵌入了安全NV SRAM和篡改/监测传感器。与配套芯片一样，这些器件运行安全加密算法，例如3DES、AES和RSA，抵御功率差分析(DPA)和简单的功率分析(SPA)。高集成度设计在安全保护能力和材料清单(BOM)均具备强大优势。

　　安全机制集成在硅片内，能够对其进行攻击手段将非常复杂。集成保证了启动的完整信任链，也适用于处理紧急事件和报警—报警信号不会被切断。由于电路功能已经集成在一个芯片中，所以降低了链路缺陷造成的不良风险。使用集成的外部存储器加密引擎时，无需额外的安全防护。

　　这种高集成度设计也有益于软件的安全保护，因为安全机制依赖于强大的硬件功能和标准化机制，例如，存储器管理单元(MMU)。注意，在单芯片方案中由软件区分敏感数据和非敏感数据，双芯片架构中则由硬件电路实现。软件以三种形式划分数据的安全等级，各有优缺点。第一种方法是采用“管理程序”，将敏感和非敏感数据分配到独立的存储单元;第二种方法则利用操作系统，例如Linux，直接进行划分;第三种方法利用Java?软件或Java类虚拟器处理独立的安全程序。

　　多合一集成减少了所需的芯片数量，缩小PCB面积，允许使用更灵活的外形规格，从而简化了终端设计。另外，由于只需要单个工具链、仅支持一个μC核，有助于加快开发进程。Maxim提供各种高集成度、16至32位安全μC，工作速率高达200MHz。

　　选择安全μC时，应该选择能提供PCI PTS实验室出具的安全评估报告的微控制器。该报告证明经过了完整实验室测试，测试结论表明了芯片厂家的专业水平，以及安全芯片所能达到的水平。第二项考虑是终端设计的难易程度。简单程度既依赖于μC特性，又依赖于厂家支持团队的力量。您应该寻求集成了关键功能的μC，例如存储器、时间记录和防篡改监测，因为这种高集成度简化了PCB布线，以更小尺寸支持关键的安全特性。Maxim加入了PCI SSC组织，并坚持以最先进的安全μC服务于PCI SSC市场。

　　采用ARM926?内核的高性能、32位安全微控制器MAX32590 (“JIBE”)就是一款这样的μC。器件的低功耗特性能够在400MHz时提供卓越的性能。安全特性包括：具有瞬间擦除能力的2KB安全存储器、安全实时时钟(RTC)、以及检测任何入侵的内部环境动态监测传感器。易失和非易失外部存储器(如：NAND、NOR和LPDDR)由新一代强大的AES-128加密/数据完整性验证功能完全保护。所提供的配套软件包括：预认证POI参考设计、安全Linux OS、加密库、EMV L1库和PCI PTS帮助工具。

　　通过PCI PTS 3.x认证的参考设计

　　Maxim的参考设计(USIPOS)能够帮助构建高度可靠的终端产品，确保通过PCI评估。通过PCI PTS 3.x测试的参考设计为您的终端提供最便捷的渠道，使其顺利通过认证。USIPOS参考设计的关键特性包括：无网格架构、获得PCI PTS 3.x批准，提供经过优化的硬件BOM、安全的Linux OS和EMV L1及加密库文件和硬件/软件设计指南。从Maxim的设计方案、电路布局和BOM入手，定制设计并集成到您的设备中，从而以最低的风险和成本将您的产品快速推向市场。

　　安全岛

　　除安全芯片及其管理的资产外，其它资产，例如PIN，也是攻击目标。作为预防措施，利用安全芯片外部的传感器提供保护，防止对终端设备的物理篡改。由此构建的安全机制既高效，又容易集成，并且任何报警都会立即触发擦除安全存储器。这些传感器往往监测的是片外环境，监测电路可以很好地保证其它物理区域的安全—例如，PIN所处的区域。最后，终端制造商必须具备足够的技能和知识，正确管理报警检测机制。由安全芯片管理报警的传播和相应的操作。

　　对于PIN和持卡人账户数据等文本数据可通过键盘、磁条和智能卡获取。因此，除了安全芯片本身采取措施外，这三个区域都需要各自的安全保护措施。资产管理数据只能暴露在这些设施以内，这也是我们称其为“安全岛”的原因(图4)。

　　图4. 支付终端中，由安全μC控制的传感器保护"安全岛"

基于商用化安全芯片的设计思路，有些厂商建议此类安全区域也采用商用化设计方案。最完备的解决方案是集