基于MAXQ1850的双芯片架构的支付终端设计(一)

现场反馈对具体要求进行了少许修改和加强。一些关键要求已经使其攻击值从1点增加到2点，尤其是与物理攻击(键盘、磁条和卡槽)相关的攻击。攻击成本值介于16至35 (PCI PED 2.1标准下为14至35)。此外，现在通过指定请求的规则更严格。较早的标准只要求攻击准备和攻击开发值之和等于一个最小值;现在，攻击开发值本身必须具有一个最小值(攻击准备为识别阶段，攻击者在此期间研究问题、设计方法，以及测试设备。在开发阶段，攻击者进入公共场所，并实际进行数据盗取)。

　　其它新要求明确针对新POI架构和服务。举例说明，要求B17考虑在同一终端上运行多项应用的情况，这完全反应了现代终端的软件架构。另一个例子是新可选评估模块的创建：开发协议(Open Protocol)模块处理开放/公共网络上的安全问题，通常解决来自于通过IP连接的终端安全事项，类似于PC日常面临的攻击威胁。安全读取与数据交换(SRED)模块规定对终端内持卡人账户数据的保护要求。表1列出了大多数关键的安全要求，以及对设计高效率、高性价比终端的功能性要求。

　　控制安全方案的成本

　　终端厂商为了满足严格的安全标准，在设计功能强大、外观时尚的POI设备时面临巨大挑战。终端厂商自己开发并维护安全设备可能付出巨额代价，因为这将要求终端厂商专门建立一支专家团队，从而占据相当大的RD资源。这也成为新生力量进入安全市场的巨大障碍，但它并不代表现有厂商拥有多么明显的竞争优势，毕竟支付终端的所有安全认证条件都是强制性规定。

　　标准化为专业厂商的安全模块创造了巨大商机。由于认证标准是统一的，终端厂商可以选择商用化的安全方案以满足安全认证标准的要求。与自主开发安全方案相比，这些模块化设计具有几项显著优势。

　　它们能够减轻终端制造商的设计负担，只需关注系统增值功能。安全性虽然不是设备的特殊功能，但却是对终端产品最基本的标准化要求。通过与安全产品供应商合作，终端厂商能够将主要精力放在金融终端市场的增值服务上。

　　高性价比设计允许开发更加复杂的安全机制。由于多个用户共同分摊RD成本，使得高科技开发资源不会形成一家独占的局面。随着对安全产品复杂性要求的提高，这些降低设计成本的因素也愈加重要。由此可见，金融终端市场也依赖于能够提出有效应对措施、专业的安全产品供应商。

　　利用获得批准的模块降低风险、加速POI认证。对商用化方案进行安全评估并获得PCI PTS批复，模块供应商能够降低终端设计人员的开发风险。从而简化安全系统集成，加快通过终端认证的步伐。

　　目前，市场上的支付终端主要采用三种不同类型的架构，以不同形式提供安全接入服务，资产保护和其它功能集成在终端内，表1列出了相关需求。

　　安全管理器

　　最通用的架构之一是采用安全管理器，为通用微控制器(μp;C)增添安全功能。安全管理器能够有效保护敏感凭证、侦测物力或环境篡改事件(例如：改变温度或电压)。外部传感器输入允许连接安全防护罩、PCB防护网和篡改传感器(图1)。

　　图1. 基于安全管理器IC的支付终端

　　Maxim的DS3600等安全管理器引入了受专利保护的无痕迹存储器架构，利用片上NV SRAM存储加密密钥。电池备份存储器能够消除氧化应力在存储器留下的痕迹，防止对受应力作用的存储器单元的残余数据进行无源侦测。一旦检测到入侵操作，将立即、彻底地擦除NV S RAM的内容。这些安全管理器还提供随机数发生器等其它安全服务，通过通用微控制器(μC)进行系统维护和运行控制，包括加密服务和敏感接口控制。

　　双芯片架构(双控制器)

　　第二种方案是采用通用μC和安全配套芯片把计算与安全功能分隔开(图2)。通用μC执行所有与安全性无关的任务，而安全协处理器包含了另一μC，作为报警系统执行加密计算、控制敏感接口。

　　图2. 由通用μC和专用安全μC构成的双芯片架构

　　通过专用的控制接口连接两个μC，以避免敏感信息的泄漏。这种架构非常适合现代POI设计，这类产品大多在商用化方案的基础上使设计满足PCI PTS要求。终端设计人员可以选择通用μC单独完成系统的功能性、连通性任务以及计算功能;安全μC则用于处理所有安全保护操作，例如：PIN和密钥管理、电池备份存储器、篡改侦测、加密计算等。这款μC的选择只需要单纯考虑如何满足PCI PTS安全性认证的要求，因此可以选择预先通过认证的商用化解决方案。

　　安全配套芯片

　　MAXQ1850即为该系列产品的代表器件，这款32位安全μC设计用作任何通用μC的配套芯片。按照芯片安全评估报告的陈述，MAXQ1850能够满足最严格的PCI PTS标准要求：

连接到电池备份存储器的篡改响应传感器提供物力篡改