基于MAXQ1850的双芯片架构的支付终端

本应用笔记利用基于MAXQ1850的双芯片架构的优势，探讨了高度安全的支付终端设计，分析了生产厂商在面临PCI-PED PTS产品认证时的弱点。

新终端、新趋势

金融终端已经成为支付产品公司提供的一种新型交付服务手段。金融终端不再限于简单的读卡机，而是逐步成为能够处理交易、管理库存、操作商业运营的复杂计算设备。这一角色转变的显著标志是针对终端定义的一个新术语：从销售终端(POS)设备更改为交互终端(POI)系统。POI系统必须具备快速通信能力，使用更加便捷(例如，可以连接USB、以太网、WiFi®或Bluetooth®)，支持多应用的相互协调并可处理复杂的卡交易(支付卡、忠诚卡等)。

另外，使用条件也发生了变化。有时，POI必须工作在潮湿环境、室外或室内。这些设备多数情况下要求采用人性化便携式设计，并满足经销商对时尚外观的需求。由于相关技术的融合与重复利用，使得终端产品随处可见，例如：智能电话、笔记本电脑、游戏机控制台等。现代POI设备引入了类似的美学设计，采用色彩丰富的显示技术、复杂的触摸屏接口并提供便利的连通性，可以方便地集成到信息系统内。硬件技术的深入开发也带动了软件设计的重复利用，从商用化操作系统到软件栈，可以直接提取硬件电路。总而言之，软件的重复利用有助于加快开发速度、降低产品失效风险，以更低的RD成本将产品快速推向市场。

终端安全性

POI与消费类(CE)设备的主要差别在于安全性。EMV卡的全球化开发意味着系统所要面临的威胁也是全球性的。如不采取适当对策，则有可能在瞬间遭受来自世界不同区域的攻击。另一方面，由于高投资(开发工具、时间等花费)带来的巨额回报，犯罪团伙会不惜代价地实施攻击行为，由此可见，设备安全性的最大威胁来自于这些犯罪团伙。

当前金融终端的互操作性、通信接口以及高级服务都已成为攻击者的“敲门砖”。由业内重要的支付产品公司联手创立的支付卡产业安全标准委员会(PCI SSC)—包括美国的Express、JCB、MasterCard和Visa—旨在规范整个产业的安全标准。

PCI SSC开发的PCI PIN交易安全(PCI PTS)标准定义了金融终端安全性的要求。前期的PCI PIN输入设备(PCI PED)标准(PCI PTS)主要关注应对物力和逻辑攻击，这些攻击行为试图从POI提取PIN码和加密密钥。根据现场经验和试验室研究，PCI PTS归纳了针对各种攻击(物力篡改、环境更改、软件接口攻击、密码分析破解攻击、政策威胁)的安全防护机制。PCI PTS旨在保护终端内部或智能卡连接通道普通格式的PIN码。

物理机制要求在入侵者打开终端、插入PIN记录装置，防止数据在PIN输入或发送端被捕获，并可阻止对终端操作的修改。逻辑上需要防止入侵者修改读卡器、控制终端的运行程序，从而达到他们恢复、记录或发送PIN码及其它敏感数据的目的。

其它要求包括磁条数据的有效保护。PCI PTS的每项要求对应于特定的攻击类别，与对抗等级有关，通常用16至35范围的数字表示。为了达到设计目标，支付终端必须能够将遭受篡改的风险(所谓的篡改值)降至最低。

按照ITSEC联合实验室声明(JIL)对智能卡的规定，攻击值方案基于所了解的相关知识、攻击持续时间、攻击者的资源和专业技术。对每种抗攻击能力划分成几个等级进行评测，每个等级有相应的额定值。考虑一种攻击形式时，可以由衡量每种类型的攻击强度值的加和表示。例如，文件类保护包括三个等级：公开、受限、加密。如果一个受限文件受到攻击，该等级的攻击值(受限文件)需要增加到攻击求和中。

抗攻击能力评估需要在具备资质的实验室进行，最终是否获得批准的决定权由PCI PTS成员掌控。由于攻击者可以接触到支付终端设备，PCI PTS特别规定了能够抵抗各种威胁、保护卡持有人敏感数据的安全等级。PCI PTS并不提供相应的解决方案，需要制造商想方设法满足这些条件的要求。PCI PTS 3.1已于2012年3月替代PCI PED 2.1标准，随着安全等级不断提升，终端厂商将面临更加严峻的设计挑战。

PCI PTS 3.x

PCI对支付终端的安全要求发生了重要改进，加强了对最新攻击威胁的防御。另外，其新方案的提出也促进了模块化开发，用于简化生产。这一演变的标志是将PIN输入装置(PED)变更为POI装置，反映出使用端的变化。终端装置与之前一样需要执行金融交易，但现在需要执行更多任务，新需求也说明生产厂商已经考虑了PCI SSC这种扩展能力。

从整个过程看，认证过程已经简化为对包含所有类型装置(POS、EPP、自动售货机、售货亭)的一次性评估，分为两个强制评估模块：设备的核心要求和集成要求。另外还有两个新的评估模块供