近年來，隨著金融支付行業(yè)和互聯(lián)網(wǎng)行業(yè)的迅猛發(fā)展，銷售點（POS）終端接入互聯(lián)網(wǎng)進行通訊的需求也日益增強。POS接入互聯(lián)網(wǎng)的支付過程是否安全、傳輸?shù)慕灰讛?shù)據(jù)是否能防篡改也受到了行業(yè)和使用者的廣泛關(guān)注。
今年6月，銀聯(lián)頒布了《POS終端支持互聯(lián)網(wǎng)接入的技術(shù)安全要求》（以下簡稱《要求》），是《銀聯(lián)卡受理終端安全規(guī)范第一部分 銷售點（POS）終端安全規(guī)范》的補充?！兑蟆芬?guī)定，自2014年10月1日起，收單機構(gòu)應(yīng)采購?fù)ㄟ^銀聯(lián)終端安全認證的產(chǎn)品。對于已布放的支持互聯(lián)網(wǎng)接入的POS終端，如不滿足安全要求的，收單機構(gòu)應(yīng)采取有效手段加強安全管理，并于2015年1月1日前完成改造。
在此背景下，銀行卡檢測中心根據(jù)銀聯(lián)補充要求的規(guī)定，結(jié)合銷售點終端安全的檢測經(jīng)驗，已完成支持互聯(lián)網(wǎng)接入的終端（目前包括傳統(tǒng)POS、智能POS以及腳本POS三種）檢測案例升級、檢測環(huán)境搭建等相關(guān)工作，將立即針對接入互聯(lián)網(wǎng)的終端進行開展檢測服務(wù)。
本次新增要求主要包含以下幾個方面：
1. 固件和應(yīng)用程序
受理終端固件和應(yīng)用程序的更新機制應(yīng)確保實現(xiàn)保密性、完整性和服務(wù)的真實性。
2. 報文數(shù)據(jù)
支持互聯(lián)網(wǎng)的POS終端應(yīng)保證對磁道信息、卡片驗證碼、卡片有效期等敏感數(shù)據(jù)安全加密，與PIN保護的邏輯安全要求相同。
3. 數(shù)據(jù)傳輸
終端應(yīng)采用安全協(xié)議，保證網(wǎng)絡(luò)傳輸數(shù)據(jù)的保密性、發(fā)送數(shù)據(jù)的完整性和服務(wù)器身份的真實有效性。
終端應(yīng)確保所支持的所有有效的傳輸協(xié)議和接口不存在可利用的弱點。
終端應(yīng)能及時檢測信息反饋，并對異常情況進行安全處理。
4. 數(shù)據(jù)采集
終端宜支持地理位置信息獲取和上送能力。
5. 密鑰和證書
所有涉及的證書和密鑰應(yīng)滿足《銀聯(lián)卡密碼算法使用與密鑰管理規(guī)范》（Q/CUP 058）的基本安全要求。
