1附件3_I型电话终端安全要求手册.docVIP

电话终端安全要求 1物理安全核心要求 所有的终端都必须满足下列物理要求： A1 厂商必须遵循A1中的要求。 A1入侵检测机制 PIN输入设备应有自毁开关等检测手段以保证设备在被打开后立即自毁，并自动擦除设备中存放的秘密信息。 符合 不符合 不适用 A2 PIN输入过程中可听到的音调 如果PIN输入时有声音提示，那么输入每一位PIN所发出的声音和输入其他位PIN所发出的声音应该没有任何区别。 符合 不符合 不适用 A3独特外观测试 PIN输入设备或IC卡读写器应经过合理设计，以保证无法利用在零售市场上可买到的商品组件来组装PIN输入设备或IC卡读写器。例如，设备电子部件的外壳不是通用的。 符合 不符合 不适用 2逻辑安全核心要求 所有的终端都必须满足下列逻辑要求： B1自检测试 终端要实现自检功能，其中包括在B4中描述的完整性和真实性测试，包括开机以及每天至少一次检查，检测对象包括固件，表征篡改迹象的安全机制，以及终端是否处于被攻击状态。当自检失败时，终端及其功能将在一个安全的方式下失效。 符合 不符合 不适用 B2固件更新 如果终端执行固件更新，设备应加密验证软件的完整性，如果验证未通过，应拒绝并删除软件更新。 符合 不符合 不适用 B3 输入PIN区别 终端把信息输出到其它的设备(例如一个显示器或者设备控制器)时，不能区分输入的PIN数字。 符合 不符合 不适用 B4内存清除 除了必须情况外，敏感信息不能存在过长时间，或使用过多次数。联机PIN在PIN输入完成后立即在终端内加密，这对于持卡人是相当重要的。 在如下情况之一，终端必须自动清除内部缓存： 交易完成 终端等待持卡人或商户响应超时。 符合 不符合 不适用 B5敏感服务限制 为减小由未授权使用敏感服务而带来的风险，应对操作次数和时间进行强制限制，当超出限制后终端应强制返回正常状态。 符合 不符合 不适用 B6 PIN防穷举 终端应具有防止利用盗取的设备穷举探测获得PIN值的特性。 符合 不符合 不适用 B7密钥管理 终端中执行密钥管理技术需要同时遵守ISO11568和ANSI X9.24，或者符合两者之一。密钥管理技术必须支持ANSI TR-31或者一个等价的方法用于维持TDEA密钥组。 符合 不符合 不适用 B8明文密钥安全 不应存在机制，允许输出明文私钥、明文密钥或者明文PIN，或者使用本身可能已经泄露的密钥来加密密钥或PIN，或者从高安全级组件向低安全级组件传输明文密钥。 符合 不符合 不适用 B9密钥替换 如果终端能够保存多个加密密钥而且能够在外部选择加密PIN的密钥，那么终端禁止未经授权的密钥替换和密钥滥用。 符合 不符合 不适用 B10帐户信息安全 终端只能在交易存储转发及冲正处理过程中保存必需的最基本的账户信息，不得存储银行卡磁道信息、卡片验证码、个人标识代码（PIN）及卡片有效期等敏感信息。终端应确保本规范所涉及键盘输入信息的安全，禁止通过重拨等功能获取相关资料。 符合 不符合 不适用 B11电话号码关联 终端应与用户提供的电话号码建立关联，对于关联不匹配的，电话支付中应拒绝该终端发起的所有交易请求。 符合 不符合 不适用 加密PIN设备 3/3