两位 PAX (百富) 安全专家分享了日益复杂的交易安全,以及随着 Android 智能支付终端的兴起,技术、人员和流程比以往任何时候都更为重要。
安全博客系列 (上)
自 2012 年,全球 (所有类型的) 支付欺诈损失增加了两倍多,高达 340 亿美元,预计到 2027 年将超过 400 亿美元。这些损失影响到金融机构、商户、消费者和整个社会,犯罪份子经常利用这些欺诈资金进行非法活动,如贩毒、洗钱、恐怖主义活动和剥削弱势群体。这就是为什么安全性必定是支付行业中每个人的首要任务,尤其是在支付终端领域,客户应该对不知名的供货商以低价出售 Android 终端有所警惕。
PAX (百富) 深明这一点,并以安全性作为我们工作的核心。我们设计高度安全性的产品来保护我们客户及其最终用户,确保客户敏感数据的安全。我们已取得 ISO/IEC 27001 认证,这是最权威和被广泛采用的信息安全管理的国际标准。PAX (百富) 在整个集团采用多级安全管理结构,由信息安全管理委员会进行监督,并直接向董事会报告。日常职责已分配给信息安全小组,小组有来自所有部门的代表,他们被授权负责 (所有阶段) 的产品生命周期、内部流程和人员方面的安全事务。PAX (百富) 在全球每个区域都有指定人员担任首席产品安全官、首席安全合规官或类似职位。
安全性取决于技术、流程和人员
如今软件的重要性日益重要,支付技术安全不再只聚焦硬件设计。实现高度安全的技术有赖有效的流程和具备资历的人员。PAX (百富) 致力加大投资产品安全的力度,以提供最高安全性的产品和服务。
PAX (百富) 的五大安全核心
PAX (百富) 在五个独立的核心均考虑到安全性,我们将在此安全博客系列逐一分享。随着百富产品线扩展到新的解决方案类别,我们肩付的安全责任也随之增加。
- 终端安全(硬件和软件)- 支付、商户和物联网终端
- 增值服务安全
- 终端管理系统和应用市场 (marketplace) 安全
- 漏洞管理
- 私隐保护
在博客系列 (下),我们将介绍应用程式和应用市场 (marketplace) 的安全性、漏洞管理和私隐保护。
终端安全
支付终端必须遵守国际支付组织制定的多项严格行业标准,当中包括由支付卡行业安全标准委员会 (PCI SSC)、EMVCo (由六个国际卡机构组成) 共同制定的标准。与此同时,终端必须符合所在区域和收单机构的要求和标准。这些安全评估涵盖整个产品和服务的支付生态系统。
PCI PIN Transaction Security (PCI PTS) Point of Interaction (POI) 安全标准对 PAX (百富) 来说是最重要的国际安全要求。此全面的安全要求确保了消费者个人标识号 (PIN) 的安全性,以及每个事务处理过程中的安全性,涵盖了硬件设计、加密、密钥管理和软件开发。PCI认可的第三方合格安全性评估机构 (QSAs) 会进行详细的终端评估,以确认是否符合PCI规范。如今,PAX (百富) 已获得86项终端型号认证,其中17项是最新的 PCI PTS 6.x 版本,表明我们致力成为最早采用最新 PCI PTS 标准的先行者,为我们的客户带来最大化安全保护的信心,确立PAX (百富) 在安全领域的领先位置。我们的产品内置防篡改安全模块,并采用专用安全处理器。
此外,在英国、德国和越来越多国家,终端都必需符合Common Security Evaluation and Certification Consortium (Common. SECC) 制定的额外国际安全标准。PAX (百富) 已根据此标准对 14 种产品进行了认证,当中包括最畅销的 A920Pro。全面的 IT 安全评估在政府认可的安全实验室进行,采用 ISO 标准化的通用准则 (Common Criteria),确保在终端上运行的应用程式,都可提供安全保证。
我们的支付终端亦通过了EMVCo 1级和2级标准的认证,可以安全接受接触式和非接触式芯片卡支付。百富在取得认证方面拥有出色丶迅速通过的记录,以确保新产品可以快速推出给客户。Chip & PIN技术和EMV标准的实现在全球大大降低了在实体店的欺诈行为,犯罪分子因而转向寻找其他更容易的目标,并转移更多注意力到电子商务上。 每当国际卡组织推出新的认证,PAX (百富) 确保旗下最新的支付终端符合相关认证,就如万事达卡的新一代升级非接触式(Ecos)认证,我们的 A35 Android 智能 PINpad 已取得相关认证。我们深明安全认证的必要性,并为集团与全球合作伙伴和支付系统集成商积累的深厚安全专业知识,以及我们产品的安全设计和完成认证评估的高效率感到自豪。
多年来,我们确保 PAX (百富) 终端依据万事达卡终端质量管理 (TQM) 标准进行验证,该标准着眼于支付终端硬件的整体安全性和性能。
PAX (百富) 产品亦通过全球收单机构和支付处理机构完成了全面的认证,以确保支付交易得到安全处理。主要金融机构 (FI) 已完成对 PAX (百富) 产品和服务的详细风险评估,这些深入评估确认了 PAX (百富) 解决方案提供高水平的安全性。 与此同时,我们的客户亦需要对支付卡行业数据安全标准 (PCI DSS) 的合规性负责,而 PAX (百富) 通过提供具有高安全性功能的硬件和软件产品来协助他们。一个例子是我们通过 PCI 认证的点对点加密 (P2PE) 安全读取和数据交换 (SRED) 组件,来确保持卡人帐户数据(非 PIN)是安全处理,并受到高度加密保护。现在更多的客户采用 P2PE 来确保持卡人数据得以加密,而 PAX (百富) 的 SRED 模块对他们来说是创建安全 P2PE基础设施的基础层。
最新的 PAX (百富) PINpad 型号旨在支持 Kensington 安全插槽以及将 PED 安装在安全固定架,有助为我们的客户提供额外的物理访问安全选项。
商户和物联网终端
随着 PAX (百富) 产品线扩展到智能 (EPOS) 商户终端,将商店运营和支付集成到一体化解决方案中,我们有新的安全义务 — 专注于商户数据安全。我们需要确保销售处理、下单、库存管理、忠诚度计划数据、打印和通信安全。尽管这些是与支付事务处理分开处理的,但 PAX (百富) 同样重视,确保我们的新一代自助支付、PayPhone 和 PayTablet 产品具备高水平的安全保护。
我们邁进物联网 (IoT) 和互联商务世界也需要强大的安全性,因此从一开始我们就在产品中设计合适的高级安全功能,包括安全云、物联网管理框架、终端身份验证、安全集成和终端之间的通信等方面。
软件安全是关键
我们的安全软件开发生命周期过程 (S-SDLC) 的七个阶段中,每个阶段都涉及到安全考虑,并且在初始设计、需求分析、软件发展、测试、发布和维护阶段都遵循国际做法。作为 PCI 认证过程的一部分,由外部合格安全性评估机构 (QSA) 进行审核。软件发布过程需要质量保证 (QA) 和开发团队分别进行安全代码审查。在发布和部署任何软件之前,两个团队都必须对应用程式进行电子签名。
我们的新一代智能支付终端以一个特殊锁定版本的 Android 操作系统驱动,我们称之为 PayDroid。这对可能造成安全漏洞的读卡器、键盘、摄像头和麦克风等功能的访问进行限制,并防止在同一终端上敏感的支付和持卡人数据与运行的非支付应用程式作共享。PayDroid OS 的新版本全年定期发布,安全补丁至少每季度发布一次,如有必要时亦可立即发布。
PAX (百富) 的产品支持一系列对称和非对称加密,以保护敏感信息。这些包括但不限于数据加密标准 (DES)、RSA、高级加密标准 (AES) 和椭圆曲线加密 (ECC)。此外,我们还采用一系列密钥管理流程,包括三重 DES (TDES) */AES Master key/Session key 和 TDES/ AES Derived Unique Key Per Transaction (DUKPT)。
*请注意 TDES 已被弃用
安全性的生命周期
PAX (百富) 已通过国际公认的 ISO9001 质量管理体系认证,其中包括多项安全要求。我们对安全性的管理方法适用于 PAX (百富) 产品的整个生命周期——从初始设计、软件开发、生产流程、运输、软件部署、商户使用,以至在授权维修中心的处理。
我们为客户提供一系列不断发展的增值服务,其中最重要的一项是安全的密钥注入服务 (Key injection service)。在生产时将一个独一无二的安全密钥加载到每个终端中,从而确保谁随后可以完全控制加载软件,以及哪些应用程式可以运行。我们在位于意大利(专注于欧洲、中东和非洲)、美国(专注于美洲)和中国(专注于亚洲)的三个远程密钥加载 (RKI) 中心运营 paxRhino 安全密钥注入服务。这些高度安全设施中每一个都经过了 PCI 标准的检查和认证。主要的安全功能包括建筑设计安全功能、通过电子证卡限制人员进入、配备监控检测的闭路电视系统、使用高安全性硬件模块、限制观察的可能性以及防止传递或发送受限制的信息。我们的 RKI 中心亦运行入侵防御系统、防火墙,并已与企业网络安全隔离。 RKI 亦提供了一种高度安全但更具成本效益的本地密钥注入 (LKI) 替代方案,如果客户希望的话,我们也可以支持这些替代方案。与此同时, RKI 服务还为企业商户提供了控制其终端使用的选项。此外,PAX是经 PCI 认证的证书颁发机构 (CA) 服务提供商,多年来一直为客户提供安全服务。
更重要的是,于 2022 年 2 月 PAXSTORE 平台和 PAX (百富) 支持的增值服务获得了 PCI DSS 认证,证明了我们拥有必要的信息安全控制措施,以确保敏感信息和数据在接收、处理、传输和存储过程中得到正确处理,并防止数据外泄。我们已通过 PCI DSS 的六项目标和十二项要求的认证,有超过 300 项正在审查中。我们的 PCI DSS 合规性表明我们已采取必要的控制措施来管理持卡人数据、信息安全管理流程、网络安全设计、数据保护、安全监控和漏洞管理。
PAX (百富) 理念
此安全博客 (上) 强调了 PAX (百富) 对安全的重视,以及这如何应用于我们的产品、流程和人员。我们从一开始就将安全性设计到产品当中,并对其进行全面考虑。我们的支付终端符合相关的安全标准,并已通过多个机构的认证。我们对安全性的管理模式是采取主动、迅速采纳最新版本的规范,并及时解决提出的任何安全问题。
我们安全对地采用 Android 操作系统,限制了对敏感数据的访问,并将支付处理与非支付应用程式分开。在整个软件开发过程中都考虑安全性,SRED 模块提供经过认证的 P2PE 组件,适用于采用端到端加密的客户。我们的增值服务(如 RKI)也已通过 PCI 规范认证。我们遵循的关键安全原则包括:维护隔离环境、采用最新的安全规范、频繁更新安全和操作系统、在配置所有软件之前对其进行电子签名,以及通过使用强大的加密和密钥管理来保护数据和通信安全。
在安全博客(下),我们将解释 PAX (百富) 如何解决应用和市场安全、漏洞管理和私隐保护问题。
我们的全球客户对 PAX (百富) 最高水平的质量和安全性而感到满意。迄今为止,全球使用 PAX (百富) 产品的客户从未发现任何支付交易安全问题;同样,没有任何支付数据被泄露,没有任何 PAX (百富) 的认证被撤销,也没有在网络流量活动中发现恶意流量或事件。
按此 阅读原文 (英文)