百富如何確保支付終端、交易和應用程式的安全性 (上)
2022年5月30日
博客

兩位 PAX (百富) 安全專家分享了日益複雜的交易安全,以及隨著 Android 智能支付終端的興起,技術、人員和流程比以往任何時候都更為重要。

安全博客系列 () 

2012年,全球 (所有類型的) 支付欺詐損失增加了兩倍多,高達340億美元,預計到2027年將超過400億美元。這些損失影響到金融機構、商戶、消費者和整個社會,犯罪份子經常利用這些欺詐資金進行非法活動,如販毒、洗錢、恐怖主義活動和剝削弱勢群體。這就是為什麼安全性必定是支付行業中每個人的首要任務,尤其是在支付終端領域,客戶應該對不知名的供應商以低價出售 Android 終端有所警惕。 

 

PAX (百富) 深明這一點,並以安全性作為我們工作的心。我們設計高度安全性的產品來保護我們客戶及其最終用戶,確保客戶敏感數據的安全。我們已取得 ISO/IEC 27001 認證,這是最權威和被廣泛採用的資訊安全管理的國際標準。PAX (百富) 在整個集團採用多級安全管理結構,由信息安全管理委員會進行監督,並直接向董事會報告。日常職責已分配給資訊安全小組,小組有來自所有部門的代表,他們被授權負責 (所有階段) 的產品生命週期、內部流程和人員方面的安全事務。PAX (百富) 在全球每個區域都有指定人員擔任首席產品安全官、首席安全合規官或類似職位。

 

安全性取決於技術、流程和人員

如今軟件的重要性日益重要,支付技術安全不再只聚焦硬件設計。實現高度安全的技術有賴有效的流程和具備資歷的人員。PAX (百富) 致力加大投資產品安全的力度,以提供最高安全性的產品和服務。

 

 

PAX (百富) 的五大安全核心

PAX (百富在五個獨立的核心均考慮到安全性,我們將在安全博客系列逐一分享。隨著 PAX (百富) 產品線擴展到新的解決方案類別,我們肩付的安全責任也隨之增加。 

  1. 終端安全(硬件和軟件) - 支付、商戶和物聯網終端
  2. 增值服務安全
  3. 終端管理系統和應用市場 (marketplace) 安全
  4. 漏洞管理
  5. 私隱保護

 

在博客系列 (下) ,我們將介紹應用程式和應用市場 (marketplace) 安全性、漏洞管理和私隱保護。

 

終端安全

支付終端必須遵守國際支付組織制定的多項嚴格行業標準,當中包括由支付卡行業安全標準委員會 (PCI SSC)、EMVCo (由六個國際卡機構組成) 共同制定的標準。與此同時,終端必須符合所在區域和收單機構的要求和標準。這些安全評估涵蓋整個產品和服務的支付生態系統。

 

PCI PIN Transaction Security (PCI PTS) Point of Interaction (POI)安全標準對 PAX (百富) 來說是最重要的國際安全要求。此全面的安全要求確保了消費者個人識別碼 (PIN) 的安全性,以及每個交易處理過程中的安全性,涵蓋了硬件設計、加密、密鑰管理和軟件開發。PCI認可的第三方合格安全性評估機構 (QSAs)進行詳細的終端評估,以確認是否符合PCI規範。如今,PAX (百富) 已獲得86項終端型號認證,其中17項是最新的PCI PTS 6.x版本,表明我們致力成為最早採用最新 PCI PTS 標準的先行者,為我們的客戶帶來最大化安全保護的信心,確立 PAX (百富) 在安全領域的領先位置。我們的產品內置防篡改安全模組,並採用專用安全處理器。 

 

此外,在英國、德國和越來越多國家,終端都必需符合 Common Security Evaluation and Certification Consortium  (Common. SECC) 制定的額外國際安全標準PAX (百富) 已根據此標準對14種產品進行了認證,當中包括最暢銷的 A920Pro全面的 IT 安全評估政府認可的安全實驗室進行,採用ISO標準化的通用準則  (Common Criteria)確保在終端上運行的應用程式,都可提供安全保証。

 

 

我們的支付終端亦通過了 EMVCo 1 級和 2 級標準的認證,可以安全接受接觸式和非接觸式芯片卡支付。百富在取得認證方面擁有出色丶迅速通過的記錄,以確保新產品可以快速推出給客戶。Chip & PIN 技術和 EMV 標準的實現在全球大大降低了在實體店的欺詐行為,犯罪分子因而轉向尋找其他更容易的目標,並轉移更多注意力到電子商務上。

 

每當國際卡組織推出新的認證,PAX (百富) 確保旗下最新的支付終端符合相關認證,就如萬事達卡的新一代升級非接觸式(Ecos)認證,我們的 A35 Android 智能 PINpad 已取得相關認證。我們深明安全認證的必要性,並為集團與全球合作夥伴和支付系統集成商積累的深厚安全專業知識,以及我們產品的安全設計和完成認證評估的高效率感到自豪。

 

多年來,我們確保 PAX (百富) 終端依據萬事達卡終端質量管理 (TQM) 標准進行驗證,該標準著眼於支付終端硬件的整體安全性和性能。

 

PAX (百富) 產品亦通過全球收單機構和支付處理機構完成了全面的認證,以確保支付交易得到安全處理。主要金融機構 (FI) 已完成對 PAX (百富) 產品和服務的詳細風險評估,這些深入評估確認了 PAX (百富) 解決方案提供高水平的安全性。

 

與此同時,我們的客戶亦需要對支付卡行業數據安全標準 (PCI DSS) 的合規性負責,而 PAX (百富) 通過提供具有高安全性功能的硬件和軟件產品來協助他們。一個例子是我們通過 PCI 認證的點對點加密 (P2PE) 安全讀取和數據交換 (SRED) 組件,來確保持卡人帳戶數據(非 PIN)是安全處理,並受到高度加密保護。現在更多的客戶採用 P2PE 來確保持卡人數據得以加密,而 PAX (百富) 的 SRED 模塊對他們來說是創建安全 P2PE基礎設施的基礎層。

 

最新的 PAX (百富) PINpad 型號旨在支持 Kensington 安全插槽以及將 PED 安裝在安全固定架,有助為我們的客戶提供額外的物理訪問安全選項。 

 

商戶和物聯網終端

隨著 PAX (百富) 產品線擴展到智能 (EPOS) 商戶終端,將商店運營和支付集成到一體化解決方案中,我們有新的安全義務 — 專注於商戶數據安全。我們需要確保銷售處理、下單、庫存管理、忠誠度計劃數據、打印和通信安全。儘管這些是與支付交易處理分開處理的,但 PAX (百富) 同樣重視,確保我們的新一代自助支付、PayPhone PayTablet 產品具備高水平的安全保護。

 

我們邁進物聯網 (IoT) 和互聯商務世界也需要強大的安全性,因此從一開始我們就在產品中設計合適的高級安全功能,包括安全雲、物聯網管理框架、終端身份驗證、安全集成和終端之間的通信等方面。

 

軟件安全是關鍵

我們的安全軟件開發生命週期過程 (S-SDLC) 的七個階段中,每個階段都涉及到安全考慮,並且在初始設計、需求分析、軟件發展、測試、發佈和維護階段都遵循國際做法。作為PCI認證過程的一部分,由外部合格安全性評估機構 (QSA)進行審核。軟件發佈過程需要品質保證 (QA) 和開發團隊分別進行安全代碼審查。在發佈和部署任何軟件之前,兩個團隊都必須對應用程式進行電子簽名。

 

 

我們的新一代智能支付終端以一個特殊鎖定版本的Android 操作系統驅動,我們稱之 PayDroid。這對可能造成安全漏洞的讀卡器、鍵盤、攝像頭和麥克風等功能的訪問進行限制,並防止在同一終端上敏感的支付和持卡人數據與運行的非支付應用程式作共享。PayDroid OS 的新版本全年定期發布,安全補丁至少每季度發佈一次,如有必要時亦可立即發佈。

 

強大的加密和密鑰管理

PAX (百富) 的產品支持一系列對稱和非對稱加密,以保護敏感信息。這些包括但不限於數據加密標準 (DES)RSA、高級加密標準 (AES) 和橢圓曲線加密 (ECC)。此外,我們還採用一系列密鑰管理流程,包括三重 DES (TDES) */AES Master key/Session key TDES/ AES Derived Unique Key Per Transaction (DUKPT)

*請注意 TDES 已被棄用

安全性的生命週期

PAX (百富) 已通過國際公認的 ISO9001 質量管理體系認證,其中包括多項安全要求。我們對安全性的管理方法適用於 PAX (百富) 產品的整個生命週期——從初始設計、軟件開發、生產流程、運輸、軟件部署、商戶使用,以至在授權維修中心的處理。

 

安全的增值服務

我們為客戶提供一系列不斷發展的增值服務,其中最重要的一項是安全的密鑰注入服務 (Key injection service)。在生產時將一個獨一無二的安全密鑰加載到每個終端中,從而確保誰隨後可以完全控制加載軟件,以及哪些應用程式可以運行。我們在位於意大利(專注於歐洲、中東和非洲)、美國(專注於美洲)和中國(專注於亞洲)的三個遠程密鑰加載 (RKI) 中心運營 paxRhino 安全密鑰注入服務。這些高度安全設施中每一個都經過了 PCI 標準的檢查和認證。主要的安全功能包括建築設計安全功能、通過電子證卡限制人員進入、配備監控檢測的閉路電視系統、使用高安全性硬件模塊、限制觀察的可能性以及防止傳遞或發送受限制的信息。我們的 RKI 中心亦運行入侵防禦系統、防火牆,並已與企業網絡安全隔離。 RKI 亦提供了一種高度安全但更具成本效益的本地密鑰注入 (LKI) 替代方案,如果客戶希望的話,我們也可以支持這些替代方案。與此同時, RKI 服務還為企業商戶提供了控制其終端使用的選項。此外,PAX (百富)是經 PCI 認證的證書頒發機構 (CA) 服務提供商,多年來一直為客戶提供安全服務。  

 

更重要的是,於 2022 2 月 PAXSTORE 平台和 PAX (百富支持的增值服務獲得了 PCI DSS 認證,證明了我們擁有必要的信息安全控制措施,以確保敏感信息和數據在接收、處理、傳輸和存儲過程中得到正確處理,並防止數據外洩。我們已通過 PCI DSS 的六項目標和十二項要求的認證,有超過 300 項正在審查中。我們的 PCI DSS 合規性表明我們已採取必要的控制措施來管理持卡人數據、信息安全管理流程、網絡安全設計、數據保護、安全監控和漏洞管理。

 

PAX (百富) 理念

此安全博客(強調了 PAX (百富對安全的重視,以及這如何應用於我們的產品、流程和人員。我們從一開始就將安全性設計到產品當中,並對其進行全面考慮。我們的支付終端符合相關的安全標準,並已通過多個機構的認證。我们對安全性的管理模式是採取主動、迅速採納最新版本的規範,並及時解決提出的任何安全問題。

 

 

我們安全對地採用 Android 操作系統,限制了對敏感數據的訪問,並將支付處理與非支付應用程式分開。在整個軟件開發過程中都考量安全性,SRED 組提供經過認證的 P2PE 組件,適用於採用端到端加密的客戶。我們的增值服務(如 RKI)也已通過 PCI 規範認證。我們遵循的關鍵安全原則包括:維護隔離環境、採用最新的安全規範、頻繁更新安全和操作系統、在配置所有軟件之前對其進行電子簽名,以及通過使用強大的加密和密鑰管理來保護數據和通信安全。

 

在安全博客(),我們將解釋 PAX (百富) 如何解決應用和市場安全、漏洞管理和私隱保護問題。

 

我們的全球客戶對PAX (百富) 最高水平的質量和安全性而感到滿意。迄今為止,全球使用 PAX (百富) 產品的客戶從未發現任何支付交易安全問題;同樣,沒有任何支付數據被洩露,沒有任何 PAX (百富的認證被撤銷,也沒有在網絡流量活動中發現惡意流量或事件。

 

按此 閱讀原文 (英文)