PCI手机POS标准应用APP安全要求
WaSec我是小Wa2019/6/22 13:15:24

上次小Wa针对PCI手机POS标准的核心安全要求进行了分析,今天咱们看看标准中最重要的部分——应用APP安全要求。

APP安全要求(Contactless on COTS Application)

篡改和逆向保护(Tamper and Reverse Engineering Protection)

设备传感器管理(Management of on-device sensors)

在线处理(Online Processing)

应用真实性(Application Authenticity)

应用非接触要求(Contactless on COTS Secure Application)

安全部署(Secure Provisioning)

审计信息(Audit Logs)

持卡人数据非接触读取要求(Contactless Read of Cardholder Data)

持卡人数据加密(Cardholder Data Encryption)

需要注意这里的APP并非仅是指Android或iOS侧的应用,还包括运行在TEE侧或云端部分的相关软件。

1、篡改和逆向保护

安全要求:

1)APP应具备对逆向分析和篡改代码执行逻辑的保护机制,比如:代码混淆、代码和控制流的完整性检查、代码段加密等。

2)APP应能检测到安装在root或jailbroken设备,或在正常安装渠道外被安装的情况,并向监控系统上报。

3)APP针对篡改迹象的检查失败后,应被禁用,防止读取持卡人数据。

2、设备传感器管理

安全要求:

1)当APP处于前台运行时,应禁止其他APP访问和使用NFC接口。

2)当APP处于前台运行时,应禁止其他APP访问和使用摄像头(包括前置和后置摄像头)。

3、在线处理

安全要求:

1)所有交易必须在线被处理。

2)当在线连接不可用时,应禁止交易进行。

3)当交易过程中连接断开时,应安全擦除持卡人数据。

4、应用真实性

安全要求:

1)APP应为商户提供通过不同渠道验证APP真实性的方法。

2)APP启动时应显示为每个商户设置的特有信息。

3)后台监控系统应能唯一识别和认证APP的每一次安装动作。

4)APP在启动和被请求时应显示其版本号。

5)APP在启动或连续运行24小时时应检查更新或补丁。

5、应用非接触要求

安全要求:

1)内存清除:当下列情况出现时,APP必须清除其使用的内部缓存和内存。需要注意的是,清除方式必须是主动行为,而不能依赖固有的垃圾回收机制。

1.1)交易完成时

1.2)正常交易过程中任何原因导致的交易中断

1.3)APP等待持卡人或商户超时

1.4)后台监控系统发出入侵检测信号

1.5)APP被其他APP干扰时

1.6)APP暂停或停止运行时

1.7)APP失去前台焦点时

2)APP编译时必须启动缓冲区溢出保护机制。

3)APP申请分配的内存不能同时具有写入和执行权限。

4)APP只能访问与其功能相关的硬件,只能开启与其功能相关的网络连接。

5)APP必须对所有敏感数据进行加密。

6)APP使用白盒密码算法时,白盒密钥至少每月更换一次。此外,保护持卡人数据或鉴证数据不能使用白盒密码算法。

6、安全部署

安全要求:

1)如果APP中使用了任何通用值(比如白盒密码算法中的密钥),必须只能在安装和初次启用时使用。

2)APP的安装和更新只能通过应用商店进行。

3)在APP安装前,必须验证APP的签名。

4)APP不能禁用OS的安全特性。

7、审计信息

安全要求:

1)APP必须生成审计信息,并安全传输至后台监控系统,同时本地禁止保存审计信息。

2)APP生成的审计信息至少记录下列事件。

2.1)访问持卡人数据的用户

2.2)影响APP安全功能的相关活动

2.3)对APP审计信息的访问活动

2.4)对APP识别和鉴别机制的使用或更改活动

3)APP生成的审计信息至少记录下列内容。

3.1)用户标识

3.2)事件类型

3.3)日期时间

3.4)成功状态

3.5)事件发起方

3.6)相关数据,系统组件/资源的信息

8、持卡人数据非接触读取要求

安全要求:

1)当APP处于开发者模式或模拟器上运行时,禁止读取NFC数据。

2)APP在交易过程中必须检测以下事件,并中止交易,同时清除包含持卡人数据在内的所有收集数据。

2.1)APP切换

2.2)APP失去前台焦点

2.3)传感器被激活

2.4)其他APP访问NFC

9、持卡人数据加密要求

安全要求:

1)持卡人数据从NFC进入APP时应被立即加密,并且在传输至后台交易系统的过程中保持加密状态。

2)加密持卡人数据的密钥应每交易或者每会话唯一。

3)持卡人数据的加密方式能够防止重放攻击。

以上是PCI手机POS标准中APP部分的安全要求。小Wa认为单看安全要求还比较容易,但是真正实施起来困难重重,毕竟手机OS层面存在的安全风险不容忽视。


展开全文
相关阅读
资讯查询取消