如何提高POS机具数据传输的准确性和安全性

　　由于无线POS和金融主机之间通讯数据都是极为保密的金融数据，而其数据传输网络包含了公共无线传输网，有线数据传输网.同时由于TCP/IP协议的广泛使用和IP安全的脆弱性不可避免的增加了无线POS通讯数据的安全性.因此提出以下安全策略以提高数据传输的准确性和安全性。

　　1、无线POS机具安全性。

　　1.1无线POS终端联机交易密钥管理。

　　1）二级密钥体系。

　　无线POS终端密钥分为三级：密钥加密密钥（KEK）和工作密钥（WK）。密钥加密密钥（KEK）。用于对工作密钥（WK）进行加密保护，每台无线POS终端与无线POS前置共享唯一的KEK.

　　KEK必须要有安全保护措施，只能写入并参与运算，不能被读取。KEK至少应有三个，以便当KEK泄密时，无线POS前置与无线POS终端及时、方便地更换。无线POS前置与无线POS终端通过参数下载的方式约定使用哪个KEK.

　　2）工作密钥（WK）。

　　分为用于对个人标识码（PIN）加密的PIK以及进行报文鉴别（MAC）的MAK.由无线POS前置机的加密机产生，在无线POS终端每次签到时从无线POS前置利用KEK加密后下载，并由KEK加密存储。无线POS终端工作密钥在下载时以密文传送。

　　1.2无线POS终端EMVIC卡公共密钥管理。

　　对无线POS终端管理认证中心公钥（CA公钥）的要求。这些要求包括以下阶段：a）将认证中心公钥导入终端；b）认证中心公钥在终端中存储；c）认证中心公钥在终端中使用；d）从终端中撤回认证中心公钥。

　　无线POS终端应提供本地下载、远程下载等方式支持认证中心公钥的导入，同时应遵循以下原则：a）无线POS终端必须能够验证收到的认证中心公钥及相关数据的正确性。b）无线POS终端必须能够验证收到的认证中心公钥及相关数据的合法性。c）无线POS终端必须能向无线POS中心或下载人员提供相应信息，确认新的认证中心公钥是否已经真正地、正确地导入终端。d）无线POS终端在应能通过屏幕显示或打印的方式，提供系统管理员确认终端当前使用的认证中心公钥的相关信息，信息应包括认证中心公钥所属支付组织的名称或简称、认证中心公钥的索引号、认证中心公钥的有效期等。e）无线POS终端应能通过本地设置、远程下载等方式实现对特定认证中心公钥的有效期的更改，但必须先验证无线POS操作人员或无线POS中心的合法性。

　　支持静态和/或动态数据认证的无线POS终端必须对每个支付组织的借记/贷记应用提供6个认证中心公钥的支持。每一个认证中心公钥由5个字节的标识支付系统的RID和1个字节的认证中心公钥索引号唯一标识，索引号是由支付系统分配给某个特定的认证中心公钥，且对于每个RID唯一。表1详细说明了每一个认证中心公钥在终端中有用的数据元的最小集。RID和认证中心公钥索引一起唯一标识了一个认证中心公钥，并将它和正确的支付系统联系起来。认证中心公钥算法标识标识了和相应的认证中心公钥一起使用的数字签名算法。在目前来说，唯一被接受的值为16进制的‘01',指明在EMV规范第二册附录A2.1和B2.1中指明的数字签名方案中使用RSA算法。哈什算法标识指定了在数字签名方案中用来生成哈什结果的哈什算法。在目前来说唯一被接受的值为16进制的'01',指明使用SHA-I算法。认证中心公钥校验值采用SHA-1算法，用来保证接收到的认证中心公钥及其相关数据没有错误。终端可以用该数据元重新验证存放的认证中心公钥及其相关数据的完整性。对存储的认证中心公钥的完整性的验证应该定期进行。

　　2、GPRS安全机制。

　　2.1用户认证。

　　GPRS的对各类用户进行入网认证和卡号绑定，指定其数据通道，对通过认证的用户分配固定IP网段的IP地址；便于金融服务机构进行安全认证。同时可以向移动申请自己专用的GPRSAPN（AccessPointName），可以启用RADIUS认证，限制非法登录，提高安全性。

　　2.2GPRS用户数据与信令机密性。

　　GPRS网络数据传输的数据和信令受保密加密算法（GEA）保护，加密范围在终端与SGSN之间，由逻辑链路层（LLC）完成。为正确的传送数据，GPRS服务节点和移动终端对数据的加密和解密过程必须保持同步。

　　2.3安全协议。

　　GPRS网络与金融机构数据通讯网络之间通过DDN的通信链路连接，专用网络链路的使用可以满足用户的服务质量和安全性能要求。但GPRS网络内部虽也是通过PSDN或DDN连接，但网络上传输数据较为复杂，不是单一传送某个客户数据，同时其还可能与能登陆Internet的办公网相连。

　　所以保证数据在这条通讯线路传输过程中的安全就变得尤为重要。而IPsec协议则能很好的保护数据的安全，保证数据的正确传送。IPsec在IP层提供安全服务，IPsec结构包括众多协议和算法，它使系统能按需选择安全协议，决定服务所使用的算法及放置需求服务所需密钥到相应位置。IPsec用来保护一条或多条士机与主机间、安全网关与安全网关间、安全网关与主机间的路径。IPsec能提供的安全服务集包括访问控制、无连接的完整性、数据源认证、拒绝重发包（部分序列完整性形式）、保密性和有限传输流保密性。因为这些服务均在IP层提供，所以任何高层协议均能使用它们，例如TCP,UDP,ICMP,BGP等等。这些主要是通过使用两大传输安全协议，头部认证（AH）和封装安全负载（ESP），以及密钥管理程序和协议的使用来完成的。所需的IPsec协议集内容及其使用的方式是由用户、应用程序、和/或站点、组织对安全和系统的需求来决定。当正确的实现、使用这些机制时，它们不会对不使用这些安全机制保护传输的用户、主机和其它网络部分产生负面的影响。这些机制也被设计成算法独立的。这种模块性允许选择不同的算法集而不影响其他部分的实现。如果需要，不同的用户通讯可以采用不同的算法集。这些算法辅以IPsec传输保护和密钥管理协议的使用为数据的安全传输提供了可靠保证。

　　3、防火墙。

　　防火墙技术是保障网络安全的重要途径，防火墙通过信息过滤检查，对非法访问进行拦截，阻止各种网外攻击。能有效的保证网内数据安全。其主要部署在外部数据进口处。

　　结合GPRS网络实体安全需求，GGSN综合采用防火墙技术是保障网络安全的重要途径。从系统管理的角度，加强GPRS设备和移动用户终端MS两方面的安全性，以确保GPRS网络本身以及存储在网络或MS内的信息不受外来非法攻击。

　　4、银行前置机的安全认证和数据加密。

　　银行对接收数据如：用户、终端号、IP地址、密钥等进行安全认证。POS的交易数据包格式和加密方式一样，都使用IS08583模式传送交易数据，同样在应用层进行了数据加密保护和MAC鉴别以及完整性控制，对敏感数据如用户账号、密码等都采用了国际标准加密算DES进行加密保护，所以在接收到终端报文后对数据进行解密，对接收数据报文的格进行校对，同时用银行内部加密算法加密数据，以固定报文格式发送给银行主机完成此次交易，在完成交易后再把回送数据加密发送回无线POS,以确保GPRS无线移动直连POS系统交易数据的安全。

　　5、结语。

　　由于越来越多的经济活动需要提供全方位的金融服务，而这些业务大都属于支付类业务。作为未来各金融服务行业竞争的主要阵地，无线POS支付系统有着广泛的应用前景和发展空间，其必将成为推动银行卡消费市场的生力军。下一步的工作是如何更好地推广无线POS系统，为我国的金融服务行业提供了更新更快捷的移动支付平台。