智能POS的星辰大海与安全征途

2017-10-27

10月24日,对于智能POS行业来说,是黑暗的一天。上海召开的 GeekPwn2017国际安全极客大赛上,2名黑客用了21分钟攻破了联迪A8智能POS,银行卡信息泄露后被复制,而后成功消费。这一事件,像是智能POS行业的一次“挑战者号”航天飞机爆炸,影响着全社会对智能POS产业的信心。

根据演示,交易过程中使用了磁条卡,由于磁条信息有固定的格式,熟悉信用卡制作流程的技术人士可以通过卡号、使用期限等,按照格式复制出磁条信息。此外,2016年6月13日,央行下发特急文件《中国人民银行关于进一步加强银行卡风险管理的通知》,通知中规定:自2017年5月1日起,全面关闭芯片磁条复合卡的磁条交易。

但即使使用了磁条卡,也不能完全推卸责任,该事件中联迪A8智能POS存在漏洞,而且被攻破了。

智能POS出事了!

但智能POS就不应该被使用吗?就一定不安全吗?未必。

 

智能POS的星辰大海

       在近期,外媒撰文称,中国移动支付快速发展,去年中国的移动支付市场规模为9万亿美元,几乎是美国移动支付市场(1120亿美元)的90倍,中国当之无愧的成为了全球移动支付第一。

但以二维码支付为主的移动支付在初期发展并没有那么顺畅,因为商户的传统POS只能支持刷卡,而不支持扫码。交易不支持POS系统,也就意味着会带来商户报账麻烦,这让许多商户不太愿意支持二维码支付。这个时候,智能POS出现了,同时支持刷卡和扫码支付,此外还支持互联网应用,更加方便商户的外卖订单需求。智能POS解决了商户对移动支付的支持问题,在智能POS的助力之下,二维码支付在短短的2~3年时间,成为中国的国民支付方式。

       较之传统POS,智能POS满足了多样的支付方式支持,包括扫码支付、磁条、芯片、非接,甚至部分智能POS支持生物识别。此外,随着移动互联网的发展,智能POS也承担了另一个使命,就是商业级互联网应用的承载,外卖订单处理、互联网排号、商户后台管理、SaaS系统、物料管理、员工管理等等应用,都不是传统POS所能够实现的。智能POS像是商户在移动互联网的触角,触达大数据时代的未来。

      

关于智能POS的发展,银联在今年8月份公布了一组数据,近几年通过认证的智能终端(即智能POS)占比显著增加,2016年智能终端市场出货量已超过100万台,较2015年增长了近10倍。预计2017年智能终端的出货量将超过200万台,未来智能终端逐步替换传统终端成为发展趋势。

此外,近期银联发布了《关于加快推进辖区内重点餐饮类商户受理云闪付产品的通知》,其中重要一条信息是,未来在银联的重点餐饮类商户铺设智能POS,收单机构可以享受最高400/台的补贴。这对智能POS行业具有重大利好,智能POS将取代传统POS成为商户必备支付终端的趋势已经非常明显。

       对于智能POS的发展,北京微智全景信息技术有限公司创始人兼CEO李岩就表示,从市场表现、应用拓展、海外市场需求等各方面表明,不仅仅在支付领域,电商、银行服务、物流、仓储等各个场景各个领域都在使用智能POS,其发展趋势已经不可逆转,目前整个智能POS行业也处于爆发期。未来,智能POS会融入到各种场景之中,以各种形态存在,但永远不会改变的是智能POS的金融级安全机制,对敏感数据的金融级处理。

       毫不夸张的说,没有智能POS,就没有移动支付的现在和将来。那么智能POS真的不安全吗?

 

智能POS 的安全征途

       “智能POS就像是支付行业的航天飞机,无论软硬件,任何方面出现安全问题都可能造成重大事故,与此同时,智能POS还需要实时维护,修补安全漏洞。”李岩如是说。较之传统POS,由于引入了开放的安卓系统,智能POS的安全检测相当严,国内银联认证就需要通过8000多项测试。在安全方面,智能POS的生产和维护要做好5大工作。

  1. 硬件的安全。在硬件方面,智能POS需要达到认证要求,防止可能的物理安全攻击。
  2. OS系统安全。由于系统采用安卓系统,互联网应用才能在智能POS上运行,但是由于有安全方面的要求,OS系统需要进行功能裁剪以及深度定制,去掉电话,短信,浏览器,多媒体app等非支付应用和系统服务,特别是外部浏览器,因为通过外部浏览器可以下载外部网络中的各种应用,等于最大的后门,对于系统防护和支付数据安全来说有非常大的风险。
  3. 应用安全。不能所有的应用都能在智能POS上跑,不然很容易出现黑客应用,这就需要对应用进行安全的检测和甄选,同时做好签名和授权管理。
  4. 权限的划分。不能所有的应用都能随意获取智能POS的所有权限,支付和非支付应用,在不同场景情况下,需要进终端权限的获取管制。
  5. 实时的安全维护。一款合格的智能POS出厂,并不代表着永久的安全,新的漏洞会不断出现,这需要终端厂商、收单机构、清算机构等产业链上下游协力,实时的进行安全维护,修补漏洞。

 

对于这次智能POS攻破事件,身为从业者的李岩认为这是一次机会,一次全产业冷静下来思考智能POS安全性和未来发展的机会。在监管方面,由于智能POS的产业跨度较大,支付与非支付领域都在使用,需要相应的监管部门针对行业,进行更加细化的监管。在产业合作方面,全产业需要协作完善安全机制,建立安全库,漏洞信息共享。此外,对于出现重大安全事故的责任方,也应该建立合理且及时的善后工作机制。

 

最后

世界上没有绝对的安全,任何安全方案都是攻击成本和收益的权衡。此外,本次被破解的是智能POS的操作系统,任何开放的系统都拥有一定的安全风险,这次事件对行业的警醒作用是巨大的。

智能POS的征途在星辰大海,没有“挑战者号”式的失败,就不会有“冥王星之心”和引力波的发现。被攻破或许是智能POS最黑暗的一天,但这也是光明的开始。移动互联网的大趋势之下,智能POS的发展是不可限量的,在危机之下,这不是出现事故企业自己的得失问题,而是整个产业需要共同面对的挑战,更需要整个产业去深思。

电话:400 818 9777