触摸屏是您POS安全性的最薄弱环节吗?

本文作者:Vivek Tyagi       点击: 2023-10-16 10:32
前言:
触摸屏显示器是每个现代支付系统和销售点(POS)终端的重要组成部分。触摸屏极大地提升了支付终端的美观度,同时提供了一种对手机、平板电脑和触摸屏笔记本电脑的用户来说都十分熟悉的现代化控制方式。尽管触摸屏拥有这些优点,但也增加了一些必须解决的安全漏洞,而银行卡盗刷者对于攻破这些漏洞意志坚决。遵循支付卡行业数据安全标准(PCI DSS)对于设计安全的硬件/软件系统至关重要,这些系统可帮助客户构建强大且受保护的支付产品,而不会牺牲易用性或优秀的工业设计。本文介绍了POS支付系统的演变、其触摸屏安全漏洞以及任何基于触摸屏的终端必须满足的PCI认证标准。 

POS显示器中的触摸屏 
几十年来,全球消费者一直在POS终端上使用信用卡为商品和服务付费。这些终端逐渐增加了小型低成本显示器,以帮助商户和用户更详细地了解交易状态。显示器的两侧或底部增加了按钮,与屏幕上的虚拟按钮对齐,以便用户选择商户选项,如选择卡片类型(例如,信用卡和借记卡)、选择小费金额和打印收据。用户通过机械键盘输入卡号和PIN码。这些描述涵盖了大部分仍在发货的POS终端。
 
支付行业的一个趋势是用更大的彩色触摸屏替换小型单色无触摸功能显示器和机械按钮。这些彩色显示器更美观,对商户和消费者都更有吸引力。有了触摸屏显示器,POS终端供应商还能去除显示器侧面/底部的智能按钮和机械键盘。通过去除随时间推移逐渐磨损的活动部件(内部按键开关机构以及按键表面的印花),这有助于提高系统的可靠性。此外,触摸屏还有助于消除水分通过各个按键进入终端的威胁。最后,彩色触摸屏可帮助商户进行品牌推广和广告宣传,这些趋势促使现代支付终端上触摸屏的尺寸变得越来越大。
 
 
另一个涉及支付系统中采用更大尺寸触摸屏的趋势是电子现金注册机(ECR)的兴起,它们构成了POS终端的补充。ECR用于传统的多通道零售环境,以及越来越受欢迎的自助结账通道。ECR系统可帮助零售商跟踪销售、减少销售错误、跟踪库存数据,并且同时将财务交易记录到他们的系统中。在输入诸如产品类型和数量、购买购物袋和选择支付选项等详细信息时,ECR触摸屏显示器提供了极高的灵活性。ECR通常不是一种安全的支付设备,因此它经常与一台通过卡片、手机和智能手表处理支付的POS终端结合使用。 
 
随着时间的推移,ECR和POS终端开始融合,形成一套基于触摸屏的安全支付系统。触摸屏的尺寸大约在3.5英寸到42英寸之间,已经成为现代ECR和POS终端不可或缺的组成部分。用户交互、非接触式NFC技术的出现、手机的连接性,以及将功能整合到一个系统中,这些因素促成了固定墙壁供电的平板电脑/自助服务终端或电池供电的移动式POS终端的兴起,而不是单独的ECR-POS系统。便携式POS终端允许商户在商店内外任何地方收取付款。无接触支付的快速增长趋势推动了无人值守和自助式公共支付终端的兴起,这些终端广泛用于自动售货机、停车计时器、自动燃油分配器和电动汽车充电站。更大尺寸的触摸屏不仅使商户能够显示更多关于所购买商品的产品信息,而且还能通过产品促销和广告宣传帮助产生额外的收入流。
 
POS安全性和PCI合规性
保护主账号PAN、信用卡凭证(号码、到期日期和CVV)和用户PIN等用户数据成为设计支付系统的最高优先级。磁条(刷卡)卡交易存在固有的安全漏洞,而且随着时间的推移,当磁条磨损和暴露在磁场中时,更容易出现故障。Dip(芯片和PIN)和Tap(近场通信:NFC)等更安全的卡片支付方法是可用的替代方案。这些方法由二维码(纸或手机上)和生物特征(如手指、脸或眼睛)等其他认证机制补充。然而,当触摸屏取代机械键盘时,它们的引入对PIN输入系统的安全性也造成一种特殊的新影响。
 
 
触摸数据/PIN的传输容易受到通过触摸传感器覆盖层、底层甚至在触摸IC和安全主机MPU之间的通信总线探测攻击的影响。触摸控制器上的固件容易被黑客插入后门来提取卡片详细信息。触摸控制器的配置易于修改,这可能会在已经通过安全认证测试的系统上打开漏洞。 
 
此外,户外触摸屏设计要求包括处理极端环境噪声、主动NFC干扰、极端发射标准、扩展温度范围、厚手套检测和极端防水(包括高导电清洁液体,否则会导致错误的触摸屏事件)的技术。未经认证的配置和软件更新漏洞也可能导致与勒索攻击相结合的拒绝服务攻击,如果终端连接到中央更新系统,则可能导致整个网络瘫痪。  比如一个带集成支付终端的电动汽车充电站网络。对于触摸屏支付系统开发者而言,这意味着额外的挑战和机会。
 
PCI合规性来挽救局面
由主要的支付卡品牌(Visa、MasterCard、American Express、Discover和JCB)创建的支付卡行业安全标准委员会(PCI SSC)已经开发并管理了全球知