附件 1
（试行）
2017 年12 月
目次
1范围 (7)
2规范性引用文件 (7)
3术语和定义 (7)
4系统安全 (8)
5移动终端安全 (9)
6受理终端安全 (10)
7交易安全 (10)
附录 A （资料性附录）防伪技术要求 (15)
参考文献 (16)
1范围
本规范规定了条码支付系统、终端、数据和交易的安全技术要求。
本规范适用于银行、非银行支付机构、清算机构开展条码支付业务时所需软硬件的设计、研发、集成和维护。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/T 22239—2008 信息安全技术信息系统安全等级保护基本要求 JR/T 0118—2015 金融电子认证规范
JR/T 0149—2016 中国金融移动支付支付标记化技术规范
条码支付受理终端技术规范（试行）
3术语和定义
下列术语和定义适用于本文件。
3.1
条码 bar code
由一组规则排列的条、空及其对应字符组成的标记，用以表示一定的信息，包括线性条码、二维条码等。
3.2
线性条码 linear bar code
一维条码 one-dimensional bar code
条形码 bar code
宽度不等的多个黑条和空白，按照一定的编码规则排列，用以表达一组信息的图形标识符。
3.3
二维条码 two-dimensional bar code
二维码 two-dimensional bar code
在线性条码的基础上扩展出另一维具有可读性的条码，使用具有明显差的深浅矩形图案表示二进制数据，被设备识读和解码后可获取其中所包含的信息。
3.4
静态条码 static bar code
具有较长时效，可多次重复使用的条码。
3.5
动态条码dynamic bar code
通过显码设备展示，并且有较短时效的条码。
3.6
条码支付bar code payment
条码技术在支付领域中的应用，其本质是以条码为信息载体，通过移动终端或受理终端直接或间接获取支付要素，并利用已有支付渠道完成交易的一种支付方式。
3.7
移动终端mobile terminal
具有移动通讯、条码展示或识读能力的客户设备，如手机、平板电脑等。
3.8
受理终端 payment terminal
具有条码展示或识读等功能，参与条码支付的商户端专用机具，包括显码设备和扫码设备。
3.9
显码设备bar code display device
具有条码展示功能的专用设备。
3.10
扫码设备bar code reader
识读条码并且向后台系统发起支付指令的专用设备，包括但不限于带扫码装置的收银机、POS 终端、自助终端等。
4系统安全
4.1物理安全要求
物理安全应符合GB/T 22239—2008中7.1.1的相关要求。
4.2网络安全要求
网络安全应符合GB/T 22239—2008中7.1.2的相关要求。
4.3主机安全要求
主机安全应符合GB/T 22239—2008中7.1.3的相关要求。
4.4应用安全要求
4.4.1基本要求
应用安全应符合GB/T 22239—2008中7.1.4的相关要求。
其他基本要求如下：
——不应在日志中记录客户支付敏感信息；
——应采用数字签名等技术手段保证交易信息的完整性；
——基于浏览器的应用，应使用数字证书标识网站身份，使用即时加密等安全措施降低恶意软件窃取客户支付敏感信息的风险。 4.4.2会话安全
会话安全要求如下：
——会话标识应唯一、随机、不可猜测；
——会话过程中应维持登录认证状态，防止信息未经授权访问；
——会话应设置超时时间，当空闲时间超过设定时间应自动终止会话；
——会话结束后，应及时清除会话信息；
——应采取加密等措施防止会话令牌在传输、存储过程中被窃取；
——应用审计日志宜记录暴力破解会话令牌的事件。
4.4.3常见攻击防范
应对常见的攻击（如跨站脚本攻击、注入攻击、拒绝服务攻击等）进行有效防范，包括但不限于以下手段：
——应在服务器端对提交的数据进行有效性检查（如对提交的表单、参数等进行合法性判断和非法字符过滤等）；
——应对条码中包含的网址等信息进行校验，对非法地址和恶意请求进行拦截；
——应具有防范暴力破解的保护措施；
——应进行代码审查，防范应用程序中不可信数据被解析为命令或查询语句；
——应使用安全的接口，防范接口被攻击和非授权调用；
——应采取有效措施防范针对服务器端的拒绝服务攻击；
——应对文件的上传和下载进行访问控制，避免执行恶意文件或未授权访问；
——数据库宜使用存储过程或参数化查询，并严格定义数据库用户的角和权限；
——宜通过自动化工具（如弱点扫描工具等）对应用程序进行检查。
4.5 数据安全及备份恢复
数据安全及备份恢复应符合GB/T 22239—2008中7.1.5的相关要求。
5移动终端安全
5.1人机交互安全
5.1.1身份验证信息管理
身份验证信息管理应满足以下要求：
—
—原始身份验证信息不应明文保存在移动终端本地；
——客户输入交易密码时，应提供即时加密功能；
——验证操作结束后应及时清除缓存，防止信息泄漏；
——应严格限制使用初始交易密码，对交易密码复杂度进行校验，避免采用简单交易密码或与客户个人信息相似度过高的交易密码；
——应采取有效措施提醒客户避免设置与常用软件（如社交软件）、网站（如社交平台、论坛）相同或相似的用户名和密码组合；
——应采取有效措施引导客户设置独立的支付密码。
5.1.2交易异常处理
移动终端安全当交易出现异常时，客户端应向客户提示出错等信息。 5.2客户端软件安全
5.2.1数据有效性校验
客户端软件应提供数据有效性校验功能，保证通过人机接口或通信接口输入的数据格式或长度等信息符合系统设定要求，如输入的交易金额等信息应不含特殊字符、负数等非法参数。
5.2.2页面回退清除敏感信息机制
客户端软件应支持页面回退清除密钥、密码等敏感信息的机制。
5.2.3反编译
客户端软件应采用防逆向工程保护措施，如客户端软件采取代码花指令、反调试、代码混淆等技术手段，防范攻击者对客户端软件的反编译分析。
5.2.4客户端软件完整性
客户端软件完整性应满足以下要求：
——应对客户端软件进行签名，标识客户端软件的来源和发布者，保证客户所下载的客户端软件来源于所信任的机构；
——客户端软件启动和更新时，应进行真实性和完整性校验，防范客户端软件被篡改。
5.2.5运行时安全
客户端软件运行时安全应满足以下要求：
——客户端软件应从木马病毒防范、信息加密保护、运行环境可信等方面提升安全防控能力；
——客户端软件应能监测并向后台系统反馈手机支付环境安全状况，作为风控策略的依据。
豫公网安备41160202000603
站长QQ:729038198
关于我们
投诉建议