移动支付安全运营商安全简介

移动支付安全运营商（SE）安全性-嵌入式软件2014年12月15日概述I.测试对象和内容II. 测试依据III. 测试内容和方法IV. 检验准则一，测试对象近场支付传统采集网络二，测试对象的安全对象（SE）: 1. SE芯片卡-SIM卡2. SE芯片卡-SD卡3.移动终端I.嵌入式测试对象SE安全单元通信的应用软件协议和电气特性芯片嵌入式软件安全检测芯片安全检测功能/性能/安全检测功能检测电气特性和通信协议检测卡的物理特性I.检测对象近场支付安全芯片JAVA CARD GPApplet安全载体（SE）嵌入式应用软件一，测试对象安全载体（SE）的测试内容: 1.卡物理？ SIM卡？ SD卡2.通信协议和电气特性？接触电特性和通信协议检测？非接触式电气特性和通信协议检测？ SWP -HCI通信协议测试3.功能测试（GlobalPlatform）4.安全测试？安全目的？安全功能要求？安全保证要求之一嵌入式应用软件中用于检测对象的检测内容: 1.功能符合性检测？近场交易功能？远程交易功能2.性能检测？业务回应？安全功能响应？稳定性测试3.安全检测概述2.测试基础3.测试内容和方法4.检验提交准则2.基于标准“移动财务安全部门测试规范（试用）”“移动财务嵌入式应用软件测试规范”的测试基础（试用）. 2.测试基础接近融安全单元测试规范II. 测试参考标准？通用智能卡规范ISO 7816-1带有接触点卡的识别卡IC卡第1部分: 物理特性ISO 7816-2带有接触卡的识别卡IC卡第2部分: 触点尺寸和位置ISO 7816-3带有接触卡的识别卡IC卡第3部分: 电气接口和传输协议ISO 7816-4识别卡. 集成电路卡. 第4部分: 组织，安全和交换使ISO 14443-1识别卡非接触式集成电路卡感应卡第1部分: 物理特性ISO 14443-2识别卡非接触式集成电路卡感应卡第2部分: RF频率功耗和信号接口ISO 14443 -3识别卡感应卡，用于非接触式集成电路卡. 第3部分: 初始化和防冲突. ISO 14443-4识别卡. 非接触式集成电路卡的接近卡. 第4部分: 传输协议？ Java卡？规格Java卡？虚拟机规范Java卡？运行时环境规范Java卡？应用程序编程接口规范？开放平台规范GlobalPlatform卡规范概述I.测试对象II. 测试依据III. 测试内容和方法IV. 检验准则测试内容和方法嵌入式应用软件SE安全单元通信协议和电气特性芯片嵌入式软件安全检测芯片安全检测功能/性能/安全检测功能检测电气特性和通信协议检测卡的物理方法III. 发行者安全域应用程序提供者安全域OP API应用程序应用程序卡管理的内容和方法Java Card API卡注册表消息处理防火墙JavaCard虚拟硬件（芯片）协议处理15 III. 检测的内容和方法金融应用程序应用程序医疗应用程序支付应用程序安全性Java卡？ API Java卡？运行时环境Java Card？虚拟机全球平台平台安全性SE®芯片安全性III. 检测的内容和方法安全载体（SE）的测试内容: 1.卡物理？ SIM卡？ SD卡2.通信协议和电气特性？接触电特性和通信协议检测？非接触式电气特性和通信协议检测？ SWP-HCI通信协议检查3.功能检查（GlobalPlatform）4.安全检查？安全目的？安全功能要求？安全保证要求III. 测试内容和方法SE卡物理: 测试项目卡尺寸测试卡厚度测试化学耐性测试UV电阻测试触点电阻抗静电测试触点尺寸测试工作温度测试检测设备和检测系统双接口读卡器UV测试仪静电放电模拟器外径千分尺视频测试仪IC卡接触电阻测试仪高低温实验箱化学试剂...三，SE电气特性和通讯协议测试项目的测试内容和方法触点电气特性和通讯协议测试测试设备及测试系统接触卡协议测试仪数字示波器非接触式电气特性和通信协议测试数字示波器非卡式协议测试仪RF功率放大器非接触式通信测试套件卡单线协议测试平台SWP-HCI通信协议测试III. 测试内容和方法SE功能软件功能: 209测试工具: ？ SE通用测试平台？ SE嵌入式系统软件功能测试脚本？ SWP特殊读卡器？ API测试: 针对不同的测试功能实现APPLET下载.

第三，SE安全检测目标的检测内容和方法: 密码算法密钥？ IC卡个人密码？数据访问权限？应用程序之间的数据隔离？环境压力？安全检测项目: 物理保护机制物理保护数据内部传输保护信息泄漏多重操作软件保护机制安全审计数据空间暴力关键功能数据访问控制文件结构控制数据传输安全性重放安全通信抗故障攻击环境压力错误注入评估对象ID初始状态生命周期功能逻辑保护多个应用程序启动顺序III. 检测内容和方法SE安全检测方法: 软件工具检测？旁道攻击？错误注入攻击？侵入式攻击III. 检测内容和方法SE安全软件工具验证（1）序列号1.2. 3. 4. 5. 6. 7. 8. 9. 9. 10.攻击和有效性验证安全功能初始化验证安全审计记录验证验证失败次数验证数据空间暴力关键破解功能验证数据访问权限验证文件结构控制限制验证评估对象ID验证初始状态验证生命周期验证备注验证产品是否具有硬件和软件标识信息，并由发卡行用于识别不同批次的卡验证记录，访问权限等的存在. 敏感信息的蛮力破解算法正确性，密钥长度要求和其他数据访问权限创建，删除，修改文件属性等. 权限控制ID存在，访问权限，用于生成规则异常状态恢复生命周期的特殊规则，权限，不可逆性三，检测的内容和方法SE安全软件是工具验证（两个）序列号11、12、13、14、15、16、17. 攻击和有效性验证后门命令验证异常参数验证异常事务处理测试定时攻击注释验证是否有危害安全性的后门命令？检查参数是否异常或泄漏敏感信息. 验证异常事务处理过程泄漏了敏感信息. 使用时间功能来攻击IC卡个人PIN平台. 多应用程序防火墙脚本攻击重播攻击. 安全的通讯验证. 使用攻击脚本来获取其他应用程序. 非法使用重放数据获取权或敏感数据验证传输敏感数据的机密性，真实性，完整性18.19. 在对攻击进行全面分析后，验证启动所有安全机制的启动顺序是否正确.

全面分析卡保护机制移动性载体模型，设计攻击场景，获取敏感信息IC卡嵌入式软件安全评估平台由银行卡检测中心自主开发，共有568个测试案例，通过了中国人民银行的鉴定之一国家金融IC卡安全项目组织项目验收. 3.检测内容和方法的典型错误示例-是否没有必要的安全审核记录？缺少安全功能初始化记录？缺乏对认证失败数量的审核. 3.检测内容和方法的典型错误示例-应用程序隔离存在漏洞（I）金融应用程序信用额度应用PIN交易密钥余额恶意代码III. 检测内容和方法的典型误差示例-应用隔离漏洞III. 检测内容和方法的典型错误示例-后门命令？有一条自定义指令，不需要任何权限即可删除MF. 所有目录文件均已下载；有补丁说明，发行卡后即可修改应用功能. 第三，检测内容和方法的典型错误示例-断电后不能恢复到原始状态吗？该指令不是原子操作，断电后不能恢复到命令执行或命令执行成功之前的状态. 3.检测内容和方法的典型错误示例-获取PIN的定时攻击3.固定的伪随机数样本卡的检测内容和方法典型错误示例1 13 E4 5C 81 B7 14 A3 87 CA 95 46 A1 64 72……13 E4 5C 81 B7 14 A3 87 CA 95 46 A1 64 72……6C 46 2F 61 82 21 D2 6C 46 2F 61 82 21 D2 DF 4A E9 F8 CF C6 E9 DF 4A E9 F8 CF C6 E9 DA CC C6 0F D7 18 3A DA CC C6 0F D7 18 3A 35 87 DB 8C 2E 57 26 35 87 DB 8C 2E 57 26 04 17 B7 05 CA 46 64 04 17 B7 05 CA 46 64随机数F9 46 14 EF 95 A1 72 F9 46 14 EF 95 A1 72 F3 09 2F BB 82 21 D2 F3 09 2F BB 82 21 D2 3B CA E9 27 CF C6 E9 3B CA E9 27 CF C6 E9 6C 80 C6 C3 D7 18 3A 6C 80 C6 C3 D7 18 3A 20 87 DB FC 2E 57 26 20 87 DB FC 2E 57 26卡2 III. 检测内容和方法SE安全侧信道攻击编号1. 2. 3. 4. 5.攻击方法CRT-RSA算法SPA攻击非CRT-RSA算法SPA攻击SM2算法SPA攻击CRT-RSA算法DPA攻击非CRT -RSA算法DPA攻击私钥攻击私钥攻击私钥攻击私钥攻击私钥注释6.7. 8. 9. 10. 11. 12. 13.DES算法DPA攻击SM2算法DPA攻击SM4算法DPA攻击CRT-RSA算法EMA攻击非CRT-RSA算法EMA攻击DES算法EMA攻击SM2算法EMA攻击SM4算法EMA攻击对称密钥攻击私钥攻击对称密钥攻击私钥攻击私钥攻击对称密钥攻击私钥攻击对称密钥III. 检测内容和方法-SPA的典型错误示例无需使用芯片III提供的算法库即可获得RSA算法私钥. SE的安全性，错误注入的检测内容和方法1. No. 1. 2. 3. 4. 5.辐射注入攻击方法，例如光注入电磁操作移动性载体模型，电压毛刺时钟操作，重置操作等. 攻击目标攻击CTR-RSA私钥攻击非CTR-RSA私钥攻击SM2私钥攻击DES秘密密钥攻击SM4私钥攻击IC卡PIN或验证过程攻击识别指令过程攻击测试模式攻击启动顺序... III. 典型的内容和检测方法错误示例-是否无法根据芯片安全说明防止错误注入？没有使用芯片的算法库.

？编写该代码时未遵循安全说明，这导致通过错误注入获得非法权限. 三，SE安全性-物理侵入攻击序列号的检测内容和方法1.攻击方法环境压力验证说明验证了环境传感器芯片解剖结构的有效性，分层芯片表面分析定位芯片的物理设计脆弱性攻击存储器攻击数据总线攻击随机数字出卡科技地址: 北京市丰台区科学城圆环西路26号9号楼电话: 010-52266900传真: 01052266910网站:

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/tongxinshuyu/article-158403-1.html