国际安全标准 PCI 是什么意思

国际安全标准 PCI 是什么意思

PCI是由业内重要的支付产品公司联手创立的支付卡产业安全标准委员会(PCI SSC)—包括美国的Express、JCB、MasterCard和Visa—旨在规范整个产业的安全标准。
PCI SSC开发的PCI PIN交易安全(PCI PTS)标准定义了金融终端安全性的要求。前期的PCI PIN输入设备(PCI PED)标准(PCI PTS)主要关注应对物力和逻辑攻击，这些攻击行为试图从POI提取PIN码和加密密钥。根据现场经验和试验室研究，PCI PTS归纳了针对各种攻击(物力篡改、环境更改、软件接口攻击、密码分析破解攻击、政策威胁)的安全防护机制。PCI PTS旨在保护终端内部或智能卡连接通道普通格式的PIN码。
物理机制要求在入侵者打开终端、插入PIN记录装置，防止数据在PIN输入或发送端被捕获，并可阻止对终端操作的修改。逻辑上需要防止入侵者修改读卡器、控制终端的运行程序，从而达到他们恢复、记录或发送PIN码及其它敏感数据的目的。
其它要求包括磁条数据的有效保护。PCI PTS的每项要求对应于特定的攻击类别，与对抗等级有关，通常用16至35范围的数字表示。为了达到设计目标，支付终端必须能够将遭受篡改的风险(所谓的篡改值)降至最低。
按照ITSEC联合实验室声明(JIL)对智能卡的规定，攻击值方案基于所了解的相关知识、攻击持续时间、攻击者的资源和专业技术。对每种抗攻击能力划分成几个等级进行评测，每个等级有相应的额定值。考虑一种攻击形式时，可以由衡量每种类型的攻击强度值的加和表示。例如，文件类保护包括三个等级：公开、受限、加密。如果一个受限文件受到攻击，该等级的攻击值(受限文件)需要增加到攻击求和中。
抗攻击能力评估需要在具备资质的实验室进行，最终是否获得批准的决定权由PCI PTS成员掌控。由于攻击者可以接触到支付终端设备，PCI PTS特别规定了能够抵抗各种威胁、保护卡持有人敏感数据的安全等级。PCI PTS并不提供相应的解决方案，需要制造商想方设法满足这些条件的要求。PCI PTS 3.1已于2012年3月替代PCI PED 2.1标准，随着安全等级不断提升，终端厂商将面临更加严峻的设计挑战。