GB/T 18789.2-2016 信息技术 自动柜员机通用规范 第2部分：安全

　　ICS 35.240.40 L 67

　　中 华 人 民 共 和 国 国 家 标 准

　　GB/T 18789.2—2016

　　信息技术 自动柜员机通用规范

　　第 2 部分 :安全

　　Information technology—Generalspecification forautomated tellermachine—

　　Part2:Security

　　2016-10-13发布 2017-05-01实施

　　中华人民共和国国家质量监督检验检疫总局中 国 国 家 标 准 化 管 理 委 员 会

　　发

　　布

　　GB/T 18789.2—2016

　　GB/T 18789.2—2016

　　前 言

　　GB/T 18789《信息技术 自动柜员机通用规范》分为 3个部分 :

　　— 第 1部分 :设备 ;

　　— 第 2部分 :安全 ;

　　— 第 3部分 :服务 。

　　本部分为 GB/T 18789的第 2部分 。

　　本部分按照 GB/T 1. 1—2009给出的规则起草 。

　　请注意本文件的某些内容可能涉及专利 。本文件的发布机构不承担识别这些专利的责任 。

　　本部分由全国信息技术标准化技术委员会(SAC/TC28)提出并归 口 。

　　本部分起草单位 :北京兆维电子(集团)有限责任公司 、上海古鳌电子科技股份有限公司 、深圳市祈飞科技有限公司 、青岛联信高新技术有限公司 、南天电子信息产业股份有限公司 、长城信息金融设备有限公司 、中国电子技术标准化研究院 、上海市金融设备协会 、北京兆维自助服务设备技术有限公司 、维世(上海)投资发展有限公司 、上海泽阳智能科技有限公司 、北京生产力促进中心 、北京维泰明辉信息技术有限公司 、北京四海恒盛科技有限公司 、数源科技股份有限公司 、天津博阳云科技有限公司 、山东新北洋信息技术股份有限公司 、东方通信股份有限公司 、珠海汇金科技股份有限公司 、广东光阵光电科技有限公司 。

　　本部分主要起草人 : 范宏钧 、徐江伟 、王红 、陈崇军 、樊星 、马铮 、程晓飞 、张平 、夏勇 、张衡 、陈锦玲 、吴翼山 、蒋力放 、曹孔强 、姚健伟 、张元刚 、高骞 、文磊 、秦国明 、李荣焕 、李华 、田野 。

　　信息技术 自动柜员机通用规范

　　第 2 部分 :安全

　　1 范围

　　GB/T 18789的本部分规定了 自动柜员机(ATM)安全的基本要求 、硬件模块要求 、网络接入要求 、系统软件要求 、应用软件要求 、数据要求及试验方法 。

　　本部分适用于各种类型的 ATM ,其他自助服务类产品也可参考执行 。

　　2 规范性引用文件

　　下列文件对于本文件的应用是必不可少的 。凡是注 日期的引用文件 ,仅注 日期的版本适用于本文件 。凡是不注日期的引用文件 ,其最新版本(包括所有的修改单)适用于本文件 。

　　GB 10409 防盗保险柜

　　GB 16999 人民币伪钞鉴别仪

　　GB/T 18789. 1 信息技术 自动柜员机通用规范 第 1部分 :设备

　　GA/T 73 机械防盗锁

　　GA 374 电子防盗锁

　　GA 745 银行自助设备 、自助银行安全防范的规定

　　GM/T 0030—2014 服务器密码机技术规范

　　JR/T 0002—2009 银行卡自动柜员机(ATM)终端规范

　　JR/T 0025. 3 中国金融集成电路(IC)卡规范 第 3部分 :与应用无关的 IC卡与 ATM接口规范JR/T 0025. 11 中国金融集成电路(IC)卡规范 第 11部分 :非接触式 IC卡通讯规范

　　3 术语和定义

　　GB/T 18789. 1 界定的以及下列术语和定义适用于本文件 。

　　3. 1

　　自动柜员机 automatic tellermachine

　　一种组合了多种不同金融业务功能的自助服务设备 ,可利用该设备所提供的功能完成存款 、取款 、信息查询等金融服务 。

　　3.2

　　ATM 控制软件 ATM controlsoftware

　　ATM交易渠道最底层的 ATM 设备控制系统软件 ,运行于 ATM 设备 ,可通过它对 ATM 各部件进行控制 ,主要用于向客户和 ATM设备管理员提供各种交易和管理的交互界面 ,并与 ATMP通过报文交互实现特定的功能 。

　　3.3

　　ATM 前置处理系统 ATM front-end processingsystem;ATMP

　　进行联机交易处理时 ,ATM 与 ATM管理中心建立通信连接的通信前置处理系统或业务主机 , 能够接受 、处理或转发 ATM 的交易请求信息 ,并向 ATM 回送交易结果信息 。

　　GB/T 18789.2—2016

　　3.4

　　数据安全模块 datasecurity module

　　采用密码算法 ,实现 ATM上数据安全功能的软件和硬件部件单元 。

　　3.5

　　密码算法 cryptographicalgorithm

　　为了隐藏或恢复信息内容 ,在密钥的控制下 ,对数据进行变换的算法 。

　　3.6

　　加密 enclpherment/encryption

　　对数据进行密码变换以产生密文的过程 。一般包含一个变换集合 ,该变换使用一套算法和一套输入参量 。

　　注 : 输入参量通常被称为密钥 。

　　3.7

　　解密 decipherment/decryption

　　将密文转换为明文的处理 , 即加密对应的逆过程 。

　　3. 8

　　加解密 encryption and decryption

　　用密码算法将明文数据变换成密文数据及将密文数据恢复为明文数据的过程 。

　　3.9

　　密钥 key

　　一种用于控制密码变 换 操 作(例 如 加 密 、解 密 、密 码 校 验 函 数 计 算 、签 名 生 成 或 签 名 验 证) 的 符 号序列 。

　　3. 10

　　密钥加密密钥 key encryption key

　　用于对其他密钥进行加密或解密的密钥 。

　　3. 11

　　工作密钥 workingkey

　　会话密钥 ,用于加密 PIN、交易数据 、MAC计算等业务数据的密钥 。

　　3. 12

　　安全重锁装置 lockingdevice

　　锁定机构遭到破坏性开启时 ,能阻止锁定机构运动 ,使门不被开启的一种装置 。

　　3. 13

　　出钞模块 cash dispensemodule

　　用于存放现金并实现取款交易时提取现金的部件单元 。

　　3. 14

　　存款模块 depositmodule

　　用于实现存放存入现金的部件单元 。

　　3. 15

　　数据完整性 data integrity

　　表明数据没有遭受以非授权方式所作的篡改或破坏的性质 。

　　3. 16

　　机械密码锁 mechanicallock

　　具有三个或四个转向轮的机械锁具 。

　　3. 17

　　电子密码锁 electroniccombination lock

　　一种通过密码输入来控制电路或是芯片工作 ,从而控制机械开关的闭合 ,完成开锁 , 闭锁任务的电子装置 。

　　3. 18

　　动态电子密码锁 dynamicelectroniccombination lock

　　一种验证由硬件设 备 根 据 密 钥 、动 态 信 息 , 以 特 定 算 法 运 算 生 成 一 次 性 有 效 动 态 密 码 的 电 子 密码锁 。

　　3. 19

　　报文鉴别码 messageauthentication code

　　是消息来源正确性鉴别的数据 。

　　3.20

　　个人标识码 personalidentification number

　　即个人密码 , 是在联机或脱机交易中识别持卡人身份合法性的数据信息 , 在计算机和网络系统中任何环节都不允许 PIN 以明文出现 。

　　3.21

　　主账号 primary accountnumber

　　标识发卡机构和持卡者信息的号码 , 由发卡行标识 、持卡者标识和校验数组成 。

　　3.22

　　卡处理模块 card readermodule

　　对 IC卡进行读写的卡接受部件单元 。

　　3.23

　　纸币 banknote

　　国家依法发行的 、以特定承印物为基础印制的 、流通的货币 。

　　3.24

　　冠字号码识别 characterrecognition

　　在点验过程中 ,对纸币的冠字号码进行识别 、记录的功能 。

　　3.25

　　冠字号码黑名单 serialnumbersblacklist

　　为预防可疑币提前设置的一组具有特定组合规律的纸币冠字号码 。

　　3.26

　　假币 forged banknote

　　伪造 、变造的国家货币 。

　　4 缩略语

　　下列缩略语适用于本文件 。

　　ATM : 自动柜员机(Automatic Teller Machine)

　　ATMC:ATM控制软件(Automated Teller Machine ControlSoftware)

　　ATMP:ATM前置处理系统(Automated Teller Machine Front-end Processing System)

　　BIOS: 基本输入输出系统(Basic InputOutputSystem)

　　CIF:通用图像格式(Common Image Format)

　　IC:集成电路(Integrated Circuit)

　　IP: 因特网协议(InternterProtocol)

　　KEK:密钥加密密钥 (Key Encryption Key)

　　MAC:报文鉴别码(Message Authentication Code)

　　MAK:多次激活密钥(Multiple Activation Key)

　　PIN:个人识别码 (PersonalIdentification Number)

　　PIK:加解密的 PIN 密钥 (PIN Key)

　　TCP:传输控制协议 (Transmission ControlProtocol)

　　USB:通用串行总线(UniversalserialBus)

　　WK:工作密钥 (Working Key)

　　5 要求

　　5. 1 基本要求

　　5. 1. 1 ATM正面应安装防窥后视镜 。

　　5. 1.2 ATM键盘应有防窥罩 。

　　5. 1.3 ATM显示屏应具有防窥功能 。

　　5. 1.4 从 ATM散热孔 、穿线孔等整机孔位的外部不宜直接看到内部的数据信号线 。

　　5. 1.5 不同 ATM 的箱体柜门不应使用相同钥匙 , 同一 ATM 的不同柜门不应使用相同钥匙 。

　　5. 1.6 ATM应预留箱体与地面固定的装置或配件 。

　　5. 1.7 ATM箱体内应安装面部监控摄像机和存取款钞口监控摄像机 , 面部监控摄像机应能清楚辨别客户的面部特征 ,宜具广角功能及隐蔽性 ;存取款钞口摄像机应能清晰显示纸币被取出和存入的全过程 ;箱体内可安装钞箱监控摄像机 ,能够清晰记录装钞全过程 。

　　5. 1. 8 ATM应安装振动传感器 ,ATM箱体柜门应安装报警探测装置 , 能对非法撬砸行为和异常开关门探测报警;ATM保险柜门内侧应安装温度传感器 ,对温度大于 70 ℃的情况探测报警 。

　　5. 1.9 ATM应有完整的 日志记录 ,可对 ATM 进行的各种操作 、操作时间 、设备故障信息等进行详细记录 。但银行卡敏感数据信息(如完整的 IC卡信息 、PIN 等)不能在 ATM 中保存 。

　　5. 1. 10 ATM 内部应配备监控摄像以及录像储存系统 ,能对 ATM进行 24h监控 。监控摄像系统应能监控人正面 、出钞口 、配钞区 ,ATM键盘区域的图像应被遮挡 。监控录像应至少保存 3个月 。

　　5. 1. 11 ATM维护时 ,应设置不同等级的访问权限 。

　　5. 1. 12 ATM其他要求应符合 GA 745 的规定 。

　　5. 1. 13 软件设计 、软件功能和产品的字符集及字型等应符合 JR/T 0002—2009中第 5 章的要求 。

　　5.2 硬件模块要求

　　5.2. 1 卡处理模块

　　5.2. 1. 1 插卡口应具有防加装盗读装置的功能 ,应安装探测装置对非法加装盗读装置探测报警 ,并具有卡口防暴和防撬检测报警功能 。

　　5.2. 1.2 卡处理模块应具有断电退卡功能 。

　　5.2. 1.3 接触式 IC卡处理模块应具有吞卡功能 ,吞卡时应产生故障信号 。

　　5.2. 1.4 接触式 IC卡处理模块宜具备抖动进卡及抖动退卡功能 。

　　5.2. 1.5 接触式 IC卡的卡处理模块应符合 JR/T 0025. 3 的规定 ,非接触式 IC卡的卡处理模块应符合JR/T 0025. 11的规定 。

　　5.2.2 出钞模块

　　5.2.2. 1 出钞模块应具有拒绝未经授权的非法指令的功能 , 出钞模块的通信指令宜采用加密传输 。

　　5.2.2.2 出钞模块应具有独立的回收箱 , 回收箱应设置在保险柜内 ,且应从物理上区分客户遗忘回收的纸币与设备内部回收的纸币 。

　　5.2.2.3 出钞模块应具有硬件存储芯片 ,能记录交易现场的 日志 , 日志信息应包括交易时间及详细出钞记录 。

　　5.2.2.4 出钞模块应具备冠字号识别功能 ,并能将识别出的冠字号上传给 ATM控制软件进行记录 。

　　5.2.2.5 出钞模块故障时应具备输出故障信息的功能 。

　　5.2.3 存款模块

　　5.2.3. 1 存款模块应具备识别币种 、面额和假币的功能 。鉴伪功能应符合 GB 16999的规定 。

　　5.2.3.2 存款模块应具备冠字号识别 、记录和冠字号黑名单管理功能 。

　　5.2.3.3 存款模块应具有硬件存储芯片 ,能记录交易现场的 日志 , 日志信息应包括交易时间及详细存钞记录 。

　　5.2.3.4 存款模块应能保存钞箱内纸币的数量信息和面额信息 ,且信息数据应不能被未经授权的篡改 。

　　5.2.3.5 存款模块有回收箱的 , 回收箱应设置在保险柜内 ,且应从物理上区分客户遗忘回收的纸币与设备内部回收的纸币 。

　　5.2.4 出钞存款一体模块

　　5.2.4. 1 出钞存款一体模块的出钞单元应符合 5. 2. 2 的出钞模块要求 。

　　5.2.4.2 出钞存款一体模块的存款单元应符合 5. 2. 3 的存款模块要求 。

　　5.2.4.3 出钞存款一体模块宜具有出钞复点功能 。

　　5.2.5 保险柜

　　5.2.5. 1 保险柜宜采用动态电子密码锁 ,采用动态电子密码锁时 ,动态电子密码锁除需要满足电子密码锁的要求外 ,还应满足以下要求 :

　　a) 基本要求 :

　　1) 动态电子密码锁的核心加密电路应处于保险柜内 ,外部显示及输入面板不应包含加密运算电路 ;

　　2) 动态电子密码锁锁体通过相应接口与 ATM连接 ,选用的接口应符合 ATM接口要求 。

　　b) 动态密码要求 :

　　1) 生成动态密码的密钥应由用户设定 ;

　　2) 密钥注入须通过授权手持设备 、ATM专用网络完成 ;

　　3) 动态密码由专用硬件设备随机生成 ,专用硬件设备应符合 GM/T 0030—2014中第 5 章和第 8章的要求 ,并分别提供独立管理接口和工作接 口 ,独立管理接口用于密钥注入 ;

　　4) 动态密码计算因子应包括但不限于设备信息 、闭锁信息等静态和动态信息 ;

　　5) 动态电子密码锁须具有静态密码和动态密码两种模式 ,初始静态密码用于非运营状态 ,注入密钥后切换为动态密码模式用于运营状态 ,静态密码模式随之自动失效 ;

　　6) 动态密码使用一次性随机编码方式 ,密码使用后立即失效 ;

　　7) 动态电子密码锁的动态密码组合量应大于或等于 106 ;

　　8) 动态电子密码锁的动态密码接收方式应通过手持设备 、锁具键盘或 ATM专用网络实现 。

　　c) 报警功能要求 :

　　动态电子密码锁应具有振动 、温度 、防拆 、密码错误锁定 、未关门 、未闭锁及胁迫报警等功能 。

　　5.2.5.2 保险柜其他要求应符合 GB 10409的相关规定 。

　　5.2.6 键盘模块

　　5.2.6. 1 键盘模块应具有防攻击功能 , 当键盘受到攻击时应能自动擦除模块中存放的密码或密钥等敏感数据并处于不可操作状态和产生故障信号 。

　　5.2.6.2 不应通过键盘模块直接读取密码或密钥等敏感数据 ,应在受到非法访问其内部区域时立即擦除敏感数据 。

　　5.2.6.3 数字键的按键声音应一致 。

　　5.2.6.4 键盘模块固件的更新应通过加密机制来验证更新固件的合法性 。未确认其合法性时 ,应拒绝进行固件更新 。

　　5.2.6.5 键盘应符合国家密码局对密码键盘的要求 。

　　5.2.7 界面

　　ATM界面除应符合 JR/T 0002—2009中第 8章的要求外 ,还应符合以下要求 :

　　a) 若系统出现故障 ,应显示故障界面 ,屏幕应显示具体故障信息 。

　　b) 交易过程中的每个操作界面都应显示倒计时 ,倒计时应该按秒减少 ,倒计时结束时 ,应返回到主界面并将银行卡退回至入卡 口 , 同时提示持卡人取卡 。

　　c) 如果在限定时间内持卡人未将银行卡从入卡口取走 ,则应执行吞卡操作 ,屏幕应显示相应提示信息 。

　　d) 在设备维护时 ,屏幕应显示维护信息 。

　　e) 当 ATM接受银行卡后 ,先进行自检 , 当发现有关部件不能正常工作时 ,应在操作界面上给予客户提示并不应提供相应的操作选择 。

　　5.3 网络接入要求

　　5.3. 1 访问控制

　　5.3. 1. 1 ATMC和 ATMP在建立通信连接时应进行身份合法性验证 。

　　5.3. 1.2 非授权用户应无法对系统资源进行访问 。

　　5.3.2 入侵防范

　　5.3.2. 1 网络设备接入 ATM 时 ,应通过加密校验和安全控制软件进行身份合法性验证 。

　　5.3.2.2 当检测到网络设备攻击时 ,应记录攻击地址 、时间 、类型等信息 ,并采用主动阻止交易等方式进行防护 。

　　5.3.2.3 ATM所用通信线路必须是专用线路 ,不允许接入其他系统内 。

　　5.3.2.4 ATM应使用统一分配的 IP地址和端口号进行通讯处理 。ATM 和 ATMP在建立 TCP连接时 ,应对请求建立连接的 IP 地 址 进 行 合 法 性 检 查 , 如 果 是 规 定 的 IP 地 址 则 允 许 建 立 连 接 , 否 则 拒 绝连接 。

　　5.3.3 加密传输

　　5.3.3. 1 应采用加密机制保证 ATMC到 ATMP通信数据的完整性和防篡改性 。

　　5.3.3.2 数据传输过程中 ,应采用 MAC校验的方法防止数据被非法篡改 。

　　5.3.3.3 MAC数据的生成应至少包括卡号 、ATM 流水号 、交易金额等关键数据 。

　　5.3.3.4 从 ATM 到所连 ATMP 的通信应有加密措施 。

　　5.3.3.5 应确保每一笔交易数据的唯一性 ,保证重复发送的交易 信 息 数 据 在 ATM 和 ATMP都 不 被接受 。

　　5.4 系统软件要求

　　5.4. 1 操作系统配置

　　5.4. 1. 1 应安装合法授权的操作系统 。

　　5.4. 1.2 操作系统启动后应不显示任何可执行的图标和命令 ,不应使用开始选单等快捷键 。

　　5.4. 1.3 应隐藏任务栏 、时钟 、开始选单 、鼠标指针及右键弹出选单 。

　　5.4. 1.4 应设置账户锁定策略 ,登录用户在限定时间内连续三次登录失败即 自动锁定用户账户 。

　　5.4. 1.5 应安装风险进程控制软件 ,采用白名单控制机制或采取其他有效技术手段 , 能主动防御 、自动终止未知程序 。

　　5.4. 1.6 应具有禁用所有不必要的 、不安全的服务 、协议和应用程序的机制 。

　　5.4. 1.7 当 BIOS配置的完整性被破坏时 ,应能自动恢复到出厂设置 。

　　5.4. 1. 8 宜安装并启用防火墙和杀毒软件 。

　　5.4.2 操作系统审计

　　5.4.2. 1 操作系统日志应记录用户登录时间 、登录方式 、失败的访问尝试等信息 。

　　5.4.2.2 操作系统的安全审计机制应至少能保存一年日志数据 ,并保证其完整性 。

　　5.4.3 操作系统访问控制

　　5.4.3. 1 应禁用操作系统客户账户 。

　　5.4.3.2 应关闭远程登录服务 。

　　5.4.4 密码设置

　　密码设置应满足以下要求 :

　　a) 在执行密码重置前应认证用户身份 ,为每个用户设置唯一的初始密码 ,并在初次使用后提示用户更改 。

　　b) 应具有设置密码最长使用期限机制 。

　　c) 应具有控制密码复杂性要求机制 ,包括 :

　　1) 不应包含用户名或者用户全名中超过两个连续字符的部分 ;

　　2) 应至少有 6个字符长度 ;

　　3) 应包含以下 4类字符中的 3类字符 :英文大写字母 、英文小写字母 、10个基本数字或特殊字符(例如 : !、# 、%) 。

　　d) 应具有强制密码历史设置机制 ,不允许提交的新密码与最近使用的四次密码相同 。

　　5.4.5 文件/文件目录防护

　　应对指定路径的文件/文件夹进行访问控制 ,不允许非授权的增 、删 、改操作 。

　　5.4.6 注册表防护

　　应对指定的注册表项进行访问控制 ,未经授权不能对受保护的注册表项进行增 、删 、改操作 。

　　5.4.7 存储媒体管理

　　应对外接存储设备进行访问授权设置 ,对未经授权的外接存储设备不予识别 。

　　5.5 应用软件要求

　　5.5. 1 应用软件保护

　　5.5. 1. 1 签到

　　对于业务类交易 , 当 MAC校验出错累计次数达到阈值时 ,应重新申请工作密钥 。

　　5.5. 1.2 故障策略

　　应用系统检测到加密键盘 、卡处理模块等关键硬件设备故障时应暂停交易 ,待故障排除后方可恢复交易 。

　　5.5.2 时间同步

　　应采取定时检测的方式保证 ATM 与 ATMP 的系统时间同步 。

　　5.5.3 应用软件访问控制

　　5.5.3. 1 应具有后台维护访问控制功能 ,应能依据用户角色策略控制不同用户对后台功能资源的访问 。

　　5.5.3.2 应由授权主体配置访问控制策略 ,并且不提供非授权用户的访问权限 。

　　5.5.3.3 应授予不同账户为完成各自承担任务所需的最小权限 ,并在它们之间形成相互制约的关系 。

　　5.5.4 应用软件日志

　　5.5.4. 1 应具有覆盖到每个用户的 日志功能 ,对应用系统重要安全事件进行记录 。

　　5.5.4.2 日志记录过程不应被中断 ,不能删除 、修改或覆盖日志记录 。

　　5.5.4.3 日志记录的内容至少应包括事件的 日期 、时间 、发起者信息 、类型 、描述和结果等 。

　　5.5.4.4 应具有对日志记录数据进行统计 、查询 、分析及生成审计报表的功能 。

　　5.5.4.5 日志不应存储银行卡的完整磁道数据(或其他类型卡的等同数据) 、密码 、卡片验证码等敏感信息 。

　　5.5.5 剩余信息的保护

　　应保证剩余信息(系统内的文件 、目录 、数据库记录等资源及用户鉴别信息)所在的内存空间在应用系统使用后或重新分配给其他用户前得到释放 。

　　5.6 数据要求

　　5.6. 1 数据安全

　　5.6. 1. 1 基本要求

　　数据安全应满足以下要求 :

　　a) ATM数据安全功能由数据安全模块提供 ;

　　b) ATM数据安全属商用密码应用范围 ,应遵循国家有关规定 ;

　　c) ATM数据安全按照国家密码主管部门的有关规定对受试样品进行检查 。

　　5.6. 1.2 数据库

　　数据库应满足以下要求 :

　　a) ATM数据库应采取安全的加密措施 ;

　　b) ATM数据库数据记录应完整可靠 ;

　　c) ATM数据库应具有备份 。

　　5.6. 1.3 加密安全

　　加密安全应满足以下要求 。

　　a) 加密 :

　　ATM应采用相应的安全 、可靠的加密算法 ,保证 ATM 交易数据的安全性 。PIN 要求用硬加密 。应符合 JR/T 0002—2009中 6. 1 的要求 。

　　b) 密钥管理 :

　　1) ATM密钥必须具有 KEK 和 WK两种密钥 。

　　2) KEK 用于对 WK进行加密保护 ,每台 ATM有唯一的 KEK。并且由专门人员进行灌装 。 KEK 只能写入并参与运算 ,不能被读取 。

　　3) ATM采用两种工作密钥用于数据的加解密 , 即对 PIN 加密的 PIN 密钥 PIK 和对 MAC进行加解密的 MAC密钥 MAK。ATM 工作密钥要定时或是在 ATM 软件 启 动 时 进 行下载 ,在下载时和传输时都应以密文方式出现 ,不应明文传送 。在出现某些错误时 ,应重新下载 PIK 或 MAK。

　　4) 应符合 JR/T 0002—2009中 6. 2 的要求 。

　　c) 界面 :

　　1) 在需要用户确认用户名 、账号的界面中 ,显示的用户名 、账号信息应为不完整信息(例如 ,用“* ”代替姓 、账号后四位信息) 。

　　2) 不应使用明文方式保存用户密码或系统使用的各类密码 。

　　3) 无论何种交易 ,若主机吞卡 ,屏幕应显示吞卡提示信息并打印含有完整卡号的 ATM 客户凭条 。

　　d) 软件 :

　　1) 应具有系统初始化 ,对软件 、硬件的自检及报警功能 ,具备断电保护功能 ,并方便应用程序的加载和参数设定 。

　　2) 开机后对硬件状态进行检测和报警出现非硬件类故障时 ,应具备自动纠错能力 。

　　3) 应具备日志记录(人民币鉴别 日志 、用户操作日志 、系统日志)功能 、假币提示和报警功能 。

　　4) 软件的维 护 、修 改 、升 级 、日 志 审 核 等 , 只 有 具 备 系 统 访 问 权 限 的 用 户 或 者 管 理 员 才 能操作 。

　　5) 在不同的使用环境中 ,软件应具有良好的响应性能保证软件的可用性 、可靠性 。

　　6) 设置防火墙防止非法入侵 。

　　7) 加密传输和加密存储 。

　　8) 应用软件 的 下 载 、安 装 与 更 新 。 当 需 要 远 程 下 载(获 得) 应 用 时 , 需 采 用 以 下 安 全 防 护措施 :

　　— 采取有效手段保证软件传输过程的机密性和软件的完整性 ;

　　— 应确保软件版本有更新时及时提示用户进行升级 ;

　　— 使用签名信息嵌入软件保证安装包的合法性 。

　　9) 应用软件的自检 :应用软件启动时应执行自检程序 ,检查软件运行时所必需的条件 ,确保

　　软件自身和所处运行环境的安全性 。

　　10) 合法性认证和风险控制 :应用软件与后台系统应具备合法性认证机制 ,通过签名验签等密码技术手段与后台系统进行双向认证 ,确保后台系统和应用软件的合法性 ,建立一条安全的信息传输信道 。保持应用软件认证状态 , 防止未授权信息更改认证状态 ,并设置认证超时时间 。

　　11) 审计功能 :应用软件应具备记录所有用户访问 日志的功能 ,便于进行适当的审计和监控 。在完成安装时应开始记录所有用户(特别是具有管理权限的用户) 的访问 ,并且能将每次活动情况追踪至相应的个人 。应用软件的 日志记录功能应能自动启动 , 或可由用户 自行启用 ,并应在相关指导文档中要求用户不得停用 日志 。应用软件可在安装时或相关指导性文档中告知用户将 记 录 的 审 计 信 息 , 并 在 软 件 卸 载 时 由 用 户 选 择 清 除 或 自 动 清 除 该信息 。

　　12) 应用软件应提供记录日志以重建以下事件 ,包括但不限于 :

　　— 所有用户通过应用软件存取持卡人数据的情况 ;

　　— 具备管理权限的用户针对应用软件的所有操作 ;

　　— 对于审计日志的访问情况 ;

　　— 对于审计功能的启停 ;

　　— 无效的逻辑存取尝试 ;

　　— 身份识别认证机制的使用情况 ;

　　— 创建和删除系统级对象的情况 ;

　　— 支付交易过程相关的全部事件 。

　　13) 记录内容应包括但不限于 :用户标识符 、日期时间 ,事件类型 ,成功或失败的指示 、事件描述 、事件来源 ,受影响数据 、系统组件或资源的身份识别或名称等 。

　　14) 应用程序应便于集中管理日志 ,例如将日志文件定向到统一的外部服务器 ,便于审计 。应通过行业标准日志文件格式(如通用 日志文件系统等)存储记录 。

　　5.6.2 数据保密性

　　5.6.2. 1 数据安全模块应采用硬件加密 ,数据加密应采用双倍长密钥加密算法 。

　　5.6.2.2 应对银行卡 、PIN、校验码等要素信息进行加密保护 。

　　5.6.2.3 密钥管理应符合 JR/T 0002—2009中 6. 2 的规定 。

　　5.6.3 客户信息

　　5.6.3. 1 账户信息

　　5.6.3. 1. 1 ATM应能正确地按顺序读取银行卡信息 ,并能根据 JR/T 0002—2009中 5. 3 的要求准确地识别主账号 。

　　5.6.3. 1.2 ATM不应存储完整的银行卡数据 、卡片验证码 、PIN。

　　5.6.3.2 PIN

　　5.6.3.2. 1 交易过程中输入 PIN 时 ,应显示无意义的字符(例如星号) 或者无区别的信号 , 支持输入的PIN 的长度至少 6位 。

　　5.6.3.2.2 PIN在传输过程中应加密 ,ATM 的密码键盘应对 PIN进行加密保护 。

　　5.6.3.3 卡号打印

　　交易凭证打印的卡号 ,除被吞卡和转账交易的转入卡外 ,应具备隐去卡号校验位至少前 4位数字的

　　功能 。

　　6 试验方法

　　6. 1 试验的环境条件

　　试验应在下述试验用标准大气条件下进行 :

　　— 温度 :15 ℃ ~ 35 ℃ ;

　　— 相对湿度 :25% ~ 75% ;

　　— 大气压 :86kPa~ 106kPa。

　　6.2 基本要求试验

　　在试验环境条件下 ,用目测及触摸方法检查硬件结构 ,开机运行用温度测量报警器检测温度报警 。

　　6.3 硬件模块试验

　　在试验环境条件下 ,ATM连接操作系统检测平台 , 开机运行 ,对卡处理模块 、出钞模块 、出钞模块存款模块 、出钞存款一体模块 、保险柜 、键盘模块进行检测 。

　　6.4 网络接入试验

　　在试验环境条件下 ,ATM连接操作系统检测平台 ,开机运行 ,对访问控制 、入侵防范 、通信线路 、IP地址和端口号 、加密传输进行检测 。

　　6.5 系统软件试验

　　在试验环境条件下 ,ATM连接操作系统检测平台 , 开机运行 ,对操作系统配置 、操作系统审计 、操作系统访问控制 、密码策略 、文件/文件目录防护 、注册表防护 、存储媒体管理进行检测 。

　　6.6 应用软件试验

　　在试验环境条件下 ,ATM连接操作系统检测平台 , 开机运行 ,对应用软件保护 、时间同步 、应用软件访问控制 、应用软件日志 、剩余信息的保护进行检测 。

　　6.7 数据试验

　　在试验环境条件下 ,ATM 连接操作系统检测平台 ,开机运行 ,对数据安全 、数据库 、加密安全 、数据保密性 、客户信息进行检测 。