第1章支付终端安全概述

1、支付终端安全概述

大家好，我是老周。在安全这块摸爬滚打了十几年，今天咱们聊聊支付终端安全。

说实话，支付终端这玩意儿，看着不起眼，但它是整个支付链条里最容易被忽视的薄弱环节。我见过太多公司花大价钱搞云端安全，结果终端被人物理拆解了都不知道。

这一章，咱们先把基础打牢。搞清楚支付终端到底是什么、生态链里都有谁、攻击面在哪、威胁模型长什么样。嗯，这些概念搞明白了，后面讲具体攻击手法你才能听得进去。

支付终端，说白了就是能完成支付交易的硬件设备。你想想看，超市里刷卡的POS机、餐厅里的扫码盒子、出租车上的移动支付终端，这些都算。

我个人习惯把支付终端分成三类：

这里有个坑我得提醒你——智能POS虽然功能强大，但Android系统的开放性也带来了更多攻击面。我在项目中遇到过某款智能POS，出厂时竟然还开着adb调试端口，这简直是把大门敞开了让人进。

支付不是一个人的游戏。整个生态链里，每个角色都有自己的责任和利益。我画了张图，帮你理清关系：

每个角色的职责，我简单列一下：

  关键点：支付终端是唯一直接接触持卡人敏感数据的硬件设备。磁条数据、IC卡数据、PIN码，全从它手里过。一旦终端被攻破，整个支付链条的信任基础就崩塌了。

攻击面这个词，说白了就是「你能从哪些地方下手搞破坏」。支付终端的攻击面，我分成四个维度：

我的经验：做终端安全评估时，我习惯先从物理攻击面入手。为什么？因为物理攻击往往能绕过所有软件防护。你软件做得再牛，人家直接拆芯片读Flash，你一点办法没有。

威胁模型，就是帮我们系统化地思考「谁会攻击我、怎么攻击、攻击什么」。我常用的框架是STRIDE，咱们套到支付终端上看看：

嗯，这里要注意一点。STRIDE模型虽然好用，但它偏重技术层面。实际项目中，我还得考虑攻击者的动机和能力：

避坑指南：我曾经帮一家支付终端厂商做安全审计，发现他们的威胁模型里完全没考虑内部攻击。结果呢？一个离职的研发人员，用自己留的后门，远程把一批终端的固件全换了。所以，内部威胁一定要纳入模型。

讲完了攻击面和威胁模型，咱们聊聊怎么防。我个人总结了三层防护思路：

举个例子，我经手过的一款终端，出厂时默认开启安全启动、关闭调试接口、强制使用TLS 1.2以上版本。用户拿到手就能直接用，不需要做任何安全配置。这才是正确的做法。

好了，这一章的内容就到这。支付终端安全是个系统工程，从定义到生态链，从攻击面到威胁模型，每一步都得想清楚。后面咱们会深入每个攻击手法，到时候你就能理解为什么基础这么重要了。