第三章 终端硬件架构要求：安全模块选型与接口设计
好，咱们直接进入正题。这一章聊的是硬件层面的硬骨头——安全模块、接触式与非接触式接口，还有物理安全。这些东西看着是硬件工程师的活，但做EMV认证时，软件和硬件必须配合好。我见过太多项目，软件跑得飞起，结果硬件选型不对，认证直接卡住。
3.1 安全模块(SE/SAM)选型
安全模块，说白了就是POS机的“保险柜”。EMV交易的核心密钥、敏感数据都靠它保护。选型不对，后面全是坑。
3.1.1 SE与SAM的区别
先理清概念。SE是嵌入式安全元件，焊死在板子上。SAM是安全存取模块，通常做成可插拔的卡或贴片。轨道交通场景下，我建议优先考虑SAM。
为什么？因为轨道交通的密钥管理很特殊。不同线路、不同运营商，密钥可能不一样。SAM可以单独更换，维护起来方便。我在上海地铁的一个项目里，客户一开始选了SE，后来发现密钥更新要整机返厂，差点没把项目经理急哭。
3.1.2 选型关键指标
选型时，我一般盯着这几个参数看：
| 参数 | 要求 | 我的经验 |
|---|---|---|
| 安全等级 | CC EAL4+ 或更高 | 别信厂商吹的“等效”，只看证书 |
| 密钥存储容量 | 至少支持16组密钥 | 轨道交通场景，8组勉强够用 |
| 通信协议 | ISO 7816 T=0/T=1 | 我踩过坑，T=1更稳定 |
| 工作温度 | -20℃ ~ +70℃ | 户外闸机夏天能到60℃，别选工业级以下的 |
嗯，这里要注意。有些厂商会提供“兼容EMV”的模块，但实际只支持部分算法。我建议直接找通过EMVCo认证的模块列表，从里面挑。省事，也省得认证时被驳回。
3.1.3 与主控的通信方式
安全模块和主控芯片怎么通信？常见的有SPI、I2C、UART。我个人习惯用SPI，速度快，而且不容易受干扰。
但有个坑——SPI的时钟频率不能太高。EMV标准里对时序有要求，太快了可能触发安全机制。我曾经遇到一个案子，工程师把SPI调到20MHz，结果安全模块直接罢工。后来降到5MHz，一切正常。
关键提醒：安全模块的通信必须加密。明文传输密钥？那是给自己挖坑。至少要用会话密钥加密，最好再加MAC校验。
3.2 接触式与非接触式接口设计
轨道交通POS机，既要刷IC卡（接触式），也要刷手机、手环（非接触式）。接口设计必须兼顾两者。
3.2.1 接触式接口：ISO 7816
接触式接口遵循ISO 7816标准。说白了就是8个触点，C1到C8。设计时要注意：
- 电源管理：IC卡供电是5V、3V还是1.8V？我建议用自适应方案。现在很多卡是3V的，但老卡还有5V的。我在北京地铁就遇到过，闸机只支持3V，结果一批老年卡刷不了。
- 静电防护：触点直接暴露在外，ESD是家常便饭。加TVS管是必须的，别省这个成本。
- 卡座寿命：轨道交通场景，一天几千次插拔。卡座至少要有10万次寿命认证。我见过用廉价卡座的，三个月就接触不良了。
3.2.2 非接触式接口：ISO 14443
非接触式接口，核心是射频天线设计。这部分我吃过不少苦头。
天线设计的关键参数：
- 谐振频率：13.56MHz，偏差不能超过±7%
- Q值：一般在30-50之间。Q值太高，带宽窄，兼容性差；Q值太低，读卡距离短。
- 读卡距离：轨道交通要求至少4cm。我建议设计到6cm，留点余量。
我的小技巧：天线匹配电路一定要用网络分析仪调。别靠感觉调电容电感，那玩意儿差一点，读卡距离就差一大截。我刚开始做时，手调了三天，结果读卡距离只有2cm。后来用仪器，半小时搞定，距离直接到7cm。
3.2.3 双接口切换逻辑
接触式和非接触式怎么切换？简单说，谁先被检测到就用谁。但有个细节：
当非接触式交易进行到一半时，用户突然把卡插进去了怎么办？标准做法是：非接触式优先，接触式排队。我曾经在项目里没处理好这个逻辑，结果用户刷手机时插了卡，交易直接乱套了。
警告：双接口切换时，必须保证原子性。也就是说，要么完成非接触式交易，要么切换到接触式，不能卡在中间状态。否则认证测试里的“并发交易测试”绝对过不了。
3.3 物理安全要求
物理安全，很多人觉得是外壳的事。其实不然。EMV对物理安全有明确要求，主要针对防篡改和防侧信道攻击。
3.3.1 防篡改设计
安全模块必须能检测到物理攻击。比如：
- 开盖检测：外壳被打开，安全模块立即擦除密钥。我见过用微动开关的，也见过用光敏传感器的。我个人推荐光敏，因为微动开关容易被机械方式绕过。
- 温度检测：极端温度（比如液氮冷却）可能让芯片泄露信息。安全模块内部要有温度传感器，超出范围就自毁。
- 电压检测：电压波动可能是故障注入攻击。安全模块要监控电源，异常时触发保护。
3.3.2 侧信道防护
侧信道攻击，说白了就是通过功耗、电磁辐射来猜密钥。轨道交通POS机是固定安装的，攻击者有充足的时间做分析。
防护措施：
- 功耗均衡：让每次运算的功耗看起来一样。硬件上可以用差分逻辑，软件上可以插入伪操作。
- 时钟随机化：运算时随机插入等待周期，让攻击者抓不到规律。
- 屏蔽罩：整个安全模块区域加金属屏蔽罩。我建议用铜箔，成本低，效果也不错。
重点：物理安全不是“有就行”，而是要“通过评估”。EMV认证里有一项“物理渗透测试”，专门找人攻击你的设备。我参与过一个项目，测试人员用一把螺丝刀和一台示波器，半小时就破解了第一版设计。嗯，那之后我们重新设计了整个防护方案。
3.3.3 生产与运输安全
这个容易被忽略。安全模块在生产、运输过程中，密钥可能被泄露。
我的建议：
- 密钥在安全环境中注入，不要在产线上做。
- 运输时，安全模块要处于“锁定状态”，到现场再激活。
- 每个模块有唯一ID，激活时要和POS机绑定。
你想想看，如果密钥在运输途中被复制了，那整个系统的安全性就形同虚设了。我在深圳地铁就听说过类似的事故，后来他们改了流程，全部改用加密运输。
3.4 小结
这一章内容不少，但核心就三点：安全模块选对型号、接口设计留足余量、物理安全做到位。硬件是基础，基础不牢，软件再牛也白搭。
下一章咱们聊软件架构，到时候会讲到怎么和这些硬件打交道。有什么问题，欢迎交流。
课后思考：如果你的POS机要同时支持银联、Visa、MasterCard，安全模块的密钥管理方案该怎么设计？提示：考虑多应用环境下的密钥隔离。