1、防拆检测概述：为什么POS机需要防拆？行业标准与合规要求（PCI PTS、EMVCo）
各位同学，咱们今天聊点实在的。
做POS机开发，防拆检测这事儿，躲不开。我入行那会儿，有个老工程师跟我说过一句话，我一直记着——「POS机本质上就是个带锁的钱箱子，只不过锁是电子的。」你想想看，一个钱箱子要是谁都能随便打开，那还得了？
1.1 为什么POS机必须防拆？
说白了，POS机处理的是真金白银的交易数据。一旦被拆开，攻击者能干什么？
- 窃取密钥：主密钥、工作密钥，全在安全芯片里存着。拆开就能用探针读总线。
- 篡改固件：把正常程序换成恶意程序，交易金额、卡号随便改。
- 安装硬件木马：在通信线路上加个窃听器，磁道数据直接外传。
- 替换安全芯片：把原厂芯片换成破解过的，绕过所有安全校验。
我在项目中遇到过一件事。有个客户拿了一台返修机回来，说刷卡老报错。我一拆开，好家伙，主板上被人飞了一根线，直接从安全芯片的SPI总线上引出来的。嗯，这就是典型的物理攻击。从那以后，我对防拆设计就特别上心。
1.2 行业标准与合规要求
做POS机防拆，不是你想怎么做就怎么做。得看标准。目前最核心的两个标准：PCI PTS 和 EMVCo。
1.2.1 PCI PTS（支付卡行业安全标准）
PCI PTS全称是Payment Card Industry Pin Transaction Security。它管的是PIN输入设备的安全。说白了，就是你的键盘、屏幕、安全芯片这一套东西，得通过它的认证。
PCI PTS对防拆的要求，我总结成三点：
- 物理入侵检测：外壳被打开、螺丝被拧动、电路板被撬起，都得能检测到。
- 敏感数据自毁：一旦检测到入侵，安全芯片里的密钥必须立即擦除。注意，是「立即」，不是「稍后」。
- 防篡改记录：每次触发防拆，都得留下不可擦除的日志。审计的时候要查的。
我记得有一次做PCI PTS认证，实验室的人拿了个热风枪对着安全芯片吹。我当时心里一紧——这要是把芯片吹坏了怎么办？后来才知道，人家测试的就是「温度攻击」场景。标准里规定，安全芯片在-20°C到+85°C之外的环境下，必须能触发防拆。嗯，这个温度范围，大家做设计的时候要记牢。
| PCI PTS版本 | 防拆要求要点 | 我的经验 |
|---|---|---|
| 5.0（当前主流） | 要求防拆传感器覆盖所有物理入口 | 螺丝孔、外壳接缝、电池仓，一个都不能漏 |
| 6.0（即将发布） | 增加对侧信道攻击的防护要求 | 功耗分析、电磁辐射，这些也得防 |
1.2.2 EMVCo（芯片卡标准）
EMVCo管的是芯片卡和终端之间的通信安全。它跟PCI PTS不一样，PCI PTS管的是「设备本身」，EMVCo管的是「交易过程」。
但两者有交集。EMVCo要求：
- 安全芯片必须通过EAL5+认证（Common Criteria标准）
- 密钥生命周期管理必须可追溯
- 防拆触发后，交易必须立即终止
你可能会问：「这两个标准，我到底听谁的？」
我的建议是：两个都得听。PCI PTS是底线，EMVCo是上线。你过了PCI PTS，不一定能过EMVCo；但你过不了PCI PTS，EMVCo想都别想。
1.3 防拆检测的核心逻辑
讲完标准，咱们聊聊技术实现。防拆检测，说白了就三步：
- 检测：用传感器感知物理状态变化。
- 判断：MCU或安全芯片判断是否真的被攻击。
- 响应：触发自毁、记录日志、通知后台。
这里有个坑，我踩过。有一次，我用的防拆开关是机械式的微动开关。结果产品出货后，有客户反映机器老是莫名其妙触发防拆。查了半天，发现是温度变化导致外壳热胀冷缩，微动开关被误触发了。嗯，从那以后，我改用光电传感器加机械开关双重检测。一个误报，就能让客户骂你三天。
1.4 合规认证的常见误区
最后，聊几个我见过的坑：
- 误区一：防拆只做外壳 —— 不对。内部电路板、电池仓、甚至天线接口，都得防。
- 误区二：密钥擦除就完事 —— 不对。擦除后还得验证是否真的擦干净了。我见过有芯片擦除不彻底的，攻击者用低温冷冻后还能读出来。
- 误区三：认证一次管终身 —— 不对。PCI PTS每三年更新一次，EMVCo每年都要复审。你的产品设计得留出升级空间。
好了，这一章就讲到这里。下一章咱们会深入聊「防拆传感器的选型与电路设计」，到时候我会拿几个实际项目里的电路图出来，咱们一起分析。
记住一句话：防拆不是功能，是底线。底线破了，什么都白搭。