CN107133512B - Pos终端控制方法和装置 - Google Patents

Abstract

本发明涉及一种POS终端控制方法，该方法包括接收授权工具发送的请求特征信息的指令；根据指令生成第一特征信息；向授权工具返回第一特征信息；接收授权工具返回的由授权机根据第一特征信息生成的授权信息；当授权信息校验成功时，则提取授权信息中的第二特征信息；当第二特征信息与第一特征信息相同时，则保存授权信息后，向授权工具发送授权成功的结果；接收授权工具的状态切换指令，并根据状态切换指令切换当前状态。上述POS终端控制方法和装置，POS终端可以根据授权工具的请求特征信息的指令，生成第一特征信息，即使第一特征信息被非法获取，也无法根据该第一特征信息对该POS终端进行状态切换，保证了POS终端的安全性。

Description

POS终端控制方法和装置

技术领域

本发明涉及网络通信领域，特别是涉及一种POS终端控制方法和装置。

背景技术

POS终端(point of sale，销售终端)作为一种支付设备，有不同的使用人群，如产线人员、维修人员、应用开发人员、产品研发人员、银行及第三方支付机构、商户等，不同的群体对应不同的使用场景、对终端的行为特性有不同的要求。

传统技术中POS终端在不同使用人员或不同场景之间切换时，通常是使用固定密码等进行。但是该种方式下，当固定密码被盗取后，任何人都可以对POS终端进行操作，从而降低了POS终端的安全性。

发明内容

基于此，有必要针对POS终端不安全的问题，提供一种POS终端控制方法和装置。

一种POS终端控制方法，所述方法包括：

接收授权工具发送的请求特征信息的指令；

根据所述指令生成第一特征信息；

向所述授权工具返回第一特征信息；

接收所述授权工具返回的由授权机根据所述第一特征信息生成的授权信息；

当所述授权信息校验成功时，则提取所述授权信息中的第二特征信息；

当所述第二特征信息与所述第一特征信息相同时，则保存所述授权信息后，向所述授权工具发送授权成功的结果；

接收所述授权工具的状态切换指令，并根据所述状态切换指令切换当前状态。

在其中一个实施例中，所述根据所述指令生成第一特征信息的步骤，包括：

根据所述指令生成随机数；

根据所述随机数和已存储的权限特征码生成特征信息；

所述提取所述授权信息中的第二特征信息的步骤之后，包括：

判断所述第二特征信息中的随机数与所述第一特征信息中的随机数是否相同；

当所述第二特征信息中的随机数与所述第一特征信息中的随机数相同时，则继续判断所述第二特征信息中的权限特征码与所述第一特征信息中的权限特征码是否相同；

当所述第二特征信息中的权限特征码与所述第一特征信息中的权限特征码相同时，则返回所述第二特征信息与所述第一特征信息相同的结果；

当所述第二特征信息中的随机数与所述第一特征信息中的随机数不相同时，或者当所述第二特征信息中的权限特征码与所述第一特征信息中的权限特征码不相同时，则返回所述第二特征信息与所述第一特征信息不相同的结果。

在其中一个实施例中，所述接收所述授权工具返回的由授权机根据所述第一特征信息和授权数据生成的授权信息的步骤之后，还包括：

对所述授权信息进行分离以获取原文和数字签名；

通过授权公钥对所述数字签名进行解密以获得第一摘要；

对所述原文进行单向散列运算以获得第二摘要；

当所述第一摘要和所述第二摘要相等时，则继续当所述授权信息校验成功时，则保存所述授权信息后，向所述授权工具发送授权成功的结果的步骤；

当所述第一摘要和所述第二摘要不相等时，则输出授权失败的信息。

一种POS终端控制方法，包括：

接收授权工具发送的从POS终端获取的第一特征信息；

对所述第一特征信息进行校验；

当所述第一特征信息校验成功时，则将所述第一特征信息和授权数据发送至授权机以进行加密；

接收所述授权机返回的对所述第一特征信息和所述授权数据加密形成的授权信息；

将所述授权信息通过所述授权工具发送到所述POS终端，以使得所述POS终端进行状态切换。

在其中一个实施例中，所述方法还包括：

在所述授权工具的账户登录成功后，向所述授权工具发送验证码；

所述方法还包括：

接收所述授权工具发送的验证码；

所述对所述特征信息进行校验的步骤之前还包括：

将所述验证码与所保存的验证码相比较；

当所述验证码与所保存的验证码相等时，则对所述特征信息进行校验；

当所述验证码与所保存的验证码不相等时，则向所述授权工具发送授权失败的信息。

一种POS终端控制装置，所述装置包括：

第一接收模块，用于接收授权工具发送的请求特征信息的指令，接收所述授权工具返回的由授权机根据第一特征信息生成的授权信息，以及接收所述授权工具的状态切换指令；

特征信息生成模块，用于根据所述指令生成第一特征信息；

提取模块，用于在所述授权信息校验成功时，则提取所述授权信息中的第二特征信息；

第一发送模块，用于向所述授权工具返回第一特征信息，以及在所述第二特征信息与所述第一特征信息相同时，则保存所述授权信息后，向所述授权工具发送授权成功的结果；

状态切换模块，用于根据所述状态切换指令切换当前状态。

在其中一个实施例中，所述特征信息生成模块包括：

随机数生成单元，用于根据所述指令生成随机数；

特征信息生成单元，用于根据所述随机数和已存储的权限特征码生成特征信息；

所述装置还包括：

判断模块，用于判断所述第二特征信息中的随机数与所述第一特征信息中的随机数是否相同；且当所述第二特征信息中的随机数与所述第一特征信息中的随机数相同时，则继续判断所述第二特征信息中的权限特征码与所述第一特征信息中的权限特征码是否相同；当所述第二特征信息中的权限特征码与所述第一特征信息中的权限特征码相同时，则返回所述第二特征信息与所述第一特征信息相同的结果；当所述第二特征信息中的随机数与所述第一特征信息中的随机数不相同时，或者当所述第二特征信息中的权限特征码与所述第一特征信息中的权限特征码不相同时，则返回所述第二特征信息与所述第一特征信息不相同的结果。

在其中一个实施例中，所述装置还包括：

分离模块，用于对所述授权信息进行分离以获取原文和数字签名；

解密模块，用于通过授权公钥对所述数字签名进行解密以获得第一摘要；

散列运算模块，用于对所述原文进行单向散列运算以获得第二摘要；

所述第一发送模块还用于当所述第一摘要和所述第二摘要相等时，则继续当所述授权信息校验成功时，则保存所述授权信息后，向所述授权工具发送授权成功的结果；当所述第一摘要和所述第二摘要不相等时，则输出授权失败的信息。

一种POS终端控制装置，所述装置包括：

第二接收模块，用于接收授权工具发送的从POS终端获取的第一特征信息；

校验模块，用于对所述第一特征信息进行校验；

第二发送模块，用于当所述第一特征信息校验成功时，则将所述第一特征信息和授权数据发送至授权机以进行加密；

所述第二接收模块还用于接收所述授权机返回的对所述第一特征信息和所述授权数据加密形成的授权信息；

所述第二发送模块还用于将所述授权信息通过所述授权工具发送到所述POS终端，以使得所述POS终端进行状态切换。

在其中一个实施例中，所述第二发送模块还用于在所述授权工具的账户登录成功后，向所述授权工具发送验证码；

所述第二接收模块还用于接收所述授权工具发送的验证码；

所述装置还包括：

比较模块，用于将所述验证码与所保存的验证码相比较；

所述校验模块还用于当所述验证码与所保存的验证码相等时，则对所述特征信息进行校验；

所述第二发送模块还用于当所述验证码与所保存的验证码不相等时，则向所述授权工具发送授权失败的信息。

上述POS终端控制方法和装置，POS终端可以根据授权工具的请求特征信息的指令，生成第一特征信息，从而每次要切换POS终端的状态时，POS终端均生成新的第一特征信息，从而即使在某次授权时，该第一特征信息被非法获取，也无法根据该第一特征信息对该POS终端进行状态切换，保证了POS终端的安全性，且进一步地，由统一的授权机对POS终端进行授权，而非在POS终端本地授权，提高了POS终端的安全性。另外通过授权机对授权信息进行加密，在POS终端对授权信息的校验成功后，又通过第二特征信息与第一特征信息确定改授权信息是针对该POS终端的，从而进一步保证了POS终端的安全性，为POS终端的状态切换的安全性提供了有效的保障。

附图说明

图1为一实施例中POS终端控制系统的应用场景图；

图2为一实施例中POS终端控制方法的流程图；

图3为一实施例中POS终端控制方法的时序图；

图4为图1所示实施例中的POS终端的状态迁移图；

图5为一实施例中校验步骤的流程图；

图6为另一实施例中POS终端控制方法的流程图；

图7为一实施例中POS终端控制装置的示意图；

图8为一实施例中POS终端控制装置的示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用于解释本发明，并不用于限定本发明。

在详细说明根据本发明的实施例前，应该注意到的是，所述的实施例主要在于与POS终端控制方法和装置相关的步骤和系统组件的组合。因此，所属系统组件和方法步骤已经在附图中通过常规符号在适当的位置表示出来了，并且只示出了与理解本发明的实施例有关的细节，以免因对于得益于本发明的本领域普通技术人员而言显而易见的那些细节模糊了本发明的公开内容。

在本文中，诸如左和右，上和下，前和后，第一和第二之类的关系术语仅仅用来区分一个实体或动作与另一个实体或动作，而不一定要求或暗示这种实体或动作之间的任何实际的这种关系或顺序。术语“包括”、“包含”或任何其他变体旨在涵盖非排他性的包含，由此使得包括一系列要素的过程、方法、物品或者设备不仅包含这些要素，而且还包含没有明确列出的其他要素，或者为这种过程、方法、物品或者设备所固有的要素。

请参阅图1，图1为一实施例中POS终端控制系统的应用场景图，在该实施例中，该POS终端控制系统可以包括数个POS终端、数个授权工具、授权服务器以及授权机。其中，POS终端可以通过串口或USB(Universal Serial Bus，通用串行总线)的方式与授权工具相通信，授权工具可以通过无线网络的方式与授权服务器相通信，授权服务器与授权机相通信。

其中，POS终端除了常规的POS机的功能外，其还可以控制各个状态下的特性，保证与授权相关的数据的安全性，该POS终端中预先存储了与授权机中的私钥相对应的公钥，该公钥与私钥形成一对RSA(非对称加密算法)密钥。

授权工具，是用户进行授权操作的人机交互工具，其可以是电脑、手机等终端，该授权工具一方面可以通过http(HyperText Transfer Protocol，超文本传输协议)或https协议(Hypertext Transfer Protocol over Secure Socket Layer，以安全为目的的超文本传输协议)与授权服务器相通信，另一方面可以通过串口或USB线缆与POS终端交互。

授权服务器，用来管理各类POS终端和使用授权工具的用户的权限，接收授权工具提上来的授权请求，并与授权机交互得到授权信息后依次返给授权工具和POS终端，其可以具有以下功能：用户管理、登录管理、权限管理(后台配置用户可用的授权类型，前台只显示该可用的授权类型)、外部接口管理、处理POST请求(授权请求)以及与授权机的交互等。

授权机，用于存放授权私钥，与授权服务器相对接，负责数据的加密，授权机未连接网络，从而可以通过不联网该物理安全的途径来保证授权机中的私钥不被篡改，从而可以保证整个系统的安全。

请参阅图2，图2为一实施例中POS终端控制方法的流程图，本实施例以该方法应用到上述图1中的POS终端控制系统中的POS终端来举例说明。该POS终端上运行有POS终端控制程序，通过该POS终端控制程序来实时POS终端控制方法。该POS终端控制方法可以包括：

S202：接收授权工具发送的请求特征信息的指令。

具体地，特征信息是指可以唯一确定POS终端的信息，例如其可以包括POS终端出厂时的序列号等。

通常当需要切换POS终端的当前状态时，POS终端必须得到授权，为此引入了授权工具，用户可以通过对授权工具进行操作，从而实现对POS终端的授权，以便于更改POS终端的当前状态。在用户通过授权工具对POS终端的状态进行更改前，首先需要建立授权工具和POS终端的连接关系，授权工具可以通过串口或USB与POS终端相通信，在建立通信道路时，还可以由授权工具先向POS终端发送握手消息，当POS终端向授权工具返回响应握手的消息后，授权工具和POS终端两者之间的通信通道才建立。

S204：根据指令生成第一特征信息。

具体地，当POS终端需要切换当前状态时，POS终端需要得到授权机的授权，因此为了区分各个POS终端，需要向授权机发送能够唯一表征该POS终端该次切换状态的操作的第一特征信息。为此，每当POS终端需要切换状态时，即授权工具向POS终端请求第一特征信息时，该POS终端即生成可以唯一表征该POS终端该次切换状态的操作的第一特征信息。

由于在该步骤中每次POS终端切换状态前，均生成唯一的第一特征信息，因此即使该第一特征信息被非法份子获取，当非法份子要通过该第一特征信息再次切换POS终端的当前状态时，由于再次进行状态切换时，POS终端会生成新的第一特征信息，与被非法获取的第一特征信息是不相同的，因此非法份子也无法完成该POS终端的状态切换，从而可以保证该POS终端的安全。

S206：向授权工具返回第一特征信息。

具体地，授权工具为合法授权工具的前提下，POS终端可以响应该授权工具的请求特征信息的指令，并向授权工具返回新生成的第一特征信息。

S208：接收授权工具返回的由授权机根据第一特征信息生成的授权信息。

具体地，授权工具在接收到第一特征信息后，会将该第一特征信息发送给授权服务器，授权服务器根据第一特征信息给出的授权数据，并将授权数据和第一特征信息发送到授权机，授权机对该授权数据和第一特征信息进行加密，以形成授权信息，并将该授权信息通过授权服务器、授权工具返回至POS终端。

S210：当授权信息校验成功时，则提取授权信息中的第二特征信息。

当POS终端接收到授权信息后，首先需要对该授权信息进行校验，以保证该授权信息在传输过程中未被篡改，其次还需要确定该授权信息是针对该POS终端的，因此为了确定该授权信息是针对该POS终端的，且由于特征信息可以唯一的表征POS终端的该次切换状态的操作，因此此处提取授权机所加密形成的授权信息中的第二特征信息性信息。

S212：当第二特征信息与第一特征信息相同时，则保存授权信息后，向授权工具发送授权成功的结果。

具体地，POS终端通过比较第二特征信息与第一特征信息是否相同，来确定该授权信息是否可用，当第二特征信息与第一特征信息相同时，则保存该授权信息，并将授权成功的结果发送到授权工具，从而用户可以通过操作授权工具来切换POS终端的当前状态。

S214：接收授权工具的状态切换指令，并根据状态切换指令切换当前状态。

上述POS终端控制方法和装置，POS终端可以根据授权工具的请求特征信息的指令，生成第一特征信息，从而每次要切换POS终端的状态时，POS终端均生成新的第一特征信息，从而即使在某次授权时，该第一特征信息被非法获取，也无法根据该第一特征信息对该POS终端进行状态切换，保证了POS终端的安全性，且进一步地，由统一的授权机对POS终端进行授权，而非在POS终端本地授权，提高了POS终端的安全性。另外通过授权机对授权信息进行加密，在POS终端对授权信息的校验成功后，又通过第二特征信息与第一特征信息确定改授权信息是针对该POS终端的，从而进一步保证了POS终端的安全性，为POS终端的状态切换的安全性提供了有效的保障。

在其中一个实施例中，图2中所示的步骤S204，即根据指令生成第一特征信息的步骤可以包括：根据指令生成随机数，根据随机数和已存储的权限特征码生成特征信息。

从而图2中所示的步骤S210，即提取授权信息中的第二特征信息的步骤之后，可以包括：判断第二特征信息中的随机数与第一特征信息中的随机数是否相同；当第二特征信息中的随机数与第一特征信息中的随机数相同时，则继续判断第二特征信息中的权限特征码与第一特征信息中的权限特征码是否相同；当第二特征信息中的权限特征码与第一特征信息中的权限特征码相同时，则返回第二特征信息与第一特征信息相同的结果；当第二特征信息中的随机数与第一特征信息中的随机数不相同时，或者当第二特征信息中的权限特征码与第一特征信息中的权限特征码不相同时，则返回第二特征信息与第一特征信息不相同的结果。

具体地，请参阅图3，图3为一实施例中POS终端控制方法的时序图。

在详细介绍前，给出本实施例中所采用的通讯包的格式：

首先，用户通过授权工具提供的授权界面输入登录账户和密码，授权工具获取用输入的登录账户和密码并发送至授权服务器，当授权服务器判断该登录账户和密码正确后，则向授权工具返回登录成功的信息，此时授权工具会再次向授权服务器发送请求验证码ticket的信息，授权服务器会根据该信息生成一验证码并返回给授权工具，例如可以通过邮箱的方式返回至授权工具对应的保密邮箱，从而用户可以获取到该验证码，或者授权工具直接通过登录该加密邮箱来获取到该验证码，以便后续使用。此外，该授权工具上可以显示该登录账户的权限等，以提示用户可以进行的操作。

其次，POS终端上电，授权工具与POS终端通过USB或串口相连接，以建立通信通道，例如可以通过握手机制建立通信通道等，具体地，例如授权工具可以向POS终端发送握手信息，其报文格式如下：

报文头	命令码	数据域长度	数据域	LRC
					0x02	1bytes	2bytes		1bytes

在POS终端接收到该握手信息后，可以返回相应的响应信息，其报文格式如下：

报文头	命令码	数据域长度	数据域	LRC
					0x02	1bytes	2bytes		1bytes

在授权工具和POS终端之间的通信通道建立成功后，授权工具会向POS终端请求特征信息，具体可以采用以下报文格式：

报文头	命令码	数据域长度	数据域	LRC
					0x02	1bytes	2bytes		1bytes

其中数据域格式如下：

授权类型编码
	1bytes

此时POS终端会根据该请求生成一特征信息，例如，为了保证该特征信息的唯一性，首先，POS终端中存储有可以唯一表征该POS终端的权限特征码，优选地可以为序列号等，其次为了可以唯一表征POS终端该次切换状态的操作，在POS终端内可以设置随机数生成装置，每当POS终端需要切换状态时，则生成一随机数，这样通过该随机数和权限特征码可以唯一地表征POS终端该次切换状态的操作。具体地该特征信息可以参见表1：

表1.特征信息

在POS终端生成该特征信息后，将该特征信息返回至授权工具，具体地，可以采用如下报文：

报文头	命令码	数据域长度	数据域	LRC
					0x02	1bytes	2bytes		1bytes

其中数据域格式如下：

序列号	随机数
		16bytes	8bytes

第三，授权工具接收到该特征信息后，为了进一步地保证授权工具和授权服务器之间的安全性，授权工具将该特征信息和上文中所提到的验证码发送到授权服务器，授权服务器可以通过该特征信息识别该POS终端的该次切换状态的操作，且通过该特征码来确定来特征信息在传输过程中是否遭到篡改，或者确定该授权工具是否是已认证的安全授权工具，其中授权工具还可以向授权服务器发送POST数据，其格式为ticket＝％s&features＝％s&fileType＝％d&sequence＝％d&sn＝％s其中：features参数使用BCD码格式传送，长度：n字节(授权类型+安全级别+SN+RND)*2，sequence：便于授权服务器快速确定是何种授权，sn：便于服务器基于sn作log记录，授权服务器收到POST请求后，转换features为二进制数据并保存文件，将数据发送到授权及获取加密结果并返回给申请者授权工具。成功的数据：SUCCESS:结果(BCD码)，失败的数据：FAIL:错误信息。在该特征信息和验证码均通过验证后，授权服务器将该特征信息和授权数据发送到授权机，具体地，可以采用如下报文格式：

报文头	命令码	数据域长度	数据域	LRC
					0x02	1bytes	2bytes		1bytes

第四，授权机接收到该特征信息和授权数据后，通过已存储的私钥随该特征信息和授权数据进行加密以形成授权信息，并将该授权信息返回至授权服务器，授权服务器存储该授权信息后将该授权信息返回至授权工具，授权工具接收到该授权信息后，将该授权信息返回至POS终端，具体地，可以采用如下报文格式：

报文头	命令码	数据域长度	数据域	LRC
					0x02	1bytes	2bytes		1bytes

其中授权数据可以包括授权类型、安全等级等信息，具体地，授权信息可以参见表2：

表2.授权信息

0x00	授权类型	等级	序列号	随机数
					N字节	1字节	2字节	16字节	8字节

其中授权机是指装载了授权私钥(RSA私钥)的POS终端，并对授权服务器提供加密签名服务。授权机本身可以认为是一款通过了PCI(Peripheral Component Interconnect，外设互联标准)最新安全标准认证的终端，能够保证密钥不被获取；授权机和授权服务器一起置于经过安全认证的安全房中，保证了物理安全；同时，授权机与授权服务器对外不提供网络服务，只通过SUB线缆与授权服务器连接，安全房外的实体无法访问到授权机。

第五，POS终端在接收到该授权信息后，首先验证该授权信息的合法性，即该授权信息在传输过程中并未被篡改，其次，需要确定该授权信息是针对该POS终端的，该过程可以通过特性信息来实现，例如可以提取授权信息中的特征信息，通过判断特征信息中的随机数和权限特征码与POS终端中已存储的随机数和权限特征码是否相同，来确定该授权信息是否可用，当随机数或权限特征码中至少一个与POS终端中已存储的随机数和权限特征码不相同时，则认为本次授权失败，否则认为本次授权成功。

第六，在授权成功的前提下，POS终端保存该授权信息，并向授权工具返回授权结果，从而授权工具可以将授权结果展现给用户，且通过向POS终端发送切换状态的指令，来切换POS终端的当前状态。

具体地，请参阅图4，图4为图1所示实施例中的POS终端的状态迁移图，在该实施例中POS终端包括7种状态：

生产态(L0)：该状态用于工厂生产，并结合生产线的特点进行了终端特性的定义。终端特性：安全开关均处于打开状态，显示触发信息但不作逻辑处理。可以写入一次序列号。应用程序(包含工厂测试程序)只有通过厂商固件级的签名才可以运行，保证在该生产态下，任何非厂商授权的应用程序均不能运行。可以验证OS(操作系统)的签名。厂商根密钥签名的程序可以运行。

出厂态(L1)：该状态是默认的出厂状态，终端具备的特性基本等同于使用传统的终端特性。终端特性：由L0状态的终端通过授权操作进入L1状态。L1状态不能回退至L0状态。安全开关均处于打开状态，受到攻击POS终端会被触发。通过输入固定密码解除触发状态。更改序列号需要授权。可以通过授权设置终端为调试态。终端触发，可以在屏幕上显示触发信息。终端触发修复后，不影响该状态值。厂商根密钥签名的程序可以运行。

安全态(L2)：该状态为目前定义的最高级别设备状态。终端特性：L2状态的终端可以通过恢复出厂态回退到L1状态，SN(序列号)写入次数清零。终端触发，经过维修后，需要授权才能解除触发状态。更改序列号需要授权。可以通过授权设置终端为调试态。终端触发，可以在屏幕上显示触发信息。终端触发修复后，不影响该状态值。厂商根密钥签名的程序可以运行。

锁定态：指的是终端下载客户PUK(个人标识解锁码)后，该类终端只能下载该客户PUK签名的应用，如果要更换PUK，也只能由客户签发PUK。简单来说，就是终端的控制权实际上掌握在用户手中，其它用户无法改变应用程序的归属设置。终端特性：只跟是否含有客户公钥有关，跟终端是否处于L0状态、L1状态、L2状态无关。安全开关均处于打开状态，受到攻击POS终端会被触发，触发后需要具授权机清除触发，清除后继续处于锁定态。处于任何状态下的机器均可以进入锁定态。采用客户公钥验证应用签名。厂商根密钥签名的程序可以运行。

应用调试态：该状态主要是提供给应用开发人员使用，满足需要频发下发应用到终端调试的场景需求。终端特性：只有处于出厂态的机器才允许进入该状态。安全开关均处于打开状态，受到攻击机器会被触发，清除后应用调试态丢失，需要重新授权才能进入应用调试态。不验证应用签名，可用于应用开发调试。允许下载客户公钥到机器中，一旦下载客户公钥自动撤销应用调试态并进入锁定态。

固件调试态：该状态主要是提供给固件开发人员使用，满足需要频发下发固件到终端调试的场景需求。终端特性：只有处于出厂态的机器才允许进入该状态。安全开关均处于打开状态，受到攻击机器会被触发，清除后固件调试态丢失，需要重新授权才能进入固件调试态。不验证除boot外的固件签名，可用于固件开发调试。允许下载客户公钥到机器中，一旦下载客户公钥自动进入锁定态(不再具备调试态的功能)。

触发态：指设备收到攻击或维修需要，终端的安全电路发生作用，终端的密钥等敏感数据自动删除。终端特性：终端内部的敏感信息自动删除。屏幕提示触发信息。所有的应用程序均不能运行。厂商根密钥签名的固件或程序可以运行，方便运行检测程序诊断问题。需要密码(触发前是L1)或授权(触发前是L2)才能解除触发。在解除触发状态之前，终端不能正常使用。

在POS终端中可以定义一些变量来记录终端的状态，请参阅下表所示：

变量	Bit位数	存储区域	说明
				SecMode	16	OTP	记录终端状态L0/L1/L2
SecLevel	16	OTP	记录固件安全等级
				AppDebug	1	BBRAM	记录终端应用调试的状态值
FirmDebug	1	BBRAM	记录终端固件调试的状态值
				TmaperClear	2	BBRAM	记录是否解除触发
AuthDownSN	1	BBRAM	记录是否允许下载SN

OTP(One Time Programmable，是MCU的一种存储器类型,意思是一次性可编程：程序烧入IC后，将不可再次更改)区域数据初始值为0x00，只能从0写成1，不能从1写为0，掉电数据不会消失。BBRAM(Battery Backup Random Access Memory，电池备份区，具体到POS终端，是由触发电路保护的一个区域，终端一旦受到攻击，该区域的内容将自动擦除，因此常用于保存交易密钥等敏感数据)类似于SDRAM，数据可以被任意改写，采用电池供电，POS终端触发后数据会被清除。OTP区只有终端固件可以访问，任何人无法通过任何手段进行读写或改写。因此能够保证足够的安全性。

具体地，当POS终端发送第一特征信息给授权工具后，即循环等待接收授权信息，如果接收到该授权信息，且该授权信息有效，则执行授权，并启动操作系统，如果等待超时，则直接启动操作系统，另外如果授权信息无效，则继续循环等待接收授权信息。

在本实施例中，首先通过POS终端中存储的可以唯一表征该POS终端的权限特征码来表征该POS终端，通过生成一随机数来唯一地表征POS终端该次切换状态的操作，这样通过该随机数和权限特征码可以唯一地表征POS终端该次切换状态的操作，从而计时该特征信息被非法份子获取，由于POS终端每次切换状态操作的特征信息均不相同，非法份子也无法对POS终端进行状态切换，从而保证了POS终端的安全性。

请参阅图5，图5为一实施例中校验步骤的流程图，该校验步骤在图2所示实施例中步骤S208之后，即接收授权工具返回的由授权机根据第一特征信息和授权数据生成的授权信息的步骤之后，还可以包括：

S502：对授权信息进行分离以获取原文和数字签名。

具体地，授权机在接收到授权服务器发送的第一特征信息和授权数据时，会对该第一特征信息和授权数据进行加密，为了方便描述，将第一特征信息和授权数据称为原文，该加密过程的RSA密钥采用2048bits密钥，授权机首先对原文进行单向散列(HSAH)运算，以得到消息摘要A，再通过已存储的私钥对该消息摘要A进行签名得到数字签名A，将数字签名A和原文作为授权信息依次发送给授权服务器、授权工具以及POS终端。因此POS终端在获得该授权信息后，首先需要对该授权信息进行分离，以获得数字签名和原文。

S504：通过授权公钥对数字签名进行解密以获得第一摘要。

由于POS终端中存储有与上述私钥对应的公钥，所以在获得数字签名之后再通过该授权公钥对该数字签名进行解密运算即可得到相应的第一摘要。

S506：对原文进行单向散列运算以获得第二摘要。

S508：当第一摘要和第二摘要相等时，则继续当授权信息校验成功时，则保存授权信息后，向授权工具发送授权成功的结果的步骤。

当上文中所计算的第一摘要和第二摘要相等时，则可以认为授权信息在传输过程中未被篡改，因此授权成功。

S510：当第一摘要和第二摘要不相等时，则输出授权失败的信息。

上述实施例中，通过比较第一摘要和第二摘要即可以判断出授权信息是否合法，从而保证了POS终端所接收到的授权信息的合法性，为后续POS终端的合法的授权工作奠定基础。

请参阅图6，图6为另一实施例中POS终端控制方法的流程图，该方法应用于图1所示的授权服务器中，该方法可以包括：

S602：接收授权工具发送的从POS终端获取的第一特征信息。

具体地，如上文所述，当授权工具要对POS终端的状态进行切换时，首先会向POS终端申请第一特征信息，并将该第一特征信息发送给授权服务器。

S604：对第一特征信息进行校验。

授权服务器在接收到该第一特征信息后，首先要对该第一特征信息进行校验，以确保该第一特征信息的有效性，例如可以校验该第一特征信息中的序列号是否是授权服务器所管理的POS终端的序列号，如果是，则可以继续校验随机数与上一次该POS终端所发送的第一特征信息中的随机数是否相同等，以确保该第一特征信息的合法性。

S606：当第一特征信息校验成功时，则将第一特征信息和授权数据发送至授权机以进行加密。

当第一特征信息校验成功时，该授权服务器可以对相应的POS终端进行授权，例如可以形成授权类型、安全等级等，并将该些授权数据和第一特征信息一起发送至授权机进行加密处理，从而可以保证传输过程中授权信息不被篡改。

S608：接收授权机返回的对第一特征信息和授权数据加密形成的授权信息。

为了保护授权机中的授权私钥的合法性，授权机一般会被设置为不能联网，从而授权机中的授权私钥不会被篡改，但这样设置，授权机无法直接将授权信息发送给POS终端，因此授权机会首先将授权信息发送到与其物理连接的授权服务器中，由授权服务器将该授权信息发送到POS终端。

S610：将授权信息通过授权工具发送到POS终端，以使得POS终端进行状态切换。

上述实施例中，将授权机设置为未联网状态，从而可以保证授权私钥的有效性，另外，通过授权机对该授权数据和第一特征信息进行加密，保证了传输过程中授权信息的不可篡改性。

在其中一个实施例中，上述方法还可以包括：在授权工具的账户登录成功后，向授权工具发送验证码。该过程是为了提供双层保证，以确保授权工具的合法性。

从而当授权工具向授权服务器发送从POS终端所获取的第一特征信息时，授权工具同时要将该验证法发送给授权服务器，从而该方法还包括接收授权工具发送的验证码。

进而步骤S604即对特征信息进行校验的步骤之前还可以包括：将验证码与所保存的验证码相比较；当验证码与所保存的验证码相等时，则对特征信息进行校验；当验证码与所保存的验证码不相等时，则向授权工具发送授权失败的信息。

即为了保证只有在授权服务器登录过的授权工具才可以对POS终端进行授权的操作，因此授权服务器在接收到第一特征信息和验证码之后，首先将该验证码与已存储的验证码进行比较，当相等时，则认为该授权工具使合法的，否则，认为该授权工具不合法，从而不会进行授权操作。

上述实施例中，不仅通过登录账号和密码对授权工具的合法性进行验证，还通过一验证码再次验证该授权工具的合法性，从而即使登录账号和密码被篡改，由于非法份子在另外的非授权的工具上进行登录，其也不能获得相应的验证码，从而防止POS终端被非法篡改，通过登录账号和验证码的双层保证机制，进一步提高了该POS终端的安全性。

请参阅图7，图7为一实施例中POS终端控制装置的示意图，该装置可以包括：

第一接收模块101，用于接收授权工具发送的请求特征信息的指令，接收授权工具返回的由授权机根据第一特征信息生成的授权信息，以及接收授权工具的状态切换指令。

特征信息生成模块102，用于根据指令生成第一特征信息。

提取模块103，用于在授权信息校验成功时，则提取授权信息中的第二特征信息。

第一发送模块104，用于向授权工具返回第一特征信息，以及在第二特征信息与第一特征信息相同时，则保存授权信息后，向授权工具发送授权成功的结果。

状态切换模块105，用于根据状态切换指令切换当前状态。

在其中一个实施例中，特征信息生成模块102包括：随机数生成单元，用于根据指令生成随机数。特征信息生成单元，用于根据随机数和已存储的权限特征码生成特征信息。

该装置还可以包括：判断模块，用于判断第二特征信息中的随机数与第一特征信息中的随机数是否相同；且当第二特征信息中的随机数与第一特征信息中的随机数相同时，则继续判断第二特征信息中的权限特征码与第一特征信息中的权限特征码是否相同；当第二特征信息中的权限特征码与第一特征信息中的权限特征码相同时，则返回第二特征信息与第一特征信息相同的结果；当第二特征信息中的随机数与第一特征信息中的随机数不相同时，或者当第二特征信息中的权限特征码与第一特征信息中的权限特征码不相同时，则返回第二特征信息与第一特征信息不相同的结果。

在其中一个实施例中，该装置还可以包括：分离模块，用于对授权信息进行分离以获取原文和数字签名。解密模块，用于通过授权公钥对数字签名进行解密以获得第一摘要。散列运算模块，用于对原文进行单向散列运算以获得第二摘要。第一发送模块104还用于当第一摘要和第二摘要相等时，则继续当授权信息校验成功时，则保存授权信息后，向授权工具发送授权成功的结果；当第一摘要和第二摘要不相等时，则输出授权失败的信息。

请参阅图8，图8为另一实施例中POS终端控制装置的示意图，该装置可以包括：

第二接收模块201，用于接收授权工具发送的从POS终端获取的第一特征信息。

校验模块202，用于对第一特征信息进行校验。

第二发送模块203，用于当第一特征信息校验成功时，则将第一特征信息和授权数据发送至授权机以进行加密。

第二接收模块201还用于接收授权机返回的对第一特征信息和授权数据加密形成的授权信息。

第二发送模块203还用于将授权信息通过授权工具发送到POS终端，以使得POS终端进行状态切换。

在其中一个实施例中，第二发送模块203还用于在授权工具的账户登录成功后，向授权工具发送验证码。第二接收模块201还用于接收授权工具发送的验证码。

该装置还可以包括：比较模块，用于将验证码与所保存的验证码相比较。校验模块202还用于当验证码与所保存的验证码相等时，则对特征信息进行校验。第二发送模块203还用于当验证码与所保存的验证码不相等时，则向授权工具发送授权失败的信息。

以上所述实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种POS终端控制方法，其特征在于，所述方法包括：

接收授权工具发送的请求特征信息的指令；

根据所述指令生成表征当前POS终端本次切换状态操作的第一特征信息，且每一次接收到所述指令时均重新生成新的第一特征信息；

向所述授权工具返回第一特征信息；

接收所述授权工具返回的由授权机根据所述第一特征信息和授权数据生成的授权信息；其中，所述授权工具首先向授权服务器发送授权类型、安全级别、第一特征信息和验证码，授权服务器确定是何种授权，并将验证码与所保存的验证码相比较；当验证码与所保存的验证码相等时，则对第一特征信息进行校验，在校验成功后，授权服务器将生成与授权类型对应的授权数据，并将授权数据和第一特征信息发送至授权机，以使得所述授权机根据所述第一特征信息和授权数据生成的授权信息，即所述授权机通过已存储的私钥对所述第一特征信息和授权数据进行加密形成所述授权信息，并将所述授权信息返回至所述授权服务器，所述授权服务器存储所述授权信息后，将所述授权信息返回至所述授权工具；所述验证码是在所述授权工具的账户成功登录授权服务器后，授权服务器发送至所述授权工具的；

当所述授权信息校验成功时，则提取所述授权信息中的第二特征信息；

当所述第二特征信息与所述第一特征信息相同时，则保存所述授权信息后，向所述授权工具发送授权成功的结果；

接收所述授权工具的状态切换指令，并根据所述状态切换指令切换当前状态。

2.根据权利要求1所述的方法，其特征在于，所述根据所述指令生成第一特征信息的步骤，包括：

根据所述指令生成随机数；

根据所述随机数和已存储的权限特征码生成特征信息；

所述提取所述授权信息中的第二特征信息的步骤之后，包括：

判断所述第二特征信息中的随机数与所述第一特征信息中的随机数是否相同；

当所述第二特征信息中的随机数与所述第一特征信息中的随机数相同时，则继续判断所述第二特征信息中的权限特征码与所述第一特征信息中的权限特征码是否相同；

当所述第二特征信息中的权限特征码与所述第一特征信息中的权限特征码相同时，则返回所述第二特征信息与所述第一特征信息相同的结果；

当所述第二特征信息中的随机数与所述第一特征信息中的随机数不相同时，或者当所述第二特征信息中的权限特征码与所述第一特征信息中的权限特征码不相同时，则返回所述第二特征信息与所述第一特征信息不相同的结果。

3.根据权利要求1或2所述的方法，其特征在于，所述接收所述授权工具返回的由授权机根据所述第一特征信息和授权数据生成的授权信息的步骤之后，还包括：

对所述授权信息进行分离以获取原文和数字签名；

通过授权公钥对所述数字签名进行解密以获得第一摘要；

对所述原文进行单向散列运算以获得第二摘要；

当所述第一摘要和所述第二摘要相等时，则继续当所述授权信息校验成功时，则保存所述授权信息后，向所述授权工具发送授权成功的结果的步骤；

当所述第一摘要和所述第二摘要不相等时，则输出授权失败的信息。

4.一种POS终端控制方法，其特征在于，包括：

接收授权工具发送的从POS终端获取的表征当前POS终端本次切换状态操作的第一特征信息，所述第一特征信息是所述POS终端每一次接收到请求特征信息的指令时均重新生成新的第一特征信息；所述授权工具首先向授权服务器发送授权类型、安全级别、第一特征信息和验证码，授权服务器确定是何种授权，并将验证码与所保存的验证码相比较；所述验证码是在所述授权工具的账户成功登录授权服务器后，授权服务器发送至所述授权工具的；当验证码与所保存的验证码相等时，则对所述第一特征信息进行校验；

当所述第一特征信息校验成功时，则生成与授权类型对应的授权数据，将所述第一特征信息和授权数据发送至授权机以进行加密；

接收所述授权机返回的对所述第一特征信息和所述授权数据加密形成的授权信息，即所述授权机通过已存储的私钥对所述第一特征信息和授权数据进行加密形成所述授权信息，并将所述授权信息返回至所述授权服务器，所述授权服务器存储所述授权信息后，将所述授权信息返回至所述授权工具；

将所述授权信息通过所述授权工具发送到所述POS终端，以使得所述POS终端进行状态切换。

5.根据权利要求4所述的方法，其特征在于，所述方法还包括：

在所述授权工具的账户登录成功后，向所述授权工具发送验证码；

所述方法还包括：

接收所述授权工具发送的验证码；

所述对所述第一特征信息进行校验的步骤之前还包括：

将所述验证码与所保存的验证码相比较；

当所述验证码与所保存的验证码相等时，则对所述第一特征信息进行校验；

当所述验证码与所保存的验证码不相等时，则向所述授权工具发送授权失败的信息。

6.一种POS终端控制装置，其特征在于，所述装置包括：

第一接收模块，用于接收授权工具发送的请求特征信息的指令，接收所述授权工具返回的由授权机根据第一特征信息生成的授权信息，以及接收所述授权工具的状态切换指令；

特征信息生成模块，用于根据所述指令生成表征当前POS终端本次切换状态操作的第一特征信息，且每一次接收到所述指令时均重新生成新的第一特征信息；其中，所述授权工具首先向授权服务器发送授权类型、安全级别、第一特征信息和验证码，授权服务器确定是何种授权，并将验证码与所保存的验证码相比较；当验证码与所保存的验证码相等时，则对第一特征信息进行校验，在校验成功后，授权服务器将生成与授权类型对应的授权数据，并将授权数据和第一特征信息发送至授权机，以使得所述授权机根据所述第一特征信息和授权数据生成的授权信息，即所述授权机通过已存储的私钥对所述第一特征信息和授权数据进行加密形成所述授权信息，并将所述授权信息返回至所述授权服务器，所述授权服务器存储所述授权信息后，将所述授权信息返回至所述授权工具；所述验证码是在所述授权工具的账户成功登录授权服务器后，授权服务器发送至所述授权工具的；

提取模块，用于在所述授权信息校验成功时，则提取所述授权信息中的第二特征信息；

第一发送模块，用于向所述授权工具返回第一特征信息，以及在所述第二特征信息与所述第一特征信息相同时，则保存所述授权信息后，向所述授权工具发送授权成功的结果；

状态切换模块，用于根据所述状态切换指令切换当前状态。

7.根据权利要求6所述的装置，其特征在于，所述特征信息生成模块包括：

随机数生成单元，用于根据所述指令生成随机数；

特征信息生成单元，用于根据所述随机数和已存储的权限特征码生成特征信息；

所述装置还包括：

判断模块，用于判断所述第二特征信息中的随机数与所述第一特征信息中的随机数是否相同；且当所述第二特征信息中的随机数与所述第一特征信息中的随机数相同时，则继续判断所述第二特征信息中的权限特征码与所述第一特征信息中的权限特征码是否相同；当所述第二特征信息中的权限特征码与所述第一特征信息中的权限特征码相同时，则返回所述第二特征信息与所述第一特征信息相同的结果；当所述第二特征信息中的随机数与所述第一特征信息中的随机数不相同时，或者当所述第二特征信息中的权限特征码与所述第一特征信息中的权限特征码不相同时，则返回所述第二特征信息与所述第一特征信息不相同的结果。

8.根据权利要求6或7所述的装置，其特征在于，所述装置还包括：

分离模块，用于对所述授权信息进行分离以获取原文和数字签名；

解密模块，用于通过授权公钥对所述数字签名进行解密以获得第一摘要；

散列运算模块，用于对所述原文进行单向散列运算以获得第二摘要；

所述第一发送模块还用于当所述第一摘要和所述第二摘要相等时，则继续当所述授权信息校验成功时，则保存所述授权信息后，向所述授权工具发送授权成功的结果；当所述第一摘要和所述第二摘要不相等时，则输出授权失败的信息。

9.一种POS终端控制装置，其特征在于，所述装置包括：

第二接收模块，用于接收授权工具发送的从POS终端获取的表征当前POS终端本次切换状态操作的第一特征信息，所述第一特征信息是所述POS终端每一次接收到请求特征信息的指令时均重新生成新的第一特征信息；所述授权工具首先向授权服务器发送授权类型、安全级别、第一特征信息和验证码，授权服务器确定是何种授权，并将验证码与所保存的验证码相比较；所述验证码是在所述授权工具的账户成功登录授权服务器后，授权服务器发送至所述授权工具的；

校验模块，用于当验证码与所保存的验证码相等时，则对所述第一特征信息进行校验；

第二发送模块，用于当所述第一特征信息校验成功时，则生成与授权类型对应的授权数据，将所述第一特征信息和授权数据发送至授权机以进行加密；

所述第二接收模块还用于接收所述授权机返回的对所述第一特征信息和所述授权数据加密形成的授权信息，即所述授权机通过已存储的私钥对所述第一特征信息和授权数据进行加密形成所述授权信息，并将所述授权信息返回至所述授权服务器，所述授权服务器存储所述授权信息后，将所述授权信息返回至所述授权工具；

所述第二发送模块还用于将所述授权信息通过所述授权工具发送到所述POS终端，以使得所述POS终端进行状态切换。

10.根据权利要求9所述的装置，其特征在于，所述第二发送模块还用于在所述授权工具的账户登录成功后，向所述授权工具发送验证码；

所述第二接收模块还用于接收所述授权工具发送的验证码；

所述装置还包括：

比较模块，用于将所述验证码与所保存的验证码相比较；

所述校验模块还用于当所述验证码与所保存的验证码相等时，则对所述第一特征信息进行校验；

所述第二发送模块还用于当所述验证码与所保存的验证码不相等时，则向所述授权工具发送授权失败的信息。

Images