CN108809925B - Pos设备数据加密传输方法、终端设备及存储介质 - Google Patents

Pos设备数据加密传输方法、终端设备及存储介质 Download PDF

Info

Publication number
CN108809925B
CN108809925B CN201711030637.5A CN201711030637A CN108809925B CN 108809925 B CN108809925 B CN 108809925B CN 201711030637 A CN201711030637 A CN 201711030637A CN 108809925 B CN108809925 B CN 108809925B
Authority
CN
China
Prior art keywords
certificate
data
key
encryption
rsa asymmetric
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201711030637.5A
Other languages
English (en)
Other versions
CN108809925A (zh
Inventor
刘颖麒
秦保安
尹志鹏
郑金华
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shenzhen Yeahka Technology Co ltd
Original Assignee
Shenzhen Yeahka Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shenzhen Yeahka Technology Co ltd filed Critical Shenzhen Yeahka Technology Co ltd
Priority to CN201711030637.5A priority Critical patent/CN108809925B/zh
Publication of CN108809925A publication Critical patent/CN108809925A/zh
Application granted granted Critical
Publication of CN108809925B publication Critical patent/CN108809925B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • G—PHYSICS
    • G07—CHECKING-DEVICES
    • G07G—REGISTERING THE RECEIPT OF CASH, VALUABLES, OR TOKENS
    • G07G1/00—Cash registers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates

Abstract

本发明公开了一种POS设备数据加密传输方法、终端设备及存储介质，本发明通过POS设备获取RSA非对称密钥，所述RSA非对称密钥包括RSA非对称公钥和RSA非对称私钥，根据所述RSA非对称公钥、所述RSA非对称私钥和预设格式生成数据传输加密证书，根据所述数据传输加密证书对待加密数据进行加密生成加密数据，对所述加密数据进行保存，POS设备中包含所述RSA非对称私钥，掉电即丢失，密钥不存在泄密的风险，无需对整机做防拆机和防窃听功能处理，能够有效降低了数据泄密的风险，减少了结构设计的难度和设计成本，提高了生产效率。

Description

POS设备数据加密传输方法、终端设备及存储介质
技术领域
本发明涉及POS信息加密安全领域，尤其涉及一种POS设备数据加密传输方法、终端设备及存储介质。
背景技术
随着信息和智能设备的发展，各种功能的销售终端(point of sale，POS)支付设备越来越受到商户青睐，POS设备是一种多功能终端设备，把它安装在信用卡的特约商户和受理网点中与计算机联成网络，就能实现电子资金自动转帐，它具有支持消费、预授权、余额查询和转帐等功能，使用起来安全、快捷、可靠；现有技术中目前市面上的POS设备由于刷卡支付安全要求，一般都是把设备的所有电路板和元器件封装到一个完整的外观结构中，然后对整机的外观结构做防拆机防窃听设计，如果有人要恶意监听和窃取刷卡数据，则需要破坏整机外观，当POS设备检测到结构触发之后，POS设备清除重要密钥信息，并通过软件提示设备支付环境安全问题，同时POS设备内部模块间的连接则较少做安全处理，这样的设计方案对于较大型和需要模块化设计，如个人识别密码(Personal IdentificationNumber，PIN)密码键盘和POS设备的安全模块分离的POS设备，很难设计好一个非常复杂又安全的结构防拆、防窃听方案，另一方面，针对PIN密码键盘和刷卡加密模块分离的设备，为了在密码键盘处理单元模块和POS设备的安全芯片间安全的传输PIN信息，按传统的POS设备系统，需要分别在密码键盘处理单元模块和POS设备的安全芯片的安全区域分别保存PIN传输密钥，并保证两个模块一一对应，但是这种设计增加了生产的复杂度和硬件制造成本。且在现有技术中针对较大型智能POS设备，对整个终端设备做防拆机、防窃听设计存在密码键盘模块和POS模块两边模块密钥下载不匹配，生产流程复杂的问题。
发明内容
本发明的主要目的在于一种POS设备数据加密传输方法、终端设备及存储介质，旨在解决现有技术中针对较大型智能POS设备，对整个终端设备做防拆机、防窃听设计存在密码键盘模块和POS模块两边模块密钥下载不匹配，生产流程复杂的技术问题。
为实现上述目的，本发明提供一种POS设备数据加密传输方法，所述POS设备数据加密传输方法包括以下步骤：
POS设备获取RSA非对称密钥，所述RSA非对称密钥包括RSA非对称公钥和RSA非对称私钥；
根据所述RSA非对称公钥、所述RSA非对称私钥和预设格式生成数据传输加密证书；
根据所述数据传输加密证书对待加密数据进行加密生成加密数据，对所述加密数据进行保存。
优选地，所述POS设备获取RSA非对称密钥，所述RSA非对称密钥包括RSA非对称公钥和RSA非对称私钥，具体包括：
所述POS设备实时监测安全芯片的当前工作状态，所述安全芯片为所述POS设备的数据处理芯片；
当所述当前工作状态为开启状态时，触发密钥生成指令；
根据预设密钥证书和所述密钥生成指令获取所述RSA非对称密钥。
优选地，所述根据预设密钥证书和所述密钥生成指令获取所述RSA非对称密钥之前，所述POS设备数据加密传输方法还包括：
接收预设验签证书公钥和预设验签证书私钥；
将所述预设验签证书公钥进行固化，根据固化后的预设验签证书公钥和所述预设验签证书私钥生成所述预设密钥证书。
优选地，所述根据所述RSA非对称公钥、所述RSA非对称私钥和预设格式生成数据传输加密证书，具体包括：
根据所述预设格式和所述RSA非对称公钥生成符合所述预设格式的目标证书；
根据所述RSA非对称私钥对所述目标证书进行签名，将签名后的所述目标证书作为所述数据传输加密证书。
优选地，所述根据所述数据传输加密证书对待加密数据进行加密生成加密数据，对所述加密数据进行保存之前，所述POS设备数据加密传输方法还包括：
对所述数据传输加密证书进行验证，并生成验证结果；
当所述验证结果为验证通过时，运行所述数据传输加密证书进行加密操作。
优选地，所述对所述数据传输加密证书进行验证，并生成验证结果，具体包括：
根据所述预设密钥证书对所述数据传输加密证书进行拆封；
验证拆封后的所述数据传输加密证书是否合法，并生成所述验证结果。
优选地，所述根据所述数据传输加密证书对待加密数据进行加密生成加密数据，对所述加密数据进行保存之后，所述POS设备数据加密传输方法还包括：
在接收到支付指令后，根据所述RSA非对称私钥对所述加密数据进行解密。
优选地，所述在接收到支付指令后，根据所述RSA非对称私钥对所述加密数据进行解密之后，所述POS设备数据加密传输方法还包括：
获取所述数据传输加密证书对应的第一证书序列号，和解密后的所述加密数据对应的第二证书序列号；
将所述第一证书序列号与所述第二证书序列号进行比对，并生成比对结果；
若所述比对结果为一致，则判定所述加密数据有效。
此外，为实现上述目的，本发明还提出一种终端设备，所述终端设备包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的POS设备数据加密传输程序，所述POS设备数据加密传输程序配置为实现如上文所述的POS设备数据加密传输方法的步骤。
此外，为实现上述目的，本发明还提出一种存储介质，所述存储介质上存储有POS设备数据加密传输程序，所述POS设备数据加密传输程序被处理器执行时实现如上文所述的POS设备数据加密传输方法的步骤。
本发明提出的POS设备数据加密传输方法，通过POS设备获取RSA非对称密钥，所述RSA非对称密钥包括RSA非对称公钥和RSA非对称私钥，根据所述RSA非对称公钥、所述RSA非对称私钥和预设格式生成数据传输加密证书，根据所述数据传输加密证书对待加密数据进行加密生成加密数据，对所述加密数据进行保存，POS设备中包含所述RSA非对称私钥，掉电即丢失，密钥不存在泄密的风险，无需对整机做防拆机和防窃听功能处理，能够有效降低了数据泄密的风险，减少了结构设计的难度和设计成本，提高了生产效率。
附图说明
图1为本发明实施例方案涉及的硬件运行环境的终端设备结构示意图；
图2为本发明POS设备数据加密传输方法第一实施例的流程示意图；
图3为本发明POS设备数据加密传输方法第二实施例的流程示意图。
本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。
具体实施方式
应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
本发明实施例的解决方案主要是：通过POS设备获取RSA非对称密钥，所述RSA非对称密钥包括RSA非对称公钥和RSA非对称私钥，根据所述RSA非对称公钥、所述RSA非对称私钥和预设格式生成数据传输加密证书，根据所述数据传输加密证书对待加密数据进行加密生成加密数据，对所述加密数据进行保存，POS设备中包含所述RSA非对称私钥，掉电即丢失，密钥不存在泄密的风险，无需对整机做防拆机和防窃听功能处理，能够有效降低了数据泄密的风险，减少了结构设计的难度和设计成本，提高了生产效率，解决了现有技术中针对较大型智能POS设备，对整个终端设备做防拆机、防窃听设计存在密码键盘模块和POS模块两边模块密钥下载不匹配，生产流程复杂的技术问题。
参照图1，图1为本发明实施例方案涉及的硬件运行环境的终端设备结构示意图。
如图1所示，该终端设备可以包括：处理器1001，例如CPU，通信总线1002、用户端接口1003，网络接口1004，存储器1005。其中，通信总线1002用于实现这些组件之间的连接通信。用户端接口1003可以包括显示屏(Display)、输入单元比如键盘(Keyboard)，可选用户端接口1003还可以包括标准的有线接口、无线接口。网络接口1004可选的可以包括标准的有线接口、无线接口(如WI-FI接口)。存储器1005可以是高速RAM存储器，也可以是稳定的存储器(non-volatile memory)，例如磁盘存储器。存储器1005可选的还可以是独立于前述处理器1001的存储装置。
所述终端设备也可以包括安全芯片处理模块、设备主控模块和密码输入模块。所述安全芯片处理模块、所述设备主控模块和所述密码输入模块可以分别实现以下功能：
所述安全芯片处理模块，可以支持数据加密保存，可以支持硬件或者软件算法生成不少于512位RSA非对称密钥及证书，支持对x509.v3证书签名，及数据加解密。
所述设备主控模块：所述设备主控可以运行POS设备智能操作系统，支持友好的人机交互输入输出功能，能运行刷卡收款交互应用程序，支持x509.v3证书拆封验签。
密码输入模块：支持密码安全输入并用x509.v3证书加密，并有对x509.v3证书拆封验签能力。
本领域技术人员可以理解，图1中示出的终端设备结构并不构成对该终端设备的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。
如图1所示，作为一种计算机存储介质的存储器1005中可以包括操作系统、网络通信模块、用户端接口模块、安全芯片处理模块、设备主控模块、密码输入模块以及POS设备数据加密传输程序。
本发明服务器通过处理器1001调用存储器1005中存储的POS设备数据加密传输程序，并执行以下操作：
POS设备获取RSA非对称密钥，所述RSA非对称密钥包括RSA非对称公钥和RSA非对称私钥；
根据所述RSA非对称公钥、所述RSA非对称私钥和预设格式生成数据传输加密证书；
根据所述数据传输加密证书对待加密数据进行加密生成加密数据，对所述加密数据进行保存。
进一步地，处理器1001可以调用存储器1005中存储的POS设备数据加密传输程序，还执行以下操作：
所述POS设备实时监测安全芯片的当前工作状态，所述安全芯片为所述POS设备的数据处理芯片；
当所述当前工作状态为开启状态时，触发密钥生成指令；
根据预设密钥证书和所述密钥生成指令获取所述RSA非对称密钥。
进一步地，处理器1001可以调用存储器1005中存储的POS设备数据加密传输程序，还执行以下操作：
接收预设验签证书公钥和预设验签证书私钥；
将所述预设验签证书公钥进行固化，根据固化后的预设验签证书公钥和所述预设验签证书私钥生成所述预设密钥证书。
进一步地，处理器1001可以调用存储器1005中存储的POS设备数据加密传输程序，还执行以下操作：
根据所述预设格式和所述RSA非对称公钥生成符合所述预设格式的目标证书；
根据所述RSA非对称私钥对所述目标证书进行签名，将签名后的所述目标证书作为所述数据传输加密证书。
进一步地，处理器1001可以调用存储器1005中存储的POS设备数据加密传输程序，还执行以下操作：
对所述数据传输加密证书进行验证，并生成验证结果；
当所述验证结果为验证通过时，运行所述数据传输加密证书进行加密操作。
进一步地，处理器1001可以调用存储器1005中存储的POS设备数据加密传输程序，还执行以下操作：
根据所述预设密钥证书对所述数据传输加密证书进行拆封；
验证拆封后的所述数据传输加密证书是否合法，并生成所述验证结果。
进一步地，处理器1001可以调用存储器1005中存储的POS设备数据加密传输程序，还执行以下操作：
在接收到支付指令后，根据所述RSA非对称私钥对所述加密数据进行解密。
进一步地，处理器1001可以调用存储器1005中存储的POS设备数据加密传输程序，还执行以下操作：
获取所述数据传输加密证书对应的第一证书序列号，和解密后的所述加密数据对应的第二证书序列号；
将所述第一证书序列号与所述第二证书序列号进行比对，并生成比对结果；
若所述比对结果为一致，则判定所述加密数据有效。
本实施例通过上述方案，通过POS设备获取RSA非对称密钥，所述RSA非对称密钥包括RSA非对称公钥和RSA非对称私钥，根据所述RSA非对称公钥、所述RSA非对称私钥和预设格式生成数据传输加密证书，根据所述数据传输加密证书对待加密数据进行加密生成加密数据，对所述加密数据进行保存，POS设备中包含所述RSA非对称私钥，掉电即丢失，密钥不存在泄密的风险，无需对整机做防拆机和防窃听功能处理，能够有效降低了数据泄密的风险，减少了结构设计的难度和设计成本，提高了生产效率。
基于上述硬件结构，提出本发明POS设备数据加密传输方法实施例。
参照图2，图2为本发明POS设备数据加密传输方法第一实施例的流程示意图。
在第一实施例中，所述POS设备数据加密传输方法包括以下步骤：
步骤S10、POS设备获取RSA非对称密钥，所述RSA非对称密钥包括RSA非对称公钥和RSA非对称私钥；
需要说明的是，销售终端(point of sale，POS)设备是一种多功能终端设备，把它安装在信用卡的特约商户和受理网点中与计算机联成网络，就能实现电子资金自动转帐，它具有支持消费、预授权、余额查询和转帐等功能，使用起来安全、快捷、可靠；RSA加密算法(RSA algorithm)RSA是目前最有影响力和最常用的公钥加密算法，它能够抵抗到目前为止已知的绝大多数密码攻击，已被国际标准化组织(International Organization forStandardization，ISO)推荐为公钥数据加密标准，所述RSA非对称密钥即为基于RSA加密算法的非对称密钥，所述RSA非对称密钥包括RSA非对称公钥和RSA非对称私钥。
可以理解的是，所述RSA非对称密钥可以是在所述POS设备中默认存在的密钥，也可以是通过调取特定的存储区域中的存储单元，获取所述RSA非对称密钥，当然还可以是通过其他方式获取所述RSA非对称密钥，本实施例对此不加以限制。
相应地，所述步骤S10具体包括以下步骤：
所述POS设备实时监测安全芯片的当前工作状态，所述安全芯片为所述POS设备的数据处理芯片；
当所述当前工作状态为开启状态时，触发密钥生成指令；
根据预设密钥证书和所述密钥生成指令获取所述RSA非对称密钥。
需要说明的是，所述安全芯片为所述POS设备的数据处理芯片，用于生成所述RSA非对称密钥，所述当前工作状态即为所述安全芯片当前所处的工作状态，所述当前工作状态包括开启状态和关闭状态，当所述安全芯片的当前工作状态为开启状态时，触发密钥生成指令，当然还可以是监测所述安全芯片的其他状态来触发所述密钥生成指令，本实施例对此不加以限制。
可以理解的是，根据预设密钥证书和所述密钥生成指令获取所述RSA非对称密钥，通过所述密钥生成指令能够进行生成操作，将所述预设密钥证书生成为所述RSA非对称密钥，所述预设密钥证书为预先设定的密钥证书，可以是技术人员在所述POS设备出厂时自行写入的密钥证书，也可以是根据特定使用对象定制的密钥证书，当然还可以是通过其他方式预先设定的密钥证书，本实施例对此不加以限制。
在具体实现中，所述安全芯片可以支持硬件支持硬件或者软件算法生成不少于512位RSA非对称密钥及证书，并且支持对x509.v3证书签名，及数据加密保存和解密。
进一步地，所述根据预设密钥证书和所述密钥生成指令获取所述RSA非对称密钥之前，所述POS设备数据加密传输方法还包括：
接收预设验签证书公钥和预设验签证书私钥；
将所述预设验签证书公钥进行固化，根据固化后的预设验签证书公钥和所述预设验签证书私钥生成所述预设密钥证书。
应当理解的是，所述预设验签证书公钥和所述预设验签证书私钥都是所述POS设备出厂时自行写入的密钥证书，所述POS设备在出厂前，会在所述POS设备的各个模块下载并固化所述预设验签证书公钥，向所述POS设备的安全模块的安全区域下载所述预设验签证书私钥，将所述预设验签证书公钥进行固化，根据固化后的预设验签证书公钥和所述预设验签证书私钥生成所述预设密钥证书，即所述预设密钥证书包括所述预设验签证书公钥和所述预设验签证书私钥。
在具体实现中，所述POS设备在出厂前，在所述POS设备的设备主控模块和密码输入模块下载验签证书公钥ck.x509.crt，该证书一旦下载过后系统不允许该证书被修改，之后向POS设备的安全芯片处理模块的安全区域下载验签证书私钥ck.priv.pk8，以及收单行工作密钥等。
步骤S20、根据所述RSA非对称公钥、所述RSA非对称私钥和预设格式生成数据传输加密证书；
需要说明的是，根据所述RSA非对称公钥、所述RSA非对称私钥和预设格式生成数据传输加密证书，所述预设格式为预先设定的证书格式，可以是技术人员在所述POS设备出厂时预先设定的证书格式，也可以是根据特定使用对象定制的预先设定的证书格式，当然还可以是通过其他方式预先设定的证书格式，本实施例对此不加以限制。
相应地，所述步骤S20具体包括以下步骤：
根据所述预设格式和所述RSA非对称公钥生成符合所述预设格式的目标证书；
根据所述RSA非对称私钥对所述目标证书进行签名，将签名后的所述目标证书作为所述数据传输加密证书。
可以理解的是，所述RSA非对称私钥根据所述预设格式能够生成符合所述预设格式的目标证书，将所述目标证书根据所述RSA非对称私钥进行签名后可以生成所述数据传输加密证书。
在具体实现中，所述POS设备的安全芯片处理模块在能够在监测安全芯片的当前工作状态为开启状态时，触发密钥生成指令，根据预设密钥证书和所述密钥生成指令获取所述RSA非对称密钥，根据所述预设格式和所述RSA非对称公钥生成符合所述预设格式的目标证书，根据所述RSA非对称私钥对所述目标证书进行签名，将签名后的所述目标证书作为所述数据传输加密证书，使用RSA密钥生成算法，生成一组长度不少于512位的用于数据加密传输的RSA非对称密钥，将该RSA密钥对的公钥使用ANS1格式编码成x509.v3的证书tpk.x509.crt，该证书keyUsage位需支持数据加密以及密钥加密功能，使用验签证书私钥ck.priv.pk8对该证书签名，私钥tpk.priv.pk8则保存在内存中。
步骤S30、根据所述数据传输加密证书对待加密数据进行加密生成加密数据，对所述加密数据进行保存。
需要说明的是，所述待加密数据为准备加密的数据，根据所述数据传输加密证书可以对所述待加密数据进行加密生成所述加密数据，并保存所述加密数据，所述POS设备中的密码输入模块不需要不需要在生产的时候预置每台机器唯一的PIN传输密钥，直接使用收到的公钥证书进行加密，并将加密后的数据发送到POS设备中的安全芯片模块，同时，RSA私钥存储在POS安全芯片内存中，掉电即丢失，这样该密钥对不存在泄密的风险，同时，加密的数据在模块间传输的过程中即使RSA公钥证书以及加密后的PIN数据被窃听，窃听者也无法将其PIN解密出来。因此设备在设计时无需考对整机做防拆机、防窃听功能处理，只需对POS安全模块以及密码键盘处理单元做少量防窃听处理即可，这样不仅提高了生产的效率，也大大减少了结构设计的难度，使结构设计更专注于解决外观和易用的问题。
在具体实现中，所述POS设备中的设备主控模块读取数据传输加密证书，并分发到需要传输加密数据的模块，如PIN密钥输入单元，通过所述数据传输加密证书对待加密数据进行加密，并发送到所述POS设备中的安全芯片模块保存，所述POS设备中的设备主控模块通过指定协议与所述POS设备中的安全芯片模块请求获取得到tpk.x509.crt证书，然后将该证书发送到所述POS设备中的密码输入模块，所述POS设备中的密码输入模块收到该证书后，使用出厂预置的ck.x509.crt证书拆封验签该证书，签名验证通过后，响应所述POS设备中的设备主控模块，并保存该证书到内存中以备签名。
本实施例通过上述方案，通过POS设备获取RSA非对称密钥，所述RSA非对称密钥包括RSA非对称公钥和RSA非对称私钥，根据所述RSA非对称公钥、所述RSA非对称私钥和预设格式生成数据传输加密证书，根据所述数据传输加密证书对待加密数据进行加密生成加密数据，对所述加密数据进行保存，POS设备中包含所述RSA非对称私钥，掉电即丢失，密钥不存在泄密的风险，无需对整机做防拆机和防窃听功能处理，能够有效降低了数据泄密的风险，减少了结构设计的难度和设计成本，提高了生产效率。
进一步地，图3为本发明POS设备数据加密传输方法第二实施例的流程示意图，如图3所示，基于第一实施例提出本发明POS设备数据加密传输第二实施例，在本实施例中，所述步骤S30之前，所述POS设备数据加密传输方法还包括以下步骤：
步骤S301、对所述数据传输加密证书进行验证，并生成验证结果；
步骤S302、当所述验证结果为验证通过时，运行所述数据传输加密证书进行加密操作。
可以理解的是，通过对所述数据传输加密证书进行验证，并生成验证结果，当所述验证结果为验证通过时，运行所述数据传输加密证书进行加密操作，能够有效筛选出不符合证书要求的证书，避免不合格证书进行加密带来的不必要麻烦和损失，将符合证书要求的证书对所述数据传输加密证书进行加密能够提高数据的安全性和准确性。
进一步地，所述步骤S301具体包括以下步骤：
根据所述预设密钥证书对所述数据传输加密证书进行拆封；
验证拆封后的所述数据传输加密证书是否合法，并生成所述验证结果。
应当理解的是，所述POS设备中的设备主控模块能够根据所述预设密钥证书对所述数据传输加密证书进行拆封，从而验证所述数据传输加密证书是否合法，确认所述数据传输加密证书合法后，可进行后续重要数据加密操作，在接收到用户输入的重要数据后，按一定格式可以装配成源数据，然后使用数据传输加密证书对以上数据进行加密。
进一步地，所述步骤S30之后，所述POS设备数据加密传输方法还包括：
步骤S31、在接收到支付指令后，根据所述RSA非对称私钥对所述加密数据进行解密。
需要说明的是，所述支付指令为所述POS设备检测都当前设备处于支付操作中，可以是所述POS设备通过本地支付操作触发的指令，也可以是通过外部输入的信息触发的指令，还可以是通过其他方式触发生成的指令，本实施例对此不加以限制。
在具体实现中，当在刷卡交易过程中，用户输入密码后，所述POS设备中的密码输入模块按如下格式装配成待加密数据:状态码占用2字节，加密证书序列号占用16字节，填充空间占用14字节来加密数据明文个人识别密码(Personal Identification Number，PIN)码，然后使用所述数据传输加密证书tpk.x509.crt对数据进行加密，并发送到POS设备中的安全芯片模块。
进一步地，所述步骤S31之后，所述POS设备数据加密传输方法还包括：
步骤S32、获取所述数据传输加密证书对应的第一证书序列号，和解密后的所述加密数据对应的第二证书序列号；
步骤S33、将所述第一证书序列号与所述第二证书序列号进行比对，并生成比对结果；
步骤S34、若所述比对结果为一致，则判定所述加密数据有效。
可以理解的是，通过获取所述数据传输加密证书对应的第一证书序列号，和解密后的所述加密数据对应的第二证书序列号，将所述第一证书序列号与所述第二证书序列号进行比对，并生成比对结果，若所述比对结果为一致，则判定所述加密数据有效，能够有效判别当前加密的数据是否成功有效，能够进一步提高数据的准确性，避免错误数据造成的损失，提升用户体验。
在具体实现中，所述POS设备的安全芯片模块收到所述加密数据后，将所述加密数据用数据传输加密证书私钥解密，并对比解密后数据域中的加密证书序列号，如果序列号与数据传输加密证书的序列号一致则认可本数据有效，所述POS设备安全芯片模块收到以上数据后用RSA非对称密钥的私钥tpk.priv.pk8将数据解密，解密后读取加密证书序列号，如果该序列号与当前tpk.x509.crt证书序列号一致则认可本次传输的数据，将该PIN内容使用标准ANSI X9.8 Format计算PINBLOCK，并执行刷卡等其它支付流程。
需要说明的是，本实施例POS设备数据加密传输方法的核心是RSA非对称加密算法，但是单靠算法不能保证整个POS设备交易数据的安全，整个系统仍然依赖POS设备中的安全芯片模块中的安全芯片对验签证书私钥、以及收单行磁道和PIN加密密钥的保存，各个模块对加密证书的拆封验签可使系统不被非授权的模块恶意骗取加密数据攻击，所述POS安全芯片模块防窃结构设计能够保证存储在安全区的密钥信息不被窃取，一旦结构触发，则POS安全模块强制清除密钥信息，必须返厂重新灌入密钥。
本实施例通过上述方案，通过对所述数据传输加密证书进行验证，并生成验证结果，当所述验证结果为验证通过时，运行所述数据传输加密证书进行加密操作，在接收到支付指令后，根据所述RSA非对称私钥对所述加密数据进行解密，获取所述数据传输加密证书对应的第一证书序列号，和解密后的所述加密数据对应的第二证书序列号，将所述第一证书序列号与所述第二证书序列号进行比对，并生成比对结果，若所述比对结果为一致，则判定所述加密数据有效，能够有效筛选出不符合证书要求的证书，避免不合格证书进行加密带来的不必要麻烦和损失，将符合证书要求的证书对所述数据传输加密证书进行加密能够提高数据的安全性和准确性，避免错误数据造成的损失，提升用户体验。
此外，本发明实施例还提出一种存储介质，所述存储介质上存储有POS设备数据加密传输程序，所述POS设备数据加密传输程序被处理器执行时实现如下操作：
POS设备获取RSA非对称密钥，所述RSA非对称密钥包括RSA非对称公钥和RSA非对称私钥；
根据所述RSA非对称公钥、所述RSA非对称私钥和预设格式生成数据传输加密证书；
根据所述数据传输加密证书对待加密数据进行加密生成加密数据，对所述加密数据进行保存。
进一步地，所述POS设备数据加密传输程序被处理器执行时还实现如下操作：
所述POS设备实时监测安全芯片的当前工作状态，所述安全芯片为所述POS设备的数据处理芯片；
当所述当前工作状态为开启状态时，触发密钥生成指令；
根据预设密钥证书和所述密钥生成指令获取所述RSA非对称密钥。
进一步地，所述POS设备数据加密传输程序被处理器执行时还实现如下操作：
接收预设验签证书公钥和预设验签证书私钥；
将所述预设验签证书公钥进行固化，根据固化后的预设验签证书公钥和所述预设验签证书私钥生成所述预设密钥证书。
进一步地，所述POS设备数据加密传输程序被处理器执行时还实现如下操作：
根据所述预设格式和所述RSA非对称公钥生成符合所述预设格式的目标证书；
根据所述RSA非对称私钥对所述目标证书进行签名，将签名后的所述目标证书作为所述数据传输加密证书。
进一步地，所述POS设备数据加密传输程序被处理器执行时还实现如下操作：
对所述数据传输加密证书进行验证，并生成验证结果；
当所述验证结果为验证通过时，运行所述数据传输加密证书进行加密操作。
进一步地，所述POS设备数据加密传输程序被处理器执行时还实现如下操作：
根据所述预设密钥证书对所述数据传输加密证书进行拆封；
验证拆封后的所述数据传输加密证书是否合法，并生成所述验证结果。
进一步地，所述POS设备数据加密传输程序被处理器执行时还实现如下操作：
在接收到支付指令后，根据所述RSA非对称私钥对所述加密数据进行解密。
进一步地，所述POS设备数据加密传输程序被处理器执行时还实现如下操作：
获取所述数据传输加密证书对应的第一证书序列号，和解密后的所述加密数据对应的第二证书序列号；
将所述第一证书序列号与所述第二证书序列号进行比对，并生成比对结果；
若所述比对结果为一致，则判定所述加密数据有效。
本实施例通过上述方案，通过POS设备获取RSA非对称密钥，所述RSA非对称密钥包括RSA非对称公钥和RSA非对称私钥，根据所述RSA非对称公钥、所述RSA非对称私钥和预设格式生成数据传输加密证书，根据所述数据传输加密证书对待加密数据进行加密生成加密数据，对所述加密数据进行保存，POS设备中包含所述RSA非对称私钥，掉电即丢失，密钥不存在泄密的风险，无需对整机做防拆机和防窃听功能处理，能够有效降低了数据泄密的风险，减少了结构设计的难度和设计成本，提高了生产效率。
需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者系统不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者系统所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者系统中还存在另外的相同要素。
上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。
以上仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (9)

1.一种POS设备数据加密传输方法，其特征在于，所述POS设备数据加密传输方法包括：
POS设备获取RSA非对称密钥，所述RSA非对称密钥包括RSA非对称公钥和RSA非对称私钥；
根据所述RSA非对称公钥、所述RSA非对称私钥和预设格式生成数据传输加密证书；
根据所述数据传输加密证书对待加密数据进行加密生成加密数据，对所述加密数据进行保存；
其中，所述根据所述数据传输加密证书对待加密数据进行加密生成加密数据，对所述加密数据进行保存之后，所述POS设备数据加密传输方法还包括：
在接收到支付指令后，根据所述RSA非对称私钥对所述加密数据进行解密。
2.如权利要求1所述的POS设备数据加密传输方法，其特征在于，所述POS设备获取RSA非对称密钥，所述RSA非对称密钥包括RSA非对称公钥和RSA非对称私钥，具体包括：
所述POS设备实时监测安全芯片的当前工作状态，所述安全芯片为所述POS设备的数据处理芯片；
当所述当前工作状态为开启状态时，触发密钥生成指令；
根据预设密钥证书和所述密钥生成指令获取所述RSA非对称密钥。
3.如权利要求2所述的POS设备数据加密传输方法，其特征在于，所述根据预设密钥证书和所述密钥生成指令获取所述RSA非对称密钥之前，所述POS设备数据加密传输方法还包括：
接收预设验签证书公钥和预设验签证书私钥；
将所述预设验签证书公钥进行固化，根据固化后的预设验签证书公钥和所述预设验签证书私钥生成所述预设密钥证书。
4.如权利要求3所述的POS设备数据加密传输方法，其特征在于，所述根据所述RSA非对称公钥、所述RSA非对称私钥和预设格式生成数据传输加密证书，具体包括：
根据所述预设格式和所述RSA非对称公钥生成符合所述预设格式的目标证书；
根据所述RSA非对称私钥对所述目标证书进行签名，将签名后的所述目标证书作为所述数据传输加密证书。
5.如权利要求4所述的POS设备数据加密传输方法，其特征在于，所述根据所述数据传输加密证书对待加密数据进行加密生成加密数据，对所述加密数据进行保存之前，所述POS设备数据加密传输方法还包括：
对所述数据传输加密证书进行验证，并生成验证结果；
当所述验证结果为验证通过时，运行所述数据传输加密证书进行加密操作。
6.如权利要求5所述的POS设备数据加密传输方法，其特征在于，所述对所述数据传输加密证书进行验证，并生成验证结果，具体包括：
根据所述预设密钥证书对所述数据传输加密证书进行拆封；
验证拆封后的所述数据传输加密证书是否合法，并生成所述验证结果。
7.如权利要求1所述的POS设备数据加密传输方法，其特征在于，所述在接收到支付指令后，根据所述RSA非对称私钥对所述加密数据进行解密之后，所述POS设备数据加密传输方法还包括：
获取所述数据传输加密证书对应的第一证书序列号，和解密后的所述加密数据对应的第二证书序列号；
将所述第一证书序列号与所述第二证书序列号进行比对，并生成比对结果；
若所述比对结果为一致，则判定所述加密数据有效。
8.一种终端设备，其特征在于，所述终端设备包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的POS设备数据加密传输程序，所述POS设备数据加密传输程序配置为实现如权利要求1至7中任一项所述的POS设备数据加密传输方法的步骤。
9.一种存储介质，其特征在于，所述存储介质上存储有POS设备数据加密传输程序，所述POS设备数据加密传输程序被处理器执行时实现如权利要求1至7中任一项所述的POS设备数据加密传输方法的步骤。
CN201711030637.5A 2017-10-26 2017-10-26 Pos设备数据加密传输方法、终端设备及存储介质 Active CN108809925B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201711030637.5A CN108809925B (zh) 2017-10-26 2017-10-26 Pos设备数据加密传输方法、终端设备及存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201711030637.5A CN108809925B (zh) 2017-10-26 2017-10-26 Pos设备数据加密传输方法、终端设备及存储介质

Publications (2)

Publication Number Publication Date
CN108809925A CN108809925A (zh) 2018-11-13
CN108809925B true CN108809925B (zh) 2021-02-19

Family

ID=64095052

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201711030637.5A Active CN108809925B (zh) 2017-10-26 2017-10-26 Pos设备数据加密传输方法、终端设备及存储介质

Country Status (1)

Country Link
CN (1) CN108809925B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110867018B (zh) * 2019-11-28 2020-11-27 福建新大陆支付技术有限公司 一种在Android智能平台收银机上实现安全PIN输入的系统和方法

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103117855A (zh) * 2012-12-19 2013-05-22 福建联迪商用设备有限公司 一种生成和备份数字证书及私钥的方法
CN106027247A (zh) * 2016-07-29 2016-10-12 宁夏丝路通网络支付有限公司北京分公司 Pos密钥远程下发方法
CN106656488A (zh) * 2016-12-07 2017-05-10 百富计算机技术（深圳）有限公司 一种pos终端的密钥下载方法和装置
CN107104795A (zh) * 2017-04-25 2017-08-29 上海汇尔通信息技术有限公司 Rsa密钥对和证书的注入方法、架构及系统
CN107135070A (zh) * 2017-04-25 2017-09-05 上海汇尔通信息技术有限公司 Rsa密钥对和证书的注入方法、架构及系统

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103117855A (zh) * 2012-12-19 2013-05-22 福建联迪商用设备有限公司 一种生成和备份数字证书及私钥的方法
CN106027247A (zh) * 2016-07-29 2016-10-12 宁夏丝路通网络支付有限公司北京分公司 Pos密钥远程下发方法
CN106656488A (zh) * 2016-12-07 2017-05-10 百富计算机技术（深圳）有限公司 一种pos终端的密钥下载方法和装置
CN107104795A (zh) * 2017-04-25 2017-08-29 上海汇尔通信息技术有限公司 Rsa密钥对和证书的注入方法、架构及系统
CN107135070A (zh) * 2017-04-25 2017-09-05 上海汇尔通信息技术有限公司 Rsa密钥对和证书的注入方法、架构及系统

Also Published As

Publication number Publication date
CN108809925A (zh) 2018-11-13

Similar Documents

Publication Publication Date Title
US10595201B2 (en) Secure short message service (SMS) communications
US11694199B2 (en) Payment system
US11847640B2 (en) Payment system for authorizing a transaction between a user device and a terminal
US10909531B2 (en) Security for mobile applications
CN107896147B (zh) 一种基于国密算法协商临时会话密钥的方法及其系统
CN107786550B (zh) 一种自助设备的安全通信方法、安全通信系统及自助设备
US10089627B2 (en) Cryptographic authentication and identification method using real-time encryption
US20020066039A1 (en) Anti-spoofing password protection
AU2019271965A1 (en) POS System with white box encryption key sharing
CN103067401A (zh) 密钥保护方法和系统
CN103036681B (zh) 一种密码安全键盘装置及系统
CN104464048B (zh) 一种电子密码锁开锁方法及装置
US7194632B2 (en) Method for secure biometric authentication/identification, biometric data input module and verification module
EP1081891A2 (en) Autokey initialization of cryptographic devices
US20110202772A1 (en) Networked computer identity encryption and verification
CN107104795A (zh) Rsa密钥对和证书的注入方法、架构及系统
CN108401494B (zh) 一种传输数据的方法及系统
CN102056156B (zh) 将计算机数据安全下载至移动终端的方法及系统
CN108809925B (zh) Pos设备数据加密传输方法、终端设备及存储介质
KR20140071775A (ko) 암호키 관리 시스템 및 방법
CN108352990B (zh) 一种传输数据的方法及系统
CN113592484A (zh) 一种账户的开立方法、系统及装置
CN114240435A (zh) 一种支付数据防篡改的数据校验系统及方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant