CN109671229B

CN109671229B - 收款机及其安全验证的方法

Info

Publication number: CN109671229B
Application number: CN201910094759.3A
Authority: CN
Inventors: 林嘉万
Original assignee: Huanxu Shenzhen Electronic Technology Innovation Co ltd
Current assignee: Huanxu (Shenzhen) Electronic Technology Innovation Co.,Ltd.
Priority date: 2019-01-31
Filing date: 2019-01-31
Publication date: 2022-01-25
Anticipated expiration: 2039-01-31
Also published as: CN109671229A

Abstract

本发明提出了一种收款机安全验证的方法，包括以下步骤：在收款机机器开机时，收款机机器接收更新程序包，验证更新程序包是否使用第二私钥进行签名，若是，安装更新程序于收款机机器，其中更新程序包为使用第二私钥对更新程序进行签名、并将第二公钥与更新程序包装起来所产生；于更新程序安装后，使用与第三公钥相匹配的第三私钥而对第二映像进行签名，以便决定是否对收款机机器进行更新，其中第二映像为将第三公钥与第一映像包装起来所产生；以及使用第一公钥以验证与第一映像相应的第一私钥的签名是否正确，若是正确的，则第一映像被设定为可被收款机机器执行，其中第一映像为使用第一私钥对原始映像进行签名所产生。

Description

收款机及其安全验证的方法

技术领域

本发明提供一种收款机(POS)及其安全验证的方法，且特别是关于改进POS映像更新机制安全性的收款机及其安全验证的方法。

背景技术

为了防止收款机(POS)机器运行的业务遭受不法篡改和切换，往往需针对POS机器进行安全验证以防范收款机机器被非法执行。请同时参阅图1和图2。图1呈现常规收款机(POS)映像更新的方框图，图2呈现常规POS映像更新的流程图。一般POS机器1的映像更新的作法流程可以如下列步骤所示：在步骤S201之中，由开发POS芯片程序的人员，产生原始映像5。

在步骤S202之中，使用第一私钥6对原始映像5进行签名，产生第一映像7。

在步骤S203之中，将第一映像7传送到POS机器1，再由POS机器1的POS系统2上的更新程序3读取此第一映像7，并对POS芯片4进行更新。

在步骤S204之中，在POS芯片4每次开机时，将使用第一公钥8验证第一映像7相应的第一私钥6的签名是否正确？若第一私钥6被验证为正确，进行步骤S205，第一映像7可被正常执行；否则，进行步骤S206，第一私钥6被验证为不正确，则第一映像7无法被执行。

然而，若黑客拿到第一私钥6，对其自制“POS映像”进行签名，产生第一映像7，将其传送到POS机器1，再由更新程序3读取第一映像7，将可对POS系统2进行映像更新，此时其自制“POS映像”将可被POS芯片3正常执行，从而造成POS机器1运行的业务被非法篡改和切换。

发明内容

有鉴于此，本发明提出使用多组私钥分别对原始映像、更新程序、及映像进行签名。如此可增加更新POS映像的安全性。

根据本发明的一实施例，在此提出了一种收款机(POS)机器，与至少一组独立POS密钥搭配使用，至少一组独立POS密钥包含：与第一公钥相匹配的第一私钥、与第二公钥相匹配的第二私钥，以及与第三公钥相匹配的第三私钥，收款机机器包括：处理单元，具有POS芯片；储存组件，安装有POS系统；以及验证单元，用于在POS芯片开机时，接收更新程序包后，以供POS系统验证更新程序包是否使用第二私钥进行签名，若第二私钥被验证为不正确则无法进行安装更新程序，若第二私钥被验证为正确，则安装更新程序于POS机器；其中更新程序包为使用第二私钥对更新程序进行签名、并将第二公钥与更新程序包装起来所产生；其中POS芯片于验证单元验证第二私钥正确时，使用第一公钥以验证与第一映像相应的第一私钥的签名是否正确，若是(正确的)则第一映像被设定为可被POS机器执行，POS系统安装更新程序，且更新程序验证第二映像是否使用与第三公钥相匹配的第三私钥进行签名；否则，第一映像被设定为不可被POS机器执行；其中第一映像为使用第一私钥对原始映像进行签名所产生。

于本发明所提供的收款机机器的一实施例中，其中若第三私钥被验证为不正确，则决定不对POS芯片进行更新，若第三私钥被验证为正确，则决定对POS芯片进行更新。

于本发明所提供的收款机机器的一实施例中，其中若第三私钥被验证为不正确，则移除更新程序，或POS芯片更新完成后，则移除更新程序。

根据本发明的另一实施例，在此提出了一种收款机(POS)安全验证的方法，该方法运行于POS机器之中而与至少一组独立POS密钥搭配使用，至少一组独立POS密钥包含：与第一公钥相匹配的第一私钥、与第二公钥相匹配的第二私钥，以及与第三公钥相匹配的第三私钥，该方法包括以下步骤：在POS机器开机时，POS机器的POS系统接收更新程序包，POS系统验证更新程序包是否使用第二私钥进行签名，若第二私钥被验证为不正确则无法进行安装更新程序，若第二私钥被验证为正确，则安装更新程序于POS机器，使用与第三公钥相匹配的第三私钥而对第二映像进行签名，以便决定是否对POS机器的POS芯片进行更新，其中更新程序包为使用第二私钥对更新程序进行签名、并将第二公钥与更新程序包装起来所产生；以及于更新程序安装于POS系统后，使用第一公钥以验证与第一映像相应的第一私钥的签名是否正确，若不正确，第一映像被设定为不可被POS机器执行；否则，该第一映像被设定为可被POS机器执行，其中第一映像为使用第一私钥对原始映像进行签名所产生。

于本发明所提供的收款机安全验证的方法的一实施例中，其中第二映像为将与第三私钥相对应的第三公钥与第一映像包装起来所产生。

于本发明所提供的收款机安全验证的方法的一实施例中，还包括：将第二映像传送到POS机器；以及由更新程序读取第二映像，并验证第二映像是否使用与第三公钥相匹配的第三私钥进行签名，若第三私钥被验证为不正确，则决定不对POS芯片进行更新，若第三私钥被验证为正确，则决定对POS芯片进行更新。

于本发明所提供的收款机安全验证的方法的一实施例中，还包括：若第三私钥被验证为不正确，则移除更新程序。

于本发明所提供的收款机安全验证的方法的一实施例中，还包括：于POS芯片更新完成后，则移除更新程序。

于本发明所提供的收款机安全验证的方法的一实施例中，其中使用第一公钥以验证与第一映像相应的第一私钥的签名是否正确是在第三私钥被验证为正确后才执行。

于本发明所提供的收款机安全验证的方法的一实施例中，其中使用第一公钥以验证与第一映像相应的第一私钥的签名是否正确是在每次POS机器开机时执行。

因此，本发明能提升POS系统进行映像更新的安全性，借助多组私钥分别对原始映像及更新程序及第一映像进行签名。再将多组私钥分别由不同终端或人员专门管理，并搭配一套相关的管理机制，便可大大增加POS机器映像更新的安全性。

为使能更进一步了解本发明的特征及技术内容，请参阅以下有关本发明的详细说明与附图，但是此等说明与附图仅是用来说明本发明，而非对本发明的权利范围作任何的限制。

附图说明

图1呈现常规收款机(POS)映像更新的方框图；

图2呈现常规POS映像更新的流程图；

图3呈现根据本发明一实施例的POS安全验证的方框图；

图4呈现根据本发明一实施例的POS安全验证的流程图；

图5呈现根据本发明一实施例的POS安全验证的流程图。

具体实施方式

在下文中，将借助附图说明本发明的各种例示实施例来详细描述本发明。然而，本发明概念可能以许多不同形式来体现，且不应解释为限于本文中所阐述的例示性实施例。此外，附图中相同附图标记可用以表示类似的组件。

【有关于收款机安全验证的第一实施例】

请参考图3，其呈现根据本发明一实施例的收款机(POS)安全验证的方框图。在本实施例中，POS机器11包括：通信组件110、一验证单元119、一处理单元120和一储存组件130。处理单元120与通信组件110、验证单元119和储存组件130彼此之间均已电性连接。在一个实施例中，POS机器11中的处理单元120分别与通信组件110、验证单元119和储存组件130电性连接。

处理单元120内还包含了一POS芯片14，此芯片可采PC-Base架构，其操作系统采Windows接口，支持多种外围设备，触摸屏、POS键盘及标准键盘操作，可连接IC芯片卡卡片阅读机或信用卡刷卡机。

储存组件130，已安装POS系统12。储存组件130可接收并储存关联于POS机器11的POS系统12的映像的一更新数据。在本实施例中，更新数据可为镜像文件(image file)或韧体文件(firmware file)，以供使用者更新其POS机器11中的映像。

更进一步来说，当POS机器11侦测到目前的映像需要更新时，通信组件110将通过一传输方式于一远程服务器(未绘于图中)接收更新数据，且通过处理单元120传送更新数据至储存组件130。

传输方式可为非对称数字用户回路(ADSL)传输、有线电视网络传输、光纤传输、蓝牙(Bluetooth)传输、近场通信(NFC)传输、多媒体简信(MMS)传输、实时通信(IM)传输、红外线(Infrared)传输、IEEE802.11传输、GSM传输、GPRS传输、因特网、或3G/4G行动通信网络其中之一，本发明对此不作限制。

请再回到图3的实施例，收款机(POS)是与至少一组独立POS密钥搭配使用，以便更好地保护POS机器11映像的安全。该至少一组独立POS密钥可以包含：一第一私钥16、一第二私钥26和一第三私钥36。

特别地，在进行安全验证时，第一私钥16与第一公钥18相匹配；第二私钥26与第二公钥28相匹配；以及第三私钥36与第三公钥38相匹配。而上述相关的公、私钥的制作方式为娴熟涉密码学领域人士所能轻易理解，并进行加密运算而被制作。加密运算包括：哈希或散列函数(Hash function)、高级加密标准(AES)、数据加密标准(DES)、RSA加密算法和椭圆曲线密码加密技术(ECC)等算法至少其中之一。通过第一私钥16、第二私钥26和第三私钥36，可以使得只有经合法签名的程序才允许安装或运行更新程序及各种映像。

在一实施例中，第一私钥16是用于针对原始映像15进行签名而产生第一映像17；第二私钥26是用于针对更新程序13进行签名，并将与第二私钥26相对应的第二公钥28与更新程序13包装起来，产生更新程序包27；第三私钥36是用于针对第一映像17进行签名，并将与第三私钥36相对应的第三公钥38与第一映像17包装起来，产生第二映像37。

验证单元119，用于在该POS芯片14开机时，使用一第一公钥18以验证与一第一映像17相应的该至少一组独立POS密钥的第一私钥16的一签名是否正确。

处理单元120的POS芯片14，是用于上述验证通过时，该第一映像17被设定为可被执行，比如POS系统12可通过操作系统的核心机制，限制第一映像17的权限为可执行文件；否则，则该第一映像17被设定为不可被执行，比如POS系统12可通过操作系统的核心机制，限制第一映像17的权限为不可执行文件。值得注意的是，基于安全因素，更新程序13并未被先行安装于POS系统12之中。

因此，即便黑客拿到第三私钥36对其自制“POS映像”进行签名及试图以我方签名过的更新程序包27，想要在本发明所请作更新，但在POS芯片14开机时，因POS芯片14验证其自制“POS映像”中第一公钥18所匹配的第一私钥16不对，则其自制"POS映像"仍无法被执行；或者，即便黑客拿到第一私钥16对其自制“POS映像”进行签名，想要在本发明所请作更新，但因无更新程序13，则无法进行更新“POS映像”。

在一实施例中，可另提供一更新程序包27并在POS系统12上安装，即POS机器11接收更新程序包27，此时该POS系统12将验证该更新程序包27是否使用与一第二公钥28匹配的该至少一组独立POS密钥的第二私钥26进行签名，若该第二私钥26被验证为不正确则无法在该POS系统12上安装该更新程序13；否则，在该POS系统12上安装该更新程序13。

因此，即便黑客拿到第一私钥16对其自制“POS映像”进行签名，及通过某些管道了解我方更新程序13的更新方法，自行开发的更新程序，想要在本发明所请作更新，但在安装更新程序时，因POS系统12验证更新程序包27中第二公钥28所匹配的第二私钥26不对，则无法进行安装，则无法进行更新“POS映像”。

在一实施例中，可另将与该第一映像17相关的一第二映像37传送到该POS机器11；由POS系统12的更新程序13读取该第二映像37，并由验证单元119验证该第二映像37是否使用与一第三公钥38相匹配的该至少一组独立POS密钥的第三私钥36的签名？若该第三私钥36被验证为不正确，则不对该POS芯片14进行更新，若该第三私钥36被验证为正确，则对该POS芯片14进行更新，并且于POS芯片14更新完成后移除该更新程序13。

因此，即便黑客拿到第一私钥16对其自制“POS映像”进行签名，以及试图以我方签名过的更新程序包27，想要在本发明所请作更新，但在更新时，因更新程序13验证其自制“POS映像”中第三公钥38所匹配的第三私钥36不对，则无法进行更新“POS映像”。

【有关于收款机安全验证的第二实施例】

请同时参阅图3和图4。图4呈现根据本发明一实施例的POS安全验证的流程图。本发明与至少一组独立POS密钥搭配使用以防范黑客试图对POS系统12进行映像更新，该至少一组独立POS密钥包含了如下事先预备：一第一私钥16、一第二私钥26和一第三私钥36；而公、私钥的制作方式为娴熟涉密码学领域人士所能轻易理解。在一实施例中，第一私钥16、第二私钥26和第三私钥36可通过进行加密运算而得出。加密运算包括：Hash、高级加密标准(AES)、数据加密标准(DES)、RSA加密算法和椭圆曲线密码加密技术(ECC)等算法至少其中之一。

在步骤S401之中，生成一原始映像15。比如由开发POS芯片的终端或人员产生原始映像15并交付于一虚拟终端，比如第一管理员19。

在步骤S402之中，由第一管理员19使用第一私钥16对原始映像15进行签名而产生第一映像17，并将第一映像17交付一虚拟终端，比如第三管理员39。因此，即便黑客拿到第三私钥36对其自制“POS映像”进行签名及试图以我方签名过的更新程序包27，想要在本发明所请作更新，但在POS芯片14开机时，因POS芯片14验证其自制“POS映像”中第一公钥18所匹配的第一私钥16不对，则其自制“POS映像”仍无法被执行。

在步骤S403之中，开发更新程序的终端或人员，可产生一更新程序13，并交付一虚拟终端，比如第二管理员29。

在步骤S404之中，第二管理员29使用第二私钥26对更新程序13进行签名，并将与第二私钥26相对应的第二公钥28与更新程序13包装起来，产生更新程序包27。因此，即便黑客拿到第一私钥16对其自制“POS映像”进行签名，及通过某些管道了解我方更新程序13的更新方法，自行开发的更新程序，想要在本发明所请作更新，但在安装更新程序时，因POS系统12验证更新程序包27中第二公钥28所匹配的第二私钥26不对，则无法进行安装，无法进行更新“POS映像”。

在步骤S405之中，第三管理员39使用第三私钥36而对第一映像17进行签名，并将与第三私钥36相对应的第三公钥38与第一映像17包装起来，产生第二映像37。因此，即便黑客拿到第一私钥16对其自制“POS映像”进行签名，以及试图以我方签名过的更新程序包27，想要在本发明所请作更新，但在更新时，因更新程序13验证其自制“POS映像”中第三公钥38所匹配的第三私钥36不对，则无法进行更新“POS映像”。

在步骤S406之中，由第二管理员29将更新程序包27交付于执行安装更新程序包27的终端或人员，在POS系统12上安装用于更新映像的更新程序13。因此，即便黑客拿到第一私钥16对其自制“POS映像”进行签名，想要在本发明所请作更新，但因无更新程序13，则无法进行更新“POS映像”。

【有关于收款机安全验证的第三实施例】

请同时参阅图3和图5。图5呈现根据本发明一实施例的POS安全验证的流程图。

在步骤S501之中，POS系统12验证更新程序包27相应的第二私钥26签名。某一虚拟终端(或第二管理员)29将更新程序包27交付于执行安装更新程序包的一虚拟终端(比如某一人员)，在POS系统12上安装稍晚用于更新映像的更新程序13，且更新程序13并未被先行安装于POS系统12，此时POS系统12将验证更新程序包27，是否有使用与存储的第二公钥28匹配的第二私钥26进行签名。

若验证成功，步骤S502进行安装更新程序13，并可通过任何虚拟终端将第二映像37传送到POS机器11，在一范例中，一虚拟终端(比如第三管理员)39将第二映像37交付执行一虚拟终端(比如第四管理员)，由其将第二映像37传送到POS机器11；若验证失败，执行步骤S503，结束POS安全验证。

在步骤S504之中，更新程序13将验证第二映像37相应的第三私钥36签名。比如，可由第三管理员39将第二映像37交付于第四管理员，将第二映像37传送到POS机器11，再由POS系统12上的更新程序13读取此第二映像37，并验证第二映像37是否有使用与存储的第三公钥38匹配的第三私钥36进行签名。若验证成功，执行步骤S505，若第三私钥36被验证为正确，则对POS芯片14进行更新，且更新程序13一旦执行后会自动移除；若验证为失败，执行步骤S506，比如，若第三私钥36被验证为不正确，则无法对POS芯片14进行更新且更新程序13亦被自动移除。

在步骤S507之中，POS芯片14每次开机时，使用第一公钥18验证第一映像17相应的第一私钥16的一签名。若验证成功，执行步骤S508，第一映像17可正常执行；若验证失败，执行步骤S509，结束POS安全验证。

【实施例的可能技术效果】

综上所述，本发明有助于增强POS系统进行映像更新的安全性，因为本发明需使用多组私钥分别对原始映像及更新程序及第一映像进行签名。再将多组私钥分别由不同的虚拟终端或人员专门管理，并搭配一套相关的管理机制，便可大大增加更新POS机器映像的安全性。

换言之，本发明的核心具有一种管理机制，可用于管理多组私钥、映像、程序、终端或人员。更新程序并未先行安装于POS系统，而且更新程序一旦执行后即被移除。

举例来说：黑客拿到第一私钥对其自制“POS映像”进行签名，想对POS作更新，但因无更新程序，则无法进行更新"POS映像"。

黑客拿到第一私钥对其自制“POS映像”进行签名，及通过某些管道了解我方更新程序更新方法，自行开发的更新程序，想要对POS作更新，但在安装更新程序时，因POS系统验证更新程序包中第二公钥所匹配的第二私钥不对，则无法进行安装更新程序，则无法进行更新“POS映像”。

黑客拿到第一私钥对其自制“POS映像”进行签名及我方签名过的更新程序，想要对POS作更新，但在更新时，因更新程序验证其自制“POS映像”中第三公钥所匹配的第三私钥不对，则无法进行更新“POS映像”。

或者，黑客拿到第三私钥对其自制“POS映像”进行签名及我方签名过的更新程序，想要对POS作更新，但在POS芯片开机时，因POS芯片验证其自制“POS映像”中第一公钥所匹配的第一私钥不对，则其自制“POS映像”仍无法被执行。

以上所述仅为本发明的实施例，其并非用以局限本发明的专利范围。

Claims

1.一种收款机安全验证的方法，所述收款机即POS，其特征在于，该方法运行于一POS机器之中而与至少一组独立POS密钥搭配使用，该至少一组独立POS密钥包含：与一第一公钥相匹配的一第一私钥、与一第二公钥相匹配的一第二私钥，以及与一第三公钥相匹配的一第三私钥，该方法包括以下步骤：

在该POS机器开机时，该POS机器的一POS系统接收具有一更新程序的一更新程序包，该POS系统验证该更新程序包是否使用该第二私钥进行签名，若该第二私钥被验证为不正确则无法进行安装该更新程序，若该第二私钥被验证为正确，则安装该更新程序于该POS机器，其中该更新程序包为使用该第二私钥对该更新程序进行签名、并将该第二公钥与该更新程序包装起来所产生；以及

以该更新程序对该POS机器的一POS芯片进行更新后，使用该第一公钥以验证与一第一映像相应的该第一私钥的一签名是否正确，若不正确，该第一映像被设定为不可被该POS机器执行，若正确，则该第一映像被设定为可被该POS机器执行，其中该第一映像为使用该第一私钥对一原始映像进行签名所产生；

其中，在进行安装该更新程序时，还包括传送一第二映像到该POS机器，以该POS系统的该更新程序读取该第二映像并验证该第二映像以便决定是否对该POS机器的该POS芯片进行更新，该第二映像为将与该第三私钥相对应的该第三公钥与该第一映像包装起来所产生，且验证该第二映像时，使用与存储的该第三公钥匹配的该第三私钥进行签名。

2.根据权利要求1所述的方法，其特征在于，该方法还包括：

若该第三私钥被验证为不正确，则决定不对该POS芯片进行更新，若该第三私钥被验证为正确，则决定对该POS芯片进行更新。

3.根据权利要求2所述的方法，其特征在于，该方法还包括：若该第三私钥被验证为不正确，则移除该更新程序。

4.根据权利要求2所述的方法，其特征在于，该方法还包括：于该POS芯片更新完成后，则移除该更新程序。

5.根据权利要求2所述的方法，其特征在于，使用该第一公钥以验证与该第一映像相应的该第一私钥的一签名是否正确的步骤是在该第三私钥被验证为正确后才执行。

6.根据权利要求5所述的方法，其特征在于，使用该第一公钥以验证与该第一映像相应的该第一私钥的一签名是否正确的步骤是在每次该POS机器开机时执行。

7.一种收款机机器，即POS机器，其特征在于，该收款机机器与至少一组独立POS密钥搭配使用，该至少一组独立POS密钥包含：与一第一公钥相匹配的一第一私钥、与一第二公钥相匹配的一第二私钥，以及与一第三公钥相匹配的一第三私钥，该收款机机器包括：

一处理单元，具有一POS芯片；

一储存组件，安装有一POS系统；以及

一验证单元，用于在该POS芯片开机时，接收具有一更新程序的一更新程序包后，以供该POS系统验证该更新程序包是否使用该第二私钥进行签名，若该第二私钥被验证为不正确则无法进行安装该更新程序，若该第二私钥被验证为正确，则安装该更新程序于该POS机器，其中该更新程序包为使用该第二私钥对该更新程序进行签名、并将该第二公钥与该更新程序包装起来所产生；

其中，以该更新程序对该POS芯片进行更新后，使用该第一公钥以验证与一第一映像相应的该第一私钥的一签名是否正确，若正确，则该第一映像被设定为可被该POS机器执行，若不正确，该第一映像被设定为不可被该POS机器执行，其中该第一映像为使用该第一私钥对一原始映像进行签名所产生；

8.根据权利要求7所述的收款机机器，其特征在于，若该第三私钥被验证为不正确，则决定不对该POS芯片进行更新，若该第三私钥被验证为正确，则决定对该POS芯片进行更新。

9.根据权利要求8所述的收款机机器，其特征在于，若该第三私钥被验证为不正确，则移除该更新程序，或该POS芯片更新完成后，则移除该更新程序。