Где в мире требуется зашифрованное программное обеспечение в кассовых аппаратах, и в таком случае, какие меры безопасности необходимы? - PullRequest
7 голосов
/ 24 января 2010

Фон

Швеция переходит к обязательному закону для всех владельцев бизнеса, осуществляющих операции с наличными деньгами или карточками, для реализации / покупки частично зашифрованных POS (точек продаж) / кассовых аппаратов:

Подписание и шифрование используются для надежно хранить информацию от кассовый аппарат в блоке управления. Система управления с сертифицированным Блок управления основан на производитель для каждого блока управления модель получения основного ключа шифрования от шведского налогового агентства. Затем производитель использует основной ключ для создавать уникальные ключи шифрования, которые помещается в блок управления во время производственный процесс. Чтобы получить основные ключи шифрования, производители должны представить заявление в шведское налоговое агентство. Источник СКВ

Это вызвало некоторый шум среди шведских трейдеров из-за необходимой сложности и надежного шифрования, а также изощренной технической реализации с точки зрения владельца магазина, поскольку альтернативой является покупка системы у компаний, которые имеют перебрал документацию, получил ключи безопасности, собрал программное обеспечение и интегрировал его в оборудование.

Итак, мой первый вопрос: приближается ли какая-либо другая страна в мире к точности, которая требуется Шведскому налоговому агентству от своих компаний (наряду с наличием обширных руководящих принципов ведения бухгалтерского учета)?

Я хотел бы услышать о любых других схемах шифрования, представляющих интерес, и о том, как они применяются в законодательстве, когда речь идет о проверке транзакций и учетных записей. Примеры такого законодательства могут быть похожи на другое шведское правило; что записи (транзакции) по ведению бухгалтерского учета должны быть только для записи, не более 4-х дней после происшествия и могут быть изменены только через кортеж (дата, подпись лица, делающего это, новые бронирования).

Наконец, что вы думаете об этих правилах? Собираемся ли мы на все время восходящие каналы связи для систем бухгалтерского учета + POS на серверах налогового органа, которые проверяют и обнаруживают мошеннические схемы в режиме реального времени, аналогичные алгоритмам коллективного интеллекта, или же возникнет обратная реакция на возросшую сложность ведущий бизнес?

Ответы [ 2 ]

1 голос
/ 01 февраля 2010

Случайно, я не могу представить нигде в мире, который реализует это строгое требование. Однако некоторые существующие POS-системы могут реализовывать этот вид шифрования в зависимости от того, что такое определение «блок управления» и где лежит различие между «блоком управления» и «кассовым аппаратом».

Причина, по которой я это говорю, заключается в том, что многие POS-системы (по крайней мере, те, с которыми я работал) - это, по сути, группа тупых терминалов, которые объединены в сеть с центральной базой данных и сервером обработки транзакций. На самом деле никакие данные не хранятся в самом кассовом аппарате, поэтому необходимо только зашифровать их на стороне сервера (и по сети, но я предполагаю, что используется безопасный сетевой протокол). Вам нужно было бы нанять адвоката для интерпретации того, что именно представляет собой «блок управления», но если это можно определить как нечто на стороне сервера (в случае сетевого POS, подобного этому), то сложность, необходимая для реализации такой системы, не будет быть слишком обременительным.

Трудный случай может быть, когда каждому отдельному кассовому аппарату требуется уникальный ключ шифрования, будь то для шифрования данных, которые должны храниться внутри самого регистра, или для шифрования данных перед отправкой на центральный сервер. Это потребует модификации или замены каждого кассового аппарата, что может оказаться дорогостоящим в зависимости от размера бизнеса и возраста существующего оборудования. Во многих странах (в частности, в США) введение такого обширного и дорогостоящего изменения, вероятно, должно сопровождаться либо счетом, предоставляющим средства предприятиям (чтобы помочь оплатить переоборудование оборудования), либо написанным так, как «все точки». -Опродажное оборудование, изготовленное или проданное после {{{некоторой будущей даты}}}, должно реализовывать следующие функции: ". Внедрение правил, накладывающих дорогостоящее бремя на бизнес, является хорошим способом для политиков потерять большую поддержку, поэтому маловероятно, что подобное правило будет реализовано в течение короткого периода времени без какой-либо помощи.

Возможно, интересным случаем будет «старомодный» стиль кассовых аппаратов, которые по сути состоят из кассового ящика, калькулятора и чекового принтера и не хранят никаких данных. Этот закон может требовать, чтобы такие системы начали записывать информацию о транзакции (спросите своего адвоката). С этим может быть связан случай, когда транзакции оформляются вручную, написанными на бумажном билете (как это обычно делают в некоторых ресторанах и небольших магазинах в США). Я часто нахожу забавным, как законодательство фокусируется на такой безопасности для высокотехнологичных систем, но оставляет «аналоговые» системы неизменными и широко открытыми для проблем. С другой стороны, Швеция, возможно, больше не использует такие старые системы.

Я не уверен, что именно закон США требует в отношении зашифрованных записей, но я знаю, что многие негосударственные организации требуют определенных уровней безопасности. Например, если предприятие хочет принимать платежи по кредитным картам, то компания, работающая с кредитными картами, будет требовать от них соблюдения определенных правил безопасности и шифрования при обработке и отправке информации об оплате по кредитным картам. Это частично продиктовано местными правилами юридической ответственности. Если запись транзакции будет подделана, утеряна или захвачена третьей стороной, будет проведена проверка безопасности системы транзакции и ведения записей. Если предприятие не предприняло разумных усилий для обеспечения безопасности и проверки данных, то предприятие может быть признано виновным (или, возможно, производителем оборудования) за нарушение безопасности, которое может привести к большим потерям в результате судебных исков. Из-за этого компании, как правило, добровольно защищают свои системы, чтобы уменьшить количество нарушений безопасности и ограничить свою юридическую ответственность в случае такого нарушения.

Поскольку производители устройств могут продавать свое оборудование на международном уровне, оборудование, соответствующее этим шведским ограничениям, вероятно, в конечном итоге будет использоваться и в других местах. Если система в конечном итоге будет успешной, другие компании, вероятно, добровольно захотят использовать такую ​​зашифрованную систему, даже если законодательство не вынуждает их делать это. Я сравниваю это с правилами RoHS, которые ЕС принял несколько лет назад. Многие страны, которые не подписали законодательство RoHS, теперь производят и используют материалы, сертифицированные RoHS, не из-за юридического мандата, а потому, что они доступны.

Редактировать: Я только что прочитал это в связанной статье:

Сертифицированный блок управления

Сертифицированный блок управления должен быть подключен к кассе. Блок управления должен читать регистрации сделано кассовым аппаратом.

Для меня это звучит так, будто сертифицированный блок управления присоединяется к регистру, но не обязательно связан с ним (или обязательно уникален для регистра). Одно только это определение (на мой слух, не являющееся юристом) не похоже на то, что оно запрещает подключение существующих кассовых аппаратов по сети к сертифицированному блоку управления на стороне сервера. Если это так, это может быть так же просто, как установить дополнительное программное обеспечение (и, возможно, периферийное устройство) на стороне сервера. Ссылка на подробности может прояснить это, но она не на английском, поэтому я не уверен, что там написано.

0 голосов
/ 03 февраля 2010

Эти типы требований становятся все более и более распространенными в большей части Европы (и в меньшей, но растущей степени в Северной Америке). Я не уверен, какие именно европейские банки движутся быстрее всего в этом, но в Северной Америке одним из лидеров является First Data (который уже сделал доступными полностью зашифрованные POS-устройства, которые, как вы описали, нуждаются).

Я бы также постулировал, что большинство продавцов не будут разрабатывать системы, которые это делают внутри (из-за требований PCI и сложностей при этом), а вместо этого будут полагаться на своих поставщиков для получения необходимой технологии.

...