ICS 35.240.40 A 11 JR 中华人民共和国金融行业标准 JR/T 0095—2012 中国金融移动支付 应用安全规范 China financial mobile payment —Specification for application security 2012 - 12 - 12 发布 2012 - 12-12 实施 中国人民银行 发布 JR/T 0095－2012 I 目 次 前言 ............................................................ .................... II   引言 ............................................................ ................... III   1 范围 .......................................................... .................... 1   2 规范性引 用文件 ..................................................... ............... 1   3 系统安全 ........................................................ .................. 1   4 移动终端安全 ...................................................... ................ 3   5 受理终端安全 ...................................................... ................ 3   6 交易安全 ........................................................ .................. 4   7 密钥体系 ........................................................ .................. 6   8 安全管理 ........................................................ .................. 9   参考文献 .......................................................... .................. 12   JR/T 0095－2012 II 前 言 本部分按照 GB/T 1.1-2009 给出的规则起草。 本部分由中国人民银行提出。 本部分由全国金融标准化技术委员会（ SAC/TC180 ）归口。 本部分负责起草单位：中国人民银行科技司、中国人民银行金融信息中心、中国金融电子化公司。 本部分参加起草单位：中国工商银行、中国农业银行、中国银行、中国建设银行、中国银联股份有 限公司、交通银行、中信银行、中国邮政储蓄银行、中移电子商务有限公司、支付宝（中国）网络技术有限公司、 深圳市财付通科技有限公司、 北京通融通信息技术有限公司、 开联通网络技术服务有限公司、 中金国盛认证中心、东信和平智能卡股份有限公司、深圳市新国都技术股份有限公司、大唐微电子技术有限公司。 本部分主要起草人：李晓枫、陆书春、潘润红、姜云兵、杜宁、李兴锋、刘力慷、曲维民、刘运、 史大鹏、雷斌、李春欢、杨帅、唐邦富、李竹、延冰、刘宁锋、仇哲、庞杰、张永成、甄旭、王庆、张礼文、郝静华、廖宗俐、邓苏军、陈耔宇、王永吉、赵如愿、张彦杰。 JR/T 0095－2012 III 引 言 移动支付是一种涉及多个行业的新兴支付方式，近年来在国内外迅速发展且发展前景及潜力巨大。 当前，随着移动支付的发展，移动支付应用将逐渐增多，亦面临着一系列风险，包括资金安全风险、交易欺诈风险、个人信息泄露风险、洗钱风险、网络攻击风险等。 本规范在收集、分析和评估移动支付风险的基础上，从技术、管理、交易过程等方面对移动支付应 用安全所涉及的各参与主体提出安全要求。 JR/T 0095－2012 1 中国金融移动支付 应用安全规范 1 范围 本标准规定了移动支付应用中的安全要求，包括实体安全（如移动终端、受理终端、远程支付系统、 收单系统和账户管理系统等实体）、交易安全、密钥体系和安全管理。 本标准适用于参与移动支付业务的设备生产、应用发行、交易管理以及应用系统研制、开发、集成 和维护等相关组织。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB 4943.1-2011 信息技术设备 安全 第1部分：通用要求 GB/T 20988-2007 信息安全技术 信息系统灾难恢复规范 GB/T 22081-2008 信息技术 安全技术 信息安全管理实用规则 GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求 JR/T 0025 中国金融集成电路（IC）卡规范 JR/T 0089.1-2012 中国金融移动支付 安全单元 第1 部分：通用技术要求 JR/T 0091-2012 中国金融移动支付 受理终端技术要求 JR/T 0092-2012 中国金融移动支付 客户端技术规范 JR/T 0097-2012 中国金融移动支付 可信服务管理技术规范 3 系统安全 3.1 物理安全要求 物理安全应符合下列要求： ——按 GB/T 22239-2008 中第三级基本要求中的 7.1.1 执行； ——应满足 GB/T 22239-2008中 8.1.1.2的 a)和 d)项要求。 3.2 网络安全要求 按GB/T 22239-20 08中第三级基本要求中的7.1.2执行。 3.3 主机安全要求 按GB/T 22239-20 08中第三级基本要求中的7.1.3执行。 3.4 应用软件安全要求 3.4.1 通用安全 JR/T 0095－2012 2 按GB/T 22239-20 08中第三级基本要求中的7.1.4执行；其中，7.1.4.2中e）和f)为增强要求。 其他基本要求： ——GB/T 22239-2008 中第四级基本要求中的 8.1.4.3 中的c)项； ——GB/T 22239-2008 中第四级基本要求中的 8.1.4.4 中的a)项； ——用户通过应用系统对交易资源进行访问时， 应用系统应保证在被访问的资源与用户之间能建立 一条安全的信息传输路径； ——在移动互联网等开放网络环境中，建立交易连接之前，应采用密码技术进行会话初始化验证； ——应对交易过程中的整个报文或会话过程进行加密； ——应采用密码技术 1）保证通讯过程中交易数据的完整性；应采用消息鉴别码（MAC）、数字签名 等方式保证报文安全； ——不应在日志中记录敏感信息。 3.4.2 会话安全 会话应满足但不限于如下安全要求： ——会话标识应唯一、随机、不可猜测； ——会话过程中应维持认证状态，防止信息未经授权访问； ——会话应设置超时时间，当空闲时间超过设定时间应自动终止会话； ——会话结束后，应及时清除会话信息； ——应采取措施防止会话令牌在传输、存储过程中被窃取。 增强要求： ——应用审计日志应记录暴力破解会话令牌的事件。 3.4.3 常见攻击防范 应对常见的攻击（如跨站脚本攻击、注入攻击、拒绝服务攻击等）进行有效防范，包括但不限于如 下手段： ——应在服务器端对提交的数据进行有效性检查（如对提交的表单、参数等进行合法性判断和非法 字符过滤等），或对输出的数据进行安全处理； ——应具有防范暴力破解静态密码的保护措施，例如使用图形验证码等； ——应进行代码审查，防范应用程序中不可信数据被解析为命令或查询语句等； ——应开发安全的接口，如通过避免语句的完全解释或采用参数化接口等方式实现； ——应采取有效措施防范针对服务器端的拒绝服务攻击； ——应对文件的上传和下载进行访问控制，避免执行恶意文件或未授权访问。 增强要求： ——数据库应使用存储过程或参数化查询，并严格定义数据库用户的角色和权限； ——应通过自动化工具（如弱点扫描工具、静态代码检测工具等）对应用程序进行检查； ——基于浏览器的应用，应使用安全控件等措施以降低恶意软件窃取用户敏感信息的风险。 3.5 数据安全及备份恢复 3.5.1 数据完整性 应符合GB/T 22239-2008中7.1.5.1所有要求。 1) 符合国家密码管理相关规定和标准的密码技术。 JR/T 0095－2012 3 3.5.2 数据保密性 应符合GB/T 22239-2008中7.1.5.2所有要求。 3.5.3 备份和恢复 数据备份和恢复需满足下列要求： ——应根据法律法规和部门规章的要求，提供本地数据备份与恢复功能。对数据应进行定期备份， 备份周期至少满足每天增量备