因業(yè)務(wù)調(diào)整，部分個(gè)人測(cè)試暫不接受委托，望見諒。
檢測(cè)項(xiàng)目
SSL/TLS協(xié)議強(qiáng)度驗(yàn)證、AES/RSA加密算法合規(guī)性測(cè)試、SHA-256哈希值完整性校驗(yàn)、PCIPIN安全要求符合性評(píng)估、雙因素認(rèn)證機(jī)制有效性驗(yàn)證、會(huì)話令牌隨機(jī)性分析、CSRF/XSS跨站攻擊防護(hù)能力測(cè)試、SQL注入漏洞掃描、密鑰生命周期管理審計(jì)、支付報(bào)文格式規(guī)范性審查、敏感數(shù)據(jù)存儲(chǔ)加密強(qiáng)度測(cè)試、生物特征識(shí)別誤識(shí)率測(cè)定、動(dòng)態(tài)令牌同步精度驗(yàn)證、交易金額篡改防護(hù)能力測(cè)試、反洗錢規(guī)則引擎邏輯校驗(yàn)、非對(duì)稱加密密鑰長度合規(guī)性驗(yàn)證、支付超時(shí)重放攻擊防御機(jī)制評(píng)估、客戶端數(shù)據(jù)緩存清除策略審查、日志審計(jì)完整性檢查、系統(tǒng)時(shí)鐘同步精度測(cè)試、證書鏈有效性驗(yàn)證、虛擬鍵盤防劫持能力評(píng)估、交易流水號(hào)唯一性檢驗(yàn)、API接口調(diào)用頻率限制測(cè)試、內(nèi)存數(shù)據(jù)殘留風(fēng)險(xiǎn)掃描、二維碼支付劫持防護(hù)能力測(cè)試、近場(chǎng)通信數(shù)據(jù)泄露風(fēng)險(xiǎn)評(píng)估、密碼復(fù)雜度策略執(zhí)行度審查、異常交易行為模式識(shí)別準(zhǔn)確率測(cè)定
檢測(cè)范圍
移動(dòng)支付APP客戶端SDK模塊、POS終端機(jī)具固件系統(tǒng)、HCE云閃付組件模塊、二維碼生成解析引擎、生物識(shí)別傳感器模組（含指紋/虹膜/聲紋）、動(dòng)態(tài)口令生成器硬件單元、支付網(wǎng)關(guān)服務(wù)器集群系統(tǒng)（含負(fù)載均衡節(jié)點(diǎn)）、加密機(jī)硬件安全模塊（HSM）、電子錢包后臺(tái)管理系統(tǒng)（含清算對(duì)賬模塊）、智能卡COS操作系統(tǒng)（含JavaCard應(yīng)用小程序）、近場(chǎng)通信（NFC）射頻芯片組模塊（含SE安全單元）、跨境支付報(bào)文轉(zhuǎn)換中間件系統(tǒng)（含SWIFT/ISO20022適配器）、風(fēng)險(xiǎn)控制規(guī)則引擎服務(wù)器（含機(jī)器學(xué)習(xí)模型組件）、第三方快捷支付接口適配器（含銀行專線接入模塊）、數(shù)字證書簽發(fā)管理系統(tǒng)（含CRL/OCSP服務(wù)組件）、支付令牌化服務(wù)中間件（含PAN脫敏處理模塊）、商戶進(jìn)件管理系統(tǒng)（含KYC信息核驗(yàn)組件）、資金托管賬戶劃撥指令處理器（含多方計(jì)算模塊）、電子發(fā)票生成驗(yàn)簽系統(tǒng)（含稅控加密組件）、跨境外匯兌換匯率引擎（含實(shí)時(shí)風(fēng)控模塊）、預(yù)付卡余額校驗(yàn)系統(tǒng)（含離線交易同步模塊）、聚合支付路由管理系統(tǒng)（含通道切換決策引擎）、快捷綁卡服務(wù)鑒權(quán)組件（含卡BIN校驗(yàn)庫）、代收付業(yè)務(wù)批量處理系統(tǒng)（含差錯(cuò)處理引擎）、電子簽名驗(yàn)章服務(wù)器（含時(shí)間戳服務(wù)組件）、分期付款利息計(jì)算引擎（含合規(guī)性校驗(yàn)?zāi)K）、跨境反欺詐特征庫更新系統(tǒng)（含威脅情報(bào)對(duì)接接口）、虛擬賬戶余額變動(dòng)通知系統(tǒng)（含短信/推送網(wǎng)關(guān)）、代扣業(yè)務(wù)授權(quán)書電子存證系統(tǒng)（含區(qū)塊鏈存證節(jié)點(diǎn)）
檢測(cè)方法
協(xié)議逆向工程分析
使用Wireshark抓包工具配合Fiddler中間人代理進(jìn)行HTTPS流量解密分析，驗(yàn)證TLS1.2以上版本協(xié)議實(shí)現(xiàn)是否禁用弱密碼套件（如RC4/DES），通過修改ClientHello報(bào)文測(cè)試降級(jí)攻擊防護(hù)能力。
密鑰強(qiáng)度驗(yàn)證
采用CryptographicAlgorithmValidationProgram(CAVP)測(cè)試套件對(duì)RSA2048密鑰進(jìn)行FIPS186-4標(biāo)準(zhǔn)符合性驗(yàn)證，使用NISTSP800-56B規(guī)范檢查密鑰協(xié)商過程的臨時(shí)參數(shù)生成質(zhì)量。
模糊測(cè)試(Fuzzing)
通過PeachFuzzer框架構(gòu)造異常格式的ISO8583報(bào)文注入支付系統(tǒng)核心組件，監(jiān)測(cè)內(nèi)存溢出及異常處理機(jī)制的有效性。
靜態(tài)代碼審計(jì)
運(yùn)用FortifySCA工具對(duì)Java/PHP代碼進(jìn)行數(shù)據(jù)流分析，定位硬編碼密鑰存儲(chǔ)位置并檢查敏感操作日志是否包含完整審計(jì)字段。
滲透測(cè)試
模擬APT攻擊鏈實(shí)施多階段滲透：利用Shodan搜索暴露的管理接口→通過BurpSuite進(jìn)行憑證爆破→獲取權(quán)限后使用Metasploit橫向移動(dòng)→嘗試篡改清算文件哈希值。
性能壓測(cè)
基于JMeter構(gòu)建分布式壓力測(cè)試集群模擬雙十一級(jí)別并發(fā)交易請(qǐng)求（≥10萬TPS），監(jiān)測(cè)SSL握手延遲及加密機(jī)HSM的TPS瓶頸點(diǎn)。
側(cè)信道分析
使用電磁探頭采集POS終端加密芯片工作時(shí)的電磁輻射波形，通過差分能量分析(DPA)技術(shù)嘗試還原RSA私鑰信息。
檢測(cè)標(biāo)準(zhǔn)
GB/T35273-2020信息安全技術(shù)個(gè)人信息安全規(guī)范
JR/T0128-2017移動(dòng)終端支付可信環(huán)境技術(shù)規(guī)范
PCIDSSv4.0支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)
ISO/IEC27001:2022信息技術(shù)-安全技術(shù)-信息安全管理體系要求
GM/T0054-2018信息系統(tǒng)密碼應(yīng)用基本要求
JR/T0171-2020個(gè)人金融信息保護(hù)技術(shù)規(guī)范
GB/T27928-2011銀行卡自動(dòng)柜員機(jī)(ATM)應(yīng)用規(guī)范
ISO/IEC30107-3:2022生物特征識(shí)別呈現(xiàn)攻擊檢測(cè)
EMVCo3-DSecureProtocolSpecificationv2.3.0
NISTSP800-131ARev.2過渡到使用非對(duì)稱密鑰的密碼算法和密鑰長度
檢測(cè)儀器
CellebriteUFED物理提取設(shè)備
用于移動(dòng)端APP逆向工程分析及本地?cái)?shù)據(jù)庫加密強(qiáng)度驗(yàn)證的專用取證工具套件
Rohde&SchwarzCMW500通信協(xié)議分析儀
支持NFC/HCE近場(chǎng)通信協(xié)議棧深度解析與EMVCoL1層射頻信號(hào)質(zhì)量測(cè)量
CryptotronixHSM仿真測(cè)試平臺(tái)
可模擬多種品牌加密機(jī)工作模式并支持PKCS#11接口調(diào)用性能基準(zhǔn)測(cè)試
KeysightN9020B信號(hào)分析儀
用于無線支付終端的RFID信號(hào)頻譜分析及電磁兼容性(EMC)抗干擾能力評(píng)估
SynopsysDefensics智能模糊測(cè)試系統(tǒng)
基于機(jī)器學(xué)習(xí)算法自動(dòng)生成結(jié)構(gòu)化異常輸入數(shù)據(jù)的自動(dòng)化安全測(cè)試平臺(tái)
FLIRSC7000紅外熱成像儀
通過芯片表面溫度分布變化實(shí)施側(cè)信道攻擊的物理層安全評(píng)估設(shè)備
SpirentLandslide核心網(wǎng)仿真器
模擬大規(guī)模移動(dòng)支付用戶并發(fā)接入場(chǎng)景下的信令風(fēng)暴壓力測(cè)試系統(tǒng)
檢測(cè)流程
1、咨詢：提品資料(說明書、規(guī)格書等)
2、確認(rèn)檢測(cè)用途及項(xiàng)目要求
3、填寫檢測(cè)申請(qǐng)表(含公司信息及產(chǎn)品必要信息)
4、按要求寄送樣品(部分可上門取樣/檢測(cè))
5、收到樣品，安排費(fèi)用后進(jìn)行樣品檢測(cè)
6、檢測(cè)出相關(guān)數(shù)據(jù)，編寫報(bào)告草件，確認(rèn)信息是否無誤
7、確認(rèn)完畢后出具報(bào)告正式件
8、寄送報(bào)告原件
