广州公共交通数据管理中心数据中心第三代公交电子支付终端银联.doc

附件1广州市公共交通数据管理中心第三代公交电子支付终端银联认证服务采购项目内容及技术要求项目名称：第三代公交电子支付终端银联认证服务采购项目购置数量：1项1.需求概述1.1项目背景银联在 2015 年发布的中国银联 IC 卡技术规范升级公告2015 中增加了用于交通行业的联机 ODA 功能。广州地铁在2016年年底引入了这技术，对全线终端进行了升级改造。省内的一些公交车载设备也陆续支持银联卡刷卡乘车。为了紧跟技术的发展，对于当前的终端产品，也需支持银联卡交易。终端设备要支持银联PBOC3.0票卡，需要终端设备支持ISO14443A-4的通信标准，并且终端设备必须取得银联PBOC3.0认证的证书。因此提出了本次银联认证的项目需求。1.2项目需求根据银联认证要求提交送检，并满足以下需求；对本产品提供的RF天线及相关电路提出整改意见；对本产品的样机进行改造，使之符合PBOC L1、L2认证要求；提交最终可认证终端，并协助获得过检证书；提交过检后全套的认证资料，包括源码及详细解释。向业主认证人员解释认证步骤及要求，指导认证中心设备使用方法。1.3参考文献银联IC卡支持联机ODA功能技术指引.pdf中国金融集成电路（IC）卡规范 第4部分：借记贷记应用规范.pdf中国金融集成电路（IC）卡规范 第5部分：借记贷记应用卡片规范.pdf中国金融集成电路（IC）卡规范 第6部分：借记贷记应用终端规范.pdf中国金融集成电路（IC）卡规范 第7部分：借记贷记应用安全规范.pdf1.4名词解释L1 非接触IC卡支付终端通讯协议测试L2 PBOC3.0接触IC卡支付终端应用测试2.产品认证硬件需求2.1产品硬件整改当前终端已采用NXP公司MFRC531射频芯片做为RF驱动芯片，鉴于该芯片的技术参数较老，为适应银联L1认证要求，需对本终端RF芯片及芯片外围电路提出整改建议，以达到上线支持银联卡刷卡要求。终端的RF天线设计最初未考虑银联认证，在天线功率、频点等参数上可能不符合过检要求。需对本终端RF天线电路提出整改建议，以达到上线支持银联卡刷卡要求。2.2认证终端改造银联认证需提交3台样机送检，因此在认证前需要对本产品终端进行必要的改造，以达到快速认证目的。整改的方法可以是在当前MFRC531基础上修改电路参数，也可以用已有方案进行替换。银联L1检测的内容包括：非接触模拟信号测试、非接触通讯测试（typeA&typeB）。3.产品认证软件功能需求3.1支持快速借贷记（QPBOC）送检终端需支持快速借贷记QPBOC，算法包括国际算法以及国密算法，即RSA/SHA-1、SM2/SM3。快速借贷记QPBOC需支持脱机电子现金交易和联机交易。3.2支持银联ODA 银联在2015年发布的中国银联IC卡技术规范升级公告2015中增加了用于交通行业的联机 ODA 功能。新增规范如下：l 增加签名数据格式要求联机 ODA 交易过程中动态签名所使用数据和生成方法在中国银联 IC 卡技术规范基础规范 第 4 部分：借记贷记应用安全规范 第 3.3.5.1 章节“动态签名的生成” 的规范要求之上，增加如下要求： 对于联机授权请求（ ARQC） 中返回的动态签名的场景中 （联机 ODA）， 用于 DDA 哈希算法计算签名 所使用的签名数据格式（ Signed Data Format）应设为 95，用于区分脱机授权请求中返回的动态签名的情况。对于脱机授权请求（ TC） 中返回的动态签名的场景中 ， 用于DDA 哈希算法计算签名 所使用 的签名数据格式（ Signed DataFormat）应设为 05。对于支持联机 ODA 的终端 ，在进行联机 ODA 的动态签名验证过程中，终端应支持使用签名数据格式 95 进行数据验证。 对于传统金融 POS 终端（不支持联机 ODA），在动态签名验证过程中，如签名数据格式不是“05”，则动态数据认证失败。注： 对于基于主机模拟技术（ HCE）的移动支付产品， 除了 在签名数据格式时候 使用 95 用于与传统脱机授权交易进行区分之外， IC 卡公钥证书中证书格式应使 用 94 用于区别 基于 SE 的 IC 卡/移动支付产品。对于支持联机 ODA 的行业终端应 支持 94 和 04 两个值。 IC 卡公钥证书的具体要求参见中国银联移动支付技术 规范（ 2016）最新规范l 启用 DF61 新标识位标明卡片支持联机 ODA 功能启用 BF0C 中的 DF61（卡片增值功能指示器）中第 1 字节第7 位（原保留位） 来表示是否支持联机 ODA 功能 1。对于支持联机ODA 功能的卡片将该位设置为 1。终端可根据卡片支持联机 ODA 的情况选择不同 交易 流程完成交易。 当支持联机 ODA 的终端受理支持联机 ODA 的卡片时， 卡片和终端按照中国银联 IC 卡技术规范升级公告 2015规定内容进行交互， 终端无需增加对 DF61 的判断逻辑。当支持联机 ODA 的终端收到卡片返回的 DF61 显示卡片不支持联机 ODA 时，若终端支持存量卡受理，终端可选择标准借贷记流程或其他技术方案进行交易。 整体参考流程如下：如果卡片 SELECT 命令返回的 DF61 的第 1 字节的第 7 位为1，则说明该卡为 新增支持联机 ODA 的卡片， 终端执行联机 ODA 交易处理。 终端对终端交易属性（ 9F66） 的第 1 字节第 7 位置 0 （ 不支持非接触式借记/贷记应用 ）， 第 1 字节第 6 位置 1（ 支持 qUICS）， 第 1 字节第 1 位置 1（ 支持联机授权交易的脱机数据认证），第 2 字节第 8 位置 1（ 要求联机密文）， 选择非接快速支付流程（ qUICS）并执行联机 ODA，参考流程图如下：图1支持联机 ODA 的 qUICS 流程图如果卡片对 SELECT 命令返回的 DF61 的第 1 字节的第 7 位为 0 或未返回 DF61，则说明该卡不支持联机 ODA 功能。 如终端支持存量卡片受理，则 可选择非接标准借贷记流程进行交易 , 具体支持存量卡的交易流程以产品方案为准。本次认证需支持以上银