CUPSecureSAA银行技术规范说明.pptx
PBOC30标准解读PPT教案
（1）TC如何防重放攻击？ （2）TC如何防篡改？ （3）TC如何防伪造？ （4）根据明文和TC是否可推算密钥？
② 风险管理和授权控制
脚本命令
- 发卡行在联机响应中可以返回脚本 - 发卡行可以通过脚本来锁卡、修改卡商的参数
转接清算 网络
风险控制
发卡行证书
IC卡证书
恢复
认证中心公钥
恢复
发卡行公钥
发卡行证书
IC卡证书
IC卡公钥
动态数据签名
动态签名验证
IC卡私钥
动态签名数据
POS 认证中心公钥
789 456 123 0•
小额支付的相关概念
基于标准借贷记的 基于快速借贷记的
小额支付
小额支付（qPBOC）
接触式 非接触式
标准借贷记
基于借贷记的小额支付
• 借/贷记（小额支付） • 电子钱包、电子存折系列
PBOC3.0规范编制背景
PBOC3.0规范组成部分
共17部分
废止（3）
修订（10）
增补（4）
第1
第3
第13 第14
部分： 第2
部分：
第5 第6 第7 第8 第10
部分： 部分： 第15
第17
电子
部分： 电子
第9 部分：
与应
第4 部分：
部分：
部分：
ISO 14443
02
PBOC3.0基本功能解析
1）标准借贷记 2）小额支付 3）非接触快速小额支付
标准借贷记交易流程和交易类型
消费
取现
查询
授权
退货
撤销
冲正
电子 现金 圈存
01非金融机构支付业务设施技术认证技术规范
备案号：非金融机构支付业务设施技术认证技术规范Technical specifications for no-financial payment businessinfrastructure technologies（备案稿）（本稿完成日期：2011年04月10日）中金国盛认证有限公司发布目次说明 (I)1范围 (1)2规范性引用文件 (1)3术语和定义 (1)3.1 术语 (1)3.2 定义 (2)4支付系统业务类别 (3)5评判原则 (3)6技术要求 (3)6.1 互联网支付系统要求 (3)6.2 预付卡的发行与受理系统要求 (6)6.3 银行卡收单系统要求 (9)6.4 移动支付（近场支付）系统要求 (11)6.5 移动支付（远程支付）系统要求 (14)6.6 外包附加要求 (16)7等级划分 (17)附录 A （规范性附录）审查项列表 (19)A.1互联网支付系统审查项 (19)A.2预付卡的发行与受理系统审查项 (32)A.3银行卡收单系统审查项 (47)A.4移动支付（近场支付）系统审查项 (62)A.5移动支付（远程支付）系统审查项 (78)A.6外包附加审查项 (91)说明本技术规范根据《非金融机构支付服务管理办法》、《非金融机构支付服务管理办法实施细则》、《电子支付术语》、《电子支付文件数据格式》、《基于INTERNET的网上支付安全规范》、《基于INTERNET的网上支付交易模型及流程》、《基于INTERNET网上支付报文结构及要素》等中对非金融机构支付业务设施技术认证工作的要求制定而成。
本技术规范的评估对象为从事非金融机构支付服务的组织。
本技术规范的主要起草单位：北京中金国盛认证有限公司本技术规范的编制指导单位：中国人民银行科技司非金融机构支付业务设施技术认证技术规范1范围本技术规范规定了非金融机构支付业务设施技术标准符合性和系统安全性的要求。
本技术规范适用于对非金融机构支付业务设施技术评估依据，可作为对非金融机构支付业务设施技术进行管理、检查、认证的技术性规范，也可作为非金融机构支付业务设施技术提供者改进自身能力的指导依据。
银行磁条卡POS规范
键盘至少要具有一行数字、字母显示屏。键盘使用寿命同4.2。 4.4 磁条阅读器
磁条阅读器应能够准确阅读在磁性标准正常范围内的磁道信息，并可同时读取磁条卡的二、三磁道 数据。凡符合GB/T 14916、GB/T 15120、GB/T 15694-1、ISO 7812-2、GB/T17552标准的磁条卡都能读 取。刷卡方向可采用单向或双向，刷卡速度范围为10毫米/秒-100毫米/秒，磁条读卡器寿命应达到 400,000次以上。 4.5 交易存储量
GB/T 2312-1980 信息交换用汉字编码字符集基本集 GB/T 6833.2～6833.6-1987 电子测量仪器的电磁兼容性试验规范 GB/T 9254-1988 信息技术设备的无线电干扰极限值和测量方法 ISO 7812-2:1993 识别卡 发卡方的标识 GB/T 14916-1994 识别卡 物理特性 GB/T 15120.1-.5-1994 识别卡 记录技术 GB/T 15150-1994 银行卡交换报文规范 GB/T 4943-1995 信息技术设备（包括电气事务设备）的安全 GB/T 15694.1-1995 识别卡 发卡者标识编号体系 GB/T 17552-1998 识别卡 金融交易卡
II
JR/T 0001—2001
银行磁条卡销售点终端规范
1 范围
本规范规定了银行磁条卡销售点终端标准，其中规定了银行磁条卡特约商户销售点终端的硬件要 求、软件要求、安全要求以及终端的应用功能。不涉及银行磁条卡交易主机端的规定。
本规范适用于受理中华人民共和国境内发行和使用的人民币银行磁条卡的各种Байду номын сангаас约商户销售点终 端设备。
中国银联银行卡联网联合技术规范V2.1 第2部分 报文接口规范
2011-11-03 修订
2011-11-03 实施
中国银联股份有限公司 发布
Q/CUP 006.2—2........................................................................................................................................................IV 中国银联银行卡联网联合技术规范 V2.1 第 2 部分 报文接口规范 ...................................................................... 1
2.1 报文结构说明 ............................................................................................................................................. 1 2.2 报文结构分析 ............................................................................................................................................. 1 3 报文头 ................................................................................................................................................................
CUPSecure SAA银行技术规范说明
交易流程重点说明
Step 7 SAA和持卡人交互，认证持卡人； 对基金交易，SAA需默认持卡人已开通交 易，并使用ATM密码验证。 SAA根据认证结果对帐务进行处理； SAA和持卡人交互页面需要包含以下信息： CUPSecure的标识、商户名称、商户URL、 交易金额、币种、交易日期时间；其中除 CUPSecure的标识外所有信息来自ITReq
发卡机构
收单机构
持卡人
互联网商户
业务模式SAA/SC
SAA模式
发卡机构直接验证授权模式
由发卡机构自行收集用户安全认证信息，完成安 全认证和授权处理。
持卡人的认证方式和认证要素由发卡银行决定。
银联安全输入模式
SC模式
由银联提供服务，代替发卡机构收集用户安全认 证信息，并通过现有跨行交换网络发送给发卡机 构进行安全认证和授权处理。
银联提供多种认证方式和认证要素由各家银行选 择。认证方式和认证要素配置支持到卡种。
入网方式
发卡机构 商户
SAA模式
SC模式
收单机构
CUPSecure API
中国银联 CUPSecure系统
• 互联网跨行支付业务 • 跨境互联网支付业务 • 国内/跨境互联网汇款业务 • 电话邮购业务 • 分期付款业务
交易流程重点说明
Step 5、6 API将持卡人的浏览器重定向到SAA，同时将互 联网交易请求（ITReq）传递给SAA； SAA收到ITReq后，根据xtype可以直接判断交易 类型； ITReq中包含流水号+验证服务时间，相当于 ISO8583报文中的域7、11，会出现在后续的流水 文件中； ITReq包含的特殊信息：商户物流配送标志、清 算日期（SR给出）、跨境交易的清算信息；
CUPSecureSAA银行技术规范说明
中国银联产品创新部 2020/10/8
主要内容
总体说明 交易流程说明 交易报文说明 基金业务说明
总体说明
银联互联网安全支付业务
中国银联互联网安全支付服务是中国银联自主创新、拥有知识产权、
符合当前国内网上支付现状的互联网安全支付产品。建立了持卡人、发卡 机构、收单机构和商户四方统一的操作流程、服务流程和结算流程，为互 联网消费者提供安全、有效、便利的支付环境和服务，结束电子商务支付 环节长期以来无标准可言，无规范可施的局面。
1
2
5
0 2
API 收单机构支付网关
交易图中消息对应关系
步骤0—卡段更新消息（SCR） 步骤3---卡片参与请求消息（CEReq） 步骤4---卡片参与响应消息（CERes） 步骤5、6---互联网交易请求消息（ITReq）
5、6表明通过持卡人的浏览器传递 步骤8、9、10---互联网交易响应信息（ITRes）
交易流程重点说明
Step 0 可选步骤； API将参与CUPsecure的卡段下载存储在 cache中； 每次发起卡片参与请求前，查询卡号是否包 含在参与的卡段中，如果不是，则拒绝； 可以节省交易时间；
交易流程重点说明
Step 3、4 发卡机构需要预先在CUPSecure登记参与的卡BIN； SR根据卡号→卡BIN →发卡机构。如果无法查找到， 则直接拒绝；如果找到，则将SAA的URL返回API； 只查询到卡BIN级别，不支持到卡号级别； 不向SAA转发，减少SAA的接口； 若选择SAA模式，SR在CERes中会将清算日期传递 给API，后续让API放置在ITReq中传递给SAA； 针对SAA模式下的跨境交易，SR会在CERes中将发 卡机构清算金额、持卡人扣账金额等信息传递给API， 后续让API放置在ITReq中传递给SAA；
银行ATM规范
ICS备案号： JR中 华 人 民 共 和 国 金 融 行 业 标 准 JR/T 0002—2009代替JR/T 0002－2001 银行卡自动柜员机（ATM ）终端规范Specification on automatic teller machine (ATM) terminal for bank card2009-03-17 发布 2009-07-01 实施中国人民银行 发 布目次前言 (II)1范围 (1)2规范性引用文件 (1)3术语和定义 (1)4 ATM终端硬件要求 (3)5 ATM终端软件要求 (3)6 ATM终端安全要求 (4)7 ATM终端应用功能 (4)8 ATM终端用户界面 (5)9 ATM终端交易处理流程 (12)10 ATM终端报文格式 (17)11 ATM终端凭证要素 (17)附录A（资料性附录）响应码列表 (21)附录B（资料性附录）ATM终端凭证样例 (23)前言本标准代替JR/T 0002－2001《银行磁条卡自动柜员机（ATM）应用规范》。
本标准与JR/T 0002－2001相比主要变化如下：——标准名称由《银行磁条卡自动柜员机（ATM）应用规范》变为《银行卡自动柜员机（ATM）终端规范》；——增加了部分内容：术语和定义、ATM 终端硬件要求、ATM 终端软件要求、ATM 终端安全要求、ATM 终端应用功能、ATM 终端报文格式等，对ATM 终端的交易流程、凭证要素等也做了修改和补充，增加了IC 卡处理流程。
本标准的附录A和附录B为资料性附录。
本标准由中国人民银行提出。
本标准由全国金融标准化技术委员会归口。
本标准负责起草单位：中国人民银行科技司、中国金融电子化公司。
本标准参加起草单位：中国工商银行、中国农业银行、中国银行、中国建设银行、交通银行、招商银行、中国银联股份有限公司、银行卡检测中心。
本标准主要起草人：姜云兵、杜宁、李曙光、刘运、刘启滨、杨颖莉、刘志宇、马小琼、张艳、赵志兰、邱岩、林琦、汪卫民、同勇、袁国能、钱菲、顾才泉、黄发国、邵阔义、刘志刚、张永峰。
中国银联直联终端应用规范第1部分直联POS终端应用接口规范1
目次前言IV1 范围22 规范性引用文件 23 术语和定义 33.1 银行卡 bank card 33.2 磁条卡 magnetic stripe card 33.3 销售点终端 point of sale；POS 33.4 POS中心 POS center 33.5 特约商户 merchant 33.6 持卡人 card holder 33.7 发卡行 issuer 33.8 收单行 acquirer 33.9 参考号 reference number 33.10 交易批次号 batch number 43.11 主账号 primary account number 43.12 交易处理码 processing code 43.13 POS流水号 trace number 43.14 服务点输入方式码 point of service entry mode 43.15 授权码 authorization number 43.16 响应码 response number 43.17 个人标识码 personal identification number； PIN 43.18 报文鉴别码 messang authentication code；MAC 43.19 安全控制信息 security control related information 43.20 密钥加密密钥 key encryption key； KEK 43.21 工作密钥 working key；WK 53.22 EMV Europay MasterCard VISA 53.23 集成电路卡 integrated circuit card 53.24 支付系统环境 payment system environment；PSE 53.25 应用标识 application identifier；AID 53.26 应用标签 application label 53.27 应用首选名称 application preferred name 53.28 应用选择指示符 application selection indicator；ASI 53.29 脚本 script 53.30 应用认证密文 application authentication cryptogram；AAC 5 3.31 授权响应密文 authorization response cryptogram；ARPC 53.32 授权请求密文 authorization request cryptogram；ARQC 53.33 数据对象列表 data object list；DOL 63.34 fallback 63.35 终端行为代码 terminal action code；TAC 63.36 交易证书 transaction certificate；TC 63.37 终端校验结果 terminal verification results；TVR 63.38 交易验证码 transaction authorization crypogram；TAC 63.39 EP electronic purse 63.40 PSAM卡 63.41 TMS 63.42 刷卡金额63.43 持卡人折扣 63.44 扣持卡人金额73.45 分期付款特约商户73.46 分期付款首期金额73.47 分期付款持卡人手续费7 3.48 分期付款期数73.49 分期付款项目编码73.50 持卡人主账户73.51 电子现金帐户73.52 电子现金73.53 快速借/贷记应用73.54 积分兑换特约商户73.55 商品代码73.56 积分消费交易73.57 积分消费撤销交易83.58 自付金83.59 手机芯片83.60 非接触式支付方式83.61 部分扣款83.62 返回余额84 POS终端管理功能84.1 系统管理84.2 操作人员管理 134.3 应用管理135 POS终端交易功能165.1 联机交易功能 165.2 离线交易功能 196 POS终端界面196.1 界面基本要求 206.2 交易界面207 POS终端交易处理流程537.1 读卡处理547.2 余额查询577.3 明细查询607.4 消费627.5 消费撤销717.6 退货767.7 预授权787.8 追加预授权（不支持）81 7.9 预授权撤销817.10 预授权完成（通知） 847.11 预授权完成（请求） 867.12 授权完成撤销877.13 IC卡圈存交易处理流程887.14 离线结算957.15 结算调整967.16 批结算978 消息域说明988.1 说明998.2 数据类型1008.3 数据元名称及其定义1009 POS终端消息交换说明1359.1 消息格式说明 1359.2 交易类1379.3 离线类1839.4 管理类18910 POS终端凭证要素及格式要求19710.1 交易凭证要素19810.2 签购单支持卡号屏蔽 19810.3 签购单要求及参考样式19810.4 交易凭证尺寸要求（套打）20510.5 签购单印刷要求（套打）205附录 A （规范性附录）个人标识码（PIN）的加密和解密方法 207A.1 用于PIN加、解密的主账号PAN取法207手输卡号 207刷卡方式 207A.2 PIN的长度207A.3 PIN的字符集207A.4 PIN格式207附录 B （规范性附录） POS终端MAC的算法209 附录 C （规范性附录）对应答码的处理211附录 D 发卡银行中文名称和简称214前言本标准在编写过程中主要依据《银行磁条卡销售点终端规范》（JR/T0001－2001）、《中国集成电路（IC）卡规范》，在编写中也广泛征求了POS终端生产厂商、系统集成商和部分商业银行的意见。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
交易种类
金融类交易
余额查询
消费、消费撤销、退货
预授权、预授权撤销、预授权 完成、预授权完成撤销 帐户验证、汇款
代扣消费、代扣授权
收单行支付通知、发卡行支付 通知 交易异常通知
请求类 交易
通知类 交易
管理类交易
交易结果查询 卡段下载 互联网委托银联验证
参与方支持的交易种类
收单机构 支持除交易异常通知以外的所有的互联网发起的交易 支持SC模式的发卡机构，也支持SAA模式的发卡机构
5 API通过持卡人浏览器提交交易（预授权/消费）请求给SAA；
6 SAA接收到交易（预授权/消费）请求；
7 SAA和持卡人进行交互，验证持卡人身份； 若持卡人通过身份验证，则SAA直接进行交易的处理；
8 SAA将交易结果发送给SR；
9 SR将交易结果发送给API；
10 SAA将持卡人浏览器重定向到支付网关的交易结果页面。
银联提供多种认证方式和认证要素由各家银行选 择。认证方式和认证要素配置支持到卡种。
入网方式
发卡机构 商户
SAA模式
SC模式
收单机构
CUPSecure API
中国银联 CUPSecure系统
• 互联网跨行支付业务 • 跨境互联网支付业务 • 国内/跨境互联网汇款业务 • 电话邮购业务 • 分期付款业务
持卡人开户行
5 CUPS
商户开户行
交易结果返回
买方 买方银行卡
API
6 SR将交易结果返回给API
SR
持卡人开户行
商户开户行
应答结果
7
API
买方
买方银行卡
API将交易应答返回给持卡人
持卡人开户行
CUP secure
商户开户行
SAA—消费/预授权
发卡机构 CUPS
SAA
6
7
10
8
SR34源自91持卡人
1
2
5
0 2
API 收单机构支付网关
交易图中消息对应关系
步骤0—卡段更新消息（SCR） 步骤3---卡片参与请求消息（CEReq） 步骤4---卡片参与响应消息（CERes） 步骤5、6---互联网交易请求消息（ITReq）
5、6表明通过持卡人的浏览器传递 步骤8、9、10---互联网交易响应信息（ITRes）
持卡人开户行
CUP_SR
商户开户行
发卡机构直接认证授权模式
API 买方
买方银行卡 4
持卡人发卡行输入相应的信 息，发卡机构认证持卡人身
份，并且完成帐户处理
持卡人开户行
CUP _SC
商户开户行
发卡机构处理结果转发
API 买方
买方银行卡
发卡机构将交易处理结果向 SR转发；同时SR向CUPS
转发
5 SR
消息的种类
SCReq CEReq ITReq IRReq ITExc IPReq ISReq
Error
SCRes CERes ITRes IRRes
IPRes ISRes
卡段下载类消息
卡参与查询类消息 互联网交易类消息 交易结果查询类消息 互联网交易异常消息 互联网支付通知类消息 互联网验证类消息 错误消息
发卡机构
收单机构
持卡人
互联网商户
业务模式SAA/SC
SAA模式
发卡机构直接验证授权模式
由发卡机构自行收集用户安全认证信息，完成安 全认证和授权处理。
持卡人的认证方式和认证要素由发卡银行决定。
银联安全输入模式
SC模式
由银联提供服务，代替发卡机构收集用户安全认 证信息，并通过现有跨行交换网络发送给发卡机 构进行安全认证和授权处理。
8由SAA传递给SR 9由SR传递给API 10由SAA传递给API
交易流程说明
0 API发送卡段更新请求给SR以获取CUPSecure支持的最新卡段，同时保存到其cache中；
1 持卡人浏览商户网站、购买商品、选择使用银联卡进行网上支付，商户网站提交支付请求到收 单机构支付网关，同时将持卡人浏览器页面定向到支付网关支付页面；
CUPSecure SAA技术规范说明
中国银联产品创新部 2020/9/10
主要内容
总体说明 交易流程说明 交易报文说明 基金业务说明
总体说明
银联互联网安全支付业务
中国银联互联网安全支付服务是中国银联自主创新、拥有知识产权、
符合当前国内网上支付现状的互联网安全支付产品。建立了持卡人、发卡 机构、收单机构和商户四方统一的操作流程、服务流程和结算流程，为互 联网消费者提供安全、有效、便利的支付环境和服务，结束电子商务支付 环节长期以来无标准可言，无规范可施的局面。
2 持卡人在支付网关上输入并提交卡号；
3 支付网关调用API发起交易（预授权/消费）请求； API对SR发起确定持卡人是否参与CUPSecure的请求；
4 SR根据卡号确认发卡机构参与发卡机构直接验证授权模式服务，则SR进行相关检查后将响应 返回给SR； 如果无法验证（即“卡号参与验证标志”域值不为“Y”），则交易终止
SC模式发卡机构 只需支持传统的交易种类，不需支持互联网特殊交易 余额查询、消费类、预授权类、帐户验证、汇款、冲正
SAA模式发卡机构 支持金融类交易，而不包括管理类 余额查询、消费类、预授权类、帐户验证、汇款、代扣、通 知类交易
消息种类
消息的作用
消息是用来传递详细交易以及交易控制信息的。
CUPSecure交易流程说明（SAA）
购买产品
1 API
买方
买方银行卡
买方登陆商户网站，选择 物品。
持卡人开户行
CUP secure
商户开户行
支付请求
2 买方
买方银行卡
持卡人在收单网关输入卡号
API 收单网关
持卡人开户行
CUP secure
商户开户行
卡号路由
买方 买方银行卡
API
3 API将卡号提交CUP_SR
交易流程重点说明
Step 0 可选步骤； API将参与CUPsecure的卡段下载存储在 cache中； 每次发起卡片参与请求前，查询卡号是否包 含在参与的卡段中，如果不是，则拒绝； 可以节省交易时间；
交易流程重点说明
Step 3、4 发卡机构需要预先在CUPSecure登记参与的卡BIN； SR根据卡号→卡BIN →发卡机构。如果无法查找到， 则直接拒绝；如果找到，则将SAA的URL返回API； 只查询到卡BIN级别，不支持到卡号级别； 不向SAA转发，减少SAA的接口； 若选择SAA模式，SR在CERes中会将清算日期传递 给API，后续让API放置在ITReq中传递给SAA； 针对SAA模式下的跨境交易，SR会在CERes中将发 卡机构清算金额、持卡人扣账金额等信息传递给API， 后续让API放置在ITReq中传递给SAA；