मोबाइल पेमेंट टर्मिनल नेटवर्क सिक्योरिटी के लिए क्या उपयोग करते हैं?

मोबाइल पेमेंट टर्मिनल्स में नेटवर्क सुरक्षा

मोबाइल पेमेंट टर्मिनल्स (mPOS, सॉफ्टपीओएस, कॉन्टैक्टलेस रीडर्स) संवेदनशील कार्डहोल्डर डेटा संभालते हैं, इसलिए बहु-स्तरीय सुरक्षा लागू करते हैं।

1. एन्क्रिप्शन (मूलभूत)

2. टोकनाइजेशन

पैन (PAN) टोकनाइजेशन: वास्तविक कार्ड नंबर → टोकन (अनुपयोगी अगर चोरी हो)
डिवाइस टोकन: Apple Pay/Google Pay - डिवाइस-विशिष्ट टोकन (DPAN)
नेटवर्क टोकन: EMVCo स्पेसिफिकेशन, कार्ड नेटवर्क द्वारा जारी
लाभ: व्यापारी वातावरण में वास्तविक PAN कभी नहीं होता → PCI DSS स्कोप कम

3. प्रमाणीकरण और पहचान

EMV चिप (कॉन्टैक्ट/कॉन्टैक्टलेस): डायनामिक क्रिप्टोग्राम (ARQC) प्रति ट्रांजैक्शन - रीप्ले अटैक रोकता है
सर्टिफिकेट-आधारित प्रमाणीकरण: टर्मिनल ↔ प्रोसेसर म्यूचुअल ऑथ (X.509 सर्टिफिकेट)
डिवाइस आइडेंटिटी: हार्डवेयर रूट ऑफ ट्रस्ट, TPM/SE (सिक्योर एलिमेंट), अटेस्टेशन
MFA टर्मिनल एक्सेस के लिए: टर्मिनल एडमिन/रिफंड फंक्शन के लिए पिन + बायोमेट्रिक/कार्ड

4. सुरक्षित तत्व (Secure Element - SE) और HSM

टर्मिनल में SE: की स्टोरेज, क्रिप्टोग्राफिक ऑपरेशन, पिन एंट्री (PCI PTS प्रमाणित)
HSM (हार्डवेयर सिक्योरिटी मॉड्यूल): बैकएंड में मास्टर की जनरेशन, की इंजेक्शन, टोकनाइजेशन
कुंजी इंजेक्शन सुविधा (KIF): उत्पादन/तैनाती पर टर्मिनल में अद्वितीय कुंजियां इंजेक्ट करना

5. PCI DSS अनुपालन (अनिवार्य)

PCI PTS (पिन ट्रांजैक्शन सिक्योरिटी): हार्डवेयर सुरक्षा आवश्यकताएं (POI डिवाइस के लिए)
PCI P2PE: मान्य P2PE समाधान → व्यापारी SAQ कम (SAQ P2PE)
PCI DSS v4.0: आवश्यकता 2, 3, 4, 8, 10, 11, 12 मोबाइल पेमेंट पर लागू
PCI SSC मोबाइल पेमेंट गाइडलाइंस: सॉफ्टपीओएस (CPoC - कॉन्टैक्टलेस पेमेंट्स ऑन COTS) के लिए विशिष्ट

6. नेटवर्क स्तर सुरक्षा

VPN/निजी नेटवर्क: टर्मिनल → एक्वायरर गेटवे (IPsec, MPLS, निजी APN)
फायरवॉल/ACL: केवल अधिकृत गेटवे IP/पोर्ट तक आउटबाउंड
DNS सुरक्षा: DNSSEC, DoH/DoT,恶意 डोमेन ब्लॉकिंग
समय सिंक्रनाइज़ेशन: NTP प्रमाणीकरण (टाइमस्टैम्प वैधता के लिए)

7. सॉफ्टपीओएस / CPoC (कमर्शियल ऑफ-द-शेल्फ पर कॉन्टैक्टलेस पेमेंट्स)

सामान्य स्मार्टफोन/टैबलेट को NFC रीडर के रूप में उपयोग (कोई अतिरिक्त हार्डवेयर नहीं)
PCI CPoC मानक: सॉफ्टवेयर-आधारित सुरक्षा, व्हाइट-बॉक्स क्रिप्टोग्राफी, अटेस्टेशन
आइसोलेशन: TEE (ट्रस्टेड एक्जीक्यूशन एनवायरनमेंट) या SE में पेमेंट ऐप
स्क्रीन सुरक्षा: PIN एंट्री के लिए सिक्योर कीबोर्ड, स्क्रीन रिकॉर्डिंग रोकथाम

8. उभरती तकनीकें

SBOM (सॉफ्टवेयर बिल ऑफ मटेरियल्स): सप्लाई चेन पारदर्शिता
रिमोट अटेस्टेशन: क्लाउड-आधारित डिवाइस स्वास्थ्य सत्यापन
AI/ML धोखाधड़ी पहचान: रियल-टाइम ट्रांजैक्शन स्कोरिंग
ब्लॉकचेन/वितरित लेजर: ऑडिट ट्रेल, सेटलमेंट (पायलट चरण)

खतरा मॉडल और प्रतिउपाय

स्तर	क्या एन्क्रिप्ट होता है	तकनीक
पॉइंट-टू-पॉइंट एन्क्रिप्शन (P2PE)	कार्ड डेटा प्रवेश बिंदु (रीडर) से डिक्रिप्शन वातावरण तक	AES-256, DUKPT (डेराइव्ड यूनिक की पर ट्रांजैक्शन), TDES (विरासत)
एंड-टू-एंड एन्क्रिप्शन (E2EE)	टर्मिनल से एक्वायरर/प्रोसेसर तक	TLS 1.2/1.3, सर्टिफिकेट पिनिंग
ट्रांसपोर्ट लेयर सिक्योरिटी (TLS)	नेटवर्क संचार (POS ↔ गेटवे/प्रोसेसर)	म्यूचुअल TLS (mTLS), सर्टिफिकेट पिनिंग, सिफर सूट प्रतिबंध

खतरा	प्रतिउपाय
मैन-इन-द-मिडल (नेटवर्क)	म्यूचुअल TLS, सर्टिफिकेट पिनिंग, HSTS
स्किमिंग/शिमिंग (हार्डवेयर)	टैम्पर-एविडेंट टर्मिनल, नियमित निरीक्षण, P2PE
मैलवेयर ऑन POS/मोबाइल डिवाइस	ऐप व्हाइटलिस्टिंग, EDR, कोड साइनिंग, SE/TEE
कमजोर/डिफॉल्ट क्रेडेंशियल्स	मजबूर पासवर्ड रोटेशन, MFA, PAM
साइड-चैनल अटैक (पावर/EM)	PCI PTS प्रमाणित हार्डवेयर, मास्किंग
रिफंड/वॉयड धोखाधड़ी (इंसाइडर)	डुअल कंट्रोल, MFA, ऑडिट लॉग, वीडियो निगरानी

उपभोक्ता के लिए सुरक्षा टिप्स

कॉन्टैक्टलेस/मोबाइल वॉलेट (Apple Pay, Google Pay) प्राथमिकता दें - टोकनाइजेशन + बायोमेट्रिक
PIN प्रविष्टि के समय कीपैड ढकें
टर्मिनल से छेड़छाड़ के संकेत जांचें (ढके हिस्से, अतिरिक्त केबल)
लेनदेन अलर्ट सक्षम करें (SMS/ऐप नोटिफिकेशन)
नियमित स्टेटमेंट समीक्षा करें

निष्कर्ष

मोबाइल पेमेंट टर्मिनल्स **हार्डवेयर सुरक्षा (SE/HSM, PCI PTS), क्रिप्टोग्राफी (P2PE, टोकनाइजेशन, EMV), नेटवर्क सुरक्षा (TLS, VPN), और कंप्लायंस (PCI DSS, CPoC)** की कई परतों का उपयोग करते हैं। सुरक्षा केवल टर्मिनल में नहीं, बल्कि पूरे पेमेंट इकोसिस्टम (एक्वायरर, नेटवर्क, जारीकर्ता) में एंड-टू-एंड लागू होती है।