PCI更新手机POS征求意见稿 看手机POS的国内外发展

近日，PCI SSC更新了关于手机POS（PCI Contactless Payments on COTS Standard）的第一个征求意见稿，PCI SSC 的首席技术官Troy Leach针对相关更新进行了说明介绍。

CPoC标准的进展和特点

Troy Leach表示，目前PCI标准委员会刚刚完成了CPoC标准的第一个征求意见稿，目前正在审查这一反馈，并将与参编人员共享如何处理反馈摘要，并新添加到征求意见中。目前第二个征求意见稿计划在2019年8月推出，将向PCI移动工作组、参编小组、评估小组和实验室开放。

COTS是指商户可以采购到的具有开放标准的软件和硬件产品，CPoC即Contactless Payments on COTS的简写，这项新的非接触式支付标准解决方案可以使商户受理他们现有的COTS设备上的非接触式支付，而不需要任何附加的安全硬件设备。而且其专注于证明移动设备端仍可以保证非接支付交易的安全。

因此，这套新的非接触式支付标准方案实际上便可以理解为国内的手机POS方案。

Troy Leach介绍，CPoC解决方案的主要元素包括具有NFC接口的COTS设备，以读取银行卡和启动免密的非接触式交易；在商户COTS设备上运行的支付安全软件应用程序；支持实时监控、完整性检测和支付信息处理并独立于COTS设备的后端系统。通过商户应用和配套的后端系统，商家和消费者可以在CPoC安全解决方案上完成非接触式交易。

除了不需要外设硬件之外，CPoC标准方案与另一个SPoC（the Software-based PIN Entry on COTS）标准方案比较大的不同点在于CPoC直接通过手机等移动设备的NFC进行支付而不需要输入PIN密码，而SPoC则专门设计了用于安全认证的外部读取设备用来输入PIN密码。

对于未来是否会考虑为CPoC方案加上输入密码操作的问题？他也表示，CPoC标准方案并非专为输入PIN的场景而设计，但是PCI会持续不断观察行业的发展，并推进标准的改革。不过目前来说，保证持卡人密码与个人数据的安全隔离仍然是所有标准的前提。

国内手机POS方案的发展和异同

2018年12月，中国银联联合各大商业银行及国内主流手机厂商正式启动了银联手机POS产品的首批应用试点合作，成为全球范围内手机POS首次正式落地的方案。

而据了解，银联的手机POS方案不仅严格遵循了人行《移动终端支付可信环境技术规范》，并且联合相关机构充分解读细化PCI于2018年3月发布的SPoC规范，依托SPoC规范进行相关设计研发，可以说银联手机POS方案的确是一项全球领先的移动金融创新。

SPoC尽管与CPoC有许多相似之处，但是毕竟不是两个相同的标准方案。于是在去年6月银联发布手机POS概念方案之后，PCI便宣布将发布手机POS的认证标准，而这项标准便是如今提到的CPoC。

中国银联手机POS产品负责人郭伟向移动支付网介绍，尽管银联不是PCI的成员，但是银联是EMVCo的股东成员，PCI相关方案的制定会征求EMVCo的意见，银联可以通过EMVCo向PCI传达相关建议。另外，BCTC作为PCI授权的安全检测机构，也能为该标准落地作出贡献。

而关于安全考虑来看，目前银联手机POS采用了与CPoC相同的方式，主要针对小额免密免签的交易场景，并提供对应的当日消费撤消和隔日退款功能。

但可能与CPoC不太一样的是，银联手机POS方案除了具备非接支付能力之外还结合了国内的市场情况，兼容了二维码主被扫、身份证、非接社保卡甚至是刷脸认证在内的多项功能。

从去年年底面世以来，银联手机POS先后在数博会、京交会等展会上亮相，并在银联食堂进行了压力试点测试。据郭伟透露，银联手机POS作为中国人民银行联合五部委的金融科技应用试点项目将会持续稳步推进，预计今年7月份开始将会陆续落地。

结语

移动互联网的飞速发展下催生了很多新的应用场景和产品形态，手机POS作为一项移动金融创新产品在推向市场时必然会面临各种挑战。在帮助收单机构低价高效触达商户方面，手机POS具备一定的优势，但在应用落地实施上，银联不是互联网企业，没有办法做到“先斩后奏”。而最重要的问题是，商户以及消费者对于创新产品的接受程度，这一点我们只能等市场的答案了。