YD/T 3669-2020 标准解读

一、标准整体架构与篇章体系

• 第1章 范围：界定标准适用于具备近场通信（NFC）、二维码、声波等支付功能的移动通信终端内置或预置支付软件，不涵盖独立App商店下载的第三方支付应用。
• 第2章 规范性引用文件：引用GB/T 25069—2010《信息安全技术 术语》、YD/T 2405—2012《移动智能终端安全能力技术要求》、GM/T 0018—2012《密码设备应用接口规范》等11项基础性与专业性标准。
• 第3章 术语和定义：明确定义“支付软件”“可信执行环境（TEE）”“安全启动链”“支付敏感信息”“动态令牌”等17个核心术语，其中“支付敏感信息”特指银行卡号（掩码后完整卡号除外）、CVN2、有效期、PIN加密块、设备绑定密钥等六类数据。
• 第4章 安全技术要求总则：确立“最小权限、纵深防御、可信根驱动、生命周期覆盖”四项基本原则，明确安全要求覆盖开发、集成、分发、运行、更新、卸载全阶段。
• 第5章～第8章 分项要求：按安全域划分为5章（安全架构与环境）、6章（身份鉴别与访问控制）、7章（支付数据安全）、8章（安全审计与应急响应），各章下设条款编号连续，无交叉引用缺失。

二、强制性核心条款分级

1. 5.2.1 TEE强制启用：支付软件关键操作（PIN输入、密钥派生、交易签名）必须在TEE内完成；未部署TEE的终端不得预置符合本标准的支付软件。
2. 6.3.2 动态口令时效约束：基于时间的动态口令（TOTP）有效期不得超过30秒，基于事件的动态口令（HOTP）单次使用后立即失效，且服务端须同步校验计数器偏差≤100。
3. 7.1.4 敏感信息存储禁令：禁止以明文、可逆加密或弱哈希（MD5、SHA-1）形式在非TEE区域存储CVN2、完整PIN、磁道数据；TEE内密钥存储须满足GM/T 0028—2014《密码模块安全技术要求》二级以上要求。
4. 7.2.3 交易指令完整性保护：支付请求报文须采用国密SM2数字签名或SM4-CBC+SM3 HMAC双重机制，签名私钥不可导出，HMAC密钥须由TEE内KDF派生且生命周期绑定会话。
5. 8.1.1 审计日志留存底线：成功/失败支付交易、PIN输入尝试、安全策略变更、TEE异常退出等8类事件日志须本地加密存储≥180天，并支持远程审计接口调用，日志字段含时间戳（精度≤10ms）、事件类型、设备唯一标识（IMEI/MEID）、应用包名哈希值。

三、推荐性优化条款解读

• 5.3.2 多因子生物特征融合：鼓励在TEE内集成指纹与活体检测（红外+微纹理）双模验证，拒绝仅依赖2D图像识别的单一生物因子方案；适配金融级高风险交易场景（单笔≥5000元）。
• 6.4.1 会话令牌动态刷新：建议支付会话令牌每120秒自动轮换，且令牌绑定设备证书指纹与当前网络接入点BSSID；适用于Wi-Fi环境下防中间人劫持场景。
• 7.4.2 交易风险实时评分：推荐集成设备行为基线（如触摸压力、滑动轨迹熵值）、地理位置突变检测（GPS漂移＞500m/s）、异常时区切换等5维特征，输出0～100风险分值供服务端决策；不作为强制风控依据，但需提供标准化评分接口。
• 8.2.3 自愈式安全更新：建议支持TEE固件静默回滚机制：当新版本启动校验失败时，自动加载上一可用版本并上报异常哈希值；适用于运营商定制终端批量OTA升级保障。

四、通用基础条款说明