Bagaimana Kami Membangun Tablet Keuangan yang Aman: Studi Kasus OEM Android untuk Perbankan & Fintech

Ringkasan Eksekutif

Sebuah jaringan ritel regional membutuhkan tablet Android bersertifikasi PCI dan sesuai standar EMVCo untuk pemrosesan pembayaran di tingkat cabang. Yang terjadi kemudian adalah kegagalan perangkat keras senilai $280,000, perbaikan selama 11 minggu, dan pelajaran yang jarang didokumentasikan dalam brosur OEM. Studi kasus ini membahas keputusan arsitektur, kegagalan, perbaikan, dan realitas rekayasa keamanan yang membedakan tablet keuangan dari perangkat yang hanya lulus audit sertifikasi.

Apa yang Bank Kira Sedang Mereka Beli

Kebenaran yang kami sampaikan kepada setiap klien sebelum menyentuh skema apa pun: Kepatuhan PCI PTS, EMVCo L1/L2, Android Enterprise, dan MDM bukanlah jaminan keamanan. Itu hanyalah mekanisme pengalihan tanggung jawab.

Baca juga: Studi Kasus Tablet Tangguh

Sertifikasi PTS hanyalah gambaran sesaat, bukan perisai. PCI PTS v6 mensertifikasi perangkat pada titik waktu tertentu. Setiap pembaruan firmware — termasuk patch keamanan — memicu sertifikasi ulang. Sebagian besar OEM mengunci firmware untuk menghindari biaya sertifikasi ulang. Tablet perbankan biasanya tertinggal 18–24 bulan dalam hal patch keamanan Android. Perangkat tersebut "sesuai PCI." Kernelnya belum di-patch. Kedua fakta tersebut ada bersamaan sampai terjadi pelanggaran yang memaksa terjadinya perubahan.

Android Enterprise dengan MDM penuh mengakhiri penerapan offline. Tumpukan standar mengasumsikan konektivitas cloud yang konstan. Dalam lingkungan dengan konektivitas rendah, data kami menunjukkan Tingkat kegagalan di lapangan 30–40% lebih tinggi dibandingkan dengan build AOSP yang terkunci. Perangkat menjadi rusak saat di-reboot setiap malam ketika MDM tidak dapat terhubung ke server.

Para pembeli mengira mereka membeli keamanan. Padahal sebenarnya mereka membeli keterikatan dan kesulitan sertifikasi ulang di masa depan.

Persyaratan Klien & Mengapa Tablet Standar Gagal di Sektor Perbankan

Apa yang Diminta Klien

Spesifikasi yang diberikan standar untuk tablet Android kelas keuangan yang digunakan untuk perbankan:

• Layar IPS FHD 10 inci untuk proses pendaftaran pelanggan di cabang.
• Pembaca NFC terintegrasi, pembaca kartu pintar, kamera depan beresolusi tinggi untuk alur kerja perangkat keras tablet eKYC.
• Konektivitas LTE/5G, enkripsi tingkat perangkat keras, boot aman.
• Integrasi tablet PCI DSS + EMV, siklus produksi 5+ tahun

Daftar Periksa Kepatuhan (Dan Apa yang Tidak Dicakupnya)

• PCI-DSS 4.0.1 — Persyaratan 6.4.3 membuat pembeli tetap bertanggung jawab atas kode pihak ketiga bahkan pada perangkat yang “sesuai”
• EMVCo L1/L2 — mensertifikasi kinerja tanpa kontak dalam kondisi laboratorium terkontrol, bukan EMI dunia nyata dari rak logam atau motor.
• CE/FCC — tidak menyebutkan apa pun tentang integritas rantai pasokan firmware atau kerentanan kernel zero-day
• Android Enterprise Direkomendasikan — Membutuhkan Google Play Services; tidak kompatibel dengan arsitektur offline-first
• Sertifikasi telekomunikasi regional — menambahkan 4–8 minggu ke PVT di sebagian besar pasar APAC dan MENA

Peta sertifikasi tidak sesuai dengan wilayahnya. Kesenjangan itulah yang menyebabkan sebagian besar proyek pengembangan tablet perbankan gagal.

Arsitektur Sistem & Pemilihan SoC

Mengapa Kami Memilih Qualcomm daripada MediaTek

Pemilihan SoC untuk tablet keuangan merupakan keputusan siklus hidup, bukan keputusan tolok ukur. Kami mengevaluasi kedua platform tersebut berdasarkan empat kriteria:

• Kualitas TEE — Kepatuhan API GlobalPlatform, kedalaman validasi laboratorium keamanan pihak ketiga
• Ketersediaan siklus hidup — Perangkat keras keuangan membutuhkan jangka waktu pasokan 5-7 tahun; SKU MediaTek untuk konsumen tidak memiliki jaminan tersebut.
• Jalur peningkatan Android — sebuah SoC yang kehilangan dukungan kernel di tengah implementasi memaksa pembeli untuk melakukan sertifikasi ulang
• Akselerasi kripto — Enkripsi yang dipercepat perangkat keras adalah perbedaan antara daya tahan baterai 9 jam dan 6 jam di bawah beban kerja finansial.

Untuk penerapan yang mengutamakan offline, perhitungan ini berubah — yang akan dibahas di bagian perangkat lunak di bawah ini.

Arsitektur Blok Perangkat Keras

Integrasi subsistem untuk proyek OEM tablet Android yang aman melibatkan saling ketergantungan yang sebagian besar diagram blok sembunyikan:

• SoC → TEE berada di sini; menggerakkan semua subsistem
• Elemen Aman Tertanam (eSE) → terisolasi dari AP utama; operasi kriptografi EMV dan penyimpanan kunci pembayaran
• Pengontrol NFC → berinteraksi langsung dengan eSE; penempatan antena di sini adalah bagian yang paling sering menimbulkan masalah bagi sebagian besar tim.
• Modul sidik jari → eKYC biometrik; memerlukan saluran aman ke TEE
• Modul LTE/5G → Antena RF harus diisolasi dari antena NFC untuk mencegah interferensi.

Risiko integrasi terletak pada interaksi, bukan pada komponennya.

Rekayasa Keamanan: Perangkat Keras, Firmware & Sistem Operasi

TEE, Boot Aman & Skenario Serangan Nyata

Tiga skenario ancaman membentuk arsitektur keamanan kami untuk tablet Android perbankan ini:

Perubahan firmware — Penyerang dengan akses fisik mem-flash firmware yang dimodifikasi untuk melewati pemeriksaan integritas pembayaran. Pertahanan: rantai boot terverifikasi yang tertanam dalam perangkat keras; setiap gangguan akan menghentikan proses boot sepenuhnya.

Serangan relai NFC — Di pusat perbelanjaan dengan kepadatan tinggi dan banyak pembaca dalam jarak 30 cm, penyerang pasif dapat mencoba melakukan intersepsi relay. Pertahanan: semua operasi pembayaran dieksekusi di dalam eSE; kunci pembayaran tidak pernah mencapai prosesor aplikasi utama.

Pencurian perangkat di tengah sesi — Pertahanan: penyimpanan kunci berbasis perangkat keras dengan pengikatan biometrik; penghapusan jarak jauh yang kompatibel dengan MDM dengan penguncian yang diberlakukan TEE yang tetap ada meskipun sistem operasi diinstal ulang.

Enkripsi Pembayaran Secure Element & NFC

Elemen keamanan terintegrasi (eSE) menangani tiga fungsi yang tidak dapat didelegasikan ke perangkat lunak: operasi kriptografi EMV, penyimpanan kunci pembayaran (kunci tidak pernah ada dalam bentuk teks biasa di luar eSE), dan isolasi transaksi NFC di mana eSE berkomunikasi langsung dengan pengontrol NFC, melewati AP sepenuhnya. Inilah yang membuat tablet pembayaran aman secara arsitektur berbeda dari perangkat konsumen dengan aplikasi pembayaran.

Penguncian Tingkat Sistem Operasi

• Mode kios — penguncian aplikasi tunggal; tidak ada akses ke pengaturan, laci aplikasi, atau peramban.
• Izin terbatas — NFC dan kamera hanya dapat diakses oleh aplikasi pembayaran yang terverifikasi
• Tablet perbankan yang kompatibel dengan MDM — penguncian jarak jauh, penghapusan data, dan jejak audit untuk pelaporan kepatuhan

Detail yang tidak pernah disebutkan dalam panduan pemula: Penyediaan kunci TEE harus menggunakan rantai pengesahan yang baru dari pabrik dan unik untuk setiap perangkat — tidak pernah menggunakan kembali kunci pengembangan. Kunci pengembang yang disematkan ke unit EVT untuk kemudahan pengujian, jika tidak diganti secara eksplisit pada PVT, menyebabkan pengesahan jarak jauh gagal secara diam-diam di lapangan. Perangkat ini lolos setiap uji laboratorium dan tidak dapat diverifikasi secara kriptografis setelah penyebaran.

Rekayasa PCB & PCBA untuk Keandalan Keuangan

Kegagalan yang Merugikan $280,000

Dalam produksi tahun 2024–2025, kami menempatkan antena NFC langsung di atas paket baterai — tata letak standar ponsel pintar. Kombinasi pengontrol NFC Qualcomm dan eSE telah terbukti handal. Casing DVT terbuat dari plastik. Kami menjalankan 10,000 siklus ketukan. Kami lulus sertifikasi laboratorium EMVCo. Persetujuan DVT bersih.

PVT menceritakan kisah yang berbeda.

Produksi pertama sebanyak 800 unit langsung dikirim ke toko-toko — rak logam, motor pendingin, beberapa pembaca NFC di dekatnya. Tingkat kegagalan di lapangan: 22%Hampir satu dari empat transaksi mengalami timeout.

Akar penyebab: sasis logam akhir, pembengkakan baterai di bawah siklus operasi nyata, dan toleransi perekat 0.8 mm menggeser frekuensi resonansi antena NFC sekitar 350 kHz — cukup untuk menurunkan koefisien kopling di bawah minimum ISO 14443 di medan pembaca yang marginal. Antena tersebut disetel untuk prototipe plastik. Produksi massal menghentikannya.

Cara mengatasinya: Revisi PCB baru dengan jaringan pencocokan impedansi yang dapat disetel, pelindung ferit khusus, dan zona bebas logam. 11 minggu. ~$280,000 dalam NRE, barang rongsokan, dan sertifikasi ulang yang dipercepat. Kontrak volume tahun pertama hilang.

“Laboratorium berarti prototipe plastik. Produksi berarti logam ditambah toleransi. Keduanya sangat berbeda.”

Penempatan Antena NFC: Aturan yang Tidak Tercantum dalam Panduan

Protokol kami setelah kegagalan itu, sekarang tidak dapat dinegociasikan lagi: Penempatan penutup belakang, minimal 8–10 mm dari paket baterai, zona bebas masuk khusus dari logam. Bahkan selisih 1 mm saja, atau variasi perekat atau cat dalam produksi, dapat menurunkan faktor Q hingga menyebabkan kegagalan sesekali yang lolos uji DVT dan gagal di pasaran.

Dua solusi untuk variasi produksi: jaringan pencocokan yang dapat disetel (biaya awal lebih tinggi) atau kekuatan medan yang dirancang berlebihan (mengorbankan ruang lingkup kepatuhan EMI). Tidak ada jawaban yang pasti — hanya kompromi yang dikelola. Tim yang meniru tata letak antena ponsel pintar menemukan hal ini dalam PVT, bukan sebelumnya.

Desain PCB Multi-Layer untuk NFC Kelas Keuangan

• Susunan 6–8 lapisan — impedansi terkontrol untuk jalur RF; penyimpangan >10% secara terukur memengaruhi jarak kopling NFC
• Perisai EMI — RF tertutup di atas pengontrol NFC, via penghubung ground di sepanjang perimeter yang tidak boleh diakses.
• isolasi bidang daya eSE — Saluran ground khusus mencegah kebocoran sidechannel melalui noise daya AP
• Pemisahan antena — Antena NFC dan LTE/5G ditempatkan di sisi perangkat yang berlawanan untuk meminimalkan kopling timbal balik.

Lingkungan keuangan merupakan lingkungan RF yang tidak ramah. Desain PCB tablet yang aman dioptimalkan untuk toko, bukan laboratorium.

Kesiapan Lapangan: Daya Tahan & Manajemen Daya Perangkat Keuangan

Dirancang untuk Penggunaan Komersial Sehari-hari

Tablet keuangan bukanlah perangkat keras industri yang tangguh, tetapi tablet ini menghadapi tekanan setiap hari. Hal-hal yang tidak dapat ditawar:

• Kepatuhan jatuh dari ketinggian 1 meter — staf cabang menjatuhkan perangkat
• Lebih dari 10,000 siklus pemasukan USB — Port yang mengalami kegagalan setelah 3,000 siklus pada perangkat dengan siklus hidup 5 tahun merupakan masalah layanan lapangan.
• Hasil akhir matte, ramping, dan profesional. — perangkat keras yang berinteraksi langsung dengan pelanggan yang perlu terlihat kredibel melalui pengalaman penggunaan bertahun-tahun.

Realita Baterai yang Tidak Pernah Dicantumkan dalam Brosur

Spesifikasi teknis mengklaim daya tahan baterai 8,000 mAh selama 12–15 jam. Namun, dalam beban kerja finansial nyata—enkripsi disk penuh, polling NFC terus menerus, pencatatan transaksi EMV, operasi kunci TEE—angka sebenarnya adalah... 7 – 9.5 jam.

Mengapa ada kesenjangan: Prosesor aman StrongBox dan TEE tidak dapat memasuki kondisi tidur nyenyak yang sama seperti AP utama selama operasi kunci aktif. Hal itu menyebabkan konsumsi daya tambahan 15–25% dibandingkan dengan penyimpanan kunci perangkat lunak. Dalam penerapan kios 24/7, pembeli akan menyadari dalam waktu 12 bulan bahwa mereka membutuhkan paket baterai eksternal atau program penggantian. Rencanakan daya tahan selama 8 jam di bawah beban kerja keuangan. Jika Anda membutuhkan 12 jam, rencanakan daya tambahan.

Kustomisasi Perangkat Lunak & Integrasi Perusahaan

Android Enterprise — Dengan Satu Peringatan Penting

Android Enterprise adalah kerangka kerja yang tepat untuk penerapan di lingkungan perkotaan yang selalu terhubung ke internet: konfigurasi kios, integrasi EMM, pembaruan OTA yang aman dengan rantai boot terverifikasi. Namun, kekurangannya adalah ketergantungan pada konektivitas — setiap elemen mengasumsikan akses jaringan yang andal.

Kapan Sebaiknya Menghentikan Penggunaan Android Enterprise Sepenuhnya?

Untuk penerapan yang mengutamakan offline dengan koneksi seluler yang tidak andal dan pemadaman listrik setiap malam, tumpukan standar justru merugikan. Perangkat menjadi rusak saat di-boot ulang ketika pemeriksaan MDM gagal. Pengesahan TEE menyegarkan baterai yang habis yang tidak dapat menyelesaikan siklus pengisian daya.

Arsitektur yang akhirnya dirilis:

• Peti besi (Keystore perangkat keras SoC) menggantikan eSE — tanpa ketergantungan penyediaan TSM
• EHR dengan tokenisasi sisi pengakuisisi di bawah model CPoC.
• Cache token offline lokal dengan kriptogram terikat waktu; sinkronisasi ulang harian saat konektivitas pulih.
• AOSP Terkunci — tanpa Google Play Services, kebijakan SELinux khusus, hanya boot terverifikasi

hasil: Biaya BOM 30–40% lebih rendah, 2x daya tahan baterai saat offline, telah lulus sertifikasi bank sentral lokal dan PCI CPoC. Kelemahannya: kompleksitas perangkat lunak yang lebih besar dan ketergantungan yang lebih besar pada brankas token pihak pengakuisisi.

Stack standar ini ideal untuk bank perkotaan yang selalu online. Namun, untuk implementasi yang mengutamakan offline, ini bukanlah titik awal yang tepat.

Peta Jalan Validasi: EVT → DVT → PVT untuk Perangkat Fintech

Kesenjangan ekspektasi terbesar dalam pengembangan tablet keuangan: klien mengharapkan 3–4 bulan (jangka waktu smartphone). Perangkat keras kelas perbankan dengan PCI PTS, EMVCo, dan TEE khusus membutuhkan waktu 7–11 bulan.

EVT — 4–6 minggu, 10–50 unit: Validasi fungsional, penyediaan TEE, perilaku antena awal pada sasis nyata. Kejutan di sini dapat dikelola — perangkat lunak belum sepenuhnya siap.

DVT — 8–12 minggu, 50–200 unit: Pengujian lingkungan lengkap: uji jatuh, EMI, termal, siklus baterai, rangkaian transaksi NFC lebih dari 10,000 transaksi. Persetujuan laboratorium pihak ketiga untuk EMVCo dan PCI PTS. Setiap perubahan perangkat keras akan memulai ulang sebagian antrian laboratorium.

PVT — 6–10 minggu, uji coba produksi: Di sinilah varians produksi sebenarnya muncul. Persetujuan DVT tidak menjamin keberhasilan PVT — kegagalan senilai $280 ribu di atas lolos DVT tetapi gagal PVT. Pengajuan ulang terakhir membutuhkan waktu 4–6 minggu lagi untuk persetujuan telekomunikasi regional.

Total: 7–11 bulan. Cantumkan ini dalam proposal. Klien yang menerimanya siap untuk menjalankan program tersebut.

Produksi Massal & Manufaktur dengan Pengendalian Keamanan

Perakitan SMT & Kontrol Mutu

• BGA dengan jarak antar pin yang rapat — Inspeksi sinar-X 100% pada komponen yang sangat penting untuk keamanan; bukan pengambilan sampel.
• ketertelusuran eSE — setiap elemen pengamanan diberi nomor seri dan dilacak ke unitnya; rantai pengawasan merupakan persyaratan kepatuhan.
• Rakitan antena NFC — Ketebalan perekat adalah variabel yang terkontrol; alat bantu perakitan memastikan geometri yang tidak boleh dilanggar

Penyediaan Firmware yang Dikendalikan Keamanan

Lantai pabrik merupakan permukaan yang rawan ancaman. Protokol penyediaan kami:

• ID perangkat unik yang dibuat di pabrik — tidak ada asal material kunci bersama.
• Firmware produksi ditandatangani melalui HSM; kunci penandatanganan tidak pernah menyentuh jaringan produksi.
• Sertifikat pengesahan TEE baru untuk setiap perangkat; rantai pengembangan secara eksplisit dicabut sebelum unit dikirim.
• Data telemetri manufaktur dienkripsi saat ditransmisikan dan saat disimpan.

Perangkat yang lolos setiap uji perangkat keras dan dikirimkan dengan kunci pengesahan pengembangan yang digunakan kembali, gagal dalam pengesahan jarak jauh pada hari pertama di lapangan.

Tantangan Teknik Utama & Bagaimana Kami Mengatasinya

Tantangan	Risiko	Solusi	Hasil
Penyimpangan penyetelan antena NFC di PVT	Tingkat kegagalan lapangan 22%; biaya perbaikan ulang $280 ribu.	Menerapkan pencocokan yang dapat disesuaikan, offset 8–10mm, dan zona larangan masuk yang ketat.	Tingkat kegagalan turun dari 22% hingga <3%.
MDM yang selalu online di pasar offline	Kerusakan perangkat (bricking); tingkat kegagalan 30–40% lebih tinggi.	Ditransisikan ke AOSP + StrongBox + HCE + CPoC Arsitektur.	2x masa pakai bateraiBiaya BOM (Bill of Materials) 30–40% lebih rendah.
Keterlambatan pembaruan (patch) selama 18–24 bulan	Kernel belum ditambal; status kepatuhan palsu	OTA dengan Penandatanganan terverifikasi TEE + SLA patch yang ketat dalam kontrak.	Berhasil mencapai postur keamanan yang kuat dan terkini.
Hasil PVT runtuh	18% barang rusak/perbaikan pada lot pertama	Memperkenalkan pengujian antena sasis produksi pra-PVT.	<3% pengerjaan ulang pada semua proses produksi selanjutnya.
Pemblokiran kesepakatan CISO	Pilot mengalami penundaan selama 6–12 bulan	Pilot berbayar + matriks tanggung jawab bersama + pengujian penetrasi pihak ketiga.	Percepatan signifikan dalam siklus pengadaan selanjutnya.

Para Pemangku Kepentingan Sejati: Siapa Sebenarnya yang Ada di Ruangan Ini?

CISO Ini adalah penghalang terberat. Keberatan resmi: “risiko integrasi.” Ketakutan sebenarnya: tanggung jawab pribadi jika terjadi pelanggaran pada perangkat keras yang telah mereka setujui. Mereka bertanggung jawab kepada regulator. Dokumen sertifikasi tidak menghilangkan ketakutan ini — laporan uji penetrasi pihak ketiga dan matriks tanggung jawab bersama yang eksplisit dapat menghilangkannya.

CTO / Operasi TI Kekhawatiran tentang fragmentasi Android. Perjanjian SLA patch 5 tahun menjawab pertanyaan sebenarnya: apa yang terjadi ketika SoC kehilangan dukungan Android?

Pengadaan / CFO Tampil sebagai penentang harga. Kekhawatiran sebenarnya: TCO tersembunyi — program penggantian baterai, biaya sertifikasi ulang, layanan lapangan NFC. Slide ROI mengkuantifikasi pengurangan biaya penanganan uang tunai terhadap biaya seumur hidup perangkat secara keseluruhan.

Informasi Muncul pada tahap kontrak dengan klausul ganti rugi yang sebagian besar perjanjian OEM tidak cakup. Waktu penyusunan anggaran.

Apa yang sebenarnya menutup kesepakatan yang macet: Program percontohan berbayar selama 4-6 minggu, 20-50 unit, pencatatan transaksi lengkap, matriks tanggung jawab bersama yang telah disepakati sebelumnya. Setiap kesepakatan yang terhenti dan kemudian maju, terjadi setelah program percontohan. Ini mengubah klaim pemasaran menjadi bukti.

Apa yang Akan Terjadi dalam 24 Bulan ke Depan: Persyaratan yang Belum Siap Dihadapi Siapa Pun

Berdasarkan RFP (Request for Proposal) yang berlaku pada awal tahun 2026 — bukan perkiraan analis — ada satu persyaratan yang tampaknya tidak mampu dipenuhi oleh sebagian besar produsen OEM tablet keuangan.

Kriptografi pasca-kuantum kini menjadi item anggaran pengadaan.

Para pembeli secara eksplisit mensyaratkan algoritma NIST PQC — FIPS 203 (ML-KEM), FIPS 204 (ML-DSA), FIPS 205 (SLH-DSA) — dalam perangkat keras dan firmware untuk pertukaran kunci, tanda tangan, dan enkripsi disk penuh. Hal ini mengikuti panduan CISA Januari 2026 yang mewajibkan produk berkemampuan PQC dalam keamanan titik akhir federal. Bank-bank mengamati pengadaan federal dan meniru bahasa tersebut ke dalam RFP mereka sendiri.

Penyebab yang disebutkan: serangan "kumpulkan data sekarang, dekripsi nanti", di mana data keuangan yang dikumpulkan hari ini disimpan untuk didekripsi setelah komputer kuantum yang relevan secara kriptografi ada. Regulator memperlakukan ini sebagai risiko operasional jangka pendek, bukan masalah tahun 2035.

Bersama dengan PQC: deteksi anomali saluran samping saat runtime di dalam TEE — Memantau daya, EM, dan tanda waktu selama operasi kriptografi untuk mendeteksi varian Rowhammer, gangguan jam, dan implan firmware.

Pertanyaan-pertanyaan dalam RFP (Request for Proposal) yang ada saat ini yang tidak ada pada tahun 2023: “Bisakah TEE mengesahkan kunci PQC? Bagaimana jadwal migrasi pasca-kuantum Anda? Apakah root-of-trust perangkat keras mendukung algoritma tahan CRQC pada tahun 2028?”

Platform perangkat keras yang dirancang tanpa mempertimbangkan ruang gerak termal dan daya PQC (Product Quality Control) akan menghadapi perancangan ulang total sebelum tahun 2028. Para OEM (Original Equipment Manufacturer) yang menganggap ini sebagai masalah tahun 2027 akan berada dalam tenggat waktu darurat untuk memenuhi sertifikasi yang saat ini dicantumkan pembeli dalam kontrak.

Kesimpulan: Apa yang Sebenarnya Dibutuhkan untuk Pengembangan Tablet Keuangan yang Aman?

Kesenjangan antara tablet keuangan yang lolos sertifikasi dan tablet yang berkinerja baik di lapangan bukanlah kesenjangan perangkat keras. Ini adalah kesenjangan budaya rekayasa.

Lima hal yang membedakan implementasi yang berhasil dari yang gagal:

Arsitektur yang sesuai dengan konteks penerapan. — TEE + eSE + Android Enterprise untuk perbankan perkotaan yang selalu online; StrongBox + HCE + AOSP untuk layanan offline-pertama. Daftar periksa auditor bukanlah ringkasan arsitektur.

Antena NFC sebagai batasan desain orde pertama — Aturan offset 8–10mm dan zona larangan penggunaan logam ditentukan sebelum tata letak PCB dilakukan, bukan setelah PVT menghasilkan kegagalan.

Jadwal validasi yang jujur ​​sejak hari pertama — 7–11 bulan untuk perangkat kelas perbankan. Angka dalam proposal tersebut menyaring klien yang salah dan membangun kredibilitas dengan klien yang tepat.

Manufaktur yang dikendalikan keamanannya — kunci pengesahan baru per perangkat, firmware yang ditandatangani HSM, rantai pengawasan eSE. Lantai pabrik merupakan bagian dari model ancaman.

Peta jalan pasca-kuantum sudah ditulis. — PQC sedang dalam proses pengajuan proposal (RFP) dan panduan CISA. Setiap ODM tablet fintech yang tidak dapat mengartikulasikan jalur migrasi pada tahun 2026 akan ditentukan ulang sebelum siklus produksinya berakhir.

Pasar tidak kekurangan vendor dengan sertifikat PCI dan lembar spesifikasi. Yang kurang adalah mitra teknik yang telah menjalankan program tersebut, menyerap kegagalan, dan menerapkan pelajaran tersebut ke setiap proyek berikutnya.

Pertanyaan Umum

Berapa lama sebenarnya waktu yang dibutuhkan untuk pengembangan tablet Android kelas perbankan? 

Siklus EVT → DVT → PVT yang realistis adalah 7–11 bulan untuk perangkat yang memerlukan sertifikasi PCI PTS, EMVCo, dan TEE khusus. Klien mengharapkan 3–4 bulan berdasarkan jadwal pengembangan smartphone. Kesenjangan tersebut berasal dari pengujian ulang wajib oleh laboratorium pihak ketiga setelah setiap revisi perangkat keras.

Berapa lama daya tahan baterai sebenarnya di bawah beban kerja keuangan?

 Pada baterai 8,000 mAh: 7–9.5 jam di bawah beban kerja keuangan yang berkelanjutan. Lembar spesifikasi menyebutkan 12–15 jam di bawah penggunaan campuran konsumen. Prosesor StrongBox dan TEE tidak dapat melakukan deep sleep selama operasi kunci aktif — hal itu membutuhkan daya tambahan 15–25%. Rencanakan daya tambahan dalam penerapan kios.

Apakah sertifikasi PCI PTS sudah cukup?

 Tidak. Sertifikasi ini hanya berlaku untuk perangkat pada satu titik waktu tertentu. Perubahan firmware selanjutnya mungkin memerlukan sertifikasi ulang. Sertifikasi ini tidak mengevaluasi frekuensi pembaruan OS, keamanan rantai pasokan firmware, atau kesehatan pengesahan TEE yang berkelanjutan. Anggap saja ini sebagai filter dasar, bukan jaminan berkelanjutan.

Kapan sebaiknya kita menggunakan HCE + StrongBox sebagai pengganti elemen pengaman terintegrasi? 

Untuk penerapan offline-first di mana konektivitas TSM untuk penyediaan eSE tidak dapat dijamin. HCE dengan tokenisasi sisi pengakuisisi (model CPoC) memberikan BOM 30–40% lebih rendah dan masa pakai baterai 2x lebih lama saat offline, dengan biaya kompleksitas perangkat lunak yang lebih besar dan tanggung jawab penyimpanan token di sisi pengakuisisi.

Mengapa kriptografi pasca-kuantum muncul dalam RFP sekarang? 

NIST menyelesaikan FIPS 203/204/205 dan CISA mengeluarkan mandat PQC pada Januari 2026. Bank-bank memasukkan hal ini ke dalam pengadaan, dengan alasan serangan "kumpulkan data sekarang, dekripsi nanti". Perangkat keras tanpa dukungan PQC di TEE menghadapi tekanan untuk mendesain ulang sebelum tahun 2028.

Apa sebenarnya yang membuat kesepakatan dengan tim keamanan bank tercapai?

 Ketakutan sebenarnya dari CISO adalah tanggung jawab pribadi. Laporan pengujian penetrasi pihak ketiga, matriks tanggung jawab bersama yang eksplisit, dan uji coba berbayar selama 4–6 minggu dengan 20–50 unit mengubah klaim OEM menjadi bukti yang dapat ditindaklanjuti oleh tim keamanan. Sertifikasi saja tidak cukup untuk menutup kesepakatan ini.