Kako smo izdelali varno finančno tablico: Študija primera proizvajalca originalne opreme za Android za bančništvo in finančno tehnologijo

Povzetek

Regionalna trgovska veriga je potrebovala tablični računalnik Android s certifikatom PCI in skladnostjo s standardom EMVCo za obdelavo plačil na ravni poslovalnice. Sledila je okvara strojne opreme v vrednosti 280,000 dolarjev, 11-tedensko ponovno testiranje in lekcije, ki jih večina brošur proizvajalcev originalne opreme ne bo dokumentirala. Ta študija primera zajema arhitekturne odločitve, napako, popravek in realnosti varnostnega inženiringa, ki ločujejo finančni tablični računalnik od naprave, ki je zgolj prestala certifikacijsko revizijo.

Kaj banke mislijo, da kupujejo

Resnica, ki jo povemo vsaki stranki, preden se dotaknemo sheme: Skladnost s standardi PCI PTS, EMVCo L1/L2, Android Enterprise in MDM ni varnostno jamstvo. Gre za mehanizem prenosa odgovornosti.

Preberite tudi: Študija primera robustnega tabličnega računalnika

Certifikat PTS je posnetek, ne ščit. PCI PTS v6 certificira napravo ob določenem času. Vsaka posodobitev vdelane programske opreme – vključno z varnostnim popravkom – sproži ponovno certificiranje. Večina proizvajalcev originalne opreme (OEM) zaklene vdelano programsko opremo, da se izognejo stroškom ponovnega certificiranja. Bančne tablice običajno zamujajo z varnostnimi popravki za Android od 18 do 24 mesecev. Naprava je »skladna s PCI«. Jedro ni popravljeno. Ti dve dejstvi obstajata hkrati, dokler se pogovor ne začne z vdorom.

Android Enterprise s polnim MDM ukinja uvajanje brez povezave. Standardni sklad predpostavlja stalno povezljivost z oblakom. V okoljih z nizko povezljivostjo naši podatki kažejo 30–40 % višja stopnja okvare polja v primerjavi z zaklenjenimi različicami AOSP. Naprave se ob nočnih ponovnih zagonih, ko MDM ne more poklicati domov, zablokirajo.

Kupci mislijo, da kupujejo varnost. V resnici kupujejo vezavo in težave s prihodnjim ponovnim certificiranjem.

Zahteve strank in zakaj standardne tablice ne uspejo v bančništvu

Kaj je stranka zahtevala

Navodila so bila standardna za tablico Android finančnega razreda za bančništvo:

• 10-palčni zaslon FHD IPS za uvajanje strank v poslovalnico
• Vgrajen bralnik NFC, bralnik pametnih kartic, sprednja kamera visoke ločljivosti za delovne procese strojne opreme tabličnih računalnikov eKYC
• Povezljivost LTE/5G, šifriranje na ravni strojne opreme, varen zagon
• Integracija tabličnih računalnikov PCI DSS + EMV, življenjska doba proizvodnje več kot 5 let

Kontrolni seznam skladnosti (in česa ne zajema)

• PCI DSS 4.0.1 — Zahteva 6.4.3 določa, da je kupec odgovoren za kodo tretje osebe tudi na „skladni“ napravi
• EMVCo L1/L2 — potrjuje brezkontaktno delovanje v nadzorovanih laboratorijskih pogojih, ne pa resničnih elektromagnetnih motenj zaradi kovinskih polic ali motorjev
• CE/FCC — ne pove ničesar o integriteti dobavne verige vdelane programske opreme ali izpostavljenosti jedra ničelnemu dnevu
• Priporočamo Android Enterprise — zahteva storitve Google Play; nezdružljivo z arhitekturami, ki so namenjene predvsem uporabi brez povezave
• Regionalno telekomunikacijsko certificiranje — doda 4–8 tednov k PVT na večini trgov azijsko-pacifiške regije in Bližnjega vzhoda in Severne Afrike

Zemljevid certificiranja se ne ujema z ozemljem. Prav ta vrzel je tisto, kjer večina projektov razvoja bančnih tablic propade.

Izbira sistemske arhitekture in SoC-ja

Zakaj smo izbrali Qualcomm namesto MediaTeka

Izbira sistema na čipu za finančno tablico je odločitev, ki se nanaša na življenjski cikel, ne pa na primerjalno oceno. Obe platformi smo ocenili glede na štiri merila:

• Kakovost TEE — Skladnost z API-jem GlobalPlatform, globina preverjanja s strani varnostnih laboratorijev tretjih oseb
• Razpoložljivost življenjskega cikla — finančna strojna oprema potrebuje 5–7-letno dobavno obdobje; potrošniški MediaTek SKU-ji nimajo te garancije
• Pot nadgradnje na Android — SoC, ki sredi uvajanja izgubi podporo za jedro, kupca prisili k ponovnemu certificiranju
• Pospešek kriptovalut — strojno pospešeno šifriranje je razlika med 9 urami delovanja baterije in 6 pod finančno obremenitvijo

Pri uvajanju brez povezave se ta računica premakne – kar je obravnavano v spodnjem razdelku o programski opremi.

Arhitektura strojnih blokov

Integracija podsistemov za projekt varnega proizvajalca originalne opreme za tablične računalnike Android vključuje medsebojne odvisnosti, ki jih večina blokovnih diagramov skriva:

• SoC → TEE živi tukaj; poganja vse podsisteme
• Vgrajeni varnostni element (eSE) → izolirano od glavne dostopne točke; EMV kriptografske operacije in shranjevanje plačilnih ključev
• NFC krmilnik → neposredno se povezuje z eSE; postavitev antene tukaj je tisto, kjer ima večina ekip težave
• Modul za prstne odtise → biometrični eKYC; zahteva varen kanal do TEE
• Modul LTE/5G → RF antena mora biti izolirana od NFC antene, da se preprečijo motnje

Tveganje integracije je v interakcijah, ne v komponentah.

Varnostni inženiring: strojna oprema, vdelana programska oprema in operacijski sistem

TEE, varen zagon in scenariji resničnih napadov

Trije scenariji groženj so oblikovali našo varnostno arhitekturo za ta bančni tablični računalnik Android:

Spreminjanje vdelane programske opreme — napadalec s fizičnim dostopom vnaša spremenjeno vdelano programsko opremo in tako zaobide preverjanja integritete plačil. Obramba: preverjena zagonska veriga, zasidrana v strojni opremi; vsaka prekinitev popolnoma ustavi zagon.

Napadi NFC relejev — v maloprodaji z visoko gostoto bralnikov v razdalji 30 cm lahko pasivni napadalci poskušajo prestreči posrednike. Obramba: vse plačilne operacije se izvajajo znotraj eSE; plačilni ključ nikoli ne doseže glavnega procesorja aplikacije.

Kraja naprave sredi seje — Zaščita: strojno podprta shramba ključev z biometrično vezavo; oddaljeno brisanje, združljivo z MDM, z zaklepanjem, ki ga zagotavlja TEE, ki preživi ponovno posodobitev operacijskega sistema.

Varnostni element in šifriranje plačil NFC

Vgrajeni varnostni element obravnava tri funkcije, ki jih ni mogoče prenesti na programsko opremo: kriptografske operacije EMV, shranjevanje plačilnih ključev (ključi nikoli ne obstajajo v obliki odprtega besedila zunaj eSE) in izolacijo transakcij NFC, kjer eSE komunicira neposredno s krmilnikom NFC in v celoti zaobide dostopno točko. To je tisto, zaradi česar se varna plačilna tablica arhitekturno razlikuje od potrošniške naprave s plačilno aplikacijo.

Zaklepanje na ravni operacijskega sistema

• Način kioska — zaklepanje ene aplikacije; brez dostopa do nastavitev, predala z aplikacijami ali brskalnika
• Omejena dovoljenja — NFC in kamera sta dostopna samo preverjeni plačilni aplikaciji
• Bančna tablica, združljiva z MDM — oddaljeno zaklepanje, brisanje in revizijska sled za poročanje o skladnosti

Podrobnosti v priročnikih za začetnike nikoli ne omenjajo: Zagotavljanje ključev TEE mora uporabljati tovarniško novo, za napravo edinstveno verigo potrditve – nikoli ponovno uporabljenih razvojnih ključev. Razvojni ključi, vpisani v enote EVT zaradi lažjega testiranja, če niso izrecno zamenjani pri PVT, povzročijo, da oddaljeno preverjanje na terenu tiho ne uspe. Naprava opravi vse laboratorijske teste in je po namestitvi kriptografsko nepreverljiva.

Inženiring tiskanih vezij in tiskanih vezij za finančno zanesljivost

Neuspeh, ki je stal 280,000 dolarjev

V proizvodni seriji 2024–2025 smo anteno NFC namestili neposredno nad baterijski sklop – standardna postavitev za pametne telefone. Kombinacija krmilnika Qualcomm NFC in eSE se je izkazala za preizkušeno. Ohišje DVT je bilo plastično. Izvedli smo 10,000 ciklov dotika. Opravili smo laboratorijski certifikat EMVCo. Odziv na DVT je bil brezhibno.

PVT je povedal drugačno zgodbo.

Prva serija s 800 enotami je bila nameščena v dejanskih trgovinah – kovinske police, hladilni motorji, več bralnikov NFC v bližini. Stopnja okvar na terenu: 22%Skoraj pri vsaki četrti transakciji poteče časovna omejitev.

Osnovni vzrok: končno kovinsko ohišje, nabrekanje baterije med dejanskimi obratovalnimi cikli in toleranca lepila 0.8 mm so premaknili resonančno frekvenco antene NFC za približno 350 kHz – dovolj, da se koeficient sklopitve zniža pod minimum ISO 14443 v mejnih poljih bralnika. Antena je bila uglašena za plastični prototip. Proizvodnja jo je uničila.

Popravek: nova revizija tiskanega vezja z nastavljivo mrežo za prilagajanje impedance, namenskim feritnim ščitom in kovinskim območjem za preprečevanje vstopa. 11 tednov. ~280,000 $ pri NRE, odpadkih in pospešeni ponovni certifikaciji. Prvoletna količinska pogodba je bila izgubljena.

"Laboratorij je enak plastičnemu prototipu. Proizvodnja je enaka kovini plus tolerancam. To so različne živali."

Namestitev antene NFC: Pravilo, ki ga ni v vodnikih

Naš protokol po tem neuspehu, o katerem se ni mogoče pogajati: namestitev zadnjega pokrova, minimalni odmik 8–10 mm od baterijskega sklopa, namensko kovinsko območje za zaščito pred zunanjimi vplivi. Že 1 mm zapiranje ali odstopanje lepila ali barve v proizvodnji dovolj zmanjša faktor Q, da povzroči občasne okvare, ki prestanejo globoko vensko trombozo in v trgovinah ne uspejo.

Dve rešitvi za odstopanje v proizvodnji: nastavljivo ujemajoče se omrežje (kar stane več na začetku) ali predimenzionirana jakost polja (kar pomeni izgubo prostora za skladnost z EMI). Ni jasnega odgovora – le upravljani kompromisi. Ekipe, ki kopirajo postavitve anten pametnih telefonov, to odkrijejo pri PVT, ne prej.

Večplastna zasnova tiskanih vezij za NFC finančnega razreda

• 6–8 plasti — nadzorovana impedanca za RF sledi; odstopanje > 10 % merljivo vpliva na razdaljo sklopitve NFC
• EMI zaščita — RF-kontejneri nad NFC krmilnikom, ozemljitveni prehodi vzdolž oboda za preprečevanje vstopa
• Izolacija napajalne ravnine eSE — namensko ozemljitveno polnilo preprečuje uhajanje stranskih kanalov zaradi šuma napajanja dostopne točke
• Ločitev antene — Anteni NFC in LTE/5G na nasprotnih robovih naprave za zmanjšanje medsebojne povezave

Finančna okolja so sovražna radiofrekvenčna okolja. Zasnova varnega tiskanega vezja tabličnih računalnikov je optimizirana za trgovino, ne za laboratorij.

Pripravljenost na teren: Vzdržljivost in upravljanje porabe energije naprav

Zasnovan za vsakodnevno komercialno uporabo

Finančne tablice niso robustna industrijska strojna oprema, vendar se soočajo z vsakodnevnimi izzivi. Nepogrešljivo:

• Skladnost s padcem z 1 metra — naprave za odlaganje odpadkov za osebje poslovalnice
• Več kot 10,000 ciklov vstavljanja USB-ja — vrata, ki odpovejo pri 3,000 ciklih na napravi s 5-letnim življenjskim ciklom, predstavljajo težavo, ki jo je treba zahtevati za terensko servisiranje
• Mat, tanek, profesionalen zaključek — strojna oprema, usmerjena k strankam, ki mora biti verodostojna tudi po letih uporabe

Resničnost o baterijah, ki je nihče ne omeni v brošuri

Specifikacije navajajo 12–15 ur delovanja baterije z baterijo s kapaciteto 8,000 mAh. Pri dejanski finančni obremenitvi – šifriranje celotnega diska, neprekinjeno anketiranje NFC, beleženje transakcij EMV, operacije s ključi TEE – je dejanska številka ... 7-9.5 ure.

Zakaj vrzel: Varni procesorji StrongBox in TEE med aktivnim delovanjem ključev ne morejo vstopiti v enaka stanja globokega mirovanja kot glavna dostopna točka. To pomeni 15–25 % dodatno porabo energije v primerjavi s programsko shrambo ključev. Pri uvajanju kioskov 24 ur na dan, 7 dni v tednu kupci v 12 mesecih ugotovijo, da potrebujejo zunanje baterije ali program za zamenjavo. Pri finančni obremenitvi načrtujte 8 ur. Če potrebujete 12, načrtujte dodatno napajanje.

Prilagajanje programske opreme in integracija v podjetja

Android Enterprise – z eno ključno omejitvijo

Android Enterprise je pravi okvir za urbane uvedbe, ki so vedno na spletu: konfiguracija kioska, integracija EMM, varne posodobitve OTA s preverjeno zagonsko verigo. Opozorilo je odvisnost od povezljivosti – vsak element predpostavlja zanesljiv dostop do omrežja.

Kdaj popolnoma opustiti Android Enterprise

Pri uvajanjih brez povezave z nezanesljivimi mobilnimi omrežji in nočnimi izpadi električne energije je bil standardni sklad aktivno škodljiv. Naprave so se ob ponovnem zagonu zablokirale, ko prijave MDM niso uspele. Potrditev TEE osveži izpraznjene baterije, ki niso mogle dokončati cikla polnjenja.

Namesto tega je bila dobavljena arhitektura:

• StrongBox (Storitev strojne opreme SoC) nadomešča eSE – brez odvisnosti od TSM
• EHR z žetenizacijo na strani pridobitelja po modelu CPoC
• Lokalni predpomnilnik žetonov brez povezave s časovno omejenimi kriptogrami; dnevna ponovna sinhronizacija ob ponovni vzpostavitvi povezave
• Zaklenjen AOSP — brez storitev Google Play, prilagojen pravilnik SELinux, samo preverjen zagon

Rezultati: 30–40 % nižji stroški BOM, 2× življenjska doba baterije brez povezave, je opravil lokalno certifikacijo centralne banke in PCI CPoC. Kompromis: večja kompleksnost programske opreme in večja odvisnost od trezorja žetonov pridobitelja.

Standardni sklad je idealen za urbane banke, ki so vedno na spletu. Za uvedbe, ki so najprej brez povezave, je to napačno izhodišče.

Načrt validacije: EVT → DVT → PVT za fintech naprave

Največja vrzel v pričakovanjih pri razvoju finančnih tablic: stranke pričakujejo 3–4 mesece (časovnice za pametne telefone). Strojna oprema bančnega razreda s PCI PTS, EMVCo in prilagojenim TEE traja 7–11 mesecev.

EVT — 4–6 tednov, 10–50 enot: Funkcionalna validacija, priprava TEE, začetno obnašanje antene v resničnem ohišju. Presenečenja so tukaj obvladljiva – orodja še niso določena.

Globoka venska tromboza — 8–12 tednov, 50–200 enot: Popolno okoljsko testiranje: padec, EMI, toplota, cikli baterij, več kot 10,000 transakcij NFC. Odobritev EMVCo in PCI PTS s strani tretje osebe v laboratoriju. Vsaka sprememba strojne opreme ponovno zažene dele laboratorijske čakalne vrste.

PVT — 6–10 tednov, pilotna proizvodnja: Kjer se pokažejo dejanska odstopanja v proizvodnji. Odobritev globoke venske tromboze ne zagotavlja uspeha PVT – zgoraj omenjeni neuspeh v višini 280 USD je bil brez DVT in porušen PVT. Končna ponovna predložitev podaljša čas za odobritev regionalnega telekomunikacijskega operaterja za 4–6 tednov.

Skupaj: 7–11 mesecev. Vključite to v predlog. Stranke, ki to sprejmejo, so opremljene za izvajanje programa.

Masovna proizvodnja in varnostno nadzorovana proizvodnja

SMT montaža in nadzor kakovosti

• BGA z drobnim korakom — 100-odstotni rentgenski pregled varnostno kritičnih komponent; brez vzorčenja
• sledljivost eSE — vsak varni element je serializiran in sledljiv do svoje enote; veriga skrbništva je zahteva po skladnosti
• Sklop antene NFC — debelina lepila je nadzorovana spremenljivka; montažne šablone zagotavljajo geometrijo, ki preprečuje dostop

Varnostno nadzorovano zagotavljanje vdelane programske opreme

Tovarniška hala je grožnja. Naš protokol oskrbovanja:

• Enolični ID naprave, zapisan v tovarni – izvor materiala deljenega ključa ni mogoč
• Produkcijska vdelana programska oprema, podpisana prek HSM; podpisni ključ se nikoli ne dotakne produkcijskega omrežja
• Sveže potrdilo o potrditvi TEE na napravo; razvojna veriga je bila izrecno preklicana pred odpremo enote.
• Proizvodna telemetrija, šifrirana med prenosom in v mirovanju

Naprava, ki opravi vse preizkuse strojne opreme in je dobavljena z ponovno uporabljenim ključem za razvojno potrjevanje, prvi dan na terenu ne opravi oddaljenega preverjanja.

Ključni inženirski izzivi in ​​kako smo jih rešili

Izziv	Tveganje	Rešitev	Rezultat
Odstop antene NFC pri PVT	22-odstotna odpoved polja; stroški ponovnega vrtenja 280 tisoč dolarjev	Implementirano nastavljivo ujemanje, odmik 8–10 mm in stroga območja prepovedi vstopa.	Stopnja napak se je zmanjšala z 22 % do < 3 %.
Vedno spletni MDM na trgih brez povezave	Zamašitev naprave; 30–40 % višja stopnja napak	Prešlo na AOSP + StrongBox + HCE + CPoC arhitektura.	2× življenjska doba baterije30–40 % nižji stroški BOM.
18–24-mesečni zamik pri nastanku popravka	Nepopravljeno jedro; napačen status skladnosti	Brezplačna telefonska linija z Podpis, preverjen s TEE + strogi popravki SLA v pogodbah.	Dosežena robustna, trenutna varnostna drža.
Padec donosa PVT	18 % izmeta/predelave pri prvi seriji	Uvedeno testiranje antene na šasiji proizvodnje pred PVT.	<3 % predelava v vseh nadaljnjih proizvodnih serijah.
Blokada posla CISO	Pilotni projekti so zastali za 6–12 mesecev	Plačan pilotni projekt + matrika deljene odgovornosti + testiranje s peresom tretje osebe.	Znatno pospešitev v naslednjih ciklih javnih naročil.

Pravi deležniki: Kdo je dejansko v sobi

CISO je najtežja blokada. Uradni ugovor: »tveganje integracije«. Dejanski strah: osebna odgovornost, če pride do kršitve strojne opreme, ki so jo odobrili. Odgovarjajo regulatorju. Certifikacijski dokument tega strahu ne odpravi – to storita poročilo o penetracijskem testu tretje osebe in eksplicitna matrika deljene odgovornosti.

Tehniški direktor / IT operacije skrbi zaradi razdrobljenosti Androida. Pogodbeni 5-letni sporazum o ravni storitev za popravke odgovarja na pravo vprašanje: kaj se zgodi, ko sistem na čipu izgubi podporo za Android?

Nabava / Finančni direktor predstavlja kot nasprotnika cene. Resnična skrb: skriti skupni stroški lastništva – programi zamenjave baterij, stroški ponovnega certificiranja, terenska storitev NFC. Diapozitiv donosnosti naložbe kvantificira zmanjšanje stroškov ravnanja z gotovino v primerjavi s celotnimi stroški življenjske dobe naprave.

Pravne informacije pojavi se v fazi pogodbe z odškodninskimi klavzulami, ki jih večina sporazumov OEM ne zajema. Časovni načrt.

Kaj dejansko zaključi zastoj v poslu: 4–6-tedenski plačani pilotni projekt, 20–50 enot, popolno beleženje transakcij, vnaprej dogovorjena matrika deljene odgovornosti. Vsak zaustavljeni posel, ki se je premaknil naprej, se je to zgodilo po pilotnem projektu. Trženjske trditve pretvori v dokaze.

Kaj prihaja čez 24 mesecev: Zahteva, na katero nihče ni pripravljen

Na podlagi objavljenih razpisov za ponudbe v začetku leta 2026 – ne napovedi analitikov – se kaže ena zahteva, ki je večina proizvajalcev finančnih tablic OEM ni sposobna izpolniti.

Postkvantna kriptografija je zdaj del naročila.

Kupci izrecno zahtevajo algoritme NIST PQC – FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) in FIPS 205 (SLH-DSA) – v strojni in vdelani programski opremi za izmenjavo ključev, podpise in šifriranje celotnega diska. To sledi smernicam CISA iz januarja 2026, ki predpisujejo izdelke, ki podpirajo PQC, v zvezni varnosti končnih točk. Banke spremljajo zvezna javna naročila in kopirajo besedilo v svoje lastne razpise za ponudbe.

Navedeni dejavnik: napadi »požeti zdaj-dešifriraj-pozneje«, pri katerih se finančni podatki, zajeti danes, hranijo za dešifriranje, ko obstaja kriptografsko relevanten kvantni računalnik. Regulatorji to obravnavajo kot kratkoročno operativno tveganje in ne kot problem leta 2035.

Poleg PQC: zaznavanje anomalij stranskih kanalov med izvajanjem znotraj TEE — spremljanje moči, elektromagnetnih motenj in časovnih podpisov med kripto operacijami za odkrivanje različic Rowhammerja, napak ure in vsadkov vdelane programske opreme.

Vprašanja v aktivnih razpisih za ponudbe, ki jih leta 2023 ni bilo: „Ali lahko TEE potrdi ključe PQC? Kakšen je vaš časovni načrt postkvantne migracije? Ali strojna oprema do leta 2028 podpira algoritme, odporne na CRQC?“

Strojne platforme, zasnovane brez toplotnega in energetskega rezervnega prostora PQC, se bodo pred letom 2028 soočile s popolno prenovo. Proizvajalci originalne opreme (OEM), ki bodo to obravnavali kot problem leta 2027, bodo imeli izredne roke za izpolnjevanje certifikatov, ki jih kupci danes vpisujejo v pogodbe.

Zaključek: Kaj dejansko zahteva razvoj varnih finančnih tablic

Razlika med finančno tablico, ki opravi certificiranje, in tisto, ki deluje na terenu, ni vrzel v strojni opremi. Gre za vrzel v inženirski kulturi.

Pet stvari loči uspešne uvedbe od tistih, ki ne:

Arhitektura, usklajena s kontekstom uvajanja — TEE + eSE + Android Enterprise za vedno spletno mestno bančništvo; StrongBox + HCE + AOSP za bančništvo brez povezave. Kontrolni seznam revizorja ni arhitekturni opis.

NFC antena kot omejitev načrtovanja prvega reda — pravilo odmika 8–10 mm in območje prepovedi vgradnje kovin se določita pred potrditvijo postavitve tiskanega vezja in ne po tem, ko se PVT izkaže za propad.

Iskreni časovni načrti za potrjevanje od prvega dne — 7–11 mesecev za napravo bančnega razreda. Ta številka v predlogu filtrira napačne stranke in gradi verodostojnost pri pravih.

Varnostno nadzorovana proizvodnja — sveži potrditveni ključi na napravo, vdelana programska oprema s podpisom HSM, veriga skrbništva eSE. Tovarniška hala je del modela groženj.

Postkvantni načrt je že napisan — PQC je v tekočih RFP in smernicah CISA. Vsak fintech ODM za tablične računalnike, ki do leta 2026 ne bo mogel opredeliti poti migracije, bo pred koncem svojega proizvodnega življenjskega cikla ponovno specificiran.

Na trgu ne primanjkuje ponudnikov s certifikatom PCI in specifikacijami. Primanjkuje pa tudi inženirskih partnerjev, ki so izvedli program, prevzeli napake in te izkušnje vključili v vsak naslednji projekt.

Pogosta vprašanja

Koliko časa dejansko traja razvoj Android tablice bančnega razreda? 

Realističen cikel EVT → DVT → PVT je 7–11 mesecev za naprave, ki zahtevajo certifikate PCI PTS, EMVCo in prilagojeno TEE. Stranke pričakujejo 3–4 mesece glede na časovne okvire pametnih telefonov. Vrzel izhaja iz obveznega ponovnega testiranja s strani neodvisnega laboratorija po vsaki reviziji strojne opreme.

Kakšna je dejanska življenjska doba baterije pri finančnih obremenitvah?

 Na bateriji z zmogljivostjo 8,000 mAh: 7–9.5 ur pri stalni finančni obremenitvi. Specifikacije navajajo 12–15 ur pri mešani uporabi s strani potrošnikov. Procesorji StrongBox in TEE ne morejo preklopiti v globoko stanje mirovanja med aktivnimi tipkami – to pomeni 15–25 % dodatno porabo energije. Pri uvajanju kioskov načrtujte dodatno napajanje.

Ali je certifikat PCI PTS dovolj?

 Ne. Napravo certificira v določenem trenutku. Nadaljnje spremembe vdelane programske opreme lahko zahtevajo ponovno certificiranje. Ne ocenjuje kadence popravkov operacijskega sistema, varnosti dobavne verige vdelane programske opreme ali stanja tekočega preverjanja TEE. Obravnavajte ga kot osnovni filter, ne kot trajno jamstvo.

Kdaj naj namesto vgrajenega varnostnega elementa uporabimo HCE + StrongBox? 

Za uvedbe brez povezave, kjer povezljivost TSM za zagotavljanje eSE ni zagotovljena. HCE z žetonizacijo na strani pridobitelja (model CPoC) zagotavlja 30–40 % nižjo vrednost BOM in 2× daljšo življenjsko dobo baterije brez povezave, na račun večje kompleksnosti programske opreme in odgovornosti za trezor žetonov na strani pridobitelja.

Zakaj se postkvantna kriptografija pojavlja v razpisih zdaj? 

NIST je dokončal standarde FIPS 203/204/205, CISA pa je januarja 2026 izdala mandate PQC. Banke jih vključujejo v javna naročila, pri čemer navajajo napade »poberi-zdaj-dešifriraj-pozneje«. Strojna oprema brez podpore za PQC v TEE se sooča s pritiskom preoblikovanja pred letom 2028.

Kaj pravzaprav sklene posel z varnostno ekipo banke?

 Pravi strah CISO je osebna odgovornost. Poročilo o preizkusu peresa tretje osebe, eksplicitna matrika deljene odgovornosti in 4–6-tedenski plačani pilotni program z 20–50 enotami pretvorijo trditve proizvajalcev originalne opreme (OEM) v dokaze, na podlagi katerih lahko ukrepa varnostna ekipa. Certifikati sami po sebi ne morejo skleniti teh poslov.