M2M无线移动直连POS系统设计

随着现代通信技术及银行卡业务的快速发展，利用新技术改善现有银行卡用卡环境和支持新业务已成为中国银联济南市分公司研究的重要课题。采用通用分组无线技术（GPRS，General Packet Radio Service）直连POS实现金融支付，可以大大拓宽银行卡业务的服务范围，进一步改善用卡环境。中国银联济南市分公司现有的直连POS系统面临着支持新业务难、受地域限制等方面的问题，而GPRS无线移动直连POS与传统有线POS相比具有更多优势。

第一，移动性强。由于无线 POS通过GSM网来传输数据，所以只要是GSM网覆盖到的地方均可使用，不受地点、电话线的限制。另外，无线 POS体积小巧，方便携带，使商户由柜台服务变为移动服务，使消费者充分感受到刷卡消费的方便、时尚和快捷。

第二，容易安装，操作简便。由于无线POS无需使用电话线，所以免去了以往需要技术人员到现场安装调试的麻烦。而且，很多无线POS采用了菜单式操作，简单明了，基本无需对使用者进行培训。

第三，网络的可扩充性。由于无线POS不需要电话线，商户可依据自身业务的发展需要随时增加POS的数量，而无需考虑自身电话线路的容量。

第四，通信费用更低。一般GPRS采用流量计费或费用包月的方式结算，节省了商户通信费用，受到了商户的欢迎。

第五，应用范围广泛。无线POS为商户提供便捷的结算工具和结算方式，是酒店、宾馆、商场、航空、交通罚款，上门收费、移动售货、物流配送结算的最佳选择。

由此可见，随着中国银行卡产业的发展，GPRS无线移动直连POS系统将会有广阔的应用空间。

一、GPRS的优势

GPRS是移动通信技术和互联网技术发展融合而产生的移动高速分组数据业务。它是在GSM网的基础上通过增加GPRS服务支持节点（SGSN，Serving GPRS Supporting Node）、GPRS网关支持节点（GGSN，Gateway GPRS Supporting Node）、PCU等设备，升级BSS系统软件、计费软件发展而成的。GPRS采用了与GSM一样的无线调制技术、一样的频率、同样的TDMA帧结构，属于2.5G的移动通信技术，并具有很明显的无线移动优势。

其一，连接速度更快。传统电话拨号的连接方式每次通信都要重新拨号，而且连接需用时5～8秒。据测试GPRS每次连接所用时间小于2秒，而且连接上后可以"永远在线"。

其二，传输速度快。传统拨号方式传输速率一般为9600bps，而GPRS目前实际测试速率在30kbps以上，最高可达到171.2kbps。

其三，可长时间在线连接。GPRS-POS连上后可长时间在线，交易时不必每次都进行连接和断开操作，而且GPRS网络覆盖范围广，适合大面积利用GPRS开展直连POS业务。

其四，计费更加合理。GPRS可以按数据流量进行计费，远低于传统拨号方式的费用，特别是作为大客户或合作伙伴，可以采用包月或包年的方式，其使用成本可以更低。

其五，可灵活支持多种数据应用。GPRS不仅支持频繁的和少量突发型数据业务，而且支持大数据量的业务，应用非常广泛。另外，GPRS无线接入与各类支付设备相结合的移动支付技术是当前金融设备发展的主流方向。

二、设计方案

1.GPRS无线移动直连POS系统方案要点

（1）SGSN的主要作用是记录移动POS终端的当前位置信息，并且在移动POS终端和GGSN之间完成移动分组数据的发送和接收。

（2）GGSN主要是起网关作用，它可以和多种不同的数据网络连接，如ISDN、PSPDN和LAN等。有时也把GGSN称为GPRS路由器。GPRS无线网络与有线数据网络之间的连接是通过GGSN来完成的。GGSN可以把GSM网中的GPRS分组数据包进行协议转换，从而可以把这些分组数据包传送到远端的基于TCP／IP的广域网络上。

（3）中国银联济南分公司和山东移动之间通过DDN专线相连。山东移动为与中国银联济南分公司连接的DDN专线分配一个IP地址，并在GGSN上配置相应的路由信息。GPRS网络和中国银联济南分公司内部网络之间通过防火墙进行隔离。

（4）在GPRS-POS上设置了中国银联济南分公司主机的IP地址和端口号后，当GPRS-POS开机时，POS检测GSM信号，建立与移动GGSN的链接。GPRS-POS发送登录用户名和密码到RADIUS服务器进行身份认证。一旦通过认证，RADIUS服务器动态分配IP地址给POS，POS就可以通过TCP/IP协议与中国银联济南分公司主机进行通信和交易。

（5）在RADIUS认证服务方面，中国银联济南分公司内部网内的RADIUS服务器为GPRS-POS提供身份认证服务。GPRS-POS接入提供VPN功能的GGSN，GGSN首先通过自己的RADIUS服务器对输入的地址进行认证，然后启动到路由器的L2TP隧道协议，实现GPRS-POS、GGSN的RADIUS服务器和路由器之间的隧道连接，此时POS发送的PPP数据包可以直达路由器，由路由器通过RADIUS服务器完成对用户级别的认证，服务器将检查并确认用户的身份，认证通过后，就建立起GPRS-POS与路由器的PPP链路。

（6）刷卡交易时，GPRS-POS把交易请求数据包从GSM基站发送到SGSN，SGSN与GGSN进行通信，GGSN对分组数据进行相应的处理，发送到路由器，经过防火墙再送到中国银联济南分公司主机上。主机根据GPRS-POS上送信息把请求包转发到相应的发卡行或中国银联总中心，经过发卡银行主机处理的交易响应数据包经原路返回到GPRS-POS上。

三、系统安全

解决系统安全问题是GPRS无线移动直连POS系统应用的关键。采用GPRS无线移动数据传输方式必须有效阻止黑客入侵、防止信息安全事故、简化网络应用。安全保障主要是防止来自系统内外的有意无意的破坏。进行身份认证、身份鉴别、数字签名防止抵赖和篡改，以及交易数据的加密解密等是保障网络安全的重要手段。

1.防火墙

防火墙是网络安全控制最基本的配置，也是构成一个安全网络的重要屏障。它用于保护可信网络免受非可信网络的威胁，同时允许双方通信。防火墙（作为阻塞点、控制点）能极大地提高内部网络的安全性，并通过过滤不安全的服务而降低风险。

山东移动与中国银联济南分公司之间的路由器相互认证，以防止假路由器接入和非法截取数据。另外，关闭路由器和主机上空闲端口号，预防非法入侵。

2.网络安全

现行的GPRS传输编码方式为CS-1、CS-2，CS-1、CS-2对传输数据都有加密保护，因此GPRS通道本身是安全的。

GPRS无线移动直连POS系统利用VPN技术在移动数据公网上建立POS系统企业内部虚拟专用网, 使各地分散的GPRS-POS能安全地访问中国银联的主机和网络资源，保证POS系统无线接入网络的可靠性和安全性。

3.身份认证

中国银联RADIUS服务器将会检查并确认GPRS-POS用户的身份，以决定GPRS-POS是否被授权进行连接。

4.终端安全

每个无线移动POS终端中都装有GPRS SIM卡，利用SIM卡的惟一性，划定用户可接入某系统的范围，可以有效避免非法入侵。

无线移动POS主密钥用专门的安全CPU进行加密保存，以确保主密钥的安全。

5.数据安全
   
　　GPRS-POS交易数据包与有线POS的交易数据包格式和加密方式一样, 都使用ISO8583模式传送交易数据，同样在应用层进行了数据加密保护和MAC鉴别以及完整性控制，对敏感数据如用户账号、密码等都采用了国际标准加密算法DES进行加密保护，以确保GPRS无线移动直连POS系统交易数据的安全。