PCI 商用現成設備行動支付（MPoC）是一項針對智慧型手機和平板電腦等商用現成設備進行支付受理的全球安全標準，由 PCI 安全標準委員會負責維護。其模組化且以目標為導向的模型，讓供應商能夠針對完整解決方案或個別元件（無論是軟體、SDK，或是認證與監控服務）進行認證，並在缺乏硬體級安全保障的裝置上，展現抵禦實際攻擊的韌性。 作為 PCI 認可的 MPoC 評估實驗室，是德科技（Keysight）將從範圍界定與就緒性評估，到預評估測試乃至正式評估，全程為您提供支援，並交付 PCI SSC 所要求的驗證結果，以協助您的 MPoC 產品獲得認可並列入清單。
- 範圍界定與差距分析
- 設計與文件審查
- 安全性測試與預先評估
- 正式評估與掛牌
範圍界定與差距分析
釐清您所開發的產品屬於哪種 MPoC 產品類型——解決方案、軟體或服務——並評估您的架構在安全與測試要求中的定位。我們會在您投入預算之前，先明確界定評估範圍，確保您所支付的費用完全對應於您實際所需的範圍。
設計與文件審查
MPoC 是以目標為導向而非規範性的，這意味著您必須透過文件來證明您的設計符合該目標。我們會及早依據相關要求，審查架構、金鑰管理、證明機制及監控設計，此時若需調整，仍僅需在單一衝刺週期內完成，而非進行架構重構。
安全性測試與預先評估
針對行動應用程式、SDK、加密實作及後端進行全面的攻擊導向測試。這包括白盒加密分析、旁路通道與故障注入技術、逆向工程，以及對認證與監控元件進行滲透測試。此測試作為預評估進行，能在問題演變為正式的合規違規前，及早發現相關問題。
正式評估與掛牌
從作為 PCI 認可的 MPoC 實驗室進行評估，到向 PCI SSC 提交申請並列入清單，整個流程皆由我們負責。我們亦已規劃後續事宜：年度檢查點、重新驗證，以及當您變更解決方案時所觸發的差異評估。
與 Keysight 合作
請專注於推動產品發展，同時由是德科技引導您完成 PCI MPoC 的準備與評估工作。
經證實的卓越成績
- 針對主機卡模擬（HCE）行動錢包解決方案的 200 多項安全評估
- 超過 50 項關於「輕觸即撥」解決方案的評估
- 向 PCI SSC 提供意見回饋，協助形塑 MPoC 標準
深厚的加密技術與攻擊分析專業知識
- 率先開創針對白盒密碼學的側通道分析與故障注入技術
- 具備能找出檢查清單審查所遺漏問題的專業分析能力
- 研究結果以「按優先順序排列且可修正的工程任務」形式呈現，而非一長串條款清單
橫跨各種支付方案的單一合作夥伴
- 已通過 PCI、EMVCo、萬事達卡、Visa 及美國運通等計畫的認證
- 將 MPoC 整合至單一認證路線圖中，而非與各實驗室並行建立合作關係
- 在各計畫間重複利用證據和文件，以減少重複測試
PCI MPoC 研討會
在評估開始前，請讓您的團隊做好準備
是德科技提供一場關於 PCI MPoC 要求的線上互動式研討會。內容涵蓋適用範圍、這些要求如何與您的架構對應，以及最常導致首次提交被退回的常見陷阱。我們的專家將針對您的具體應用情境回答問題。
常見問題
「商用現成設備上的 PCI 行動支付（MPoC）」是 PCI 安全標準委員會針對運行於智慧型手機和平板電腦等商用現成設備上的支付受理解決方案所制定的標準。該標準採模組化且以目標為導向的設計，意即其設定了解決方案必須達成的安全目標，而非規定達成這些目標所必須使用的具體元件。
SPoC 規範了在商用現成 (COTS) 裝置上輸入 PIN 碼，並需搭配外部讀卡機。CPoC 則規範了無需 PIN 碼的非接觸式付款。MPoC 結合了這兩者，允許在同一裝置上進行 PIN 碼輸入與非接觸式持卡人資料輸入，並新增對離線交易、線上 PIN 碼、手動輸入卡片資料（包括透過裝置相機擷取）、遠端核心、外部磁條及安全讀卡機，以及未對公眾販售的企業級裝置之支援。
是的。PCI SSC 已宣布針對 SPoC 和 CPoC 兩項標準設立正式的過渡期，時間為 2026 年 5 月 1 日至 10 月 31 日。其解決方案已通過任一計畫驗證的供應商，應即刻開始規劃其 MPoC 轉型路徑。請與您的收單機構及支付品牌商商討，了解您具體的部署需求及截止期限。
版本 1.1 於 2024 年 11 月 26 日發布。主要變更包括移除「安全軟體」及「核心功能驗證」的要求，並允許一個 MPoC SDK 整合另一個 MPoC SDK。此次更新擴大了可通過認證的解決方案架構範圍。
PCI SSC 將 MPoC 產品分為三大類別：MPoC 解決方案、MPoC 軟體及 MPoC 服務。各類別均會分別進行評估與列名。唯有取得完整的端到端 MPoC 解決方案列名，方能進行實際部署。軟體或認證與監控服務等組件列名雖本身即屬有效產品，但僅持有組件列名的供應商，在正式上線前仍需取得完整的解決方案列名。
是的。MPoC 產品必須先經由 PCI 認可的 MPoC 實驗室進行評估與驗證，PCI SSC 才會接受並將其列入清單。是德科技 (Keysight) 即為一家 PCI 認可的 MPoC 實驗室。
已通過 SPoC 或 CPoC 驗證的產品，可提交至 MPoC 計畫進行評估。實際上，這是一項完整的評估，而非單純的文書作業，因為 MPoC 的範圍與架構均與其前身計畫有所不同。進行範圍界定諮詢，是釐清現有證據中有多少能直接沿用的最快方式。
這取決於專案範圍、產品類型，以及您在開始時文件編寫的完整程度。導致進度延誤的最大主因，在於文件尚未針對安全目標提出充分論證。在正式評估之前就展開設計與文件審查，是確保進度最有效的方式。
MPoC 清單附帶持續性的義務，包括年度檢查點及重新驗證截止日期。解決方案的變更可能會觸發差異評估。是德科技會在初期便對此進行規劃，以便將維護週期納入預算，避免產生意外支出。
是的。MPoC 支援使用外部磁條讀卡機，以及外部接觸式或非接觸式安全卡讀卡機，無論是否需要輸入 PIN 碼。評估範圍會根據讀卡機與商用現成 (COTS) 裝置之間的安全責任劃分方式而有所不同。
由於商用現成（COTS）裝置無法提供硬體級的安全保證，MPoC 因此仰賴一套驗證與監控系統，以持續判斷特定裝置是否處於足夠安全的狀態，足以處理交易。這項機制是該標準安全模型的核心，也是評估過程中經常出現問題的環節。
是的。如果您同時正在進行 EMVCo、Visa、Mastercard、American Express 或其他 PCI 計畫的認證，是德科技（Keysight）可將相關工作整合至單一路線圖中，並在各認證計畫間重複利用文件與測試證明。
通常包括您的行動工程負責人、後端或平台負責人、加密或資安架構師，以及負責合規事務的人員。文件負責人的角色比團隊預期的更為重要。在專案啟動的第一天就指定這位負責人，是您能採取的、最經濟實惠的方式來確保專案進度。
正在載入中
精選部落格
我們的專家會定期在部落格中分享實用見解。探索行動裝置與支付安全領域的最新動態。