كيف يعمل تشفير البيانات في أنظمة الدفع

تعمل أنظمة الدفع بأكثر البيانات حساسية - PAN (رقم البطاقة)، تاريخ انتهاء الصلاحية، CVV/CVC، الرموز 3-DS، التفاصيل المصرفية، معرفات المحفظة. تسريبهم هو الغرامات واستدعاء التاجر من البنوك/PSP والخسارة المالية المباشرة. تم بناء الحماية في طبقات: التشفير في قناة (TLS)، والتشفير و/أو الترميز في التخزين، وإدارة المفاتيح الصارمة والوحدات الموثوقة بالأجهزة (HSM). فيما يلي «خط الأنابيب» الأمني بالكامل بلغة بسيطة.

الطوب الأساسي

التشفير المتماثل

الخوارزميات: AES-GCM/CTR/CBC (في المدفوعات، المعيار الفعلي هو AES-GCM).

الإيجابيات: مفاتيح عالية السرعة ومضغوطة.

السلبيات: تحتاج إلى الاتفاق بأمان على مفتاح و IV/nonce.

التشفير غير المتماثل

الخوارزميات: RSA-2048/3072، ECC (P-256/384، Ed25519).

الاستخدام: تبادل/تغليف المفاتيح، التوقيعات، مرفق المفاتيح العمومية، شهادات TLS.

الإيجابيات: لا يتطلب سرًا مشتركًا مسبقًا.

السلبيات: أبطأ من التشفير المتماثل.

Идея السرية الأمامية المثالية (PFS)

يتم التفاوض على مفاتيح الجلسة من قبل ECDHE الفعالة. حتى لو تسربت المفاتيح الخاصة بالخادم في وقت ما، ستظل الجلسات السابقة غير مفككة.

التشفير أثناء العبور: TLS 1. 2/1. 3

1. المصافحة (مصافحة TLS): يتفق العميل والخادم على الإصدارات/الشفرات، ويقدم الخادم شهادة (PKI)، ويتبادل المفاتيح سريعة الزوال (ECDHE) → يولد مفتاح متماثل للجلسة.

2. البيانات: ترسل في أنماط AEAD (AES-GCM/ChaCha20-Poly1305) مع التوثيق.

3. التحسينات: TLS 1. 3 جولات قطع، دعم الاستئناف ؛ 0-RTT تستخدم بعناية (الاستفسارات الخفية فقط).

4. ممارسة المدفوعات: نحظر SSLv3/TLS1. 0/1. 1، قم بتشغيل TLS1. 2/1. 3، تدبيس OCSP، HSTS، رؤوس أمنية صارمة.

💡 المكالمات الداخلية (PSP → تاجر، معالجة → التجارية، خطافات الويب) غالبًا ما تحمي mTLS بشكل إضافي: يظهر كلا الجانبين شهادات متبادلة.

التشفير «في المخزن»: في الراحة

خيارات

التشفير الكامل للحجم/قاعدة البيانات (TDE): يتم إدخاله بسرعة، ويحمي من الوصول «البارد» إلى الوسائط، ولكن ليس من التسرب من خلال تطبيق مخترق.

Bitwise/field-level (FLE): حقول فردية (PAN, IBAN) مشفرة. حبيبي، ولكن يصعب تنفيذه وفهرسته.

تشفير الحفاظ على التنسيق (FPE): مفيد عندما تريد 16 رقمًا مثل 16 رقمًا.

الترميز: يتم استبدال PAN برمز (سلسلة لا معنى لها) ؛ يتم تخزين PAN هذا في قبو رمزي تحت حماية شديدة. عند الدفع/العودة، يتم استخدام رمز → التاجر لا يعالج البطاقات «الخام».

فكرة رئيسية

في التخزين، ليست «الخوارزمية» هي الأكثر أهمية، ولكن أين توجد المفاتيح ومن يمكنه التخلص من السموم. لذلك...

الإدارة الرئيسية: نظام إدارة الكيمياء ونظام إدارة الموارد البشرية والمظاريف

التسلسل الهرمي الرئيسي (تشفير المغلف)

Root/KEK (مفتاح التشفير الرئيسي): فئة حماية عالية، مخزنة ومنفذة في HSM.

DEK (مفتاح تشفير البيانات): يشفر بيانات/دفعات/جداول محددة ؛ نفسها مشفرة بواسطة KEK.

التناوب: الأنظمة المتعلقة بالتناوب المقرر وغير المقرر (في حالة وقوع حادث) لشركة كهرباء كوسوفو/شركة كهرباء كوسوفو ؛ والصيغة الرئيسية محددة في البيانات الوصفية للنص المشفر.

HSM (وحدة أمان الأجهزة)

وحدة الأجهزة المعتمدة (على سبيل المثال، FIPS 140-2/3) التي تخزن وتنفذ العمليات الرئيسية داخل نفسها.

لا تصدر مفاتيح خاصة للخارج، وتدعم سياسة الحدود/الاستخدام، والتدقيق.

يستخدم لـ: جيل المفاتيح، غلاف DEK، 3-DS مفتاح الخادم، مفاتيح EMV، عمليات PIN، توقيع الرسالة.

KMS

مركزية السياسة الرئيسية، والتحرير، والوصول، والسجلات، وواجهات برمجة التطبيقات.

بالاقتران مع HSM، ينفذ تشفير المغلف والدوران التلقائي.

معايير البطاقة وخصوصيات الصناعة

PCI DSS (ومنطق التقليل)

الفكرة الرئيسية: لا تخزن CVV، قلل من مساحة معالجة PAN (النطاق).

حيثما أمكن - امنح مدخلات PAN إلى Hosted Fields/Iframe PSP → لا يتمكن التاجر من الوصول إلى البيانات الأولية.

السجلات والنسخ الاحتياطية والمكبات - نفس قواعد الحث: الإخفاء والتشفير والاحتفاظ.

EMV، PIN и POS

شريحة EMV/بدون اتصال: مخطط مشفر على مستوى البطاقة/المحطة، الحماية من استنساخ شريط السحر.

كتل PIN و ISO 9564: يتم تشفير رقم التعريف الشخصي من وسادة الدبوس إلى المعالجة، ويعمل مع HSM (عمليات نقل الدبوس، المناطق الرئيسية).

DUKPT (مشتق من مفتاح فريد لكل معاملة): في نقاط البيع، يتم تشفير كل دفعة بمفتاح فريد مشتق من BDK → المساومة على رسالة واحدة لا تجر الآخرين.

PCI P2PE: نظام تشفير معتمد «من طرف إلى طرف» من وسادة الدبوس إلى مزود فك التشفير.

3-D Secure (2. x)

مصادقة حامل البطاقة → احتيال/تحميل أقل.

يستخدم التشفير لتوقيعات الرسائل، ACS/DS/3DS تبادل مفاتيح الخادم ؛ عادة ما تكون المفاتيح الخاصة في HSM.

هياكل حماية البيانات النموذجية

الخيار أ (تاجر عبر الإنترنت مع PSP):

Browser → HTTPS → Hosted Fields PSP (PAN لا تصل إلى التاجر).
PSP يعيد رمز الدفع.
تخزن قاعدة بيانات التاجر الرمز + آخر 4 أرقام و BIN (لـ UX والقواعد).
العودة/التكرار - رمز فقط.
الأسرار/المفاتيح - في KMS، TLS/3-DS المفاتيح الخاصة - في HSM.

الخيار ب (المحفظة/الدفع):

التطبيق ↔ API - TLS/mTLS.
الحقول الحساسة - FLE/FPE أو الترميز ؛ الخزنة معزولة.
الوصول إلى إزالة الدماغ - فقط لأدوار الخدمة مع العمليات «ذات الأربع عيون» - من خلال HSM.

الخيار جيم (غير متصل بالإنترنت):

وسادة الدبوس → DUKPT/P2PE معالجة →.
مفاتيح التمهيد الطرفية - عبر حقن مفاتيح آمنة/XSM.
قطع الأشجار، حماية الأجهزة المضادة للعبث.

التناوب ومراجعة الحسابات والحوادث

التناوب الرئيسي: مخطط له (مرة كل X شهرًا) وبحسب الحدث (حل وسط). تقوم DEK بإعادة الغلاف تحت KEK الجديد دون فك تشفير بيانات المستخدم.

جذوع الأشجار غير القابلة للتحويل: من، وعند الوصول إلى تفكيك/مفاتيح ؛ توقيع جذوع الأشجار.

دليل التسوية: الإلغاء/التناوب الفوري، إعادة إصدار الشهادات، كتلة مفتاح واجهة برمجة التطبيقات، إخطار الشريك، بأثر رجعي.

الأخطاء الشائعة وكيفية تجنبها

1. «قمنا بتشفير قاعدة البيانات، لذا كل شيء على ما يرام».

لا ، ليس كذلك يقرأ التطبيق المخترق البيانات علانية. نحن بحاجة إلى ترميز/FLE ومبدأ الحقوق الأقل.

2. تخزين CVV.

لا يمكنك. لا يتم تخزين CVV أبدًا، بل يتم تشفيرها (عبر PCI DSS).

3. مفاتيح بجانب البيانات.

لا يمكنك. المفاتيح - في KMS/HSM، الوصول - حسب الدور، الحد الأدنى من الامتيازات، حسابات منفصلة.

4. لا تناوب/نسخ.

دائما إصدار مفاتيح، تخزين 'key _ نسخة' في ciphertext metadata.

5. TLS على المحيط فقط.

تشفير خلف CDN/WAF وداخل خطة البيانات (servis→servis, webooks).

6. الترميز «للرؤية».

إذا كان بإمكان أي خدمة التخلص من السموم، فهذه ليست حماية. مكالمات ضيقة ومراجعة.

7. نسخ احتياطية/تحميلات تحليلية مجهولة المصير.

يجب تطبيق التشفير والإخفاء على النسخ الاحتياطية واللقطات وعروض BI والسجلات.

قائمة مرجعية للتنفيذ (موجز)

قناة

TLS 1. 2/1. 3، PFS، mTLS للخطابات الداخلية والويب، HSTS، رؤوس أمنية صارمة.

تخزين

ترميز PAN، حظر تخزين CVV.

FLE/FPE للميادين الحيوية ؛ TDE كطبقة أساسية.

مفاتيح

KMS + HSM، تشفير المغلف (KEK/DEK)، الدوران/الإصدارات، السجلات غير القابلة للتغيير.

الهندسة المعمارية

الحقول المستضافة/SDK PSP، تقليل منطقة PCI.

فصل الأدوار/الشبكات، عدم الثقة، الأسرار - فقط من خلال مدير سري.

العمليات

Pentest/Red Team on perimeter and business logic.

DLP/CTI رصد المصارف وتدريب الموظفين.

دفتر التشغيل на حل وسط: الإلغاء/التناوب/الإخطار.

الأسئلة الشائعة المصغرة

هل التشفير أو الترميز هو الأفضل لـ PAN ؟

في المبيعات - الترميز (يقلل النطاق). في القبو - التشفير باستخدام HSM/KMS.

هل أحتاج إلى شهادة EV لنطاق الدفع ؟

اختياري. الأهم من ذلك هو الملف الشخصي الصحيح لـ TLS و mTLS والمفاتيح في HSM والانضباط.

هل يمكنني استخدام 0-RTT في TLS 1 ؟ 3 للمدفوعات ؟

للحصول على GETs الأحمق، نعم. بالنسبة لـ POST، من الأفضل إيقاف التشغيل أو الحد.

كيف تخزن «آخر 4» و BIN ؟

منفصل عن PAN ؛ هذه ليست بيانات حساسة مع العزلة الصحيحة، ولكنها تلاحظ الإخفاء في جذوع الأشجار/BI.

التشفير في أنظمة الدفع ليس مفتاح تبديل واحد، ولكنه نظام بيئي: TLS/PFS في قناة، ترميز و/أو FLE في التخزين، إدارة صارمة للمفاتيح عبر KMS + HSM، معايير الصناعة (PCI DSS، EMV، 3-DS)، التناوب ومراجعة. مثل هذه البنية متعددة الطبقات تجعل تسريب بيانات البطاقات أمرًا غير مرجح للغاية، وتبسط مرور عمليات التدقيق، والأهم من ذلك أنها تحتفظ بثقة البنوك وشركاء الدفع والمستخدمين.