क्रिप्टो कैसीनो
धार गियर
भुगतान प्रणालियों में डेटा एन्क्रिप्शन कैसे काम करता है
भुगतान प्रणाली सबसे संवेदनशील डेटा - पैन (कार्ड नंबर), समाप्ति तिथि, सीवीवी/सीवीसी, 3-DS टोकन, बैंक विवरण, बटुआ पहचानकर्ता के साथ काम करती है। उनका रिसाव जुर्माना है, बैंकों/पीएसपी से व्यापारियों को वापस बुलाना और प्रत्यक्ष वित्तीय नुकसान। संरक्षण परतों में बनाया गया है: एक चैनल (टीएलएस) में एन्क्रिप्शन, एन्क्रिप्शन और/या भंडारण में टोकन, सख्त कुंजी प्रबंधन और हार्डवेयर विश्वसनीय मॉड्यूल (एचएसएम)। नीचे सरल भाषा में पूरी सुरक्षा "पाइपलाइन" है।
मूल ईंटें
सममित क्रिप्टोग्राफी
एल्गोरिदम: एईएस-जीसीएम/सीटीआर/सीबीसी (भुगतान में, वास्तविक मानक एईएस-जीसीएम है)।
पेशेवरों: उच्च गति, कॉम्पैक्ट कुंजी।
विपक्ष: आपको एक कुंजी और IV/nonce पर सुरक्षित रूप से सहमत होने की आवश्यकता है।
असममित क्रिप्टोग्राफी
एल्गोरिदम: RSA-2048/3072, ECC (P-256/384, Ed25519)।
उपयोग: कुंजी विनिमय/रैपिंग, हस्ताक्षर, पीकेआई, टीएलएस प्रमाणपत्र।
पेशेवरों: पहले से साझा गुप्त की आवश्यकता नहीं है।
विपक्ष: सममित एन्क्रिप्शन की तुलना में धीमा।
Идея परफेक्ट फॉरवर्ड गोपनीयता (पीएफएस)
सत्र कुंजियों पर प्रभावशाली ईसीडीएचई द्वारा बातचीत की जाती है। यहां तक कि अगर सर्वर की निजी कुंजी लीक हो जाती है, तो पिछले सत्र अनिर्दिष्ट रहेंगे।
इन-ट्रांजिट एन्क्रिप्शन: टीएलएस 1। 2/1. 3
1. हैंडशेक (टीएलएस हैंडशेक): क्लाइंट और सर्वर संस्करणों/सिफर पर सहमत हैं, सर्वर एक प्रमाणपत्र (पीकेआई), एक्सचेंज पंचांग कुंजी (ईसीडीएचई) प्रस्तुत करता है → एक सत्र सममित कुंजी पैदा होती है।
2. डेटा: प्रमाणीकरण के साथ AEAD मोड (AES-GCM/ChaCha20-Poly1305) में प्रेषित।
3. अनुकूलन: टीएलएस 1। 3 कट राउंड, रीसेप्शन का समर्थन करता है; 0-RTT सावधानी से उपयोग किया जाता है (केवल पहचान प्रश्न)।
4. भुगतान के लिए अभ्यास: हम SSLv3/TLS1 प्रतिबंधित करते हैं। 0/1. 1, TLS1 चालू करें। 2/1. 3, OCSP स्टेपलिंग, HSTS, सख्त सुरक्षा हेडर।
एन्क्रिप्शन "भंडारण में": आराम पर
विकल्प
पूर्ण वॉल्यूम/डेटाबेस एन्क्रिप्शन (TDE): जल्दी से दर्ज किया गया, मीडिया के लिए "ठंडा" पहुंच से बचाता है, लेकिन एक समझौता अनुप्रयोग के माध्यम से रिसाव से नहीं।
बिटवाइज/फील्ड-लेवल (FLE): व्यक्तिगत क्षेत्र (PAN, IBAN) एन्क्रिप्टेड हैं। दानेदार, लेकिन लागू करने और सूचकांक करने के लिए अधिक कठिन।
प्रारूप-संरक्षण एन्क्रिप्शन (FPE): उपयोगी जब आप 16 अंकों को 16 अंकों के रूप में चाहते हैं।
टोकनाइजेशन: पैन को टोकन (अर्थहीन स्ट्रिंग) द्वारा बदल दिया जाता है; यह पैन भारी सुरक्षा के तहत टोकन वॉल्ट में संग्रहीत है। भुगतान/वापसी करते समय, एक टोकन का उपयोग किया जाता है - व्यापारी "कच्चे" कार्ड को संसाधित नहीं करता है।
कुंजी विचार
भंडारण में, यह "कौन सा एल्गोरिथ्म" नहीं है जो अधिक महत्वपूर्ण है, लेकिन जहां कुंजी हैं और कौन डिटोकेनाइज़कर सकता है। इसलिए...
प्रमुख प्रबंधन: KMS, HSM और लिफाफे
कुंजी पदानुक्रम (लिफाफा गोपन)
रूट/केईके (कुंजी गोपन कुंजी): उच्च सुरक्षा वर्ग, एचएसएम में संग्रहीत और निष्पादित।
डीईके (डेटा एन्क्रिप्शन कुंजी): विशिष्ट डेटा/बैच/टेबल को एन्क्रिप्ट करता है; केईके द्वारा एन्क्रिप्ट किया गया।
रोटेशन: केईके/डीईके के अनुसूचित और अनिर्धारित (किसी घटना के मामले में) रोटेशन के लिए नियम; कुंजी संस्करण सिफरटेक्स्ट मेटाडेटा में निर्दिष्ट है।
एचएसएम (हार्डवेयर सुरक्षा मॉड्यूल)
एक हार्डवेयर मॉड्यूल प्रमाणित (उदाहरण के लिए, FIPS 140-2/3) जो अपने भीतर महत्वपूर्ण संचालन को संग्रहीत और करता है।
बाहर के लिए निजी कुंजी जारी नहीं करता है, सीमा/उपयोग नीति, लेखा परीक्षा का समर्थन करता है।
के लिए प्रयुक्त: कुंजी जनरेशन, डीईके रैपर, सर्वर कुंजी 3-DS, ईएमवी कुंजी, पिन संचालन, संदेश हस्ताक्षर।
केएमएस
प्रमुख नीति, संस्करण, पहुँच, लॉग और एपीआई को केंद्रीकृत करता है।
एचएसएम के साथ संयोजन में, यह लिफाफा एन्क्रिप्शन और स्वचालित रोटेशन को लागू करता है।
कार्ड मानक और उद्योग विशिष्ट
पीसीआई डीएसएस (और न्यूनतम तर्क)
मुख्य विचार: सीवीवी को संग्रहीत न करें, पैन प्रसंस्करण क्षेत्र (गुंजाइश) को कम करें।
जहां संभव हो - होस्टेड फील्ड/इफ्रेम पीएसपी को पैन इनपुट दें - व्यापारी के पास कच्चे डेटा तक पहुंच नहीं है।
लॉग, बैकअप, डंप - प्रोड के समान नियम: मास्किंग, एन्क्रिप्शन, रिटेंशन।
ईएमवी, पिन и पीओएस
ईएमवी चिप/संपर्क-कम: कार्ड/टर्मिनल स्तर पर क्रिप्टोग्राम, मेज स्ट्रिप क्लोनिंग के खिलाफ सुरक्षा।
पिन ब्लॉक और आईएसओ 9564: पिन को पिन पैड से प्रसंस्करण तक एन्क्रिप्ट किया गया है, एचएसएम (पिन ट्रांसफर, कुंजी क्षेत्र) के साथ काम करता है।
DUKPT (व्युत्पन्न अद्वितीय कुंजी प्रति लेनदेन): पीओएस पर, प्रत्येक भुगतान को बीडीके से प्राप्त एक अद्वितीय कुंजी के साथ एन्क्रिप्ट किया जाता है - एक संदेश से समझौता करना दूसभी नहीं करता है।
PCI P2PE: पिन पैड से डिक्रिप्शन प्रदाता के लिए प्रमाणित "एंड-टू-एंड" एन्क्रिप्शन योजना।
3-डी सिक्योर (2। x)
कार्ड धारक प्रमाणीकरण - कम धोखाधड़ी/चार्जबैक।- क्रिप्टोग्राफी का उपयोग संदेश हस्ताक्षर, ACS/DS/3DS सर्वर कुंजी विनिमय के लिए किया जाता है; निजी कुंजियाँ आमतौर पर एचएसएम में होती हैं।
विशिष्ट डेटा संरक्षण वास्तुकला
विकल्प ए (पीएसपी के साथ ऑनलाइन व्यापारी):- ब्राउज़र → HTTPS → होस्टेड फील्ड्स PSP (पैन व्यापारी को नहीं मिलता है)।
- PSP भुगतान टोकन लौटाता है।
- व्यापारी डेटाबेस टोकन + अंतिम 4 अंकों और बिन (UX और नियमों के लिए) को संग्रहीत करता है।
- रिटर्न/दोहराता है - सिर्फ टोकन।
- सीक्रेट/कुंजी - केएमएस में, एचएसएम में निजी कुंजी TLS/3-DS -।
- अनुप्रयोग ↔ API - TLS/mTLS।
- संवेदनशील क्षेत्र - FLE/FPE या टोकन; तिजोरी अलग-थलग है।
- डिटोकेनाइजेशन तक पहुंच - केवल "चार-आंखों वाले", संचालन के साथ सेवा भूमिकाओं के लिए - एचएसएम के माध्यम से।
- पिन पैड प्रसंस्करण।
- टर्मिनल बूट कुंजियाँ - सुरक्षित कुंजी इंजेक्टर/एक्सएसएम के माध्यम से।
- लॉगिंग, उपकरणों की एंटी-टैम्पर सुरक्षा।
रोटेशन, ऑडिटिंग और घटनाएं
प्रमुख रोटेशन: नियोजित (हर एक्स महीने में एक बार) और घटना (समझौता) द्वारा। डीईके उपयोगकर्ता डेटा को डिक्रिप्ट किए बिना नए केईके के तहत फिर से लपेटता है।
अपरिवर्तनीय लॉग: कौन और कब डिटोकेनेशन/कुंजी एक्सेस किया गया; लॉग के हस्ताक्षर।
समझौता रनबुक: तत्काल निरस्त/घूमना, प्रमाणपत्र का पुनर्जागरण, एपीआई कुंजी ब्लॉक, भागीदार अधिसूचना, पूर्वव्यापी।
सामान्य गलतियाँ और उनसे कैसे बचें
1. "हम डेटाबेस को एन्क्रिप्ट करते हैं, इसलिए सब कुछ ठीक है।"
नहीं, यह नहीं है। समझौता किया गया अनुप्रयोग डेटा को खुले तौर पर पढ़ ता है। हमें टोकन/FLE और कम से कम अधिकारों के सिद्धांत की आवश्यकता है।
2. सीवीवी भंडारण।
आप नहीं कर सकते। CVV कभी संग्रहीत नहीं होता है, यहां तक कि एन्क्रिप्टेड (PCI DSS के माध्यम से)।
3. डेटा के बगल में कुंजियाँ।
आप नहीं कर सकते। कुंजी - KMS/HSM में, अभिगम - भूमिका द्वारा, न्यूनतम विशेषाधिकार, अलग खाते।
4. कोई घुमाव/संस्करण नहीं।
हमेशा संस्करण कुंजी, सिफरटेक्स्ट मेटाडेटा में 'कुंजी _ संस्करण' संग्रहीत करें।
5. केवल परिधि पर टीएलएस।
CDN/WAF के पीछे और डेटा प्लान (servis→servis, वेबहूक) के अंदर एन्क्रिप्ट करें।
6. टोकेनाइजेशन "देखने के लिए"।
यदि कोई सेवा detokenize कर सकती है, तो यह सुरक्षा नहीं है। संकीर्ण और ऑडिट कॉल।
7. बेहिसाब बैकअप/विश्लेषणात्मक अपलोड।
एन्क्रिप्शन और मास्किंग को बैकअप, स्नैपशॉट, बीआई-शोकेस, लॉग पर लागू होना चाहिए।
कार्यान्वयन चेकलिस्ट (संक्षिप्त)
चैनल
टीएलएस 1। 2/1. 3, पीएफएस, आंतरिक और वेबहूक के लिए एमटीएलएस, एचएसटीएस, सख्त सुरक्षा-हेडर।
भंडारण
पैन टोकन, सीवीवी भंडारण का निषेध।- महत्वपूर्ण क्षेत्रों के लिए FLE/FPE; आधार परत के रूप में TDE।
कुंजियाँ
केएमएस + एचएसएम, लिफाफा एन्क्रिप्शन (केईके/डीईके), रोटेशन/संस्करण, अपरिवर्तनीय लॉग।
वास्तुकला
होस्टेड फील्ड्स/एसडीके पीएसपी, पीसीआई ज़ोन कम से कम।- भूमिकाओं/नेटवर्कों का पृथक्करण, शून्य विश्वास, रहस्य - केवल एक गुप्त प्रबंधक के माध्यम से।
संचालन
परिधि और व्यावसायिक तर्क पर पेंटेस्ट/रेड टीम।- डीएलपी/सीटीआई नालियों की निगरानी, कार्मिक प्रशिक्षण।
- रनबुक на समझौता: निरस्त/घुमाएँ/सूचित करें।
मिनी-एफएक्यू
पैन के लिए एन्क्रिप्शन या टोकन सबसे अच्छा है?
बिक्री में - टोकन (गुंजाइश को कम करता है)। एचएसएम/केएमएस के साथ तिजोरी गोपन में।
क्या मुझे भुगतान डोमेन के लिए ईवी प्रमाणपत्र की आवश्यकता है?
वैकल्पिक। अधिक महत्वपूर्ण एचएसएम और अनुशासन में सही टीएलएस प्रोफाइल, एमटीएलएस, कुंजी है।
क्या मैं TLS 1 में 0-RTT का उपयोग कर सकता हूं? भुगतान के लिए 3?
अज्ञात GETs के लिए, हाँ। POST के लिए, बंद या सीमित करना बेहतर है।
"अंतिम 4" और बिन को कैसे संग्रहीत करें?
पैन से अलग; यह सही अलगाव के साथ संवेदनशील डेटा नहीं है, लेकिन लॉग/बीआई में मास्किंग का निरीक्षण करें।
भुगतान प्रणालियों में एन्क्रिप्शन एक टॉगल स्विच नहीं है, बल्कि एक पारिस्थितिकी तंत्र है: भंडारण में एक चैनल, टोकन और/या FLE में TLS/PFS, KMS + HSM, उद्योग मानकों (PI V V, 3-DS), रोटेशन और ऑडिट। इस तरह की बहु-स्तरित वास्तुकला कार्ड डेटा के रिसाव को बेहद संभावना नहीं बनाती है, ऑडिट के पारित होने को सरल बनाती है और, सबसे महत्वपूर्ण बात, बैंकों, भुगतान भागीदारों और उपयोगकर्ताओं के विश्वास को बरकरार रखती है।