Կրիպտո կազինո
Torrent Gear
Ինչպես է աշխատում տվյալների կոդավորումը վճարային համակարգերում
Վճարային համակարգերը գործում են առավել զգայուն տվյալներով 'PAN (քարտեզի համարը), գործողության ժամանակահատվածը, CVV/CVC, 3-DS տոկենները, բանկային գրառումները, դրամապանակների ցուցանիշները։ Նրանց արտահոսքը տուգանքներ են, բանկերից/PBS-ից և ուղղակի ֆինանսական կորուստ։ Պաշտպանությունը կառուցվում է բազմաշերտ 'կոդավորումը ջրանցքում (TSM), կոդավորումը և/կամ հյուսվածքները պահպանման վրա, խիստ շարժիչների կառավարումը և ապարատային վստահված մոդուլները (HSM)։ Ներքևում անվտանգության ամբողջ «փոխակրիչը» պարզ լեզուն է։
Հիմնական աղյուսները
Սիմետրիկ կրիպտոգրաֆիա
Ալգորիթմներ ՝ AES-GCM/CTR/CBC (դե ֆակտո վճարում) - AES-GCM)։- Պլյուսներ 'բարձր արագություն, կոմպակտ բանալիներ։
- Մինուսներ 'պետք է ապահով համաձայնվեք բանալիների և CSA/nonce-ի մասին։
Ասիմետրիկ կրիպտոգրաֆիա
Ալգորիթմներ ՝ RMS-2048/3072, ECC (P-256/244, Ed2.119)։
Օգտագործումը 'փոխանակում/ծածկագիր, ստորագրություններ, PKI, TIM հավաստագրեր։- Պլյուսներ 'չի պահանջում ընդհանուր գաղտնիքը նախապես։
- Մինուսները 'ավելի դանդաղ, քան սիմետրիկ կոդավորումը։
Идея Perfect Forward Secrecy (PFS)
Սեսիայի բանալիները համաձայնվում են ECDHE-ի էֆեմերի հետ։ Նույնիսկ եթե սերվերի մասնավոր բանալին երբևէ արտահոսում է, անցյալ նստաշրջանները կմնան անփոփոխ։
Կոդավորումը «ճանապարհին» ՝ TFC 1։ 2/1. 3
1. Ձեռագործությունը (TMS handshake), հաճախորդը և սերվերը համաձայն են տարբերակները/ծածկագրերը, ներկայացնում է հավաստագիր (PKI), փոխանակվում են էֆեմերական բեկորները (ECDHE), ծնվում է սենսորային սիմետրիկ բանալին։
2. Տվյալները փոխանցվում են AEAD ռեժիմներում (AES-GCM/ChaCha20-Poly13.1) վավերացումով։
3. Օպտիմիզացիա: TFC 1։ 3 կրճատում է տուրերը, աջակցում է resumption; 0-RTT-ն օգտագործում է զգուշորեն (միայն idempotent հարցումները)։
4. Վճարումների պրակտիկան 'արգելում ենք SSLv3/TLS1։ 0/1. 1, ներառյալ TLS1։ 2/1. 3, OCMS stapling, HSTS, խիստ անվտանգության վերնագրեր։
«Պահպանման վրա» կոդավորումը 'at rest
Տարբերակներ
Թոմի/BD (TDE) ամբողջական կոդավորումը, արագ ներդրվում է, պաշտպանում է «սառը» հասանելիությունից կրողին, բայց ոչ արտահոսքից։
Կրկնակի/մակարդակի դաշտը (FLE) ծածկված է առանձին դաշտերը (PAN, IBAN)։ Գրանուլյար, բայց ավելի բարդ է իրականացման և ինդեքսավորման մեջ։
Ստանդարտ կոդավորումը (FOX) օգտակար է, երբ անհրաժեշտ է «16 թվեր որպես 16 թվեր»։
Տոկենիզացիա: PAN-ը փոխարինվում է հոսանքով (անիմաստ գիծ); Իրական PAN-ը պահպանվում է token vox-ում ուժեղ պաշտպանության տակ։ Windows/վերադարձի ժամանակ օգտագործվում է հոսանքի խառնուրդ, որը չի վերամշակում «հում» քարտեզները։
Հիմնական գաղափարը
Պահեստավորման ժամանակ ավելի կարևոր է ոչ թե «ինչ ալգորիթմ», այլ որտեղ են բանալիները և ովքեր կարող են դետոկենիզացնել։ Այդ իսկ պատճառով...
Ձեռնարկության կառավարումը 'KFC, HSM և ծրարներ
Մրցույթի հիերարխիա (envelope encryption)
Root/KEK (Key Encryption Key), պաշտպանության բարձր դաս, պահպանվում և կատարվում է HSM-ում։- DEK (Windows Encryption Key) 'կոդավորում է կոնկրետ տվյալներ/կուսակցություններ/աղյուսակներ; կոդավորված է KEK 'ով։
- Ռոտացիան 'պլանավորված և չնախատեսված (պատահականության դեպքում) KEK/DEK լուծարումը; Ռուսական տարբերակը տեղադրված է մետատվված ծածկագրերում։
HSM (Hardware Security Module)
Ապարատային մոդուլը, որը հավաստագրված է (օրինակ, FIPS 140-2/3), որը պահում և կատարում է վիրահատություններ իր ներսում։
Այն չի տալիս մասնավոր բանալիներ դուրս, աջակցում է սահմանները/օգտագործման քաղաքականությունը, աուդիտը։- Օգտագործվում է ՝ 108 նմ, DEK, 3-DS սերվերային կոմպոզիցիաներ, EMV-2019, PIN վիրահատություններ, հաղորդագրությունների ստորագրություններ։
KMS
Կենտրոնացնում է միգրացիայի քաղաքականությունը, տարբերակումը, հասանելի, ամսագրերը և API-ը։- HSM-ի հետ կապի մեջ իրականացնում է envelope encryption և ավտոմատ նավարկություն։
Քարտեզի ստանդարտները և արդյունաբերական առանձնահատկությունները
PCI DSS (և նվազեցման տրամաբանությունը)
Հիմնական գաղափարը 'չպահել CVV, նվազեցնել PAN (scope) մշակման տարածքը։- Որտե՞ ղ կարող եք տալ PAN-ի մուտքը Hosted Fields/Iframe PSA-ի վրա։
- Logs, bakaps, տիկնայք նույն կանոններն են, ինչ produck 'դիմակավորում, ծածկագրում, վերափոխում։
EMV, PIN и POS
EMV chip/կոնտակտային-less: cryptograms քարտեզի/2019 մակարդակում, պաշտպանություն mag շերտերի կլոնավորումից։
PIN բլոկները և ISO 9564: PIN-ը կոդավորվում է պինի պեդից մինչև պրոցեսինգը, աշխատում է HSM-ի հետ (pin-թարգմանություններ, հիմնական գոտիներ)։
DUKPT (Derived Unique Key Per Transaction): POS-ի վրա յուրաքանչյուր կոմպոզիցիա կոդավորված է յուրահատուկ բանալին, որը արտադրվում է BDK-ից, մեկ հաղորդագրության փոխըմբռնումը չի քաշում մյուսներին։
PCI P2MS: հավաստագրված «անցումային» սխեման պատրաստված է պինի պեդայից մինչև վերծանման պրովայդեր։
3-D Secure (2. x)
Քարտեզի սեփականատիրոջ վավերացումը ավելի քիչ ֆրոդ/չարջբեկ է։- Կրիպտոգրաֆիան օգտագործվում է հաղորդագրությունների ստորագրման, ACS/DS/3DS Server բաների փոխանակման համար։ մասնավոր բանալիները սովորաբար HSM-ում։
Տվյալների պաշտպանության բնորոշ ճարտարապետություններ
A տարբերակը (PFC)
HTTPS www.Hosted Fields PSA-ի (PAN-ը չի հասնում mercant)։- PMS-ը վերադարձնում է payrontoken-ը։
- BD-ում պահպանվում է + վերջին 4 թվերը և BIN-ը (UX-ի և կանոնների համար)։
- Ավելացումները/կրկնությունները միայն հոսանքներով են։
- Գաղտնիքները/բանալիները KFC-ում են, TFC/3-DS մասնավոր բանալիները HSM-ում։
B տարբերակը (դրամապանակ/վճարում)
API-ի դիմումը TFC/mTSA-ն է։- Զգայուն դաշտերը 'FLE/FOX կամ թունավորում; vox մեկուսացված է։
- Մանկացման հասանելիությունը միայն ծառայողական դերերով է «չորս աչքով», վիրահատությունը HSM-ի միջոցով։
C տարբերակը (ofline-POS)
Pin-pad no DUKPT/P2MS պրոցեսինգը։
Շարժիչի բեռնման բանալիները պաշտպանված հիմնական ինժեներների/HSM-ի միջոցով։- Ամսագրի, anti-tamper սարքերի պաշտպանության համար։
Միգրացիա, աուդիտ և պատահարներ
Մրցույթի լուծումը 'պլանավորված (անգամ X մես) և իրադարձությամբ (փոխզիջում)։ DEK rewrap նոր KEK-ի տակ առանց օգտագործողի տվյալների գաղտնագրման։
Անփոփոխ ամսագրեր ՝ ո՞ վ և երբ հասանելիություն ստացան դետոկենիզացիայի/բեկորների։ լոգարանների ստորագրություն։
Runbook-ը փոխզիջում է 'վերը նշված revoke/rotate, հավաստագրերի վերափոխում, API-2019 բլոկ, գործընկերների ծանուցում, հետադարձ հայացք։
Հաճախակի սխալներ և ինչպես խուսափել
1. «Մենք ծածկագրում ենք BD-ը, նշանակում է ամեն ինչ»։
Ոչ։ Սկոմպլեկտիվ ծրագիրը կարդում է տվյալները բաց։ Անհրաժեշտ է/FLE և նվազագույն իրավունքների սկզբունքը։
2. CVV պահպանումը։
Դուք չեք կարող։ CVV-ը երբեք չի պահպանվում, նույնիսկ կոդավորված (PCI DSS)։
3. Գաղտնիքները տվյալների կողքին։
Դուք չեք կարող։ Բանալիները KFC/HSM-ում են, հասանելիությունը 'դերերով, նվազագույն արտոնություններով, առանձին հաշիվներով։
4. Չկա ռոտացիաներ/տարբերակներ։
Միշտ տարբերեք բանալիները, պահեք «key _ version» մետատվական ծածկագրիչի մեջ։
5. TFC-ն միայն պարագծի վրա է։
Կոդավորեք CDN/WAF-ի և ամսաթվային պլանի ներսում (ծառայություն ծառայության, վեբհուկի)։
6. «Տեսակների համար»։
Եթե detokenize-ը կարող է ցանկացած ծառայություն, դա պաշտպանություն չէ։ Սահմանափակեք մինչև նեղ շրջանակը և թույլ տվեք զանգահարել։
7. Չբացահայտված բեքապներ/վերլուծական արտանետումներ։
Կոդավորումը և դիմադրությունը պետք է տարածվեն bekaps, դիպուկահարներ, BI-վիտրիններ, լոգներ։
Ներդրման թուղթ (հակիրճ)
Ջրանցք
TLS 1. 2/1. 3, PSA, mTSA ներքին և webhuks, HSTS, խիստ ռուսական-headers։
Պահեստավորում
PAN-ի տոկենիզացիան, CVV պահեստավորման արգելքը։- FLE/FOX կրիտիկական դաշտերի համար; TDE-ն որպես հիմնական շերտ։
Բանալիներ
KMS + HSM, envelope encryption (KEK/DEK), ռոտացիա/տարբերակ, անփոփոխ ամսագրեր։
Ճարտարապետություն
Hosted Fields/MSK PMS, PCI գոտու նվազեցումը։- Դերերի/ցանցերի բաժանումը, zero trust, գաղտնիքները միայն գաղտնի մենեջերի միջոցով են։
Վիրահատություններ
Pentest/Red Team-ը պարագծի և բիզնեսի տրամաբանության վրա։- DLP/CTI-105 օրինագծեր, անձնակազմի ուսուցում։
Runbook на compromise: revoke/rotate/notify.
Մինի-FAQ
Ի՞ նչն է ավելի լավ PAN-ի համար 'կոդավորումը կամ խառնուրդը։- Վաճառքում 'թունավորում (նվազագույնի հասցնում է scope)։ Vox-ում HSM/KMS-ի կոդավորումը։
- Պարտադիր չէ։ Ավելի կարևոր է ճիշտ TIM պրոֆիլը, mTSA-ը, HSM-ի բանալիները և կարգապահությունը։
Կարո՞ ղ եք օգտագործել 0-RTT TFC 1-ում։ 3 վճարելու համար։
Idempotent GET-ի համար այո։ POST-ի համար ավելի լավ է անջատել կամ սահմանափակել։
Ինչպե՞ ս պահել «վերջին 4» և BIN-ը։
Առանձին PAN-ից; սրանք զգայուն տվյալներ չեն ճիշտ մեկուսացման դեպքում, բայց պահպանեք քողարկումը լոգարաններում/BI։
Պլատինի համակարգերում կոդավորումը ոչ թե մեկ մառախուղ է, այլ էկոհամակարգ ՝ TSA/PSA ալիքի, հոսանքի և/կամ FLE պարունակության վրա, խիստ կառավարումը իրականացվում է KFC + HSM-ի միջոցով, արդյունաբերության ստանդարտները (PCI DSS, EMV, 3-DS) Այս բազմաշերտ ճարտարապետությունը դարձնում է քարտի տվյալների արտահոսքը չափազանց անհավանական, պարզեցնում է աուդիտների անցումը և, ամենակարևորը, պահպանում է բանկերի, վճարովի գործընկերների և օգտագործողների վստահությունը։