クリプトカジノ
トレントギア
決済システムにおけるデータ暗号化の仕組み
決済システムは最も機密性の高いデータ-PAN（カード番号）、有効期限、CVV/CVC、 3-DSトークン、銀行詳細、ウォレット識別子で動作します。彼らの漏洩は罰金であり、銀行/PSPからの商人の回収と直接の財政的損失です。保護はレイヤーで構築されています：チャネル（TLS）の暗号化、ストレージの暗号化および/またはトークン化、厳格な鍵管理およびハードウェアトラステッドモジュール（HSM）。以下はシンプルな言語でセキュリティ全体の「パイプライン」です。
基本的なレンガ
対称暗号化
アルゴリズム：AES-GCM/CTR/CBC（支払いでは、事実上の標準はAES-GCM）。
長所：高速、コンパクトキー。
短所：キーとIV/nonceに安全に同意する必要があります。
非対称暗号技術
アルゴリズム：RSA-2048/3072、 ECC （P-256/384、 Ed25519）。
使用法：キー交換/包むこと、署名、PKIのTLSの証明書。
長所：事前に共有秘密を必要としません。
短所：対称暗号化よりも遅い。
パーフェクトフォワード秘密（PFS）
セッションキーはeffemeric ECDHEによってネゴシエートされます。サーバーの秘密鍵が漏れた場合でも、過去のセッションは未定義のままです。
トランジット中の暗号化： TLS 1。2/1.3
1.ハンドシェイク（TLSハンドシェイク）：クライアントとサーバーはバージョン/暗号に同意し、サーバーは証明書（PKI）を提示し、ephemeralキー（ECDHE）を交換します。
2.データ：認証でAEADモード（AES-GCM/ChaCha20-Poly1305）で送信されます。
3.最適化：TLS 1。3カットラウンド、再開をサポートします。0-RTTは慎重に使用されます（idempotentクエリのみ）。
4.支払いのための練習：私たちはSSLv3/TLS1を禁止します。0/1.1、 TLS1をオンにします。2/1.3のOCSPのステープル、HSTSの厳密な保証ヘッダー。
暗号化「in storage」： at rest
［オプション］
フルボリューム/データベース暗号化（TDE）：迅速に入力され、メディアへの「冷たい」アクセスから保護されますが、侵害されたアプリケーションによる漏洩からではありません。
ビット単位/フィールドレベル（FLE）：個々のフィールド（PAN、 IBAN）は暗号化されます。きめ細かいですが、実装とインデックスが難しくなります。
フォーマット保存暗号化（FPE）： 16桁を16桁にしたい場合に便利です。
トークン化：PANはトークン（無意味な文字列）に置き換えられます。このPANは、重い保護の下でトークンボルトに保存されます。支払い/返却の場合、トークンが使用されます→商人は「raw」カードを処理しません。
キーアイデア
ストレージでは、より重要なのは「どのアルゴリズム」ではなく、キーがどこにあるか、誰がデトークン化できるかです。だから……
キー管理： KMS、 HSMおよび封筒
キー階層（エンベロープ暗号化）
Root/KEK （Key Encryption Key）： HSMに保存され実行される高い保護クラス。
DEK（データ暗号化キー）：特定のデータ/バッチ/テーブルを暗号化します。それ自体はKEKによって暗号化されます。
ローテーション：KEK/DEKのローテーションのスケジュールおよびスケジュールされていない（インシデントの場合）規制；キーバージョンは暗号文メタデータで指定されます。
HSM（ハードウェアセキュリティモジュール）
ハードウェアモジュール（FIPS 140-2/3など）が認定されており、それ自体でキー操作を保存および実行します。
外部に秘密鍵を発行せず、制限/使用ポリシー、監査をサポートします。
のために使用される：キー生成、DEKのラッパー、サーバーキー3-DS、 EMVキー、 PIN操作、メッセージ署名。
KMSについて
キーポリシー、バージョン管理、アクセス、ログ、APIを一元化します。
HSMと連携して、エンベロープ暗号化と自動回転を実装します。
カードの標準と業界の詳細
PCI DSS（および最小化ロジック）
主なアイデア：CVVを保存しないで、PAN処理領域（スコープ）を最小化します。
可能な場合-ホストフィールド/Iframe PSPにPAN入力を与える→マーチャントは生データにアクセスできません。
ログ、バックアップ、ダンプ-prodと同じルール：マスキング、暗号化、保持。
EMV、 ピンPOS
EMVチップ/コンタクトレス：カード/ターミナルレベルの暗号化、メージストリップのクローニングに対する保護。
PINブロックとISO 9564： PINはピンパッドから処理まで暗号化され、HSM（ピン転送、キーゾーン）で動作します。
DUKPT （Derived Unique Key Per Transaction）： POSでは、各支払いはBDKから派生した固有のキーで暗号化されます。
PCI P2PE：ピンパッドから復号プロバイダまでの「エンドツーエンド」暗号化スキームを認定。
3-Dセキュア（2。x）
カードホルダー認証→不正/チャージバックの削減。
暗号はメッセージ署名、ACS/DS/3DS Serverキー交換に使用されます。秘密鍵は通常HSMにあります。
典型的なデータ保護アーキテクチャ
オプションA （PSPのオンラインマーチャント）：- ブラウザ→HTTPS→ホストフィールドPSP （PANはマーチャントに取得しません）。
- PSPは支払いトークンを返します。
- マーチャントデータベースは、トークン+最後の4桁とBIN （UXとルール用）を格納します。
- Returns/repeats-トークンのみ。
- 秘密/鍵-KMSでは、秘密鍵TLS/3-DS-HSMで。
- アプリケーション↔ API-TLS/mTLS。
- 機密フィールド-FLE/FPEまたはトークン化；ヴォールトは隔離されてる。
- HSMを介して、デトークン化へのアクセス（「4つ目」の操作を持つサービスロールのみ）。
- ピンパッド→DUKPT/P2PE→加工。
- ターミナルブートキー-セキュアキーインジェクタ/XSMを介して。
- ロギング、デバイスのアンチタンパー保護。
ローテーション、監査、インシデント
キー回転：計画（X月に1回）とイベント（妥協）。ユーザーのデータを復号化することなく、新しいKEKの下でDEK rewrap。
Immutable logs： detokenation/keysに誰がアクセスしたのか;ログの署名。
妥協runbook：即時の取り消し/回転、証明書の再発行、APIキーブロック、パートナー通知、回顧。
よくある間違いとそれらを回避する方法
1.「私たちはデータベースを暗号化するので、すべてがOKです。」
いいえ、そうではありません。侵害されたアプリケーションは、データを公然と読み取ります。トークン化/FLEと最低権利の原則が必要です。
2.CVVストレージ。
あなたはできません。CVVは（PCI DSSを介して）暗号化されても、決して保存されません。
3.データの横のキー。
あなたはできません。キー-KMS/HSM、アクセス-役割、最小権限、個別のアカウント。
4.回転/バージョンはありません。
常にバージョンキーは、暗号文メタデータに'key_version'を格納します。
5.周囲のTLSのみ。
CDN/WAFの後ろとデータプラン内（servis→servis、 webhook）を暗号化します。
6.トークン化「for view」。
サービスがデトークン化できる場合、これは保護ではありません。狭い通話と監査。
7.未使用のバックアップ/分析アップロード。
暗号化とマスキングは、バックアップ、スナップショット、BIショーケース、ログに適用する必要があります。
実装チェックリスト（簡略版）
チャンネル（Chann
TLS 1。2/1.3、 PFS、内部およびwebhookのためのmTLS、 HSTSの厳密な保証ヘッダー。
ストレージ
PANトークン化、CVVストレージの禁止。
重要な分野のためのFLE/FPE；ベースレイヤーとしてのTDE。
Keys（キー）
KMS+HSM、エンベロープ暗号化（KEK/DEK）、回転/バージョン、変更できないログ。
アーキテクチャ
ホストフィールド/SDK PSP、 PCIゾーンの最小化。
役割/ネットワークの分離、ゼロ信頼、秘密-シークレットマネージャーを介してのみ。
オペレーション
Pentest/Red Team周辺およびビジネスロジック。
排水管のDLP/CTIの監視、人員訓練。
Runbookの妥協：revoke/rotate/notify。
Mini-FAQ
暗号化またはトークン化はPANに最適ですか？
販売-トークン化（スコープを最小化）。In vault-HSM/KMSによる暗号化。
支払いドメインのEV証明書は必要ですか？
オプションです。より重要なのは、正しいTLSプロファイル、mTLS、 HSMと規律のキーです。
TLS 1で0-RTTを使用できますか？支払のための3か？
idempotent GETの場合は、はい。POSTの場合は、オフまたは制限することをお勧めします。
「最後の4」とBINを保存する方法は？
PANからの分離；これは正しい分離を伴う機密データではありませんが、ログ/BIでマスキングを観察します。
決済システムの暗号化は1つのトグルスイッチではなく、エコシステムです。チャネルのTLS/PFS、ストレージのトークン化および/またはFLE、 KMS+HSMによる厳格なキー管理、業界標準（PCI DSS、 EMV、 3-DS）、回転そして監査。このような多層アーキテクチャは、カードデータの漏洩を非常に起こりにくく、監査の通過を簡素化し、最も重要なのは、銀行、決済パートナー、ユーザーの信頼を維持します。