En el documento PCI PA DSS, la frase "Criptografía fuerte" se repite a menudo, pero no pude encontrar una definición clara para eso. ¿Hay algún documento o estándar PCI para eso?
Como te dijo el documento:
Consulte el PCI DSS y el Glosario de términos, abreviaturas y siglas de PA-DSS para definiciones de “criptografía fuerte” y otras PCI Términos del DSS.
Leyendo ese documento, vemos que es (v3.1):
Criptografía basada en algoritmos probados y aceptados en la industria, junto con fuertes longitudes de clave (un mínimo de 112 bits de fuerza de clave efectiva) y prácticas adecuadas de administración de claves. La criptografía es un método para proteger los datos e incluye tanto el cifrado (que es reversible) como el hashing (que no es reversible, o "una forma"). Ver Hashing
En el momento de la publicación, los ejemplos de estándares y algoritmos aceptados y probados en la industria incluyen AES (128 bits y más), TDES / TDEA (claves de triple longitud), RSA (2048 bits y más), ECC (224 bits) y superior), y DSA / DH (2048/224 bits y superior). Consulte la publicación especial NIST 800-57 Parte 1 ( enlace ) para obtener más información sobre las fortalezas y algoritmos de las claves criptográficas.
Nota: Los ejemplos anteriores son apropiados para el almacenamiento persistente de los datos del titular de la tarjeta. Los requisitos mínimos de criptografía para las operaciones basadas en transacciones, según se definen en el PIN PCI y PTS, son más flexibles, ya que existen controles adicionales para reducir el nivel de exposición. Por ejemplo, se considera que las claves TDES de doble longitud utilizadas en implementaciones de clave única por transacción, tal como se definen en ISO 11568 para la derivación o transformación de clave (por ejemplo, DUKPT), proporcionan un nivel equivalente de criptografía sólida porque se genera una única clave única para cada transacción.
Se recomienda que todas las implementaciones nuevas usen un mínimo de 128 bits de fuerza de clave efectiva.
Lea otras preguntas en las etiquetas pci-dss