Hágalo usted mismo Almacenamiento de tarjeta de crédito (Cumple con PCI - DSS)

El PCI DSS no está expresamente claro en este tema. El significado del almacenamiento seguro de claves y la administración segura de claves se deja a la interpretación del QSA. Puede encontrar que un QSA considera que el KEK privado es todo lo que necesita ser asegurado, y él trata a los EK como fichas. O es posible que encuentre un QSA diferente que considere que cada EK individual necesita ser asegurado, a pesar de que han sido cifrados con un KEK. Hemos tenido ambos tipos de auditores y, francamente, pensé que el "más duro" de los dos era más competente (aunque no estaba de acuerdo con su evaluación de los riesgos).

El mayor problema que veo es que no está tomando en cuenta el costo de ser propietario de este sistema. Un sistema complejo como este requerirá tiempo y dinero para construirlo. Se requerirá que los auditores realicen un examen muy cuidadoso de todos los rincones y grietas de los sistemas, lo que también llevará mucho tiempo y dinero. Y tendrán que repetir su examen cada año.

Considere que, de acuerdo con las reglas actuales, si construye un sistema que se viola, el responsable del alquiler será responsable del 100% de los costos de todos los fraudes asociados con la violación. Eso significa que si alguien roba la tarjeta de un millonario y le cobra a un Ferrari por él, es responsable de la pérdida. Si alguien roba las tarjetas de 10 millonarios y cobra un Ferrari por cada uno de ellos, es responsable de toda la pérdida. Sus abogados, por supuesto, se darán vuelta inmediatamente y lo demandarán por construir un sistema inseguro. Y demandarán al QSA por incompetencia al no decirles que su sistema casero era inseguro. Por lo tanto, el QSA tiene que cobrar lo suficiente no solo para pagar el tiempo dedicado a la auditoría del sistema, sino también para asegurar su riesgo.

Francamente, sería mejor para el arrendatario que los empleados de su mostrador fabriquen fotocopias de las tarjetas de identificación del cliente y dejen caer las copias en una caja de seguridad debajo del mostrador; y manteniendo sus cámaras de seguridad en movimiento. Si un cliente no devuelve un artículo, o devuelve un artículo dañado y lo impugna, tendrá la evidencia que necesita para llevar al inquilino a la corte de reclamos menores. Eso es mucho más barato que construir un sistema compatible con PCI DSS y mantenerlo. (Y ese es realmente el punto de la PCI DSS: el auditor debe identificar y explicar los riesgos, el propietario de la empresa debe considerar cuidadosamente los riesgos y luego tomar decisiones inteligentes).

Bueno, haciendo referencia al "Glosario de términos, abreviaturas y acrónimos de PCI DSS y PA-DSS" podemos ver lo siguiente como "criptografía fuerte"

  

Criptografía fuerte:   Criptografía basada en algoritmos probados y aceptados en la industria, junto con longitudes de claves que proporcionan un mínimo de 112 bits de fortaleza de la llave efectiva y prácticas adecuadas de administración de claves. La criptografía es un método para proteger los datos e incluye tanto el cifrado (que es reversible) como el hash (que es "de una manera"; es decir, no reversible). Ver Hashing.

     

En el momento de la publicación, los ejemplos de estándares y algoritmos aceptados y probados en la industria incluyen AES (128 bits y más), TDES / TDEA (claves de triple longitud), RSA (2048 bits y más), ECC (224 bits) y superior), y DSA / DH (2048/224 bits y superior). Consulte la versión actual de la publicación especial NIST 800-57 Parte 1 ( enlace ) para obtener más información sobre las fortalezas y algoritmos de claves criptográficas.

     

Nota: los ejemplos anteriores son apropiados para el almacenamiento persistente de los datos del titular de la tarjeta. Los requisitos mínimos de criptografía para las operaciones basadas en transacciones, según se definen en el PIN PCI y PTS, son más flexibles, ya que existen controles adicionales para reducir el nivel de exposición. Se recomienda que todas las implementaciones nuevas usen un mínimo de 128 bits de fuerza de clave efectiva.

En términos generales, puede usar un algoritmo de cifrado simétrico, cifrarlo y luego descifrarlo antes de usarlo, esto puede hacerlo la base de datos.

Para responder "¿Estoy haciendo esto correctamente?" Yo diría que no. Necesita tener tokenización, le hará la vida más fácil y más barata, deberá cumplir con las normas de PCI DSS y tendrá que realizar autoevaluaciones cada año, lo que probablemente no cumplirá, dada su renuencia a hacer tokenización porque le gusta su procesador (¿qué procesador no admite la tokenización en la actualidad?). Y con la tokenización, no tiene que preocuparse por ninguna arquitectura criptográfica, ya que el token no tiene que estar criptográficamente protegido.