Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Grundlagen
Die Themen in diesem Kapitel beschreiben die kryptografischen Grundlagen der AWS Zahlungskryptografie und wo sie verwendet werden. Sie stellen auch die grundlegenden Elemente des Dienstes vor.
Themen
Kryptografische Primitive
AWS Die Zahlungskryptografie verwendet parametrierbare kryptografische Standardalgorithmen, sodass Anwendungen die für ihren Anwendungsfall erforderlichen Algorithmen implementieren können. Der Satz kryptografischer Algorithmen wird durch die Standards PCI, ANSI X9, EMVCo und ISO definiert. Die gesamte Kryptografie wird von HSMs durchgeführt, die auf der PCI-PTS-HSM-Liste stehen und im PCI-Modus ausgeführt werden.
Entropie und Zufallszahlengenerierung
AWS Die Schlüsselgenerierung für die Zahlungskryptografie erfolgt auf den Zahlungskryptografie-HSMs. AWS Die HSMs implementieren einen Zufallszahlengenerator, der die PCI-PTS-HSM-Anforderungen für alle unterstützten Schlüsseltypen und Parameter erfüllt.
Symmetrische Tastenoperationen
Symmetrische Schlüsselalgorithmen und Schlüsselstärken, die in ANSI X9 TR 31, ANSI und PCI PIN Annex C definiert sind X9.24, werden unterstützt:
-
Hash-Funktionen — Algorithmen aus der SHA2- und SHA3-Familie mit einer Ausgabegröße von mehr als 2551. Mit Ausnahme der Abwärtskompatibilität mit PTS POI v3-Terminals vor PCI.
-
Verschlüsselung und Entschlüsselung — AES mit einer Schlüsselgröße von mindestens 128 Bit oder TDEA mit einer Schlüsselgröße von mindestens 112 Bit (2 Schlüssel oder 3 Schlüssel).
-
Message Authentication Codes (MACs) CMAC oder GMAC mit AES sowie HMAC mit einer zugelassenen Hash-Funktion und einer Schlüsselgröße größer oder gleich 128.
AWS Die Zahlungskryptografie verwendet AES 256 für HSM-Hauptschlüssel, Datenschutzschlüssel und TLS-Sitzungsschlüssel.
Hinweis: Einige der aufgelisteten Funktionen werden intern zur Unterstützung von Standardprotokollen und Datenstrukturen verwendet. In der API-Dokumentation finden Sie Informationen zu Algorithmen, die von bestimmten Aktionen unterstützt werden.
Asymmetrische Schlüsseloperationen
Asymmetrische Schlüsselalgorithmen und Schlüsselstärken, die in ANSI X9 TR 31, ANSI und PCI PIN Annex C definiert sind X9.24, werden unterstützt:
-
Genehmigte zentrale Niederlassungsprogramme — wie in NIST SP800-56A (ECC/FCC2-based Key Agreement), NIST (Key Agreement) und NIST SP800-56B (IFC-based Key) beschrieben. SP800-38F AES-based encryption/wrapping
Hinweis: Einige der aufgelisteten Funktionen werden intern zur Unterstützung von Standardprotokollen und Datenstrukturen verwendet. In der API-Dokumentation finden Sie Informationen zu Algorithmen, die von bestimmten Aktionen unterstützt werden.
Speicher für Schlüssel
AWS Schlüssel zur Zahlungskryptografie werden durch HSM AES 256-Hauptschlüssel geschützt und in ANSI X9 TR 31-Schlüsselblöcken in einer verschlüsselten Datenbank gespeichert. Die Datenbank wird in eine In-Memory-Datenbank auf Payment Cryptography-Servern repliziert. AWS
Gemäß Anhang C der PCI PIN Security Normative sind AES-256-Schlüssel genauso stark oder stärker als:
-
TDEA mit 3 Tasten
-
RSA 15360-Bit
-
ECC 512-Bit
-
DSA, DH und MQV 15360/512
Schlüsselimport mit symmetrischen Schlüsseln
AWS Die Zahlungskryptografie unterstützt den Import von Kryptogrammen und Schlüsselblöcken mit symmetrischen oder öffentlichen Schlüsseln mit einem symmetrischen Schlüssel (KEK), der genauso stark oder stärker ist als der geschützte Schlüssel für den Import.
Schlüsselimport mit asymmetrischen Schlüsseln
AWS Die Zahlungskryptografie unterstützt den Import von Kryptogrammen und Schlüsselblöcken mit symmetrischen oder öffentlichen Schlüsseln, die durch einen privaten Schlüssel (KEK) geschützt sind, der genauso stark oder stärker ist als der geschützte Schlüssel für den Import. Die Authentizität und Integrität des zur Entschlüsselung bereitgestellten öffentlichen Schlüssels muss durch ein Zertifikat einer Stelle gewährleistet werden, der der Kunde vertraut.
Öffentliche KEK, die von AWS Payment Cryptography bereitgestellt werden, verfügen über den Authentifizierungs- und Integritätsschutz einer Zertifizierungsstelle (CA), die die Einhaltung von PCI-PIN-Sicherheit und PCI P2PE Annex A bescheinigt.
Export von Schlüsseln
Schlüssel können exportiert und durch Schlüssel mit den entsprechenden KeyUsage Schlüsseln geschützt werden, die genauso stark oder stärker als der zu exportierende Schlüssel sind.
DUKPT (Derived Unique Key Per Transaction) -Protokoll
AWS Die Zahlungskryptografie unterstützt TDEA und AES Base Derivation Keys (BDK), wie von ANSI beschrieben. X9.24-3
Schlüsselhierarchie
Die Schlüsselhierarchie der AWS Zahlungskryptografie stellt sicher, dass Schlüssel immer durch Schlüssel geschützt werden, die genauso stark oder stärker sind als die Schlüssel, die sie schützen.
AWS Schlüssel für die Zahlungskryptografie werden für den Schlüsselschutz innerhalb des Dienstes verwendet:
| Key (Schlüssel) | Description |
|---|---|
| Regionaler Hauptschlüssel | Schützt virtuelle HSM-Bilder oder Profile, die für die kryptografische Verarbeitung verwendet werden. Dieser Schlüssel ist nur in HSM- und sicheren Backups vorhanden. |
| Hauptschlüssel des Profils | Schlüssel zum Schutz der Kundenschlüssel auf höchster Ebene, traditionell als Local Master Key (LMK) oder Master File Key (MFK) für Kundenschlüssel bezeichnet. Dieser Schlüssel ist nur in HSM- und sicheren Backups vorhanden. Profile definieren unterschiedliche HSM-Konfigurationen, wie es die Sicherheitsstandards für Anwendungsfälle im Zahlungsverkehr erfordern. |
| Vertrauensbasis für KEK-Schlüssel (Public Key Encryption Key) im Bereich AWS Zahlungskryptografie | Der vertrauenswürdige öffentliche Root-Schlüssel und das Zertifikat für die Authentifizierung und Validierung von öffentlichen Schlüsseln, die von AWS Payment Cryptography für den Import und Export von Schlüsseln mithilfe asymmetrischer Schlüssel bereitgestellt werden. |
Kundenschlüssel sind nach Schlüsseln gruppiert, die zum Schutz anderer Schlüssel und nach Schlüsseln zum Schutz zahlungsbezogener Daten verwendet werden. Dies sind Beispiele für Kundenschlüssel beider Typen:
| Key (Schlüssel) | Description |
|---|---|
| Customer-provided vertrauenswürdiger Stamm für öffentliche KEK-Schlüssel | Von Ihnen bereitgestellter öffentlicher Schlüssel und Zertifikat als Vertrauensbasis für die Authentifizierung und Validierung von öffentlichen Schlüsseln, die Sie mit asymmetrischen Schlüsseln für den Import und Export von Schlüsseln angeben. |
| Verschlüsselungsschlüssel (KEK) | KEK werden ausschließlich zur Verschlüsselung anderer Schlüssel für den Austausch zwischen externen Schlüsselspeichern und AWS Zahlungskryptografie, Geschäftspartnern, Zahlungsnetzwerken oder verschiedenen Anwendungen innerhalb Ihres Unternehmens verwendet. |
| Abgeleiteter eindeutiger Schlüssel pro Transaktion (DUKPT), Basisableitungsschlüssel (BDK) | BDKs werden verwendet, um eindeutige Schlüssel für jedes Zahlungsterminal zu erstellen und Transaktionen von mehreren Terminals auf einen einzigen funktionierenden Schlüssel für die Acquirer-Bank oder den Acquirer zu übertragen. Die bewährte Methode, die für die Point-to-Point PCI-Verschlüsselung (P2PE) erforderlich ist, besteht darin, dass unterschiedliche BDKs für unterschiedliche Terminalmodelle, Schlüsselinjektions- oder -initialisierungsdienste oder andere Segmentierungen verwendet werden, um die Auswirkungen der Kompromittierung eines BDK zu begrenzen. |
| Hauptschlüssel für die Zonensteuerung des Zahlungsnetzwerks (ZCMK) | ZCMK, auch Zonenschlüssel oder Zonenhauptschlüssel genannt, werden von Zahlungsnetzwerken bereitgestellt, um die ersten funktionierenden Schlüssel zu erstellen. |
| DUKPT-Transaktionsschlüssel | Für DUKPT konfigurierte Zahlungsterminals leiten einen eindeutigen Schlüssel für das Terminal und die Transaktion ab. Das HSM, das die Transaktion empfängt, kann den Schlüssel anhand der Terminalkennung und der Transaktionssequenznummer ermitteln. |
| Schlüssel zur Vorbereitung der Kartendaten | EMV-Aussteller-Hauptschlüssel, EMV-Kartenschlüssel und Prüfwerte sowie Schlüssel zum Schutz von Kartenpersonalisierungsdaten werden verwendet, um Daten für einzelne Karten zu erstellen, die dann von einem Anbieter für Kartenpersonalisierung verwendet werden können. Diese Schlüssel und kryptografischen Validierungsdaten werden auch von ausstellenden Banken oder Emittenten zur Authentifizierung von Kartendaten im Rahmen der Autorisierung von Transaktionen verwendet. |
| Schlüssel zur Vorbereitung von Kartendaten | EMV-Aussteller-Hauptschlüssel, EMV-Kartenschlüssel und Prüfwerte sowie Schlüssel zum Schutz von Kartenpersonalisierungsdaten werden verwendet, um Daten für einzelne Karten zu erstellen, die dann von einem Anbieter für Kartenpersonalisierung verwendet werden können. Diese Schlüssel und kryptografischen Validierungsdaten werden auch von ausstellenden Banken oder Emittenten zur Authentifizierung von Kartendaten im Rahmen der Autorisierung von Transaktionen verwendet. |
| Funktionierende Schlüssel für das Zahlungsnetzwerk | Diese Schlüssel werden oft als Arbeitsschlüssel des Ausstellers oder Arbeitsschlüssel des Acquirers bezeichnet und sind die Schlüssel, mit denen Transaktionen verschlüsselt werden, die an Zahlungsnetzwerke gesendet oder von ihnen empfangen werden. Diese Schlüssel werden vom Netzwerk häufig rotiert, oft täglich oder stündlich. Dies sind PIN-Verschlüsselungsschlüssel (PEK) für PIN/Debit Transaktionen. |
| Verschlüsselungsschlüssel (PEK) mit persönlicher Identifikationsnummer (PIN) | Anwendungen, die PIN-Blöcke erstellen oder entschlüsseln, verwenden PEK, um die Speicherung oder Übertragung von Klartext-PINs zu verhindern. |
