Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Fondations
Les rubriques de ce chapitre décrivent les primitives cryptographiques de la cryptographie des AWS paiements et les endroits où elles sont utilisées. Ils présentent également les éléments de base du service.
Rubriques
Primitives cryptographiques
AWS La cryptographie des paiements utilise des algorithmes cryptographiques standard paramétrables afin que les applications puissent implémenter les algorithmes nécessaires à leur cas d'utilisation. L'ensemble des algorithmes cryptographiques est défini par les normes PCI, ANSI X9, EMVco et ISO. Toute la cryptographie est effectuée par des HSM conformes à la norme PCI PTS HSM exécutés en mode PCI.
Entropie et génération de nombres aléatoires
AWS La génération de clés de cryptographie de paiement est effectuée sur les HSM de cryptographie AWS de paiement. Les HSM mettent en œuvre un générateur de nombres aléatoires qui répond aux exigences HSM de la norme PCI PTS pour tous les types de clés et paramètres pris en charge.
Opérations clés symétriques
Les algorithmes clés symétriques et les points forts définis dans les normes ANSI X9 TR 31, ANSI et PCI PIN X9.24 Annex C sont pris en charge :
-
Fonctions de hachage — Algorithmes des familles SHA2 et SHA3 dont la taille de sortie est supérieure à 2551. À l'exception de la rétrocompatibilité avec les terminaux pré-PCI PTS POI v3.
-
Chiffrement et déchiffrement : AES avec une taille de clé supérieure ou égale à 128 bits, ou TDEA avec une taille de clé supérieure ou égale à 112 bits (2 clés ou 3 clés).
-
Codes d'authentification de message (MAC) CMAC ou GMAC avec AES, ainsi que HMAC avec une fonction de hachage approuvée et une taille de clé supérieure ou égale à 128.
AWS La cryptographie des paiements utilise la norme AES 256 pour les clés principales HSM, les clés de protection des données et les clés de session TLS.
Remarque : Certaines des fonctions répertoriées sont utilisées en interne pour prendre en charge les protocoles et les structures de données standard. Consultez la documentation de l'API pour connaître les algorithmes pris en charge par des actions spécifiques.
Opérations clés asymétriques
Les algorithmes de clé asymétriques et les points forts définis dans l'ANSI X9 TR 31, l'ANSI X9.24 et l'annexe C du code PIN PCI sont pris en charge :
-
Schémas d'établissement clés approuvés, tels que décrits dans le NIST SP800-56A (accord ECC/FCC2-based clé), le NIST SP800-56B (accord IFC-based clé) et le NIST SP800-38F (AES-based accord clé). encryption/wrapping
AWS Les hôtes de Payment Cryptography autorisent uniquement les connexions au service via TLS avec une suite de chiffrement garantissant une parfaite
Remarque : Certaines des fonctions répertoriées sont utilisées en interne pour prendre en charge les protocoles et les structures de données standard. Consultez la documentation de l'API pour connaître les algorithmes pris en charge par des actions spécifiques.
Rangement des clés
AWS Les clés de cryptographie de paiement sont protégées par des clés principales HSM AES 256 et stockées dans des blocs de clés ANSI X9 TR 31 dans une base de données cryptée. La base de données est répliquée dans une base de données en mémoire sur les serveurs de cryptographie des AWS paiements.
Selon l'annexe C de la norme de sécurité PCI PIN, les clés AES 256 sont aussi puissantes ou plus puissantes que :
-
TDEA à 3 touches
-
RSA 15360 bits
-
ECC 512 bits
-
DSA, DH et MQV 15360/512
Importation de clés à l'aide de clés symétriques
AWS La cryptographie des paiements prend en charge l'importation de cryptogrammes et de blocs de clés dotés de clés symétriques ou publiques avec une clé de chiffrement à clé symétrique (KEK) aussi forte ou plus puissante que la clé protégée à importer.
Importation de clés à l'aide de clés asymétriques
AWS La cryptographie des paiements prend en charge l'importation de cryptogrammes et de blocs de clés dotés de clés symétriques ou publiques protégées par une clé de chiffrement à clé privée (KEK) aussi forte ou plus puissante que la clé protégée à importer. L'authenticité et l'intégrité de la clé publique fournie pour le déchiffrement doivent être garanties par un certificat délivré par une autorité de confiance du client.
Les KEK publics fournis par AWS Payment Cryptography disposent de l'authentification et de la protection d'intégrité d'une autorité de certification (CA) avec une conformité attestée à la sécurité par code PIN PCI et à l'annexe A de la norme PCI P2PE.
Exportation de clés
Les clés peuvent être exportées et protégées par des clés dotées de la valeur appropriée KeyUsage et qui sont aussi fortes ou plus fortes que la clé à exporter.
Protocole DUKPT (clé unique dérivée par transaction)
AWS La cryptographie des paiements prend en charge les clés de dérivation de base (BDK) TDEA et AES telles que décrites par l'ANSI. X9.24-3
Hiérarchie des clés
La hiérarchie des clés de chiffrement des AWS paiements garantit que les clés sont toujours protégées par des clés aussi fortes ou plus fortes que les clés qu'elles protègent.
AWS Les clés de cryptographie de paiement sont utilisées pour la protection des clés au sein du service :
| Clé | Description |
|---|---|
| Clé principale régionale | Protège les images ou profils HSM virtuels utilisés pour le traitement cryptographique. Cette clé n'existe que dans le HSM et les sauvegardes sécurisées. |
| Clé principale du profil | Clé de protection de clé client de haut niveau, traditionnellement appelée clé principale locale (LMK) ou clé de fichier principale (MFK) pour les clés client. Cette clé n'existe que dans le HSM et les sauvegardes sécurisées. Les profils définissent des configurations HSM distinctes conformément aux normes de sécurité pour les cas d'utilisation des paiements. |
| Racine de confiance pour les clés de chiffrement à clé publique (KEK) de cryptographie des AWS paiements | La clé publique racine fiable et le certificat d'authentification et de validation des clés publiques fournis par AWS Payment Cryptography pour l'importation et l'exportation de clés à l'aide de clés asymétriques. |
Les clés client sont regroupées en fonction des clés utilisées pour protéger les autres clés et des clés qui protègent les données relatives au paiement. Voici des exemples de clés client des deux types :
| Clé | Description |
|---|---|
| Customer-provided racine sécurisée pour les clés KEK publiques | Clé publique et certificat fournis par vous en tant que base de confiance pour authentifier et valider les clés publiques que vous fournissez pour l'importation et l'exportation de clés à l'aide de clés asymétriques. |
| Clés de chiffrement clés (KEK) | Les KEK sont utilisés uniquement pour chiffrer d'autres clés destinées à être échangées entre des magasins de clés externes et AWS Payment Cryptography, des partenaires commerciaux, des réseaux de paiement ou différentes applications au sein de votre organisation. |
| Clé unique dérivée par transaction (DUKPT) Clé de dérivation de base (BDK) | Les BDK sont utilisés pour créer des clés uniques pour chaque terminal de paiement et traduire les transactions de plusieurs terminaux en une seule clé de travail de la banque acquéreuse, ou de l'acquéreur. La meilleure pratique, requise par le Point-to-Point chiffrement PCI (P2PE), est d'utiliser différents BDK pour différents modèles de terminaux, services d'injection de clés ou d'initialisation, ou pour toute autre segmentation afin de limiter l'impact de la compromission d'un BDK. |
| Clé principale de contrôle de zone du réseau de paiement (ZCMK) | Les ZCMK, également appelés clés de zone ou clés principales de zone, sont fournis par les réseaux de paiement pour établir les clés de travail initiales. |
| Clés de transaction DUKPT | Les terminaux de paiement configurés pour DUKPT obtiennent une clé unique pour le terminal et la transaction. Le HSM recevant la transaction peut déterminer la clé à partir de l'identifiant du terminal et du numéro de séquence de transaction. |
| Clés de préparation des données des cartes | Les clés principales de l'émetteur EMV, les clés de carte EMV et les valeurs de vérification, ainsi que les clés de protection des fichiers de données de personnalisation des cartes sont utilisées pour créer des données pour des cartes individuelles destinées à être utilisées par un fournisseur de personnalisation de cartes. Ces clés et données de validation cryptographique sont également utilisées par les banques émettrices, ou émetteurs, pour authentifier les données des cartes dans le cadre de l'autorisation des transactions. |
| Clés de préparation des données des cartes | Les clés principales de l'émetteur EMV, les clés de carte EMV et les valeurs de vérification, ainsi que les clés de protection des fichiers de données de personnalisation des cartes sont utilisées pour créer des données pour des cartes individuelles destinées à être utilisées par un fournisseur de personnalisation de cartes. Ces clés et données de validation cryptographique sont également utilisées par les banques émettrices, ou émetteurs, pour authentifier les données des cartes dans le cadre de l'autorisation des transactions. |
| Clés de fonctionnement du réseau de paiement | Souvent appelées clé de travail de l'émetteur ou clé de travail de l'acquéreur, ces clés cryptent les transactions envoyées ou reçues depuis les réseaux de paiement. Ces clés font l'objet d'une rotation fréquente par le réseau, souvent tous les jours ou toutes les heures. Il s'agit de clés de chiffrement par code PIN (PEK) pour les PIN/Debit transactions. |
| Clés de chiffrement (PEK) par numéro d'identification personnel (PIN) | Les applications qui créent ou déchiffrent des blocs de code PIN utilisent le PEK pour empêcher le stockage ou la transmission de code PIN en texte clair. |
