PIN Security Requirements – Parte 1

Em setembro de 2011, o PCI lançou a primeira versão do documento “PIN Security Requirements”, com um conjunto de requisitos para o gerenciamento seguro, processamento e transmissão de senhas (PIN) durante o processamento de transações de cartão de pagamento online e offline em caixas eletrônicos e terminais de pontos de venda (POS).

Uma nova versão (V 2.0) foi publicada em dezembro de 2014, incluindo procedimentos de testes e revista em agosto de 2018, com mudanças em sua redação para melhor entendimento e estabelecendo novas datas de vigência para a implantação dos requisitos.

Em sua versão original, o documento já identificava 7 (sete) objetivos de controle:

Pin Security Requirements

Este conjunto de requisitos foi destinado a todas as instituições adquirentes e agentes (por exemplo, instalações de injeção de chave e processadores de certificados) responsáveis pelo processamento de transações de PIN participantes da indústria de cartão de pagamento.

O documento:

  • Identifica os requisitos mínimos de segurança para transações de intercâmbio baseadas em PIN. 
  • Descreve os requisitos mínimos aceitáveis para proteger PINs e chaves de criptografia. 
  • Auxilia os participantes do sistema de pagamento eletrônico de varejo no estabelecimento de garantias de que os PINs do titular do cartão não serão comprometidos.

O documento é organizados em dois anexos:

  • Anexo A – dirigido aos adquirentes envolvidas na implementação da distribuição de chaves simétricas usando chaves assimétricas (distribuição remota de chaves) ou as entidades envolvidas na operação das Autoridades de Certificação.
  • Anexo B – dirigido a entidades que operam instalações de injeção de chave para a injeção de chaves – chaves de cifragem de chave (KEKs), chaves de criptografia de PIN (PEKs), etc. que são usadas ​​para a aquisição de dados de PIN.

A seguir, de maneira geral, o escopo dos objetivos de controle e de cada requisito.

Objetivo de Controle 1

Os PINs usados em transações reguladas por esses requisitos são processados usando equipamentos e metodologias que garantem que sejam mantidos em segurança.

Requisito 1 – Todos os PINs inseridos pelo titular do cartão devem ser processados em equipamentos que estejam em conformidade com os requisitos para dispositivos criptográficos seguros (SCDs). Os PINs nunca devem aparecer transparentes fora de um SCD.

Um dispositivo criptográfico seguro (SCD) deve atender aos requisitos de um “Dispositivo Fisicamente Seguro”, conforme definido na ISO 13491. Isso é evidenciado por sua validação e aprovação em relação a um dos seguintes: • Uma das versões do padrão PCI PTS, como membros das Classes de Aprovação EPP, PED ou UPT (conhecidos coletivamente como Dispositivos POI) e HSMs de Classe de Aprovação, ou • FIPS 140-2 nível 3 ou superior.

Requisito 2 – Os PINs do titular do cartão devem ser processados de acordo com os padrões aprovados.

a) Todos os PINs do titular do cartão processados online devem ser criptografados e descriptografados usando uma técnica criptográfica aprovada que forneça um nível de segurança compatível com os padrões internacionais e do setor. Qualquer técnica criptográfica implementada atende ou excede a força criptográfica do TDEA usando chaves de comprimento duplo. 

b) Todos os PINs do titular do cartão processados offline usando a tecnologia de cartão IC devem ser protegidos de acordo com os requisitos do Livro 2 das Especificações do Cartão IC EMV para Sistemas de Pagamento e ISO 9654.

Requisito 3 – Para transações de intercâmbio online, os PINs devem ser criptografados usando os formatos de bloqueio de PIN ISO 9564-1 0, 1, 3 ou 4. O formato 2 deve ser usado para PINs que são enviados do leitor de cartão IC para o cartão IC.

Requisito 4 – Os PINs não devem ser armazenados, exceto como parte de uma transação de armazenamento e encaminhamento e apenas pelo tempo mínimo necessário. Se uma transação for registrada, o bloqueio de PIN criptografado deve ser mascarado ou excluído do registro antes de ser registrado.

Requisito 5 – Todas as chaves, componentes de chaves e compartilhamentos de chaves devem ser gerados usando um processo aleatório ou pseudo-aleatório aprovado.

Deixe um comentário

O seu endereço de e-mail não será publicado. Campos obrigatórios são marcados com *