Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Pertukaran Kunci Fisik
Anda dapat menggunakan Physical Key Exchange untuk secara aman mengonversi komponen kunci kriptografi berbasis kertas ke dalam format elektronik ketika mitra atau vendor Anda tidak mendukung pertukaran kunci elektronik. AWS Penjaga kunci yang terlatih melakukan upacara kunci di AWS-operated fasilitas aman bersertifikat PCI PIN dan P2PE, mengubah komponen kunci paper menjadi format elektronik menggunakan HSM offline. Layanan ini menggunakan pertukaran ECDH-based kunci untuk mengirimkan blok ECDH-wrapped TR-31 kunci, yang Anda impor langsung ke akun Kriptografi AWS Pembayaran Anda.
catatan
Kami merekomendasikan penggunaan berbasis standar bila memungkinkanMengimpor dan mengekspor kunci. Gunakan Pertukaran Kunci Fisik hanya jika mitra atau vendor Anda tidak mendukung metode pertukaran kunci elektronik seperti ANSI X9.24 TR-34, RSA wrap/unwrap, atau ECDH.
Bagaimana Pertukaran Kunci Fisik bekerja
Untuk memulai paper key exchange, CloudFormation template
Diagram berikut menunjukkan proses Pertukaran Kunci Fisik ujung ke ujung.
-
Inisiasi — Anda mengirimkan tiket dukungan atau bekerja dengan manajer akun Anda untuk mengirimkan permintaan.
-
Pengaturan pelanggan - Kriptografi AWS Pembayaran menyediakan CloudFormation templat bagi Anda untuk menyelesaikan langkah-langkah prasyarat berikut:
-
Buat key pair ECC P521 dalam akun AWS Payment Cryptography Anda dan ambil sertifikat kunci publik.
-
Buat bucket Amazon S3 dengan kebijakan yang memberikan akses utama layanan AWS Payment Cryptography. read/write
-
Simpan sertifikat publik ECC dan tandatangani root CA di bucket Amazon S3.
-
Menyediakan atribut kunci: penggunaan kunci, mode penggunaan kunci, dan jumlah komponen kunci paper yang akan dikirim.
-
-
Bagikan nama bucket S3 — Pelanggan membagikan nama bucket S3 yang dibuat oleh CloudFormation tumpukan, tempat sertifikat kunci publik, rantai sertifikat, dan atribut kunci disimpan untuk Kriptografi AWS Pembayaran untuk memulai pertukaran kunci.
-
Koordinasi pengiriman — Kriptografi AWS Pembayaran memberikan rincian pengiriman untuk fasilitas yang US-based aman. Anda atau mitra Anda mengirimkan komponen kunci paper ke penjaga AWS kunci.
-
Component receipt — AWS key custodians menerima setiap komponen paper dan mengirimkan pengakuan terpisah untuk setiap komponen.
-
Upacara AWS kunci — penjaga kunci melakukan upacara kunci menggunakan HSM offline. Blok TR-31 kunci yang dihasilkan, dibungkus menggunakan ECDH-derived AES-256 kunci, sertifikat publik ECC dari HSM offline, dan sertifikat penandatanganannya diunggah ke bucket Amazon S3 Anda.
-
Penyelesaian — Kriptografi AWS Pembayaran mengirimkan konfirmasi bahwa upacara kunci telah selesai. Anda kemudian dapat mengimpor blok TR-31 kunci yang dibungkus ECDH ke akun Kriptografi AWS Pembayaran Anda menggunakan metode ini. Kunci impor menggunakan teknik asimetris (ECDH)
-
Penagihan — Anda ditagih per kunci yang ditukar setelah berhasil menyelesaikan upacara kunci.
Keamanan dan kepatuhan
Physical Key Exchange beroperasi di fasilitas AWS aman yang dirancang untuk memenuhi persyaratan keamanan fisik dan logis PCI PIN PCI dan PCI P2PE. Kontrol berikut ada di tempat:
- Kontrol ganda dan pemisahan tugas
-
AWS penjaga kunci ditugaskan dari tim yang berbeda dengan struktur pelaporan terpisah. Proses dilakukan untuk memastikan langkah-langkah upacara utama dilakukan di bawah kendali ganda.
- HSM Offline
-
Upacara utama dilakukan dengan menggunakan modul keamanan HSM-listed perangkat keras PCI PTS bersertifikat yang beroperasi secara offline tanpa konektivitas jaringan. Kunci Anda tidak pernah ada di cleartext di luar batas HSM.
- Pengiriman kunci kriptografi
-
Materi utama ditransfer dari HSM offline ke akun Kriptografi AWS Pembayaran Anda menggunakan pertukaran ECDH-based kunci, memastikan perlindungan kriptografi ujung ke ujung.
- Audit dan kepatuhan
-
AWS memiliki proses untuk memenuhi persyaratan kepatuhan yang berlaku yang dinilai secara berkala untuk pengesahan PIN PCI dan P2PE. Tinjau paket kepatuhan di AWS Artifact untuk laporan yang Anda miliki referensi dalam penilaian PCI Anda sendiri.
