Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Argomenti comuni

La migrazione delle applicazioni dalla connessione a HSM a un servizio gestito come AWS Payment Cryptography solleva problemi e concetti comuni per i clienti e i loro valutatori. Questa sezione fornisce informazioni per chiarire in che modo l'uso sicuro del servizio affronta queste situazioni.

Responsabilità condivisa

I clienti che si sono assunti la completa responsabilità della sicurezza e della conformità delle applicazioni ristruttureranno la conformità per sfruttare la gestione delle chiavi, i controlli di sicurezza e le funzionalità HSM gestite di AWS Payment Cryptography («il servizio»). Ciò sposterà completamente alcuni requisiti AWS, come attestato dalle valutazioni di terze parti di AWS Payment Cryptography. Alcuni requisiti verranno condivisi tra l'applicazione del cliente e il servizio. Un'applicazione è responsabile di:

I clienti e i relativi valutatori utilizzeranno guide di implementazione e responsabilità condivise pubblicate con attestati di conformità AWS Artifact per implementare i controlli e il monitoraggio del controllo, quindi pianificare e completare le valutazioni.

Configurazione HSM minima

Lo standard di sicurezza dei dati PCI, lo standard fondamentale per altri standard PCI, richiede che tutti i sistemi siano configurati con le funzionalità minime necessarie per il loro funzionamento. PCI PIN, P2PE e altri standard di soluzione applicano questo requisito alla soluzione. HSMs HSMs deve abilitare solo le funzioni necessarie per la soluzione.

AWS i servizi devono essere trattati come sistemi e configurati per le funzionalità minime richieste. Payment Card Industry Data Security Standard (PCI DSS) v4.0 su AWS consiglia di utilizzare IAM per configurare funzionalità minime per ogni servizio AWS utilizzato dalla soluzione. Questo vale anche per la crittografia dei pagamenti AWS . Le policy IAM consentono autorizzazioni granulari per limitare le funzioni crittografiche solo ai componenti dell'applicazione che si basano su di esse.

Scambio di chiavi tra cliente e APC

PIN PIN I requisiti di sicurezza 8-4 e 15-2 richiedono che le chiavi pubbliche per lo scambio e il caricamento delle chiavi siano autenticate e protette dall'integrità. Per il caricamento remoto delle chiavi dei POI, descritto funzionalmente in ANSI/ASC X9 TR-34 e regolato dal PIN PCI Allegato A, le chiavi pubbliche vengono spesso trasmesse in certificati firmati da un'autorità di certificazione conforme all'Allegato A2. Per gli scambi tra organizzazioni, le chiavi pubbliche utilizzano altri meccanismi di autenticità e integrità.

Tutte le interazioni tra cliente e AWS avvengono tramite AWS APIs, che autentica reciprocamente ogni chiamata API e garantisce l'integrità delle chiamate e delle risposte tramite TLS. L'autenticazione dell'applicazione del cliente è gestita da AWS Identity and Access Management con meccanismi come Security Tokens e SigV4. Gli endpoint delle API AWS vengono autenticati dal cliente utilizzando l'autenticazione del server TLS, integrata in AWS. SDKs Quindi TLS assicura la riservatezza e l'integrità di tutti i dati trasmessi tra il cliente e ciascuna API AWS.

APC APIs GetParametersForImport e ImportKey implementano un trasferimento di chiavi dal cliente al servizio. Sebbene l'Autorità di certificazione (CA) fornita da non GetParametersForImport sia conforme all'allegato A2, è sicura e unica per l'account. Sebbene non sia possibile fare affidamento sulla conformità ai requisiti 8-4 e 15-2, questa CA fornisce la verifica dell'integrità della chiave importata. Puoi anche utilizzare la tua CA sfruttando l'API. GetCertificateSigningRequest

I meccanismi che forniscono l'autenticazione a chiave pubblica e la garanzia dell'integrità sono:

I certificati e i blocchi chiave forniti da APC sono conformi all'allegato A1, che specifica i requisiti per i certificati e la protezione delle chiavi con metodi asimmetrici.