기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

공통 주제

애플리케이션을 HSM 연결에서 AWS Payment Cryptography와 같은 관리형 서비스로 마이그레이션하면 고객과 평가자에게 일반적인 문제와 개념이 발생합니다. 이 섹션에서는 서비스의 안전한 사용이 이러한 상황을 해결하는 방법을 명확히 하기 위한 정보를 제공합니다.

공동 책임

애플리케이션에 대한 완전한 보안 및 규정 준수 책임을 맡은 고객은 AWS Payment Cryptography의 키 관리, 보안 제어 및 관리형 HSM 기능(“서비스”)을 활용하도록 규정 준수를 재구성합니다. 이렇게 하면 AWS Payment Cryptography의 타사 평가에서 증명한 AWS대로 일부 요구 사항이 로 완전히 전환됩니다. 일부 요구 사항은 고객의 애플리케이션과 서비스 간에 공유됩니다. 애플리케이션은 다음을 담당합니다.

고객과 평가자는에 규정 준수 증명과 함께 게시된 공동 책임 및 구현 가이드를 사용하여 제어 및 제어 모니터링을 AWS Artifact 구현한 다음 평가를 계획하고 완료합니다.

최소 HSM 구성

다른 PCI 표준의 기본 표준인 PCI 데이터 보안 표준에서는 함수에 필요한 최소 기능으로 모든 시스템을 구성해야 합니다. PCI PIN, P2PE 및 기타 솔루션 표준은 솔루션의 HSMs에이 요구 사항을 적용합니다. HSMs 솔루션에 필요한 함수만 활성화해야 합니다.

AWS 서비스는 시스템으로 취급하고 최소 필수 기능을 위해 구성해야 합니다. AWS의 Payment Card Industry Data Security Standard(PCI DSS) v4.0에서는 IAM을 사용하여 솔루션에서 사용하는 각 AWS 서비스에 대한 최소 기능을 구성하는 것이 좋습니다. 이는 AWS Payment Cryptography에도 적용됩니다. IAM 정책을 사용하면 암호화 함수를 사용하는 애플리케이션 구성 요소로만 암호화 함수를 제한할 수 있는 세분화된 권한을 사용할 수 있습니다.

고객과 APC 간의 키 교환

PIN PIN 보안 요구 사항 8-4 및 15-2에서는 키 교환 및 로드에 대한 퍼블릭 키가 인증되고 무결성이 보호되어야 합니다. ANSI/ASC X9 TR-34에서 기능적으로 설명되고 PCI PIN 부속서 A에서 관리하는 POI의 원격 키 로드의 경우, 퍼블릭 키는 부속서 A2-compliant 인증 기관에서 서명한 인증서로 전달되는 경우가 많습니다. 조직 간 교환의 경우 퍼블릭 키는 신뢰성과 무결성을 위한 다른 메커니즘을 사용합니다.

고객과 AWS 간의 모든 상호 작용은 각 APIs 상호 인증하고 TLS를 사용하여 호출 및 응답의 무결성을 보장하는 AWS API를 통해 이루어집니다. 고객 애플리케이션의 인증은 보안 토큰 및 SigV4와 같은 메커니즘을 사용하여 AWS Identity and Access Management에서 관리합니다. SigV4 AWS API 엔드포인트는 AWS SDKs. 그런 다음 TLS는 고객과 각 AWS API 간에 전달되는 모든 데이터의 기밀성과 무결성을 보장합니다.

APC APIs GetParametersForImport 및 ImportKey는 고객에서 서비스로의 키 전송을 구현합니다. GetParametersForImport에서 제공하는 인증 기관(CA)은 부속서 A2-compliant 않지만 안전하고 계정에 고유합니다. 이 CA는 요구 사항 8-4 및 15-2를 준수하기 위해에 의존할 수 없지만 가져온 키의 무결성 확인을 제공합니다. GetCertificateSigningRequest API를 활용하여 자체 CA를 사용할 수도 있습니다.

퍼블릭 키 인증 및 무결성 보장을 제공하는 메커니즘은 다음과 같습니다.

APC에서 제공하는 인증서 및 키 블록은 비대칭 메서드에 의한 인증서 및 키 보호 요구 사항을 지정하는 부속서 A1을 준수합니다.