As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Tópicos comuns

A migração de aplicativos da conexão com o HSM para um serviço gerenciado, como criptografia de AWS pagamento, traz à tona problemas e conceitos comuns para clientes e seus avaliadores. Esta seção fornece informações para esclarecer como o uso seguro do serviço aborda essas situações.

Responsabilidade compartilhada

Os clientes que assumiram total responsabilidade pela segurança e conformidade pelos aplicativos reestruturarão sua conformidade para aproveitar as vantagens do gerenciamento de chaves, dos controles de segurança e dos recursos gerenciados de HSM (“o serviço”) da AWS Payment Cryptography. Isso mudará completamente alguns requisitos para AWS, conforme atestado pelas avaliações de terceiros da AWS Payment Cryptography. Alguns requisitos serão compartilhados entre o aplicativo do cliente e o serviço. Um aplicativo é responsável por:

Os clientes e seus avaliadores usarão guias de implementação e responsabilidade compartilhada publicados com atestados de conformidade AWS Artifact para implementar controles e monitoramento de controle e, em seguida, planejar e concluir as avaliações.

Configuração mínima do HSM

O Padrão de Segurança de Dados PCI, o padrão fundamental para outros padrões PCI, exige que todos os sistemas sejam configurados com a funcionalidade mínima necessária para sua função. PCI PIN, P2PE e outros padrões de solução aplicam esse requisito HSMs na solução. HSMs só deve habilitar as funções necessárias para a solução.

AWS os serviços devem ser tratados como sistemas e configurados para a funcionalidade mínima necessária. O Payment Card Industry Data Security Standard (PCI DSS) v4.0 na AWS recomenda o uso do IAM para configurar a funcionalidade mínima para cada serviço da AWS usado pela solução. Isso também se aplica à criptografia AWS de pagamento. As políticas do IAM permitem permissões refinadas para restringir as funções criptográficas somente aos componentes do aplicativo que dependem delas.

Troca de chaves entre o cliente e a APC

PIN PIN Os requisitos de segurança 8-4 e 15-2 exigem que as chaves públicas para troca e carregamento de chaves sejam autenticadas e protegidas pela integridade. Para o carregamento remoto por chave de POI, funcionalmente descrito no ANSI/ASC X9 TR-34 e regido pelo PIN PCI Anexo A, as chaves públicas são geralmente transmitidas em certificados assinados por uma autoridade de certificação compatível com o Anexo A2. Para trocas entre organizações, as chaves públicas usam outros mecanismos de autenticidade e integridade.

Todas as interações entre o cliente e a AWS são feitas via AWS APIs, que autentica mutuamente cada chamada de API e garante a integridade das chamadas e respostas usando o TLS. A autenticação do aplicativo do cliente é gerenciada pelo AWS Identity and Access Management com mecanismos como Security Tokens e SigV4. Os endpoints da API da AWS são autenticados pelo cliente usando a autenticação do servidor TLS, que é incorporada à AWS. SDKs Então, o TLS garante a confidencialidade e a integridade de todos os dados transmitidos entre o cliente e cada API da AWS.

APC APIs GetParametersForImport e ImportKey implemente uma transferência de chaves do cliente para o serviço. Embora a Autoridade Certificadora (CA) fornecida por não GetParametersForImport esteja em conformidade com o Anexo A2, ela é segura e exclusiva para a conta. Embora essa CA não seja confiável para conformidade com os requisitos 8-4 e 15-2, ela fornece verificação de integridade da chave importada. Você também pode usar sua própria CA aproveitando a GetCertificateSigningRequest API.

Os mecanismos que fornecem autenticação de chave pública e garantia de integridade são:

Os certificados e blocos de chaves fornecidos pela APC estão em conformidade com o Anexo A1, que especifica os requisitos para certificados e proteção de chaves por métodos assimétricos.