¿Qué es la tokenización?
La tokenización es un proceso en el que el PAN se reemplaza por un valor llamado token. La seguridad se basa principalmente en la imposibilidad de determinar el PAN original conociendo solo el valor de dicho sustituto y también dependerá de la fortaleza del proceso involucrado para generarlo.
La principal ventaja de esta técnica es que permite reducir la cantidad de datos de la tarjeta almacenados en el entorno PCI DSS. En su lugar, solo habrá valores arbitrarios de los tokens mitigando el riesgo involucrado.
Esta solución no reemplaza la necesidad de cumplir con PCI DSS. Sin embargo, reduce los esfuerzos necesarios para implementar los requisitos del estándar PCI DSS.
¿Cómo generar un token?
La generación de tokens requiere un proceso o método para crearlo. En general, su creación incluye, pero no se limita a lo siguiente:
- Una función criptográfica matemáticamente reversible basada en un algoritmo criptográfico seguro y una clave criptográfica robusta.
- Una función criptográfica unidireccional no reversible (por ejemplo, una función hash con Salt secreto)
- Asignación a través de una función de índice, número de secuencia o un número generado aleatoriamente (no derivado matemáticamente del PAN).
5 consejos sobre tokenización y la seguridad
Al evaluar la seguridad en un proceso de tokenización, es importante tener en cuenta todos los elementos que intervienen en las tecnologías y mecanismos utilizados tanto para capturar los datos del titular de la tarjeta como para el procesamiento de la transacción a través del entorno empresarial.
Existen numerosas formas de implementar una solución de tokenización. Como principio general, las operaciones de tokenizado y destokenizado deberían ocurrir únicamente dentro de un sistema claramente definido que incluya un proceso para que las aplicaciones autorizadas realicen solicitudes de tokenizado y destokenizado.
La solución de tokenización también debe abordar el potencial de los vectores de ataque y los riesgos creados o mitigados por estos sistemas. Los comercios y los proveedores de servicios deben continuar monitoreando nuevas amenazas y riesgos potenciales para su uso actual de tokenización.
Los sistemas y procesos de tokenizado deben estar fuertemente protegidos con controles de seguridad y monitoreo para garantizar su eficacia.
La generación de tokens se basa en un método de cifrado reversible, donde el token es el resultado de una función matemática del PAN original mediante el uso de un algoritmo de cifrado y una clave criptográfica. El resultante de esto es un PAN cifrado, que está sujeto a las siguientes consideraciones:
- El proceso de tokenización no debe aplicarse para proteger los datos de autenticación. Como se explicó anteriormente, el token contiene datos cifrados. Por lo tanto, los datos confidenciales de autenticación (datos de banda magnética o equivalentes al chip, CAV2 / CVC2 / CVV2 / CID y datos PIN) no pueden almacenarse mediante la implementación de un token como se explica en el Requisito 3.2 DSS de PCI
- El PAN tokenizado y el PAN truncado no deben coexistir en el mismo campo porque existe el riesgo de que un individuo malintencionado reconstruya los datos originales del PAN si tiene acceso a ambas versiones del PAN. Si esto ocurre, se deben implementar controles adicionales para identificar las versiones que no se pueden correlacionar y permitir la reconstrucción del PAN original.
- PAN no debe ser predecible a través del conocimiento de uno o más PAN tokenizados.
- El conocimiento del PAN a través de su token debe ser computacionalmente difícil de descifrar conociendo uno o más tokens
- La capacidad de recuperar un PAN a cambio de su token asociado debe estar restringida a individuos, aplicaciones y / o sistemas afectados específicos. Cualquier componente del sistema que pueda usar para recuperar datos PAN necesitará estar protegido de acuerdo con PCI DSS. Por lo tanto, son parte del alcance de PCI DSS.
La solución de tokenización se puede implementar de varias maneras según las necesidades de negocio que está tratando de proteger.
Además, debe implementar controles de seguridad adecuados, incluida la asignación de roles y responsabilidades y los procesos de tokenización y destokenización para garantizar el alcance adecuado de CDE y el cumplimiento de los requisitos de PCI DSS.
Si tiene preguntas sobre el uso de tokenización para su organización, no dude en contactarnos.
Fuente: PCI security standards