Cifrado punto a punto

El cifrado punto a punto ( P2PE ) es un estándar establecido por el Consejo de Estándares de Seguridad PCI . Las soluciones de pago que ofrecen un cifrado similar, pero que no cumplen con el estándar P2PE, se denominan soluciones de cifrado de extremo a extremo (E2EE). El objetivo de P2PE y E2EE es proporcionar una solución de seguridad de pago que convierta instantáneamente los datos e información confidenciales de las tarjetas de pago (crédito y débito ) en un código indescifrable en el momento en que se desliza la tarjeta, para prevenir el pirateo informático y el fraude . Está diseñado para maximizar la seguridad de las transacciones con tarjeta de pago en un entorno regulatorio cada vez más complejo.

El estándar P2PE define los requisitos que debe cumplir una «solución» para ser aceptada como una solución P2PE validada por PCI. Una «solución» es un conjunto completo de hardware, software, puerta de enlace, descifrado, gestión de dispositivos, etc. Solo las «soluciones» pueden validarse; los componentes individuales de hardware, como los lectores de tarjetas, no pueden validarse. También es un error común referirse a las soluciones validadas por P2PE como «certificadas»; no existe tal certificación.

La determinación de si una solución cumple o no con el estándar P2PE es responsabilidad de un Evaluador de Seguridad Calificado P2PE (P2PE-QSA). Las empresas P2PE-QSA son compañías independientes que emplean evaluadores que cumplen con los requisitos de educación y experiencia del Consejo de Estándares de Seguridad PCI y que han aprobado el examen correspondiente. El Consejo de Estándares de Seguridad PCI no valida las soluciones.

Cuando se desliza una tarjeta de pago por un lector de tarjetas, conocido como dispositivo de punto de interacción (POI), en el establecimiento comercial o punto de venta , el dispositivo cifra inmediatamente la información de la tarjeta. Un dispositivo que forma parte de una solución P2PE validada por PCI utiliza un algoritmo para cifrar los datos confidenciales de la tarjeta de pago. Desde el POI, los códigos cifrados e indescifrables se envían a la pasarela de pago o procesador para su descifrado. Las claves de cifrado y descifrado nunca están disponibles para el comerciante, lo que hace que los datos de la tarjeta sean completamente invisibles para el vendedor. Una vez que los códigos cifrados se encuentran dentro de la zona segura de datos del procesador de pagos, se descifran para obtener los números de tarjeta originales y luego se envían al banco emisor para su autorización. El banco aprueba o rechaza la transacción, según el estado de la cuenta de pago del titular de la tarjeta. Posteriormente, se notifica al comerciante si el pago ha sido aceptado o rechazado para completar el proceso, junto con un token que puede almacenar. Este token es una referencia numérica única a la transacción original que el comerciante puede usar si necesita realizar una investigación o reembolsar al cliente sin conocer la información de su tarjeta ( tokenización ). También existen empresas integradoras y revendedoras calificadas (QIR), que son empresas autorizadas para "implementar, configurar y/o brindar soporte" a las aplicaciones de pago PA-DSS validadas y realizar instalaciones calificadas. ^{[ 1 ]}

Según el Consejo de Normas de Seguridad PCI:

El proveedor de la solución P2PE es una entidad externa (por ejemplo, un procesador, adquirente o pasarela de pago) que tiene la responsabilidad general del diseño e implementación de una solución P2PE específica y gestiona las soluciones P2PE para sus clientes comerciales. El proveedor de la solución tiene la responsabilidad general de garantizar que se cumplan todos los requisitos P2PE, incluidos los requisitos P2PE realizados por organizaciones externas en nombre del proveedor de la solución (por ejemplo, autoridades de certificación e instalaciones de inyección de claves). ^{[ 2 ]}

Los requisitos incluyen:

1. Cifrado seguro de los datos de la tarjeta de pago en el punto de interacción (POI),
2. Aplicación(es) validada(s) P2PE en el punto de interacción,
3. Gestión segura de dispositivos de cifrado y descifrado,
4. Gestión del entorno de descifrado y de todos los datos de cuenta descifrados,
5. Uso de metodologías de cifrado seguras y operaciones con claves criptográficas, incluyendo la generación, distribución, carga/inyección, administración y uso de claves.