此文章主要向大家介紹的是端到端加密聯(lián)袂令牌化4個(gè)最佳做法，Visa在今年發(fā)布了有關(guān)令牌化的做法導(dǎo)航，安全專家和加密供應(yīng)商們對(duì)該指南的優(yōu)點(diǎn)和缺點(diǎn)進(jìn)行了辯論。最受爭議的問題在于加密領(lǐng)域，在實(shí)現(xiàn)某種最佳做法的真正標(biāo)準(zhǔn)化之前，令牌化仍然有很長的路要走。

端到端加密聯(lián)袂令牌化四個(gè)最佳做法 端到端加密聯(lián)袂令牌化四個(gè)最佳做法[2] Visa在今年早些時(shí)候發(fā)布了令牌化的最佳做法指南，安全專家和加密供應(yīng)商們對(duì)該指南的優(yōu)點(diǎn)和缺點(diǎn)進(jìn)行了辯論。最受爭議的問題在于加密領(lǐng)域，在實(shí)現(xiàn)某種最佳做法的真正標(biāo)準(zhǔn)化之前，令牌化仍然有很長的路要走。

即便如此，安全專家表示，除了Visa關(guān)于最佳做法的建議外，還有一些方法值得大家借鑒。雖然對(duì)于這些令牌化的建議還有探討的空間，但安全專家表示這些方法能夠?yàn)閿?shù)據(jù)保護(hù)實(shí)現(xiàn)最佳安全態(tài)勢。

[[15884]]

1.隨機(jī)生成令牌

根據(jù)很多安全專家表示，確保這些端到端加密聯(lián)袂令牌無法被逆轉(zhuǎn)的唯一方法在于隨機(jī)生成。

“如果輸出結(jié)果不是通過應(yīng)用于輸入信息的數(shù)學(xué)函數(shù)而生成的話，令牌就無法被逆轉(zhuǎn)為重新生成原始PAN數(shù)據(jù)，”Securosis公司的分析師Adrian Lane表示，“發(fā)現(xiàn)真正令牌的PAN數(shù)據(jù)的唯一方法是在令牌服務(wù)器數(shù)據(jù)庫中進(jìn)行逆向查詢。隨機(jī)令牌很容易生成，并且大小和數(shù)據(jù)類型限制根本不算什么問題。這應(yīng)該設(shè)置為默認(rèn)，因?yàn)榇蠖鄶?shù)公司既不需要也不想要PAN數(shù)據(jù)從令牌中重新獲得。”

2. 避免自制解決方案

雖然令牌化表面上看起來很簡單，但Protegrity公司的首席技術(shù)官Ulf Mattsson警告說，“對(duì)于傳統(tǒng)加密的令牌化處理很容易出錯(cuò)。”

“這有點(diǎn)火箭科學(xué)的感覺，因?yàn)槭紫饶阈枰闪钆疲缓笠赃m當(dāng)?shù)姆绞焦芾砹钆疲赃m當(dāng)?shù)姆绞奖Ｗo(hù)令牌服務(wù)器，然后最重要的是，你需要一個(gè)配備有密鑰管理的合適的加密系統(tǒng)，這個(gè)系統(tǒng)要與令牌服務(wù)器保護(hù)兼容，”Mattsson表示。

Mattsson已經(jīng)聽說了關(guān)于自制部署令牌化的糟糕故事，由于令牌的可逆轉(zhuǎn)性和整個(gè)系統(tǒng)缺乏安全性，導(dǎo)致令牌化部署很容易被攻破。“有很多自制系統(tǒng)被稱為令牌化解決方案，并且它們并不符合令牌化的安全級(jí)別。在很多情況下，他們甚至都不符合加密的基本安全水平。”

3. 保護(hù)令牌服務(wù)器

Visa標(biāo)準(zhǔn)的開頭并沒有明確網(wǎng)絡(luò)隔離和保持令牌化系統(tǒng)PCI兼容的重要性，而是明確保護(hù)令牌服務(wù)器的重要性。如果企業(yè)沒有能夠保護(hù)令牌服務(wù)器，這將會(huì)讓整個(gè)令牌系統(tǒng)的安全置于危險(xiǎn)之中，并且如果沒有受到適當(dāng)保護(hù)的話，將會(huì)導(dǎo)致企業(yè)質(zhì)疑令牌化投資的可行性。

“在某個(gè)角落，你必須有個(gè)令牌服務(wù)器能夠用來逆轉(zhuǎn)令牌化進(jìn)程，”Mattson表示，“這個(gè)服務(wù)器將需要使用傳統(tǒng)密鑰管理和強(qiáng)大的加密技術(shù)進(jìn)行加密。如果它存儲(chǔ)有PCI數(shù)據(jù)，該服務(wù)器還需要與PCI兼容。”

4. 創(chuàng)建加密生態(tài)系統(tǒng)

在過去一年多中，安全專家對(duì)于企業(yè)是否選擇端到端加密還是令牌化頗有爭議。然而，很多在銀行卡處理世界的人們認(rèn)為企業(yè)不應(yīng)該選擇這兩者中的任一個(gè)。每種技術(shù)類型都服務(wù)于不同的目的：令牌化的優(yōu)點(diǎn)在于它的不可逆轉(zhuǎn)性和能夠與數(shù)據(jù)庫基礎(chǔ)設(shè)施相得益彰。與此同時(shí)，端到端加密能夠幫助填補(bǔ)持卡人數(shù)據(jù)和PAN在IT基礎(chǔ)設(shè)施的其他部分傳輸時(shí)的空缺。

“對(duì)于與端到端加密一起使用，我們相信令牌化是一個(gè)審慎的戰(zhàn)略，”Heartland支付系統(tǒng)公司首席信息官Steven Elefant表示，該公司預(yù)計(jì)將在今年晚些時(shí)候向其客戶提供令牌化服務(wù)，以此作為該公司去年秋天推出的加密服務(wù)的補(bǔ)充服務(wù)。以上的相關(guān)內(nèi)容就是對(duì)端到端加密聯(lián)袂令牌化四個(gè)最佳做法

的介紹，望你能有所收獲。