当前位置:首页 > 网络安全 > 正文

令牌化技术对PCI DSS合规的影响是怎样的?

2015-11-30 TechTarget中国 编辑:邹铮

  我对身份验证和支付行业的令牌化技术概念感到困惑,请问作为一次性密码的令牌与Apple Pay使用的令牌有什么区别?同时,PCI DSS等合规机构如何看待令牌化技术?

  Mike Chapple:令牌化技术是我最喜欢的安全技术之一,特别是因为它可帮助减少PCI DSS合规范围。在深入研究该技术的工作原理之前,让我来解释一下让大家困惑的一个问题。在安全领域,“令牌”被用在两个概念中。大家熟悉的令牌可以是指人们携带的物理实体(通常在钥匙链上),它可以生成一次性密码,用在多因素身份验证系统中。但这并不是我们在令牌化技术中谈到的令牌。

  令牌化技术中使用的令牌是指用于取代敏感数据的字母数字代码,令牌化技术(例如Apple Pay和很多较新的POS系统中使用的技术)使用这些代码来代替零售商记录中的信用卡号码。在正确部署的情况下,这种技术可以确保信用卡号码不会接触零售商的系统,帮助其减少PCI DSS合规范围。

  例如,客户可能会在商店的收银台使用令牌化技术,他/她可通过自助服务读卡器刷信用卡,这张卡使用了只有银行知道的加密密钥,在这位客户刷卡时,该读卡器可能会使用点对点加密技术来加密敏感信用卡信息。随后,加密的信用卡号码会通过零售商系统发送到银行进行处理。与此同时,POS系统会在其记录中记录令牌值,银行可使用这个数值绑定到特定信用卡交易。POS系统永远不会看到未加密的信用卡号码,所以它并不在PCI DSS合规范围内。

  支付卡行业安全标准委员会已经认识到令牌化技术的价值,并支持大家使用该技术来提高安全性以及减少合规工作范围。

大家都爱看
查看更多热点新闻