Tokenizasyon (veri güvenliği) - Tokenization (data security)
Belirteçleştirme , veri güvenliğine uygulandığında, hassas bir veri öğesini , dışsal veya sömürülebilir bir anlamı veya değeri olmayan, belirteç olarak adlandırılan hassas olmayan bir eşdeğerle değiştirme işlemidir . Belirteç, bir belirteç sistemi aracılığıyla hassas verilere geri dönen bir referanstır (yani tanımlayıcı). Orijinal verilerden bir belirteçle eşleme, belirteçleri, örneğin rastgele sayılardan oluşturulan belirteçleri kullanarak, belirteçleştirme sisteminin yokluğunda tersine çevrilmesini olanaksız kılan yöntemler kullanır . Belirteçleştirme sistemi, hassas veri koruması, güvenli depolama, denetim, kimlik doğrulama ve yetkilendirme için geçerli olan en iyi güvenlik uygulamaları kullanılarak güvence altına alınmalı ve doğrulanmalıdır. Belirteçleştirme sistemi, veri işleme uygulamalarına belirteçleri talep etmek veya hassas verilere geri döndürmek için yetki ve arayüzler sağlar.
Belirteçleştirmenin güvenlik ve risk azaltma faydaları, belirteçleştirme sisteminin, belirteçlerle değiştirilen hassas verileri önceden işleyen veya depolayan veri işleme sistemlerinden ve uygulamalardan mantıksal olarak izole edilmesini ve bölümlere ayrılmasını gerektirir. Yalnızca belirteçleştirme sistemi, belirteçler oluşturmak için verileri belirteçleştirebilir veya katı güvenlik denetimleri altında hassas verileri kullanmak için yeniden belirteçleri kaldırabilir. Belirteç oluşturma yönteminin , belirteçleri canlı verilere geri döndürmek için doğrudan saldırı, kriptanaliz , yan kanal analizi, belirteç eşleme tablosuna maruz bırakma veya kaba kuvvet teknikleri yoluyla uygulanabilir hiçbir yol olmadığı özelliğine sahip olduğu kanıtlanmalıdır .
Sistemlerdeki canlı verilerin belirteçlerle değiştirilmesi, hassas verilerin bu uygulamalara, mağazalara, kişilere ve süreçlere maruz kalmasını en aza indirmeyi, tehlikeye girme veya kazara maruz kalma riskini ve hassas verilere yetkisiz erişim riskini azaltmayı amaçlar. Uygulamalar, onaylanmış bir iş amacı için kesinlikle gerekli olduğunda detokenize etmelerine açıkça izin verilen az sayıda güvenilir uygulama dışında, canlı veriler yerine belirteçler kullanarak çalışabilir. Tokenizasyon sistemleri, veri merkezinin güvenli bir şekilde izole edilmiş bir bölümünde şirket içinde veya güvenli bir hizmet sağlayıcıdan bir hizmet olarak çalıştırılabilir.
Tokenizasyon, örneğin banka hesapları , mali tablolar , tıbbi kayıtlar , sabıka kayıtları , sürücü ehliyetleri , kredi başvuruları, hisse senedi alım satımları , seçmen kayıtları ve diğer kişisel tanımlayıcı bilgi (PII) türlerini içeren hassas verileri korumak için kullanılabilir . Tokenizasyon genellikle kredi kartı işlemlerinde kullanılır. PCI Konseyi bir süreçtir" olarak sembolleştirmeyi tanımlayan birincil hesap numarası (PAN) bir vekil değeri ile değiştirildiği bir belirteç. De-dizgeciklere bağlantılı PAN değeri için bir belirteç kurtarıcı ters işlemi denilen., Bir bireyin güvenlik belirteç, ağırlıklı olarak, yalnızca vekil değeri bilerek orijinal PAN'ı belirlemenin olanaksızlığına dayanır". Şifreleme gibi diğer tekniklere alternatif olarak belirteçleştirmenin seçimi, değişen düzenleyici gereksinimlere, yorumlamaya ve ilgili denetim veya değerlendirme kuruluşları tarafından kabul edilmesine bağlı olacaktır. Bu, tokenleştirmenin pratik kullanımda dayattığı herhangi bir teknik, mimari veya operasyonel kısıtlamaya ektir.
Kavramlar ve kökenler
Bugün endüstri tarafından benimsendiği şekliyle tokenleştirme kavramı, yüksek değerli finansal enstrümanları vekil eşdeğerlerle değiştirerek riski azaltmak için bir araç olarak yüzyıllar önce ortaya çıkan ilk para birimi sistemlerinden beri var olmuştur . Fiziksel dünyada, madeni para jetonlarının , basılan madeni paraların ve banknotların finansal aracının yerine geçen uzun bir kullanım geçmişi vardır . Daha yakın bir tarihte, metro jetonları ve kumarhane fişleri, hırsızlık gibi fiziksel para birimi ve nakit taşıma risklerinin yerini almak için kendi sistemleri için kabul gördü. Exonumia ve kese gibi belirteçleri ile eş anlamlı terimlerdir.
Dijital dünyada, gerçek veri öğelerini diğer veri sistemlerine maruz kalmaktan izole etmek için 1970'lerden beri benzer ikame teknikleri kullanılmaktadır. Örneğin veritabanlarında , veri işlemede çeşitli kullanımlar için veritabanlarının iç mekanizmaları ve bunların dış eşdeğerleri ile ilişkili verileri izole etmek için 1976'dan beri vekil anahtar değerler kullanılmıştır. Daha yakın zamanlarda, bu kavramlar, veri koruma amaçları için bir güvenlik mekanizması sağlamak için bu izolasyon taktiğini dikkate alacak şekilde genişletildi.
Gelen ödeme kartı endüstri, dizgeciklere endüstri standartları ve hükümet düzenlemelerine uymak amacıyla hassas kart sahibi verilerinin korunması biri yoludur.
2001 yılında TrustCommerce, Classmates.com adlı bir müşteri için hassas ödeme verilerini korumak için Tokenizasyon kavramını yarattı. TrustCommerce'in kurucusu Rob Caulfield'ı meşgul etti, çünkü sistemlerin saldırıya uğraması durumunda kart sahibi verilerini saklama riski çok büyüktü. TrustCommerce, müşterilerin kart sahibi verileri yerine bir jetona başvurabileceği ve TrustCommerce'in tüccar adına bir ödemeyi işleme koyabileceği TC Citadel®'i geliştirdi. Bu faturalandırma uygulaması, müşterilerin kart sahibi ödeme bilgilerini saklamaya gerek kalmadan yinelenen ödemeleri işlemesine izin verdi. Belirteçleştirme, Birincil Hesap Numarasını (PAN) rastgele oluşturulmuş belirteçlerle değiştirir. Ele geçirilirse, veriler hiçbir kart sahibi bilgisi içermez ve bu da onu bilgisayar korsanları için işe yaramaz hale getirir. Belirteç ve üzerinde bulunduğu sistemler tehlikeye atılsa bile PAN geri alınamaz ve belirteç PAN'a ulaşmak için tersine mühendislik uygulanamaz.
Dizgeciklere tarafından ödeme kartı verilerine uygulanmıştır Shift4 Corporation'ın bir sektörde Güvenlik Zirvesi sırasında ve halka yayımlanan Las Vegas , Nevada teknoloji depolama kredi kartı bilgilerinin çalınmasını önlemek içindir 2005 yılında. Shift4, tokenizasyonu şu şekilde tanımlar: “Referans yoluyla hassas veya gizli verileri temsil etmek için şifresi çözülemeyen bir veri parçası kullanma kavramı. Gelen ödeme kartı endüstri (PCI) bağlamında, jetonlar bir dizgeciklere sisteminde, uygulama veya site dışı güvenli tesisi yönetilir referans kart sahibi verilerine için kullanılır.”
Verileri tüm yaşam döngüsü boyunca korumak için, tokenleştirme genellikle uçtan uca şifreleme ile birleştirilir ve tokenleştirme sistemine veya hizmetine aktarılan verileri güvenli hale getirmek için, dönüşte orijinal verilerin yerine bir jeton gelir. Örneğin, 2013'teki Hedef ihlalinde olduğu gibi , satış noktası (POS) sistemleri gibi düşük güvenilir sistemlerden kötü amaçlı yazılımların veri çalma risklerinden kaçınmak için , kart sahibi verilerinin şifrelenmesi, kart verilerinin POS'a girmesinden önce ve sonrasında değil, gerçekleştirilmelidir. . Şifreleme, güvenlikle güçlendirilmiş ve doğrulanmış bir kart okuma cihazının sınırları içinde gerçekleşir ve veriler, işleme ana bilgisayarı tarafından alınana kadar şifreli kalır; bu yaklaşım, ödeme verilerini gelişmiş tehditlerden korumak için bir araç olarak Heartland Payment Systems'ın öncülük ettiği bir yaklaşımdır ve artık endüstri ödemesi tarafından yaygın olarak benimsenmektedir. işleme şirketleri ve teknoloji şirketleri. PCI Konseyi ayrıca çeşitli PCI Konseyi Noktadan Noktaya Şifreleme belgelerinde çeşitli hizmet uygulamaları için uçtan uca şifreleme (onaylı noktadan noktaya şifreleme - P2PE) belirlemiştir .
Şifrelemeden farkı
Belirteçleştirme ve "klasik" şifreleme , düzgün bir şekilde uygulanırsa verileri etkili bir şekilde korur ve bir bilgisayar güvenlik sistemi her ikisini de kullanabilir. Bazı açılardan benzer olsa da, tokenleştirme ve klasik şifreleme birkaç temel açıdan farklılık gösterir. Her ikisi de kriptografik veri güvenliği yöntemleridir ve temelde aynı işleve sahiptir, ancak bunu farklı işlemlerle yaparlar ve korudukları veriler üzerinde farklı etkileri vardır.
Tokenizasyon, verilerin türünü veya uzunluğunu değiştirmeden hassas verileri hassas olmayan ikamelerle değiştiren matematiksel olmayan bir yaklaşımdır. Bu, şifrelemeden önemli bir ayrımdır, çünkü veri uzunluğu ve türündeki değişiklikler, veritabanları gibi ara sistemlerde bilgileri okunamaz hale getirebilir. Belirteçleştirilmiş veriler, belirteçleştirmeyi klasik şifrelemeden daha esnek hale getiren eski sistemler tarafından işlenebilir.
Diğer bir fark, belirteçlerin işlenmesi için önemli ölçüde daha az hesaplama kaynağı gerektirmesidir. Tokenleştirme ile, hassas bilgiler gizli tutulurken, belirli veriler işleme ve analitik için tamamen veya kısmen görünür tutulur. Bu, token haline getirilmiş verilerin daha hızlı işlenmesini sağlar ve sistem kaynakları üzerindeki yükü azaltır. Bu, yüksek performansa dayanan sistemlerde önemli bir avantaj olabilir.
Belirteç türleri
Belirteçlerin sınıflandırılmasının birçok yolu vardır, ancak şu anda birleşik bir sınıflandırma yoktur. Belirteçler şunlar olabilir: tek veya çoklu kullanım, kriptografik veya kriptografik olmayan, geri döndürülebilir veya geri döndürülemez, doğrulanabilir veya doğrulanamaz ve bunların çeşitli kombinasyonları.
Ödemeler bağlamında, yüksek ve düşük değerli jetonlar arasındaki fark önemli bir rol oynar.
Yüksek değerli jetonlar (HVT'ler)
HVTs fiili için belirteç olarak hizmet tava ödeme işlemlerinde ve bir ödeme işlemini tamamlamak için bir araç olarak kullanılmaktadır. Çalışmaları için gerçek PAN'lar gibi görünmeleri gerekir. Birden fazla HVT, sahibinin haberi olmadan tek bir PAN'a ve tek bir fiziksel kredi kartına geri eşlenebilir.
Ek olarak, HVT'ler belirli ağlar ve/veya satıcılar ile sınırlandırılabilirken PAN'ler yapılamaz.
HVT'ler ayrıca belirli cihazlara bağlanabilir, böylece belirteç kullanımı, fiziksel cihazlar ve coğrafi konumlar arasındaki anormallikler potansiyel olarak dolandırıcılık olarak işaretlenebilir.
Düşük değerli belirteçler (LVT'ler) veya güvenlik belirteçleri
LVT'ler ayrıca ödeme işlemlerinde gerçek PAN'ler için vekil görevi görür, ancak farklı bir amaca hizmet ederler. LVT'ler bir ödeme işlemini tamamlamak için tek başlarına kullanılamaz. Bir LVT'nin çalışması için, onu temsil ettiği gerçek PAN'a geri döndürmek, ancak sıkı bir şekilde kontrol edilen bir şekilde mümkün olmalıdır. Belirteçleri korumak için belirteçlerin kullanılması, bir belirteç sistemi ihlal edilirse etkisiz hale gelir, bu nedenle belirteç sisteminin güvenliğinin sağlanması son derece önemlidir.
Sistem işlemleri, sınırlamalar ve evrim
Birinci nesil belirteçleştirme sistemleri, canlı verilerden yedek belirteçlere ve geriye doğru eşlemek için bir veritabanı kullanır. Bu, veri kaybını önlemek için belirteç veritabanına eklenen her yeni işlem için depolama, yönetim ve sürekli yedekleme gerektirir. Diğer bir sorun, veri merkezleri arasında tutarlılığın sağlanması, belirteç veritabanlarının sürekli senkronizasyonunu gerektiriyor. CAP teoremi uyarınca önemli tutarlılık, kullanılabilirlik ve performans ödünleşimleri bu yaklaşımla kaçınılmazdır. Bu ek yük, veri kaybını önlemek ve veri merkezlerinde veri bütünlüğünü sağlamak için gerçek zamanlı işlem işlemeye karmaşıklık katar ve ayrıca ölçeği sınırlar. Tüm hassas verilerin tek bir hizmette saklanması, saldırı ve uzlaşma için çekici bir hedef oluşturur ve özellikle AB'de , verilerin İnternet gizliliğinin bir araya getirilmesinde gizlilik ve yasal risk oluşturur .
Belirteçleştirme teknolojilerinin bir başka sınırlaması, belirli bir çözüm için güvenlik düzeyini bağımsız doğrulama yoluyla ölçmektir. Standartların olmaması nedeniyle, ikincisi, düzenleyici uyumluluk için belirteçler kullanıldığında sunulan belirteçleştirmenin gücünü belirlemek için kritik öneme sahiptir. PCI Konseyi bağımsız incelemeden ve güvenlik ve uyumluluk olduğu iddia doğrulama tavsiye eder: "Tüccarlar ödeme kartı verileri ile tüm etkileşimler de dahil olmak üzere, kendi özel uygulama benzersiz özelliklerini belirlemek ve belgelemek için ayrıntılı bir değerlendirme ve risk analizi yapmak gerekir simgelileştirme kullanımını dikkate ve belirli tokenizasyon sistemleri ve süreçleri"
Belirteç oluşturma yönteminin güvenlik açısından da sınırlamaları olabilir. Belirteçlerin ve belirteç eşleme tablolarının oluşturulması için ortak bir seçim olan güvenlik ve rasgele sayı üreteçlerine yönelik saldırılarla ilgili endişeler nedeniyle , keyfi tasarım yerine kanıtlanmış ve onaylanmış yöntemlerin kullanıldığından emin olmak için inceleme uygulanmalıdır. Rastgele sayı üreteçlerinin hız, entropi, tohumlama ve yanlılık açısından sınırlamaları vardır ve tahmin edilebilirlik ve uzlaşmadan kaçınmak için güvenlik özellikleri dikkatli bir şekilde analiz edilmeli ve ölçülmelidir.
Belirteçleştirmenin artan benimsenmesiyle, bu tür operasyonel riskleri ve karmaşıklıkları ortadan kaldırmak ve özellikle finansal hizmetler ve bankacılıkta ortaya çıkan büyük veri kullanım durumlarına ve yüksek performanslı işlem işlemeye uygun ölçeğin artırılmasını sağlamak için yeni belirteçleştirme teknolojisi yaklaşımları ortaya çıkmıştır . Durumsuz belirteçleştirme, belirteçleştirmenin yalıtım özelliklerini korurken bir veritabanına ihtiyaç duymadan değerleri vekil değerlere canlı veri öğelerinin rastgele eşlenmesini sağlar.
Kasım 2014, American Express , EMV tokenizasyon standardını karşılayan token hizmetini yayınladı .
Alternatif ödeme sistemlerine başvuru
Alternatif bir ödeme sistemi oluşturmak, yakın alan iletişimi (NFC) veya diğer teknoloji tabanlı ödeme hizmetlerini son kullanıcılara sunmak için birlikte çalışan birkaç kuruluş gerektirir . Sorunlardan biri oyuncular arasındaki birlikte çalışabilirliktir ve bu sorunu çözmek için güvenilir hizmet yöneticisinin (TSM) rolü, mobil ağ operatörleri (MNO) ve hizmet sağlayıcıları arasında teknik bir bağlantı kurması ve böylece bu kuruluşların birlikte çalışabilmesidir. . Tokenizasyon, bu tür hizmetlere aracılık etmede rol oynayabilir.
Bir güvenlik stratejisi olarak tokenleştirme, gerçek bir kart numarasını bir vekil ile değiştirme (hedef kaldırma) ve vekil kart numarasına getirilen müteakip sınırlamalar (risk azaltma) yeteneğinde yatmaktadır. Vekil değer sınırsız bir şekilde veya hatta yaygın olarak uygulanabilir bir şekilde kullanılabiliyorsa, jeton değeri gerçek kredi kartı numarası kadar değer kazanır. Bu durumlarda jeton, her işlem için benzersiz olan ve ayrıca belirli bir ödeme kartıyla ilişkilendirilen ikinci bir dinamik jeton ile güvence altına alınabilir. Dinamik, işleme özel belirteçlerin örneği, EMV belirtiminde kullanılan kriptogramları içerir.
PCI DSS standartlarına uygulama
Ödeme Kartı Endüstrisi Veri Güvenliği Standardı , herhangi bir kuruluş tarafından karşılanması gereken kurallar sektör çapında seti verilerin kart sahibi depolar, işler, veya iletir, depolandığı zaman kredi kartı verileri korunması gerektiğini zorunlu kılmaktadır. Ödeme kartı verilerine uygulandığı şekliyle tokenleştirme, bazı sistemlerde kredi kartı ve ACH numaralarını rastgele bir değer veya karakter dizisiyle değiştirerek, genellikle bu görevi yerine getirmek için uygulanır. Jetonlar çeşitli şekillerde biçimlendirilebilir. Bazı belirteç hizmeti sağlayıcıları veya belirteçleştirme ürünleri, orijinal hassas verilerin biçimiyle eşleşecek şekilde vekil değerleri oluşturur. Ödeme kartı verileri söz konusu olduğunda, bir belirteç, Birincil Hesap Numarası ( banka kartı numarası ) ile aynı uzunlukta olabilir ve kart numarasının son dört hanesi gibi orijinal verilerin öğelerini içerebilir. Bir işlemin meşruluğunu doğrulamak için bir ödeme kartı yetkilendirme talebi yapıldığında, işlem için yetki kodu ile birlikte üye işyerine kart numarası yerine bir jeton iade edilebilir. Jeton, alıcı sistemde depolanırken, gerçek kart sahibi verileri, güvenli bir jetonlaştırma sisteminde jetonla eşleştirilir. Jetonların ve ödeme kartı verilerinin depolanması, güçlü kriptografi kullanımı da dahil olmak üzere mevcut PCI standartlarına uygun olmalıdır .
Standartlar (ANSI, PCI Konseyi, Visa ve EMV)
Tokenizasyon şu anda ANSI X9'da X9.119 Bölüm 2 olarak standart tanımındadır . X9, ödeme kartı PIN yönetimi, kredi ve banka kartı şifrelemesi ve ilgili teknolojiler ve süreçler dahil olmak üzere finansal kriptografi ve veri korumasına yönelik endüstri standartlarından sorumludur. PCI Konseyi, Noktadan Noktaya Şifreleme (P2PE) ve PCI DSS yönergelerine uygunluk değerlendirmeleri gibi diğer teknolojilerle birleştirildiğinde, veri ihlallerindeki riski azaltmada belirteçleştirme desteğini de belirtti. Visa Inc., kredi ve banka kartı işleme uygulamaları ve hizmetlerinde tokenizasyon kullanımları için Visa Tokenization En İyi Uygulamalarını yayınladı. Mart 2014'te EMVCo LLC , EMV için ilk ödeme belirteci spesifikasyonunu yayınladı . NIST , Özel Yayını 800-38G'de FF1 ve FF3 Format Koruyucu Şifreleme algoritmalarını standartlaştırdı.
Risk azaltma
Belirteçleştirme, saldırganların belirteçleştirme sistemi veya hizmeti dışındaki hassas verilere erişmesini zorlaştırabilir. Artık hassas verileri depolamayan veya işlemeyen sistemler, PCI DSS yönergelerinin gerektirdiği uygulanabilir kontrollerde bir azalmaya sahip olabileceğinden, simgeleştirmenin uygulanması PCI DSS'nin gereksinimlerini basitleştirebilir .
Bir güvenlik en iyi uygulaması olarak, herhangi bir gizlilik uyumluluğu, mevzuata uygunluk ve veri güvenliği iddiası ortaya çıkmadan önce, yöntemin ve uygulamanın güvenliğini ve gücünü belirlemek için belirteçleştirme de dahil olmak üzere veri koruması için kullanılan tüm teknolojilerin bağımsız değerlendirmesi ve doğrulanması yürürlükte olmalıdır. yapılacak. Bu doğrulama, belirteçler genel kullanımda harici olarak paylaşıldığından ve dolayısıyla yüksek riskli, düşük güven ortamlarına maruz kaldığından, özellikle belirteçleştirmede önemlidir. Bir belirteç veya belirteç kümesini canlı bir hassas veriye çevirmenin fizibilitesi, hizmet veya çözüm sağlayıcıdan bağımsız uygun uzmanlar tarafından endüstri tarafından kabul edilen ölçümler ve kanıtlar kullanılarak belirlenmelidir.
Ayrıca bakınız
Referanslar
Dış bağlantılar
- Buluta Karşı Ödeme - Buluta Karşı Ödeme - Bulut ödemeleri aracılığıyla tokenleştirmeye giriş.