link
richiede la crittografia delle informazioni memorizzate sulla carta di credito, ad esempio se sei un commerciante online come Amazon che consente ai clienti abituali di ordinare senza reinserire il numero della carta di credito. Ma non sembra avere alcun requisito su come si memorizza la chiave di decodifica, solo che si documenta quello che si sta facendo: "Documentare e implementare procedure per proteggere le chiavi utilizzate per la crittografia dei dati dei titolari di carta dalla divulgazione e uso improprio" e " Documentare e implementare completamente i processi e le procedure di gestione delle chiavi per le chiavi crittografiche utilizzate per la crittografia dei dati dei titolari di carta ". Significa che se si memorizza la chiave di decrittografia proprio lì sullo stesso disco delle carte di credito crittografate (con alcune autorizzazioni di file restrittive, almeno), va bene, finché si documenta che è quello che si sta facendo?
Se la tua risposta è "No, devi fare XYZ", puoi chiarire se (a) ti stai riferendo ad alcuni requisiti stabiliti nel PCI DSS che ho perso; oppure (b) stai parlando di un requisito che non è previsto nel PCI DSS, ma è una regola non scritta che il PCI Security Standards Council trattiene comunque le persone.
(Se provassi a farlo in sicurezza, avrei eseguito la logica di decodifica sulla macchina A, la chiave di decrittografia memorizzata sulla macchina B in cui può essere recuperata solo dalla macchina A e i numeri delle carte cifrate memorizzati su macchina C in cui possono essere recuperati solo dalla macchina A. Poiché la chiave e il numero della carta devono essere memorizzati da qualche parte, non penso che tu possa fare meglio di così, a meno che non inizi a suddividere il numero della carta cifrata su più macchine in modo tale che l'attaccante deve leggere ognuno per rimetterlo insieme, ma non sto chiedendo cosa è più sicuro, sto solo chiedendo cosa richiede la lettera di PCI DSS.)