Tokenizáció vs titkosítás
Mindkettő védi a kártyaadatokat – de nagyon eltérő módon, és nagyon eltérő hatással a PCI DSS hatókörre. Így hasonlítanak egymáshoz, mikor érdemes melyiket alkalmazni, és miért a legerősebb megoldások mindkettőt használják.
Kétféle módszer egy kártyaszám védelmére
Tokenizáció
A kártyaszámot egy értelmetlen tokennel helyettesíti, amelynek nincs matematikai kapcsolata az eredetivel. A valódi adat csak egy biztonságos vaultban él, ezért egy ellopott token nem alakítható vissza érvényes kártyává.
- Eltávolítja a kártyaadatot a rendszereiből
- PCI DSS hatókört SAQ A-ra csökkenti
- A token kiszivárgás esetén értéktelen
Titkosítás
Egy algoritmussal és kulccsal kódolja a kártyaadatokat. Bárki, aki rendelkezik a kulccsal, visszaállíthatja az eredeti számot – így a védelem teljes mértékben a kulcs biztonságán múlik, az adat általában a saját környezetben marad.
- Kulccsal visszafordítható
- Védi az adatot tároláskor és átvitelkor
- A kulcsok és az adat általában hatókörben marad
Tokenizáció vs titkosítás
| Szempont | Titkosítás | Tokenizáció |
|---|---|---|
| Visszafordítható | Igen, kulccsal | Nincs matematikai kapcsolat |
| Értéke lopás esetén | Kiszivárogtaható, ha a kulcs kompromittálódik | Értéktelen |
| Eltávolítja az adatot a rendszereiből | Általában nem | Igen |
| PCI DSS hatókörre gyakorolt hatás | Korlátozott csökkentés | SAQ D-ről SAQ A-ra |
| Legjobb erre | Adatok, amelyeket meg kell tartani és feldolgozni | Kártyaadatok, amelyeket nem kíván tárolni |
| A PCI Proxyban | AES-256 a vaulton belül | Hordozható vaulttoken |
Nem kell választani
A legerősebb megoldások mindkettőt alkalmazzák. A PCI Proxy tokenizálja a kártyaadatokat, hogy azok sosem érjék el a rendszereit – a vaulton belül pedig a valódi adatokat AES-256 titkosítással védi tároláskor és TLS-sel átvitelkor. A tokenizáció hatókörcsökkentést, az erős kriptográfia a tárolt adatok védelmét biztosítja – egyetlen európai PCI DSS Level 1 szolgáltatásban.
Tokenizáció vs titkosítás – kérdések és válaszok
01 Mi a különbség a tokenizáció és a titkosítás között?
A titkosítás egy algoritmussal és kulccsal kódolja a kártyaadatokat, így bárki, aki rendelkezik a kulccsal, visszaállíthatja az eredeti számot. A tokenizáció a kártyaszámot egy értelmetlen tokennel helyettesíti, amelynek nincs matematikai kapcsolata az eredetivel – a valódi adat csak egy biztonságos vaultban él, ezért egy ellopott token értéktelen.
02 Melyik hatékonyabb a PCI DSS hatókör csökkentésére?
A tokenizáció általában erősebb a hatókörcsökkentés szempontjából. Ha a kártyaadatokat tokenekkel váltják fel, és egy PCI DSS Level 1 vaultban tárolják a rendszerein kívül, a kártyabirtokosi adatkörnyezet összezsugorodik, és a legtöbb kereskedő SAQ D-ről SAQ A-ra lép. A csak titkosítás általában a titkosított kártyaadatokat – és a kulcsokat – a hatókörben tartja.
03 Működik együtt a tokenizáció és a titkosítás?
Igen. Kiegészítik egymást. A PCI Proxy tokenizálja a kártyaadatokat, hogy azok sosem érjék el a rendszereit, a vaulton belül pedig a valódi adatokat AES-256 titkosítással védi tároláskor és TLS-sel átvitelkor. A tokenizáció hatókörcsökkentést, a tárolt adatok titkosítása erős kriptográfiai védelmet nyújt.
04 Mikor érdemes titkosítást alkalmazni tokenizáció helyett?
A titkosítás akkor a megfelelő eszköz, ha az eredeti adatokat saját maga kell tárolnia és visszafordítható módon feldolgoznia – például lemez- vagy adatbázis-titkosításnál, vagy az átvitel közbeni adatvédelemnél. Olyan kártyaszámoknál, amelyeket nem kíván tárolni, a tokenizáció teljesen eltávolítja az adatot a környezetéből, ami általában előnyösebb.
Tokenizáció és titkosítás, ahogy kell
Meséljen arról, mit kell védenie, és megmutatjuk, hogyan tartja egy európai vault a kártyaadatokat hatókörön kívül és biztonságban.