基于可逆密码函数的令牌与实际平面图的区分

Question

我正在研究实现符合PCI要求的KEK和DEK服务器的可能性。

PCI令牌化指南指出：“令牌化解决方案应该包括区分令牌和实际PAN的机制。”

文档没有指定上述需求与哪种类型的令牌相关。我是否正确地认为，它与基于数学可逆密码函数的令牌无关？

谢谢

Answer 1

我是否正确地认为，它与基于数学可逆密码函数的令牌无关？

你说得对。但是你可能不想那样做。

。

令牌通常与卡号(15-16位数字)同构，因为它们应该能够在接收者使用的任何软件中轻松地替换卡号。

如果您要使用看起来不像卡号的令牌，那么您已经“提供了一种区分令牌和实际盘的机制”。4111111111111111与057c331e-f538-11e4-b9b2-1697f925ec7b是不同的。

但是令牌通常由处理器或卡片品牌生成，并交给商家使用，而不是卡片号，通常使用设计和指定的编程接口来传递15-16位数字。商人可能已经有软件，有数据库和应用程序逻辑和一切，是设计用来存储卡号。当他们标记时，他们必须开始存储令牌，而不是卡号。如果令牌看起来足够像卡号，那么它通常是一个简单的非破坏性开关。对于“区分在这些等压线之间令牌和实际PAN”，它们可能使用无效的IIN/BIN号，不能通过Luhn算法检查等等。

Answer 2

你是正确的。然而，在数学上可逆的令牌(也称为加密数据)的PCI遵从范围比真正的随机生成的令牌小得多。此外，如果你是在数学上可逆的路线，你也可以使用格式保持加密(FPE)。FPE生成长度和格式相同的密文(数字、字母数字、ASCII.)作为明文规定。

用于PCI范围缩小的传统的、拱形的令牌化方法是生成随机令牌并将它们分配给PAN。“映射”是一个数据库，它可以告诉您哪个随机令牌与哪个PAN (实际上是一个加密的PAN，以便进行良好的度量)。这个数据库通常是一个非常安全和独立的环境，称为“令牌库”。