PCI:在实现P2PE解决方案后，冠心病或SAD还需要保护吗？

Question

一个好的(甚至经过认证的) PCI P2PE v2解决方案的承诺是，商家无法访问加密了卡持卡人数据( CHD )和敏感身份验证数据( SAD )的密钥，允许一些人说，现在加密的CHD和加密SAD不再需要根据PCI受到保护，并且允许加密的数据在后端系统中流动(在P2PE之前不会存储这些数据)。

我的问题是这是否真的？对于那些同意的人来说，PCI 3.2的要求是，即使加密了，SAD也不能在授权后存储。最后一点是我真正感兴趣的。因为P2PE v2规范说它不覆盖PCI。有什么想法？

Answer 1

与大多数PCI一样，这是一个范围问题。

如果P2PE解决方案用商家无法访问的密钥加密CHD/SAD，则商家对加密blob的处理不受PCI的约束。他们可以并且将存储和传输它--没有PCI作用域的含义--在向服务提供商或具有相应密钥的第三方发送的路上。该服务提供者可能会解密它，对其进行标记化，并将一个令牌退还给商人，供以后使用。显然，服务提供者在范围内，必须按照PCI处理数据，无论加密还是未加密。

你说这个问题的方式有点问题。加密的CHD和加密的SAD总是在持有密钥的一方的范围内。如果你不拿钥匙，它们不是加密的CHD/SAD；它们是不透明的斑点。

当然，关键是P2PE解决方案需要在商家访问数据之前对其进行加密，并使用商家无法访问的密钥进行加密。因此，插入手机并加密的硬件插头是好的；将卡数据插入手机并将卡数据交给手机上的应用程序加密的硬件dongle就不是那么好了。

与往常一样，IANAQSA免责声明也适用。