Procesamiento de pagos en la nube con AWS Payment Cryptography - Gestion de claves criptograficas y verificacion de PIN
Explicamos la gestion de claves criptograficas para pagos, el cifrado y descifrado de bloques PIN, y la conformidad con PCI DSS mediante Payment Cryptography.
Descripcion general de Payment Cryptography
Payment Cryptography es un servicio que proporciona gestion de claves criptograficas y operaciones de cifrado para procesamiento de pagos en la nube, conforme a PCI PIN Security y PCI P2PE. Tradicionalmente, el cifrado del procesamiento de pagos requeria HSM on-premises (Thales payShield, Futurex, etc.), pero Payment Cryptography permite la migracion al cloud. PCI PIN Security Requirements garantiza el procesamiento seguro de PIN, y PCI P2PE garantiza el cifrado de extremo a extremo desde el terminal hasta el centro de procesamiento. Los HSM del servicio operan en hardware certificado FIPS 140-2 Level 3, y las claves nunca abandonan el HSM en texto plano. El servicio se separa en dos APIs: Control Plane (creacion y gestion de claves) y Data Plane (ejecucion de operaciones de cifrado). Al otorgar privilegios minimos mediante politicas IAM, puede separar claramente los roles que pueden crear claves de los roles que solo pueden ejecutar operaciones de cifrado.
Operaciones de cifrado de pagos
La API del Control Plane gestiona la creacion, importacion y exportacion de claves criptograficas AES-128/256, TDES y RSA-2048/4096, mientras que la API del Data Plane ejecuta las operaciones de cifrado. PIN Translation es la operacion de re-cifrar un bloque PIN cifrado con la clave del adquirente usando la clave del emisor, utilizada en el procesamiento de switching de redes de pago. La generacion y verificacion de CVV se utiliza durante la emision de tarjetas y la autenticacion de pagos, calculando criptograficamente el valor de verificacion a partir del numero de tarjeta y la fecha de vencimiento. Las claves se importan y exportan en formato de bloque de clave TR-31, permitiendo el intercambio de claves con otros HSM y redes de pago. La generacion y verificacion de MAC (Codigo de Autenticacion de Mensaje) se utiliza para la deteccion de manipulacion de datos de transaccion, soportando ISO 9797-1 Algorithm 1 y Algorithm 3. La verificacion ARQC (Authorization Request Cryptogram) se utiliza en la autenticacion de tarjetas chip EMV, logrando criptograficamente la autenticacion mutua entre la tarjeta y el emisor.
Gestion de claves e integracion con redes de pago
Payment Cryptography soporta tipos de clave especificos de pagos como BDK (Base Derivation Key), IPEK (Initial PIN Encryption Key) y KEK (Key Encryption Key). La importacion y exportacion de claves se realiza en formato de bloque de clave TR-31, asegurando la interoperabilidad con la infraestructura de pagos existente. DUKPT (Derived Unique Key Per Transaction) deriva una clave unica por transaccion, minimizando el riesgo de filtracion de claves. Las operaciones criptograficas requeridas por las redes de pago de Visa, Mastercard y American Express (conversion de bloques PIN, generacion y verificacion de MAC) se pueden ejecutar en la nube. Para aprender exhaustivamente las mejores practicas de Payment Cryptography, consulte libros tecnicos (Amazon).
Casos de uso y patrones de adopcion
Hay tres casos de uso tipicos. Primero, la verificacion de PIN del emisor: cuando un titular de tarjeta ingresa un PIN en un ATM, la API VerifyPinData compara el bloque PIN recibido por la red con los datos de PIN registrados en la emision. Segundo, el procesamiento de switching del procesador de pagos: la API TranslatePinData convierte un bloque PIN recibido del adquirente para el emisor, enrutando transacciones entre redes de pago de marcas internacionales. Tercero, la generacion de CVV/CVC durante la emision de tarjetas: la API GenerateCardValidationData genera criptograficamente un valor de verificacion a partir del numero de tarjeta y la fecha de vencimiento para determinar el valor impreso en la tarjeta. El patron de adopcion tipico es la migracion por fases ejecutandose en paralelo con HSM on-premises existentes. Al exportar claves de HSM existentes en formato de bloque de clave TR-31 e importarlas a Payment Cryptography, puede migrar solo la infraestructura criptografica del backend a la nube sin cambiar los flujos de transaccion existentes.
Comparacion con CloudHSM y KMS
AWS tiene tres servicios de gestion de claves criptograficas con diferentes propositos. KMS es para cifrado de datos de proposito general (cifrado de S3, cifrado de volumenes EBS, Envelope Encryption) y no soporta operaciones especificas de pagos (PIN Translation, derivacion de claves DUKPT). CloudHSM proporciona HSM de proposito general en la nube pero carece de conjuntos de comandos especificos de pagos, requiriendo implementar bibliotecas por cuenta propia. Payment Cryptography se especializa en procesamiento de pagos, proporciona atestacion de conformidad PCI PIN Security/P2PE, y ofrece operaciones especificas de pagos (bloques de clave TR-31, DUKPT, PIN Translation, verificacion ARQC) como APIs. CloudHSM es FIPS 140-2 Level 3 con HSM de tenant dedicado, siendo adecuado para casos de uso no relacionados con pagos (PKI, descarga TLS, protocolos criptograficos personalizados). Payment Cryptography es multi-tenant pero ofrece una adopcion mas facil para casos de uso de pagos ya que proporciona un entorno pre-certificado conforme a PCI. En cuanto a costos, CloudHSM cobra por hora (aproximadamente 1.50 USD/hora por HSM) con altos costos fijos, mientras que Payment Cryptography utiliza precios por clave y por operacion que son mas eficientes en costo para uso de bajo volumen.
Precios de Payment Cryptography
Los precios de Payment Cryptography se componen de la gestion de claves (aproximadamente 1 dolar mensual por clave) y las operaciones de cifrado (aproximadamente 0.85 dolares por cada 10,000 operaciones). Comparado con HSM on-premises (compra de hardware, instalacion en centro de datos, contrato de mantenimiento), no requiere inversion inicial y la facturacion por uso permite la gestion de costos segun el volumen de transacciones. Los costos de mantenimiento de conformidad PCI DSS (auditoria anual, pruebas de penetracion) tambien se pueden reducir con la migracion al cloud. Cuando el volumen de transacciones es bajo, el costo fijo de gestion de claves se convierte en el principal factor de costo. Como practica de gestion del ciclo de vida de claves, se recomienda auditar y eliminar periodicamente las claves no utilizadas para optimizar costos.
Resumen
Payment Cryptography es un servicio que proporciona gestion de claves criptograficas y operaciones de cifrado para pagos en la nube. Soporta DUKPT y bloques de clave TR-31 en un entorno conforme a PCI, ejecutando conversion de bloques PIN y generacion/verificacion de MAC. Elimina la necesidad de comprar, instalar y mantener HSM on-premises, logrando la gestion de costos segun el volumen de transacciones con facturacion por uso. La separacion de Control Plane y Data Plane para diseno de privilegios minimos, combinada con el formato TR-31 para migracion por fases desde la infraestructura existente, es clave para una adopcion exitosa.