AWS Payment Cryptography
Servicio gestionado que proporciona generación y gestión de claves criptográficas en la nube más operaciones criptográficas como verificación de PIN y autenticación de tarjetas para procesamiento de pagos
Descripción general
AWS Payment Cryptography es un servicio completamente gestionado que ejecuta en la nube el procesamiento criptográfico requerido para pagos con tarjetas de crédito y débito. Operaciones que anteriormente se realizaban en HSMs (Hardware Security Modules) on-premises - generación y verificación de bloques PIN, generación y verificación de valores de verificación de tarjeta (CVV/CVC) y cálculo de MAC (Message Authentication Code) - están disponibles vía API. La gestión de claves se realiza en un entorno conforme con PCI DSS y PCI PIN Security, reduciendo significativamente la carga de los operadores de pago para construir y operar su propia infraestructura HSM.
Gestión de claves criptográficas de pago y ciclo de vida
La gestión de claves de Payment Cryptography soporta jerarquías de claves específicas de la industria de pagos. Las claves se importan y exportan de forma segura cifradas bajo KEKs (Key Encrypting Keys), soportando formatos TR-31/TR-34 conformes con protocolos de intercambio de claves de redes de tarjetas (Visa, Mastercard). Los tipos de claves gestionadas incluyen PIN Encrypting Keys (PEK), PIN Verification Keys (PVK), Card Verification Keys (CVK), claves MAC y otras claves dedicadas usadas en cada etapa del procesamiento de pagos. La rotación de claves se gestiona mediante configuraciones de expiración y políticas de rotación automática, con períodos de gracia configurables para descifrado paralelo con claves antiguas y cifrado con claves nuevas. Todo el uso de claves se registra en CloudTrail, sirviendo como pistas de auditoría para el Requisito 3 de PCI DSS.
Procesamiento de PIN y operaciones criptográficas de autenticación de tarjetas
La API del plano de datos de Payment Cryptography ejecuta operaciones criptográficas necesarias en transacciones de pago en tiempo real. Cubre todo el ciclo de vida del pago con tarjeta: traducción de bloques PIN (re-cifrado de bloques PIN recibidos de ATMs con la clave del emisor), verificación de PIN (coincidencia usando métodos IBM 3624 o Visa PVV), generación y verificación de CVV/CVC, y verificación de ARQC (Authorization Request Cryptogram). La latencia de la API es de milisegundos de un solo dígito, proporcionando rendimiento suficiente para procesamiento de autorización en tiempo real. Libros de sistemas de pago en Amazon cubren sistemáticamente el procesamiento criptográfico de pagos con tarjeta.
Cumplimiento y migración desde HSMs on-premises
Payment Cryptography posee certificaciones PCI DSS Level 1, PCI PIN Security y PCI P2PE, permitiendo a los operadores de pago aprovechar los controles del modelo de responsabilidad compartida de AWS en sus evaluaciones de cumplimiento (auditorías QSA). Para la migración desde HSMs on-premises, el procedimiento estándar es exportar claves existentes en formato TR-31 e importarlas en Payment Cryptography. Durante el período de migración, la operación paralela (procesamiento tanto en HSM on-premises como en Payment Cryptography) con migración gradual de tráfico minimiza el riesgo. En cuanto a costos, se eliminan los costos de compra de HSM on-premises, contratos de mantenimiento, costos de centro de datos y costos de personal operativo, transitando a precios de pago por uso basados en volumen de llamadas API. La alta disponibilidad se asegura automáticamente mediante configuración multi-AZ.