AWS Payment Cryptography で実現するクラウド決済処理 - 暗号鍵管理と PIN 検証
Payment Cryptography による決済用暗号鍵の管理、PIN ブロックの暗号化・復号、PCI DSS 準拠を解説します。
Payment Cryptography の概要
Payment Cryptography は PCI PIN Security と PCI P2PE に準拠した決済処理用の暗号鍵管理と暗号化操作をクラウドで提供するサービスです。従来、決済処理の暗号化にはオンプレミスの HSM (Thales payShield、Futurex など) が必要でしたが、Payment Cryptography でクラウドに移行できます。PCI PIN Security Requirements と PCI P2PE に準拠しています。
決済暗号化操作
Control Plane API で AES-128/256、TDES、RSA-2048/4096 の暗号鍵の作成、インポート、エクスポートを管理し、Data Plane API で暗号化操作を実行します。PIN Translation はアクワイアラーの鍵で暗号化された PIN ブロックをイシュアーの鍵で再暗号化する操作で、決済ネットワークのスイッチング処理に使用します。CVV の生成と検証はカード発行時と決済認証時に使用し、カード番号と有効期限から暗号学的に検証値を計算します。TR-31 鍵ブロック形式で鍵をインポート・エクスポートし、他の HSM や決済ネットワークとの鍵交換が可能です。
鍵管理と決済ネットワーク統合
Payment Cryptography は BDK (Base Derivation Key)、 IPEK (Initial PIN Encryption Key)、 KEK (Key Encryption Key) など決済固有の鍵タイプをサポートします。 TR-31 鍵ブロック形式で鍵のインポート・エクスポートを行い、既存の決済インフラとの相互運用性を確保します。 DUKPT (Derived Unique Key Per Transaction) でトランザクションごとに一意の鍵を導出し、鍵の漏洩リスクを最小化します。 Visa 、 Mastercard 、 American Express の決済ネットワークで要求される暗号化操作 (PIN ブロックの変換、 MAC の生成・検証) をクラウドで実行できます。 Payment Cryptography のベストプラクティスを網羅的に学ぶなら、技術書 (Amazon)を参照してください。
Payment Cryptography の料金
Payment Cryptography の料金は鍵の管理 (1 鍵あたり月額約 1 ドル) と暗号化操作 (1 万オペレーションあたり約 0.85 ドル) で構成されます。オンプレミスの HSM (ハードウェア購入、データセンター設置、保守契約) と比較して、初期投資が不要で従量課金のため、トランザクション量に応じたコスト管理が可能です。PCI DSS の準拠維持コスト (年次監査、ペネトレーションテスト) もクラウド移行で削減できます。トランザクション量が少ない場合は鍵管理の固定費が主要なコスト要因になります。
まとめ
Payment Cryptography は決済用暗号鍵の管理と暗号化操作をクラウドで提供するサービスです。PCI 準拠の環境で DUKPT や TR-31 鍵ブロックをサポートし、PIN ブロック変換や MAC 生成・検証を実行します。オンプレミス HSM の購入・設置・保守が不要になり、従量課金でトランザクション量に応じたコスト管理を実現します。