An toàn và bảo mật thông tin trong thanh toán thẻ

An toàn và bảo mật thông tin trong thanh toán thẻ

TRƯỜNG ĐẠI HỌC KINH TẾ - LUẬT ĐẠI HỌC QUỐC GIA THÀNH PHỐ HỒ CHÍ MINH

KHOA HỆ THỐNG THÔNG TIN NGÀNH HỆ THỐNG THÔNG TIN QUẢN LÝ

Môn học: AN TOÀN VÀ BẢO MẬT HỆ THỐNG THÔNG TIN

Báo cáo đề tài:

AN TOÀN VÀ BẢO MẬT THÔNG TIN

TRONG THANH TOÁN THẺ

GV hướng dẫn: Ths Nguyễn Hồ Minh Đức

Giúp người tham gia thanh toán thẻ có thể an tâm khi thanh toán, thỏa các yêu cầu của các doanh nghiệp cũng như khách hàng khi tham gia thương mại điện tử Đồng thời hạn chế các rủi ro có thể xảy ra như: thông tin người dùng bị đánh cắp, giả mạo thông tin để thực hiện các hành vi phạm pháp,…

2 Phạm vi đề tài:

Nghiên cứu về các chính sách bảo vệ thông tin người dùng khi tham gia vào thanh toán thẻ Bao gồm thanh toán trực tiếp bằng thẻ hoặc thanh toán qua Internet

3 Phương pháp nghiên cứu:

- Thu thập, phân tích các tài liệu và những thông tin liên quan đến đề tài

- Tìm hiểu các giao dịch trong thương mại điện tử của một số website trong và ngoài nước

- Tìm hiểu quy trình thanh toán thẻ trực tiếp và gián tiếp

- Thu thập các thông tin về bảo mật trên thẻ thanh toán

- Kết hợp các đề tài nghiên cứu đã có của các tác giả trong nước và ngoài nước cộng với sự hướng dẫn của thầy để hoàn thành nội dung nghiên cứu.

Chương II: HIỆN TRẠNG VÀ YÊU CẦU HỆ THỐNG

1 Hiện trạng:

1.1 Giới thiệu:

Đối với sự phát triển mang tính toàn cầu của mạng Internet và thương mại điện tử, con người có thể mua bán hàng hóa và dịch vụ thông qua mạng máy tính toàn cầu một cách dễ dàng trong mọi lĩnh vực thương mại rộng lớn Tuy nhiên đối với các giao dịch mang tính nhạy cảm này cần phải có những cơ chế đảm bảo an toàn và bảo mật vì vậy vấn đề an toàn và bảo mật thông tin trong thương mại điện tử là một vấn đề hết sức quan trọng

Hiện nay vấn đề An toàn và bảo mật thông tin trong thương mại điện tử

đã và đang được áo dụng phổ biến và rộng rãi ở Việt Nam và trên phạm

vi toàn cầu Vì thế vấn đề bảo mật thông tin đã và đang được nhiều người tập trung nghiên cứu Tuy nhiên cần phải hiểu rằng không có một

hệ thống thông tin nào được bảo mật 100%, bất kỳ một hệ thống thông tin nào cũng có những lỗ hổng về an toàn và bảo mật mà chưa được phát hiện ra

Xuất phát từ những ứng dụng trong thực tế và những ứng dụng đã có từ các kết quả nghiên cưu trước đây về lĩnh vực an toàn và bảo mật thông tin Đề tài sẽ đi sâu nghiên cứu các phương pháp An toàn và bảo mật thông tin người dùng khi tham gia thanh toán thẻ

1.2 Khái niệm về thẻ thanh toán:

 Thẻ thanh toán (thẻ chi trả) là một phương tiện thanh toán tiền mua hàng hoá, dịch vụ hoặc có thể được dùng để rút tiền mặt tại các Ngân hàng đại lý hoặc các máy rút tiền tự động

 Thẻ thanh toán là một loại thẻ giao dịch tài chính được phát hành bởi Ngân hàng, các Tổ chức tài chính hay các công ty

 Thẻ thanh toán là một phương tiện thanh toán không dùng tiền mặt

mà người chủ thẻ có thể sử dụng để rút tiền mặt hoặc thanh toán tiền mua hàng hoá, dịch vụ tại các điểm chấp nhận thanh toán bằng thẻ

 Thẻ thanh toán là phương thức ghi sổ những số tiền cần thanh toán thông qua máy đọc thẻ phối hợp với hệ thống mạng máy tính kết nối giữa Ngân hàng/Tổ chức tài chính với các điểm thanh toán (Merchant) Nó cho phép thực hiện thanh toán nhanh chóng, thuận lợi và an toàn đối với các thành phần tham gia thanh toán

1.3 Mô tả quy trình thanh toán thẻ:

a Quy trình thanh toán thẻ trực tuyến :

- Bước 1 : Khách hàng quyết định mua hàng trực tuyến và điền thông tin

thẻ vào from như phần trên

- Bước 2 : Website của Merchant nhận được thông tin thanh toán và gửi

thông tin này đến đơn vị cung cấp dịch vụ xử lý thanh toán trực tuyến (payment gateway ví dụ như Smartlink)

- Bước 3 : Smartlink chuyển tiếp thông tin đến Tổ chức Thẻ quốc tế (card

scheme như Visa, MasterCard, AMEX,…)

- Bước 4 : Tổ chức Thẻ quốc tế chuyển tiếp thông tin đến Ngân hàng phát

hành thẻ (card issuer)

- Bước 5 : Ngân hành phát hành thẻ kiểm tra khả năng thanh toán của Chủ

thẻ, ngân hàng phát hành thẻ sẽ gửi mã cấp phép hay từ chối về lại cho

tổ chức thẻ quốc tế

- Bước 6 : Tổ chức thẻ quốc tế (Visa) chuyển trả thông tin về đơn vị cung

cấp dịch vụ xử lý thanh toán trực tuyến (smartlink)

- Bước 7 : Đơn vị cung cấp dịch vụ xử lý thanh toán trực tuyến trả kết quả

về cho website của Merchant

- Bước 8 : Web site Merchant quyết định chấp nhận hay từ chối giao dịch

mua hàng

b Qui trình thanh toán bù trừ & kết toán:

- Bước 1 : Merchant báo cho Đơn vị cung cấp dịch vụ xử lý thanh toán

trực tuyến thực hiện kết toán cho giao dịch

- Bước 2 : Đơn vị cung cấp dịch vụ xử lý thanh toán trực tuyến chuyển

thông tin cho tổ chức thẻ quốc tế

- Bước 3 : Tổ chức thẻ quốc tế kiểm tra thông tin rồi chuyển thông tin

giao dịch cho ngân hàng phát hành thẻ

- Bước 4 : Giao dịch được kết toán tại ngân hàng phát hành thẻ và tiền

được chuyển giữa ngần hàng thanh toán và ngân hàng phát hành thẻ rồi tiền được chuyển vào tài khoản của Merchant

- Bước 5 : Ngân hàng thanh toán ghi có tài khoản của Merchant.

- Bước 6 : Ngân hàng phát hành khấu trừ khoản tiền thanh toán trên tài

khoản thẻ của Chủ thẻ

c Quy trình thanh toán trực tiếp bằng thẻ:

Quy trình thanh toán cho khách sử dụng thẻ tín dụng thường diễn

ra theo các bước sau:

- Bước 1 : Xác nhận tổng số tiền khách thanh toán.

- Bước 2 : Người thanh toán mượn thẻ của khách hàng để kiểm tra loại thẻ

mà khách hàng đưa

- Bước 3 : Người thanh toán sẽ quẹt (swipe) thẻ của bạn vào một chiếc

máy đọc thẻ (gọi là EDCT – electronic Data Capture Terminal) EDCT đọc các thông tin về thẻ của bạ ghi trên dải băng từ và liên lạc với ngân hàng của cửa hàng (Merchant’s Bank) thông quan moderm, đường điện thoại hoặc ISDN line, gửi kèm theo yêu cầu về số tiền cần thanh toán, ngân hàng này kiểm tra trong CSDL của VISA/Master Card

• Nếu thẻ của bạn là thẻ hết hạn hoặc bị mất cắp, số tiền bạn muốn trả vượt quá hạn mức… chủ thẻ sẽ yêu cầu bạn thanh toán bằng hình thức khác

• Nếu thẻ của bạn hợp lệ, ngân hàng sẽ báo lại ngay trong vài giây về EDCT là giao dịch được phê duyệt, khi đó EDCT sẽ in ra một tờ giấy nhỏ ghi rõ số tiền, mã số giao dịch để bạn ký vào đó (Sale Slip) Bạn được giữ bản chính của sale slip, người bán hàn sẽ giữ bản sao

và gửi về ngân hàng để nhận tiền sau này

- Bước 4 : Khi nhận được sale slip Merchant's bank sẽ ghi có (credit)

ngay số tiền giao dịch vào tài khoản của Merchant đồng thời gửi thông

báo yêu cầu ngân hàng của bạn (Cardholder's Bank) thanh toán số tiền Cardholder's bank sẽ thanh toán tiền cho Merchant's Bank và ghi nợ (debit) số tiền vào tài khoản của bạn

- Bước 5 : Nhập tổng số tiền khách thanh toán vào máy (có thể nhập tiền

VNĐ hoặc USD) và kiểm tra lại để đảm báo tính chính xác Máy sẽ tự động giao dịch với hệ thống của ngân hàng Nếu giao dịch được chấp nhận thì máy sẽ tự động in hóa đơn theo các thao tác của nhân viên

- Bước 6 : Chi tiết về giao dịch sẽ được ghi trong tờ sao kê kế tiếp gửi đến

cho bạn Giả sử có người ăn cắp thẻ của bạn, giả mạo chữ ký của bạn thì trong thời hạn nhất định (thường là 2 tuần) bạn có thể liên hệ với ngân hàng của bạn để đòi lại tiền VISA đảm bảo rằng nếu ngân hàng của bạn chứng minh được chữ ký không phải là chữ ký của bạn thì họ sẽ trả lại tiền cho bạn ngay Merchant's bank sẽ lấy lại tiền từ tài khoản của Merchant còn việc tranh chấp là gánh nặng của Merchant đi theo bạn đòi tiền nếu họ muốn

2 Rủi ro khi tham gia thanh toán thẻ:

Thẻ giả

Thẻ do các tổ chức tội phạm hoặc các cá nhân làm giả với các thông tin có được từ các chứng từ giao dịch hoặc thẻ bị mất cắp, thất lạc Thẻ giả được sử dụng tạo ra các giao dịch giả mạo gây tổn thất cho ngân hàng phát hành bởi theo quy định của tổ chức thẻ quốc tế, ngân hàng phát hành phải chịu hoàn toàn trách nhiệm với mọi giao dịch sử dụng thẻ giả có

mã số (PIN) của ngân hàng phát hành Đây là rủi ro đặc biệt nguy hiểm khó quản lý vì nằm ngoài sự tiên liệu của ngân hàng phát hành

Thẻ bị mất cắp, thất

lạc

Chủ thẻ bị mất cắp, thất lạc thẻ và bị người khác sử dụng trước khi chủ thẻ kịp thông báo cho ngân hàng phát hành để

có biện pháp hạn sử dụng thẻ hoặc thu hồi thẻ Các tổ chức tội phạm có thể in nổi và mã hoá lại các thẻ để thực hiện các giao dịch giả Trường hợp này dễ dẫn đến rủi ro cho chủ thẻ hoặc ngân hàng phát hành Loại rủi ro này chiếm tỷ

Thanh toán hàng

hoá, dịch vụ qua

thư, điện thoại

Cơ sở chấp nhận thẻ cung cấp hàng hoá, dịch vụ qua thư, điện thoại trên sơ sở thông tin về thẻ như: loại thẻ, số thẻ, ngày hiệu lực, tên chủ thẻ Trong trường hợp chủ thẻ chính thức không phải là người đặt mua hàng thì giao dịch đó cơ

sở chấp nhận thẻ bị ngân hàng thanh toán từ chối thanh

toán Trường hợp này dễ dẫn đến rủi ro cho cơ sở chấp nhận thẻ hoặc ngân hàng thanh toán.

Tài khoản của chủ

Nhân viên cơ sở

chấp nhận thẻ in

nhìu hoá đơn thanh

toán của chủ thẻ

Khi thực hiện giao dịch, nhân viên cơ sở chấp nhận thẻ đã

cố tình in nhiều bộ hoá đơn thanh toán thẻ nhưng chỉ giao một bộ hoá đơn cho chủ thẻ ký để hoàn thành giao dịch Sau đó nhân viên cơ sở chấp nhận thẻ mạo chữ ký thật của chủ thẻ để nộp hoá đơn thanh toán cho ngân hàng thanh toán Trường hợp này dễ dẫn đến rủi ro cho ngân hàng phát hành hoặc cơ sở chấp nhận thẻ

Tạo băng từ giả

Là loại giao dịch thẻ sử dụng kỹ thuật công nghệ cao, trên

cơ sở thu thập các thông tin trên băng từ của thẻ thật thanh toán tại cơ sở chấp nhạn thẻ, các tổ chức tội phạm làm thẻ giả đã sử dụng phần mềm riêng để mã hoá và in tạo ra các băng từ trên thẻ giả Sau đó chúng thực hiện giao dịch giả mạo thẻ Loại này đang tăng nhanh ở các nước tiên tiến

Chương III: CÁC GIẢI PHÁP SECURITY CHO HỆ THỐNG

b Chuẩn hóa dữ liệu DES :

DES là thuật toán mã hoá khối (block algorithm), nó mã hoá một khối dữ liệu 64 bit bằng một khoá 56 bit Một khối bản rõ 64 bit đưa vào thực hiện, sau khi mã hoá dữ liệu ra là một khối bản mã 64 bit

Cả mã hoá và giải mã đều sử dụng cùng một thuật toán và khoá Nền tảng để xây dựng khối của DES là sự kết hợp đơn giản của các

kỹ thuật thay thế và hoán vị bản rõ dựa trên khoá, đó là các vòng lặp DES sử dụng 16 vòng lặp áp dụng cùng một kiểu kết hợp các kỹ thuật trên khối bản rõ

c Hệ mã hóa AES :

AES (viết tắt của từ tiếng Anh: Advanced Encryption Standard, hay tiêu chuẩn mã hóa tiên tiến) là một thuật toán mã hóa khối được chính phủ Hoa Kỳ áp dụng làm tiêu chuẩn mã hóa Giống như tiêu

chuẩn tiền nhiện DES, AES được kỳ vọng áp dụng trên phạm vi thế giới và đã được nghiên cứu rất kỹ lưỡng AES đƣợc chấp thuận làm tiêu chuẩn liên bang bởi viện tiêu chuẩn và công nghệ quốc gia Hoa

Kỳ (NIST ) sau một quá trình tiêu chuẩn hóa kéo dài 5 năm

Khác với DES, AES có thể dễ dàng thực hiện vớ tố độ cao bằng phần mềm hoặc phần cứng và không đòi hỏi nhiều bộ nhớ Do AES

là một tiêu chuẩn mã hóa mới, nó đang được sử dụng rộng rãi trong nhiều ứng dụng

1.2 Mã hóa bất đối xứng:

Thuật toán mã hóa công khai là thuật toán được thiết kế sao cho khóa

mã hóa là khác so với khóa giải mã Mà khóa giải mã hóa không thể

tính toán được từ khóa mã hóa Khóa mã hóa gọi là khóa công khai (public key ), khóa giải mã được gọi là khóa riêng (private key)

Đặc trưng nổi bật của hệ mã hóa công khai là cả khóa công khai (public key) và bản tin mã hóa (ciphertext) đều có thể gửi đi trên một kênh thông tin không an toàn

Ví dụ: Thuật toán mã hóa RSA

2 Chữ ký số:

2.1 Khái niệm chữ ký số.

Chữ ký số là một phương pháp mang tinh toán học để chứng minh tính chính xác của tin nhắn hay tài liệu số Một chữ ký số hợp lệ khiến người nhận tin rằng thông điệp được tạo bởi chính người gửi, như vậy người gửi không thể phủ nhận việc đã gửi tin nhắn (tính xác thực và không thoái thác trách nhiệm) cũng như thông điệp đó không bị thay đổi trong quá trình gửi đi (tính toàn vẹn) Chữ ký số thường được sử dụng trong chuyển giao phần mềm, các giao dịch tài chính, và trong các trường hợp

mà việc phát hiện giả mạo hay sự thay đổi thông tin là quan trọng

2.2 Đánh giá tính an toàn

- Khả năng xác định nguồn gốc

Các hệ thống mật mã hóa khóa công khai cho phép mật mã hóa văn bản với khóa bí mật mà chỉ có người chủ của khóa biết Để sử dụng chữ ký

số thì văn bản cần phải được mã hóa bằng hàm băm (văn bản được

"băm" ra thành chuỗi, thường có độ dài cố định và ngắn hơn văn bản) sau đó dùng khóa bí mật của người chủ khóa để mã hóa, khi đó ta được chữ ký số Khi cần kiểm tra, bên nhận giải mã (với khóa công khai) để lấy lại chuỗi gốc (được sinh ra qua hàm băm ban đầu) và kiểm tra với hàm băm của văn bản nhận được Nếu 2 giá trị (chuỗi) này khớp nhau thì bên nhận có thể tin tưởng rằng văn bản xuất phát từ người sở hữu khóa bí mật Tất nhiên là chúng ta không thể đảm bảo 100% là văn bản không bị giả mạo vì hệ thống vẫn có thể bị phá vỡ

Vấn đề nhận thực đặc biệt quan trọng đối với các giao dịchtài chính Chẳng hạn một chi nhánh ngân hàng gửi một gói tin về trung tâm dưới

dạng (a,b), trong đó a là số tài khoản và b là số tiền chuyển vào tài

khoản đó Một kẻ lừa đảo có thể gửi một số tiền nào đó để lấy nội dung gói tin và truyền lại gói tin thu được nhiều lần để thu lợi (tấn công truyền lại gói tin)

- Tính toàn vẹn

Cả hai bên tham gia vào quá trình thông tin đều có thể tin tưởng là văn bản không bị sửa đổi trong khi truyền vì nếu văn bản bị thay đổi thì hàm băm cũng sẽ thay đổi và lập tức bị phát hiện Quá trình mã hóa sẽ ẩn nội dung của gói tin đối với bên thứ 3 nhưng không ngăn cản được việc thay đổi nội dung của nó Một ví dụ cho trường hợp này là tấn công đồng hình (homomorphism attack): tiếp tục ví dụ như ở trên, một kẻ lừa

đảo gửi 1.000.000 đồng vào tài khoản của a, chặn gói tin (a,b) mà chi nhánh gửi về trung tâm rồi gửi gói tin (a, b3 ) thay thế để lập tức trở thành

triệu phú! Nhưng đó là vấn đề bảo mật của chi nhánh đối với trung tâm ngân hàng không hẳn liên quan đến tính toàn vẹn của thông tin gửi từ người gửi tới chi nhánh, bởi thông tin đã được băm và mã hóa để gửi đến đúng đích của nó tức chi nhánh, vấn đề còn lại vấn đề bảo mật của chi nhánh tới trung tâm của nó

- Tính không thể phủ nhận

Trong giao dịch, một bên có thể từ chối nhận một văn bản nào đó là do mình gửi Để ngăn ngừa khả năng này, bên nhận có thể yêu cầu bên gửi phải gửi kèm chữ ký số với văn bản Khi có tranh chấp, bên nhận sẽ

dùng chữ ký này như một chứng cứ để bên thứ ba giải quyết Tuy nhiên, khóa bí mật vẫn có thể bị lộ và tính không thể phủ nhận cũng không thể đạt được hoàn toàn.

2.3 Thuật toán Chữ ký số:

2.3.1 RSA:

- RSA là một thuật toán mật mã hóa khóa công khai Đây là thuật toán đầu tiên phù hợp với việc tạo ra chữ ký điện tử đồng thời với việc mã hóa RSA đang được sử dụng phổ biến trong thương mại điện tử và được cho là đảm bảo an toàn với điều kiện độ dài khóa đủ lớn

- Hoạt động của RSA:

+ Tạo khóa: Khóa công khai và Khóa bí mật

+ Mã hóa

+ Giải mã

sử dụng trong quá trình sinh chữ ký để xây dựng một dạng nén của

dữ liệu (condensed version of data) Dữ liệu này gọi là đại diện văn bản (message digest) Phần đại diện văn bản này là đầu vào của giải thuật sinh chữ ký Người xác nhận chữ ký cũng sử dụng hàm băm này để xây dựng phương pháp xác nhận chữ ký Đối với sơ đồ chữ

ký DSS hàm băm là security Hash Algorithm (SHA) được miêu tả trong FIPS 186, hàm băm này tạo ra một giá trị số nguyên 160 bít đặc trưng cho một thông điệp, điều này làm hạn chế một trong các giá trị tham số của DSS phảI là 160 bit Ngoài ra, chuẩn này yêu cầu việc sinh chữ ký phải sử dụng một khóa riêng cho mỗi người ký, ngược lại để xác nhận chữ ký, người xác nhận phải có một khóa công khai tương ứng với khóa riêng của người gửi

3 Chứng chỉ số:

Việc sử dụng mã hóa hay kí số chỉ giải quyết được vấn đề bảo mật thông điệp và xác thực Tuy nhiên không có thể đảm bảo rằng đối tác không thể bị giả mạo, trong nhiều trường hợp cần thiết phải “chứng minh” bằng phương tiện điện tử danh tính của ai đó.

Chứng chỉ số là một tệp tin điện tử được sử dụng để nhận diện một cá nhân,

một máy dịch vụ, một tổ chức, …nó gắn định danh của đối tượng đó với một khóa công khai, giống như bằng lái xe, hộ chiếu, chứng minh nhân dân

Cơ quan xác thực chứng chỉ (Certificate Authority-CA) là nơi có thể chứng nhận các thông tin của bạn là đúng Là một đơn vị có thẩm quyền xác nhận định danh và cấp các chứng chỉ số CA có thể là một đối tác thứ ba đứng độc lập hoặc có các tổ chức tự vận hành một hệ thống tự cấpcác chứng chỉ cho nội bộ của họ Các phương pháp để xác định định danh phụ thuộc vào các chính sách mà CA đặt ra.Chính sách lập ra phải đảm bảo việc cấp chứng chỉ số phải đúng đắn, ai được cấp và mục đích dùng vào việc gì Thông thường, trước khi cấp một chứng chỉ số, CA sẽ công bố các thủ tục cần thiết phải thực hiện cho các loại chứng chỉ số Trong chứng chỉ số chứa một khóa công khai được gắn với một tên duy nhất của một đối tượng (như tên của một nhân viên hoặc máy dịch vụ) Các chứng chỉ số giúp ngăn chặn việc sử dụng khóa công khai cho việc giả mạo Chỉ có khóa công khai được chứng thực bởi chứng chỉ số sẽ làm việc với khóa bí mật tương ứng, nó được sở hữu bởi đối tượng có định danh nằm trong chứng chỉ số

Ngoài khóa công khai, chứng chỉ số còn chứa thông tin về đối tượng như tên mà nó nhận diện.hạn dùng, tên của CA cấp chứng chỉ số, mã số… Điều

quan trọng nhất là chứng chỉ số phải có chữ ký số của CA đã cấp chứng chỉ

số đó Nó cho phép chứng chỉ số như đã được đóng dấu để người sử dụng

có thể kiểm tra

4 Giao thức SSL:

Giao thức SSL cung cấp sự bảo mật truyền thông vốn có 3 đặc tính cơ bản

- Các bên giao tiếp (nghĩa là Client và server) có thể xác thực nhau bằng cách sử dụng mật mã khóa chung

- Sự bí mật của lưu lượng dữ liệu được bảo vệ vì nối kết được mã hóa trong suốt sau khi một sự thiết lập quan hệ ban đầu và sự thương lượng khóa session đã xảy ra.

- Tính xác thực và tính toàn vẹn của lưu lượng dữ liệu cũng được bảo

vệ vì các thông báo được xác thực và được kiểm tra tính toán toàn vẹn một cách trong suốt bằng cách sử dụng MAC

5 Hàm HASH:

Hàm băm (Hash function) là một hàm toán chuyển đổi một thông điệp đầu vào có độ dài bất kỳ thành một dãi bit có độ dài cố định (tùy vào thuật toán băm) Dãy bit này được gọi là thông điệp rút gọn (message digest) hay giá trị băm (hash value), đại diện cho thông điệp ban đầu

 Thuật giải SHA-1:

- SHA-1 là một hàm băm mật mã được thiết kế bởi Cơ Quan An Ninh Quốc Gia và được công bố bởi NIST hay còn gọi là Cục Xử Lý Thông Tin Tiêu Chuẩn Liên Bang của Mỹ

- Đầu vào: thông điệp với độ dài tối đa 264 bit, đầu ra: giá trị băm (message digest) có độ dài 160 bit

- Giải thuật gồm 5 bước thao tác trên các khối 512 bit

+ Nhồi dữ liệu

+ Thêm độ dài

+ Khởi tạo bộ đệm MD (MD Buffer)

+ Xử lý các khối dữ liệu 512 bit

+ Xuất kết quả

6 SET:

- SET là viết tắt của các từ Secure Electronic Transaction, là một nghi thức tập hợp những kỹ thuật mã hoá và bảo mật nhằm mục đích đảm bảo an toàn cho các giao dịch mua bán trên mạng.

- Đây là một kỹ thuật bảo mật, mã hóa được phát triển bởi VISA, MASTER CARD và các tổ chức khác trên thế giới Mục địch của SET là bảo vệ hệ thống thẻ tín dụng, tạo cho khách hàng, doanh nghiệp, ngân hàng, các tổ chức tài chính sự tin cậy trong khi giao dịch mua bán trên Internet

- Những tiêu chuẩn và công nghệ SET được áp dụng và thể hiện nhất quán trong các doanh nghiệp, các ngân hàng/công ty cấp thẻ, tổ chức tín dụng và trung tâm xử lý thẻ tín dụng qua mạng

- Ngoài ra, SET thiết lập một phơng thức hoạt động phối hợp tương

hỗ (method of interoperability) nhằm bảo mật các dịch vụ qua mạng trên các phần cứng và phần mềm khác nhau

- Tóm lại SET được thiết lập để bảo mật những thông tin về cá nhân cũng như thông tin về tài chính trong quá trình mua bán và giao dịch trên mạng

7 Các tính năng bảo mật của thẻ:

i Dải băng từ:

Dải băng từ nằm ở mặt sau của thẻ MasterCard, là nơi lưu trữ thông tin tài khoản Dải băng từ không lưu trữ thông tin cá nhân như ngày tháng năm sinh hoặc họ tên của mẹ chủ thẻ

ii Những con số khắc nổi:

Số tài khoản khắc nổi trên mặt trước của thẻ MasterCard được khắc lấn vào hình ảnh nhận diện ba chiều (nếu hình ảnh ba chiều được thiết kế ở mặt trước của thẻ)

iii Dải băng chữ ký chống tẩy xóa:

Dải chữ ký trên mặt sau của thẻ MasterCard dùng để chống lại việc

sử dụng thẻ giả mạo Vì thế, hãy luôn luôn nhớ là bạn phải ký vào dải băng chữ ký trước khi sử dụng thẻ

iv Mã số nhận dạng cá nhân PIN:

Số PIN dùng để bảo vệ các giao dịch tại máy ATM và giao dịch bằng thẻ ghi nợ

v Mã số xác nhận thẻ hợp lệ lần 2.

Ba chữ số được khắc lõm vào dải chữ ký cho phép người bán hàng xác nhận chắc chắn chủ thẻ đang giữ chiếc thẻ trong tay khi giao dịch qua điện thoại hoặc giao dịch trên Internet

vi Hình ảnh ba chiều hologram:

Một hình ảnh không gian ba chiều với hình quả địa cầu lồng vào nhau phản chiếu ánh sáng và hình ảnh có vẻ như di chuyển khi xoay

Holomag – là sự kết hợp tính năng của dải băng từ với tính năng an toàn của kỹ thuật ảnh ba chiều hologram, giúp ngăn chặn việc làm thẻ giả.

8 Các chương trình tích hợp nhằm xác thực chủ thẻ:

i Card Validation Code (CVC2)

CVC2, mà là viết tắt của Card Validation Code 2, nằm trên mặt sau của tất cả các thẻ MasterCard Đây là một mã số ba chữ số in trên bảng điều khiển chữ ký thẻ MasterCard CVC2 là trước bởi bốn chữ

số cuối của số tài khoản của thẻ, in trong khung chữ ký Biện pháp này tăng cường bảo mật cho phép thương mại điện tử và MO / TO các nhà bán lẻ để xác minh rằng người mua có thẻ thực tế của mình hoặc sở hữu của mình trong một giao dịch thẻ không hiện diện Được gọi là bảo mật mã tương đương Visa Card Verification Value 2 (CVV2)

ii Address Verification Service (AVS)

- Tự động so sánh địa chỉ trên hóa đơn của khách hàng với địa chỉ đã đăng kí với ngân hầng phát hành

- Đặc biệt hữu ích cho giao dịch trên mạng

- Cho phép merchant ra quyết định đúng đắn

iii Internal Security Assessor (ISA)

Các merchant lớn, ngân hàng và bộ xử lý có thể sẽ cân nhắc sử dụng PCI SSC Internal Security Assessor (ISA) Program như một phương pháp để xây dựng nội bộ PCI Security Standards chuyên sâu và tăng cường phương pháp tiếp cận của họ cho việc bảo mật dữ liệu thanh toán, cũng như tăng hiệu quả cho phù hợp với tiêu chuẩn bảo mật dữ liệu Các ISA Program cung cấp cơ hội cho các chuyên gia kiểm

toán có đủ điều kiện an toàn nội bộ của các tiêu chuẩn tổ chức để nhận đào tạo PCI DSS và xác nhận rằng sẽ cải thiện sự hiểu biết của

tổ chức về PCI DSS, tạo điều kiện thuận lợi cho những tương tác của

tổ chức với QSAs, nâng cao chất lượng, độ tin cậy và tính nhất quán

về sự tự đánh giá của các tổ chức nội bộ PCI DSS, và hỗ trợ sự nhất quán cũng như sự phù hợp cho các đơn nộp vào bằng các phương pháp và kiểm soát PCI DSS

Chương IV: CÁC POLICY LIÊN QUAN

PCI DSS được đưa ra bởi PCI Security Standards Council (bao gồm các thành viên là các tổ chức thẻ quốc tế: Visa Inc, MasterCard Worldwide, American Express, Discover Financial Services, JCB International) Mục đích của PCI DSS bảo đảm an toàn cho dữ liệu thẻ khi được xử lý và lưu trữ tại các ngân hàng hoặc doanh nghiệp thanh toán PCI DSS giúp đưa ra những chuẩn mực về bảo mật thông tin thẻ và được áp dụng trên toàn cầu

PCI DSS là là một hệ thống các yêu cầu để đáp ứng các chuẩn mực về an ninh, chính sách, quy trình, cấu trúc mạng, hệ thống phần mềm và một số yếu tố khác Tập hợp các chuẩn mực này định hướng cho các ngân hàng hoặc doanh nghiệp về thanh toán đảm bảo an ninh cho dữ liệu của thẻ thanh toán

Phần dưới đây nêu ra những nguyên tắc, yêu cầu, cơ chế cho việc Bảo mật thông tin Thanh toán thẻ

Yêu cầu 1: Cài đặt và duy trì cấu hình tường lửa để bảo vệ dữ liệu chủ thẻ

Tường lửa là một dịch vụ kiểm soát lưu lượng truy cập máy tính cho phép giữa mạng nôi bộ và mạng bên ngoài (không đáng tin cậy), cũng như lưu lượng truy cập vào và ra khỏi khu vực nhạy cảm trong mạng nội bộ tin cậy của một thực thể Môi trường dữ liệu chủ thẻ là một ví dụ cụ thể của khu vực nhạy cảm hơn trong mạng lưới đáng tin cậy của thực thể

Một bức tường lửa kiểm tra tất cả lưu lượng truy cập mạng và ngăn chặn các đường truyền không đáp ứng các tiêu chí đảm bảo an toàn

Tất cả hệ thống phải được bảo vệ khỏi những truy cập trái phép từ các mạng không đáng tin như: vào hệ thống thông qua Internet như thương mại điện tử, nhân viên truy cập Internet thông qua trình duyệt máy tính để bàn, nhân viên truy cập e-mail, kết nối dành riêng cho B2B thông qua mạng không dây hoặc thông qua các nguồn khác Thông thường, những hệ thống quan trọng có thể bỏ qua những chi tiết không đáng kể hoặc những mạng không đáng tin và không bảo vệ Tường lửa

là một cơ chế bảo vệ quan trọng đối với bất kỳ một mạng máy tính nào

Thành phần hệ thống khác có thể cung cấp chức năng tường lửa sao cho đáp ứng

các yêu cầu tối thiểu cho các tường lửa theo quy định tại Yêu cầu 1 Nơi các

thành phần hệ thống khác được sử dụng trong môi trường dữ liệu chủ thẻ cung cấp

chức năng tường lửa, các thiết bị này phải bao gồm phạm vi và đánh giá của Yêu cầu 1.

Policy – Standards Procudures – Baselines - Guidelines R1.1 Thiết lập các tiêu chuẩn tường lửa

và cấu hình router bao gồm:

P1.1 Thu thập và kiểm tra các bức

tường lửa, các tiêu chuẩn cấu hình router và các tiêu chuẩn tài liệu khác theo quy định dưới đây để xác minh rằng các tiêu chuẩn được hoàn thành Các thao tác sau:

R1.1.1 Một quá trình chính thức phê

duyệt và kiểm tra tất cả các kết nối

mạng, thay đổi các bức tường lửa và bộ

định tuyến cấu hình

P1.1.1 Xác minh rằng có một qui

trình chính thức để thử nghiệm và phê duyệt tất cả các kết nối mạng, thay đổi tường lửa và bộ định tuyến cấu hình

R1.1.2 Sơ đồ mạng hiện tại với tất

cả các kết nối dữ liệu chủ thẻ, bao gồm

bất kỳ mạng không dây

P1.1.2.a Xác minh có một sơ đồ

mạng hiện tại (ví dụ, một luồng dữ liệu chủ thẻ qua mạng) tồn tại và nó chứa tất cả các kết nối đến dữ liệu chủ thẻ, bao gồm bất kỳ mạng không dây

P1.1.2.b Xác minh rằng sơ đồ

được lưu giữ hiện hành

R1.1.3 Yêu cầu đối với một bức

tường lửa tại mỗi kết nối Internet và

giữa các khu phi quân sự và vùng mạng

nội bộ

P1.1.3.a Xác minh các tiêu chuẩn

cấu hình tường lửa bao gồm các yêu cầu cho một tường lửa tại mỗi kết nối Internet và giữa các DMZ và nội bộ khu mạng

P1.1.3.b Xác minh rằng các sơ đồ

mạng hiện nay là phù hợp với tiêu chuẩn cấu hình tường lửa

R1.1.4 Mô tả nhóm, vai trò và trách

nhiệm quản lý của các thành phần mạng

P1.1.4 Xác minh các tiêu chuẩn

tường lửa và cấu hình router bao gồm

mô tả nhóm, vai trò và trách nhiệm quản lý của các thành phần mạng

R1.1.5 Tài liệu và minh chứng cho

việc kinh doanh tất cả các dịch vụ, giao

thức và cổng cho phép, bao gồm tài liệu

hướng dẫn của tính năng bảo mật được

thực hiện cho những giao thức được coi

là không an toàn Ví dụ về các dịch vụ

không an toàn, các giao thức hoặc cổng

bao gồm nhưng không giới hạn FTP,

Telnet, POP3, IMAP và SNMP

P1.1.5.a Xác minh các tiêu chuẩn

tường lửa và cấu hình router bao gồm danh sách tài liệu của các dịch vụ, giao thức và cổng cần thiết cho kinh doanh

Ví dụ như giao thức HTTP, SSL (Secure Sockets Layer), SSH (Secure Shell), VPN (Virtual Private Network)

P1.1.5.b Xác định dịch vụ không

an toàn, giao thức và cổng cho phép và xác minh dịch vụ đó là cần thiết và tính năng bảo mật tài liệu thực hiện bằng cách kiểm tra các tiêu chuẩn và các thiết lập tường lửa và cấu hình router cho mỗi dịch vụ

R1.1.6 Yêu cầu xem xét lại các quy

tắc đặt ra cho tường lửa và bộ định tuyến

ít nhất sáu tháng một lần

P1.1.6.a Xác minh rằng các tiêu

chuẩn cho tường lửa và cấu hình router được xem xét lại 6 tháng một lần

P1.1.6.b Kiểm tra tài liệu và xác

minh rằng các bộ quy tắc được xem xét

ít nhất mỗi 6 tháng

R1.2 Xây dựng cấu hình tường lửa và bộ

định tuyến hạn chế các kết nối giữa các

mạng không đáng tin cậy và các thành

phần hệ thống trong môi trường dữ liệu

chủ thẻ Lưu ý: mạng không đáng tin cậy

là bất cứ mạng nào bên ngoài thuộc về

thực thể được xem xét và không nằm

trong khả năng kiểm soát của đơn vị

hoặc quản lý

P1.2 Kiểm tra cấu hình tường lửa và

bộ định tuyến để xác minh rằng các kết nối bị hạn chế giữa các mạng không đáng tin cậy và các thành phần hệ thống trong môi trường dữ liệu chủ thẻ như sau:

R1.2.1 Hạn chế lưu lượng người

truy cập trong và ngoài nước là cần thiết

cho môi trường dữ liệu chủ thẻ

P1.2.1.a Kiểm tra lưu lượng ngườ

truy cập trong và ngoài nước được giới hạn là cần thiết cho môi trường dữ liệu chủ thẻ và các hạn chế được ghi nhận

P1.2.1.b Xác minh tất cả lưu

lượng truy cập trong và ngoài nước khác bị từ chối Ví dụ: bằng cách sử dụng từ chối rõ ràng hay từ chối ẩn sau khi cho phép tuyên bố

R1.2.2 An toàn và đồng bộ hóa các

tập tin cấu hình router

P1.2.2 Xác minh rằng các tập tin cấu hình bộ định tuyến được

an toàn và đồng

bộ

G1.2.2 Chạy

file cấu hình (sử dụng cho hoạt động bình thường của bộ định tuyến)

và khởi động file cấu hình (sử dụng khi máy đang khởi động lại), có cùng cấu hình an toàn

R1.2.3 Cài đặt chu vi tường lửa giữa

bất kỳ mạng không dây và môi trường

dữ liệu chủ thẻ, và cấu hình các bức

tường lửa để từ chối hoặc kiểm soát (nếu

giao lưu lượng người truy cập đó là cần

thiết cho mục đích kinh doanh) lưu

lượng từ môi trường không dây vào môi

trường dữ liệu chủ thẻ

P1.2.3 Xác minh rằng có chu vi

tường lửa được cài đặt giữa các mạng không dây và hệ thống dữ liệu chủ thẻ, những bức tường lửa từ chối hoặc kiểm soát (nếu giao thông là cần thiết cho các mục đích kinh doanh) lưu lượng từ môi trường không dây vào môi trường

dữ liệu chủ thẻ

R1.3 Cấm truy cập công cộng trực tiếp

giữa Internet và bất cứ thành phần hệ

thống trong môi trường dữ liệu chủ thẻ

P1.3 Kiểm tra tường lửa và bộ định

tuyến cấu hình – bao gồm nhưng không giới hạn các bộ định tuyến tại Internet, các định tuyến và tường lửa DMZ, DMZ chủ thẻ, các bộ định tuyến vành đai và các mạng chủ thẻ nội phân khúc để xác định rằng không có truy cập trực tiếp giữa Internet và các thành phần hệ thống trong phân khúc mạng chủ thẻ nội bộ như chi tiết dưới đây:

R1.3.1 Thực hiện một DMZ để hạn

chế lưu lượng download và chỉ các

thành phần hệ thống được ủy quyền

cung cấp dịch vụ truy cập công khai,

giao thức, cổng

P1.3.1 Xác minh rằng một DMZ

được thực hiện để hạn chế lưu lượng download và chỉ các thành phần hệ thống được ủy quyền có thể cung cấp dịch vụ truy cập công khai, giao thức, cổng

R1.3.2 Giới hạn trong nước lưu

lượng người truy cập Internet đến địa chỉ

IP trong DMZ

P1.3.2 Xác minh rằng lưu lượng

người truy cập Internet trong nước được giới hạn bởi địa chỉ IP trong DMZ

R1.3.3 Không cho phép các địa chỉ

nội bộ để đi từ Internet vào DMZ

P1.3.3 Kiểm tra các kết nối trực

tiếp gửi đến hoặc đi không được cho phép trong lưu lượng truy cập giữa Internet và môi trường dữ liệu chủ thẻ

R1.3.4 Không cho phép các địa chỉ

nội bộ đi từ Internet vào DMZ

P1.3.4 Xác minh địa chỉ nội bộ

không thể vượt qua từ Internet vào DMZ

R1.3.5 Không cho phép upload trái

phép môi trường dữ liệu chủ thẻ ra

Internet

P1.3.5 Kiểm tra lưu lượng upload

từ môi trường dữ liệu chủ thẻ đến Internet một cách rõ ràng

R1.3.6 Thực hiện kiểm soát trạng

thái – được biết đến như bộ lọc packet

(chỉ các kết nối được thiết lập mới được

truy cập vào hệ thống mạng)

P1.3.6 Xác minh rằng các bức

tường lửa thực hiện kiểm soát trạng thái (bộ lọc packet) Chỉ có các kết nối được thiết lập mới mới được phép truy cập và chỉ khi chúng được kết hợp với phiên làm việc được thiết lập trước đó

R1.3.7 Nơi hệ thống lưu trữ dữ liệu

chủ thẻ (như một cơ sở dữ liệu) trong

vùng mạng nội bộ, tách biệt với DMZ và

các mạng không đáng tin khác

P1.3.7 Xác minh các thành phần

hệ thống lưu trữ dữ liệu chủ thẻ đang ở trên vùng mạng nội bộ và tách biệt với DMZ và các mạng không đáng tin khác

R1.3.8 Không tiết lộ địa chỉ IP riêng

và thông tin định tuyến cho các bên

không liên quan (không được phép)

Lưu ý: Phương pháp giải quyết địa chỉ

IP không rõ ràng bao gồm và không giới

hạn:

Network Address Translation (NAT)

Đặt máy chủ chứa dữ liệu chủ thẻ đằng

sau máy chủ proxy/ tường lửa hoặc lưu

trữ nội dung

Hủy hoặc lọc định tuyến quảng cáo cho

các mạng cá nhân có sử dụng địa chỉ đã

đăng kí

P1.3.8.a Xác minh các phương

pháp đưa ra để ngăn chặn việc tiết lộ địa chỉ IP riêng và thông tin định tuyến

từ các mạng nội bộ đến Internet

P1.3.8.b Xác minh bất kỳ sự tiết lộ

địa chỉ IP và thông tin định tuyến cho các đối tượng bên ngoài được ủy quyền

R1.4 Cài đặt phầm mềm firewall cá

nhân trên máy tính, điện thoại di động

hoặc nhân viên kết nối trực tiếp với

Internet ( ví dụ máy tính xách tay được

sử dụng bởi nhân viên) được truy cập

vào mạng của tổ chức

P1.4.a Xác minh điện thoại di động/

máy tính của nhân viên được kết nối trực tiếp với Internet được sử dụng để truy cập vào mạng của tổ chức có phần mềm firewall cá nhân được cài đặt và hoạt động

P1.4.b Xác minh các phần mềm

firewall cá nhân được cấu hình bởi các tiêu chuẩn cụ thể và không bị thay đổi bởi người sử dụng

Yêu cầu 2: Không sử dụng mật khẩu hoặc các tham số mặc định được nhà cung cấp cấp cho hệ thống.

Các cá nhân có ý xấu (ở bên ngoài cũng như nội bộ tổ chức) thường sử dụng password vendor mặc định và các thiết lập vendor mặc định để làm tổn hại đến hệ thống Những password và thiết lập này nổi tiếng trong cộng đồng hacker và dễ dàng xác định qua thông tin công khai

R2.1 Luôn luôn thay

P2.1 Chọn ngẫu

nhiên các thành phần trong hệ thống và cố gắng đăng nhập vào (với sự giúp đỡ của

hệ thống quản trị) cho các thiết bị sử dụng tài khoản và password mặc định của nhà cung cấp để xác minh rằng các tài khoản và mật khẩu mặc định đã được thay đổi

G2.1 Sử dụng

hướng dẫn sử dụng của nhà cung cấp và các nguồn trên Internet để tìm tài khoản/ mật khẩu

R2.1.1 Đối với môi trường không

dây kết nối với môi trường dữ liệu chủ

thẻ hoặc truyền dữ liệu chủ thẻ, thay đổi

giá trị vendor mặc định, bao gồm mã hóa

khóa công khai, passwords và chuỗi

cộng đồng SNMP

P2.1.1 Kiểm tra những điều sau

đây liên quan đến các thiết lập vendor của nhà cung cấp cho môi trường mạng không dây

P2.1.1.a Kiểm tra các khóa mã hóa

mặc định được thay đổi lúc cài đặt và được thay đổi bởi bất kỳ ai có kiến thức về khóa đã rời khỏi công ty hoặc thay đổi vị trí

P2.1.1.b Kiểm tra chuỗi cộng

đồng SNMP mặc định hoặc các thiết bị không dây bị thay đổi

P2.1.1.e Xác minh bảo mật của

các vendor mặc định đã thay đổi nếu

có

R2.2 Xây dựng tiêu chuẩn cấu hình cho

tất cả các thành phần hệ thống Đảm bảo

các tiêu chuẩn giải quyết tất cả các lỗ

hỏng phải được biết đến và phù hợp với

hệ thống tiêu chuẩn của ngành công

nghiệp

Nguồn tiêu chuẩn hệ thống bao gồm:

- Center for Internet Security (CIS)

- Tổ chức tiêu chuẩn quốc tế (ISO)

- Hệ thống kế toán quản trị an ninh

mạng (SANS)

- Viện tiêu chuẩn công nghệ (NIST)

P2.2.a Kiểm tra tiêu chuẩn cấu hình hệ

thống của tổ chức cho tất cả các thành phần hệ thống và phù hợp với các tiêu chuẩn của ngành công nghiệp

P2.2.b Xác minh các tiêu chuẩn cấu

hình hệ thống được cập nhật như các vấn đề xác định một lỗ hổng mới, theo quy định tại yêu cầu 6.2

P2.2.c Xác minh các tiêu chuẩn cấu

hình hệ thống được áp dụng khi hệ thống mới được cấu hình

P2.2.d Xác minh các tiêu chuẩn cấu

hình hệ thống bao gồm mỗi mục dưới đây (2.2.1 – 2.2.4)

R2.2.1 Chỉ thực hiện một chức năng

cơ bản trên mỗi máy chủ để ngăn chặn

các chức năng đòi hỏi phải có mức độ

bảo mật khác nhau cùng tồn tại trên một

máy chủ (ví du: máy chủ web, máy chủ

cơ sở dữ liệu và DNS cần được thực

hiện trên các máy chủ riêng biệt)

Lưu ý: trường hợp công nghệ máy

ảo đang được sử dụng, chỉ thực hiện một

chức năng cơ bản cho mỗi thành phần hệ

thống ảo

P2.2.1.a Đối với mỗi một mẫu của

thành phần hệ thống, xác minh rằng chỉ

có một chức năng cơ bản được thực

hiện cho mỗi máy chủ

P2.2.1.b Nếu công nghệ máy ảo

được sử dụng, xác minh rằng chỉ có một chức năng cơ bản được thực hiện cho mỗi thành phần hệ thống hoặc thiết

bị ảo

R2.2.2 Chỉ cho phép các dịch vụ cần

thiết và an toàn, các giao thức,…theo

yêu cầu chức năng của hệ thống

Thực hiện tính năng bảo mật cho bất

kỳ yêu cầu dịch vụ, giao thức không an

toàn Ví dụ: Sử dụng công nghệ bảo mật

như : SSH, S-FTP, SSL, hoặc IPSec

P2.2.2.b Xác định kích hoạt dịch

vụ không an toàn, daemon và các giao thức Xác minh tính hợp lý và tính năng bảo mật được ghi nhận và thực hiện

R2.2.3 Cấu hình các tham số an ninh

của hệ thống để ngăn chặn việc lạm

dụng

P2.2.3.a Phỏng vấn người quản trị

hệ thống hoặc các nhà quản lý an ninh

để xác minh họ có kiến thức về thiết lập các tham số an ninh chung cho các thành phần hệ thống

P2.2.3.b Xác minh các tham số an

ninh chung được thiết lập dựa trên tiêu chuẩn cấu hình hệ thống

P2.2.3.c Đối với mỗi thành phần

hệ thống, kiểm tra các tham số an ninh chung đã được thiết lập phù hợp hay chưa

R2.2.4 Hủy tất cả các chức năng

không cần thiết như kịch bản, trình điều

khiển, tính năng, hệ thống con, tập tin hệ

thống và các máy chủ web khác không

cần thiết

P2.2.4.a Đối với mỗi thành phần

hệ thống, kiểm tra tất cả các chức năng không cần thiết (ví dụ, kịch bản, trình điều khiển, tính năng, hệ thống con, tập tin hệ thống,…) và hủy chúng đi

P2.2.4.b Xác minh các chức năng

này được kích hoạt, ghi nhận và hỗ trợ cấu hình an toàn

2.2.4.c Xác minh rằng chỉ có chức

năng ghi nhận được hiện hành trên các thành phần hệ thống mẫu

Yêu cầu 3: Bảo vệ dữ liệu thẻ thanh toán khi lưu trên hệ thống.

Các phương pháp bảo vệ như mã hóa, cắt nhỏ, che giấu, hàm băm,… là những thành phần quan trọng trong việc bảo vệ dữ liệu thẻ thanh toán Nếu một kẻ xâm nhập làm hỏng an ninh kiểm soát và lợi ích truy cập khác vào dữ liệu được mã hóa, mà không có khóa mật mã thích hợp, các dữ liệu không thể đọc được và không sử dụng được cho người đó Phương pháp hiệu quả khác của việc bảo vệ lưu trữ dữ liệu được xem là cơ hội tiềm năng để giảm thiểu rủi ro Ví dụ, các phương pháp để giảm thiểu rủi ro bao gồm không lưu trữ dữ liệu chủ thẻ, trừ khi thật cần thiết, cắt nhỏ dữ liệu thẻ thanh toán nếu PAN đầy đủ và không cần thiết,

và không gửi PANs không được bảo vệ bằng cách sử dụng công nghệ tin nhắn của người dùng cuối, chẳng hạn như e-mail và tin nhắn nhanh

R3.1 Giữ lưu trữ dữ liệu thẻ thanh toán

ở mức tối thiểu bằng cách thực hiện lưu

giữ dữ liệu và xử lý các chính sách , thủ

tục và quy trình như sau

P3.1 Thu thập và kiểm tra các chính

sách, thủ tục và quy trình cho lưu giữ và

xử lý dữ liệu được thực hiện như sau:

R3.1.1 Thực hiện một chính sách

xử lý và lưu giữ dữ liệu bao gồm :

- Hạn chế lượng dữ liệu lưu trữ và thời

gian lưu cho rằng đó là cần thiết cho

yêu cầu pháp lý, quy định và kinh

dữ liệu, bao gồm các yêu cầu cụ thể

để duy trì dữ liệu thẻ thanh toán

G3.1.1.a Dữ

liệu chủ thẻ cần phải được tổ chức trong khoảng thời gian X vì lý do kinh doanh Y

bằng tay hàng tháng để xác định và lưu

trữ dữ liệu thẻ thanh toán an toàn khi

vượt quá yêu cầu lưu giữ xác định

P3.1.1.b Xác minh các chính sách

và thủ tục bao gồm các quy định để xử

lý an toàn dữ liệu khi không còn cần thiết vì lý do pháp lý , kinh doanh, bao gồm cả xử lý dữ liệu thẻ thanh toán

Một chương trình (tự động hoặc bằng tay) để loại bỏ , ít nhất là hàng tháng, lưu trữ dữ liệu thẻ thanh toán vượt quá yêu cầu quy định trong chính sách duy trì dữ liệu

Yêu cầu xem xét, thực hiện ít nhất hàng quý , để xác minh rằng lưu trữ dữ liệu thẻ không vượt quá yêu cầu quy định trong chính sách duy trì dữ liệu

P3.1.1.e Đối với các thành phần

của hệ thống lưu trữ dữ liệu chủ thẻ, xác minh rằng các dữ liệu được lưu trữ không vượt quá các yêu cầu quy định trong chính sách duy trì dữ liệu

R3.2 Không xác thực lưu trữ dữ liệu

nhạy cảm sau khi ủy quyền (ngay cả khi

mã hóa)

Xác thực dữ liệu nhạy cảm bao gồm các

dữ liệu được trích dẫn trong các yêu cầu

Lưu ý : Cho phép đối với tổ chức phát

hành và các công ty có hỗ trợ dịch vụ

phát hành để xác thực lưu trữ dữ liệu

nhạy cảm nếu có chứng minh kinh

doanh và dữ liệu được lưu trữ an toàn

P3.2.b Đối với tất cả các đơn vị khác,

nếu xác thực dữ liệu nhạy cảm nhận được và xóa dữ liệu đó, có các quy trình được xem xét để xóa an toàn các dữ liệu

và xác minh rằng dữ liệu không thể phục hồi

P3.2.c Đối với mỗi mục xác thực dữ

liệu nhạy cảm bên dưới, thực hiện các bước sau:

R3.2.1 Không lưu trữ đầy đủ nội

dung của bất kỳ tính năng nào ( dải

băng từ nằm ở mặt sau của thẻ, dữ liệu

tương đương có trên một chip hoặc ở

nơi khác) Dữ liệu này được gọi cách

khác là tính năng đầy đủ, tính năng 1,

tính năng 2 và các dữ liệu từ dải băng

từ

Lưu ý: Trong quá trình hoạt động kinh

doanh , các yếu tố dữ liệu từ các dải từ

sau đây có thể cần phải được giữ lại :

Tên của chủ thẻ

Số tài khoản chính (PAN)

Ngày hết hạn

Mã dịch vụ

Để giảm thiểu rủi ro, chỉ lưu trữ các yếu

tố dữ liệu khi cần thiết cho doanh

nghiệp

P3.2.1 Đối với các thành phần hệ

thống, kiểm tra các nguồn dữ liệu sau

và xác minh các nội dung đầy đủ của các dải từ trên mặt sau của thẻ hoặc dữ liệu tương đương trên một chip không được lưu trữ dưới bất kỳ hoàn cảnh :

Dữ liệu giao dịch bên ngoàiTất cả các bản ghi (ví dụ, giao dịch, lịch

sử , gỡ lỗi, lỗi)Lịch sử

Trace fileMột số lược đồ cơ sở dữ liệuNội dung cơ sở dữ liệu

R3.2.2 Không lưu trữ mã xác nhận

hoặc giá trị thẻ (ba chữ số hoặc số có

bốn chữ số in trên mặt trước hoặc mặt

sau của thẻ thanh toán) được sử dụng để

xác minh các giao dịch thẻ không có

chủ thẻ (card-not-present)

P3.2.2 Đối với các thành phần hệ

thống, kiểm tra các nguồn dữ liệu và xác minh ba chữ số hoặc xác minh mã thẻ bốn chữ số hoặc giá trị in trên mặt trước của thẻ hoặc bảng chữ ký (CVV2, CVC2, CID, dữ liệu CAV2) không được

lưu trữ trong bất kỳ hoàn cảnh :

Dữ liệu giao dịch bên ngoàiTất cả các bản ghi (ví dụ, giao dịch, lịch

sử , gỡ lỗi, lỗi)Lịch sử

Trace fileMột số lược đồ cơ sở dữ liệuNội dung cơ sở dữ liệu

Dữ liệu giao dịch bên ngoàiTất cả các bản ghi (ví dụ, giao dịch, lịch

sử , gỡ lỗi, lỗi)Lịch sử

Trace fileMột số lược đồ cơ sở dữ liệuNội dung cơ sở dữ liệu

R3.3 Mask PAN khi hiển thị (sáu chữ

số đầu tiên và bốn chữ số cuối cùng là

số lượng tối đa các chữ số được hiển

thị)

Ghi chú:

Yêu cầu này không áp dụng cho nhân

viên và các bên khác có nhu cầu kinh

doanh hợp pháp để xem PAN đầy đủ

Yêu cầu này không thay thế các yêu cầu

kiểm soát nghiêm ngặt cho dữ liệu chủ

thẻ, ví dụ thu tiền cho các POS

P3.3 Thu thập và kiểm tra các chính

sách bằng văn bản và kiểm soát PAN (ví

dụ, trên màn hình, trên giấy biên lai) để xác minh rằng số tài khoản chính (PANs) được giấu khi hiển thị dữ liệu thẻ thanh toán

R3.4 PAN đưa ra không thể đọc bất cứ

nơi nào nó được lưu trữ (bao gồm cả

trên phương tiện truyền thông kỹ thuật

số, phương tiện sao lưu, trong nhật ký)

bằng cách sử dụng các phương pháp

sau đây:

Một hàm băm dựa trên mã hóa mạnh

mẽ (băm phải có toàn bộ PAN) (*)

Rút gọn (băm không thể được sử dụng

để thay thế các đoạn cắt ngắn của PAN)

Thẻ Index và bộ đệm (bộ đệm phải

được lưu trữ an toàn)

Mật mã mạnh mẽ với các quá trình

quản lý và thủ tục liên quan chính

P3.4.a Kiểm tra tài liệu hướng dẫn về

hệ thống được sử dụng để bảo vệ các PAN, bao gồm cả nhà cung cấp, loại hệ thống/quá trình, và các thuật toán mã hóa (nếu có) Xác minh các PAN đưa ra không đọc được bằng cách sử dụng bất

kỳ phương pháp sau đây :Một hàm băm dựa trên mã hóa mạnh

mẽ (băm phải có toàn bộ PAN)Rút gọn (băm không thể được sử dụng

để thay thế các đoạn cắt ngắn của PAN)Thẻ Index và bộ đệm (bộ đệm phải được lưu trữ an toàn)

Mật mã mạnh mẽ với các quá trình quản

lý và thủ tục liên quan chính

P3.4.b Kiểm tra một số bảng hoặc các

tập tin từ một mẫu của kho dữ liệu để xác minh PAN đưa ra không đọc (nghĩa

là, không được lưu trữ bằng văn bản thuần)

P3.4.c Kiểm tra một mẫu của phương

tiện di động để xác nhận rằng PAN đưa

ra là không thể đọc

P3.4.d Kiểm tra một mẫu của bản ghi

kiểm toán để xác nhận rằng PAN đưa ra

là không thể đọc hoặc gỡ bỏ từ các bản ghi

R3.4.1 Nếu mã hóa đĩa được sử

dụng (không phải mã hóa tập tin hay

các cột cơ sở dữ liệu), truy cập logic

phải được quản lý một cách độc lập bởi

các cơ chế kiểm soát truy cập hệ điều

P3.4.1.a Nếu mã hóa đĩa được sử

dụng , xác minh các truy cập logic để hệ thống mã hóa tập tin được thực hiện thông qua một cơ chế tách biệt với nguồn cơ chế hệ điều hành (ví dụ ,

hành gốc (ví dụ , bằng cách không sử

dụng cơ sở dữ liệu tài khoản người

dùng địa phương) Khóa giải mã không

được gắn với tài khoản người dùng

không sử dụng cơ sở dữ liệu tài khoản người dùng địa phương)

P3.4.1.b Xác minh các khóa mật

mã được lưu trữ an toàn (ví dụ , được lưu trữ trên thiết bị di động được bảo vệ đầy đủ với các kiểm soát truy cập mạnh mẽ)

P3.4.1.c Xác

minh dữ liệu thẻ thanh toán trên thiết bị di động được mã hóa bất

cứ nơi nào được lưu trữ

G3.4.1.c Nếu mã

hóa đĩa không được sử dụng để

mã hóa cho các phương tiện truyền thông di động, các

dữ liệu được lưu trữ trên phương tiện truyền thông này sẽ cần phải đưa ra các không đọc được thông qua một số phương pháp khác

R3.5 Bảo vệ khóa bất kỳ được sử dụng

để đảm bảo chống lại việc tiết lộ và lạm

dụng dữ liệu chủ thẻ (*)

P3.5 Kiểm tra các quy trình để bảo vệ

các khóa được sử dụng để mã hóa chống lại tiết lộ và lạm dụng dữ liệu chủ thẻ bằng cách thực hiện như sau:

R3.5.1 Hạn chế quyền truy cập vào

các khóa mật mã để giảm thiểu ít nhất

số người chăm sóc cần thiết

P3.5.1 Kiểm tra danh sách người

dùng truy cập để xác minh số lượng người truy cập vào các khóa được giới hạn ít nhất có thể

R3.5.2 Lưu trữ các khóa mã hóa an

toàn tại các địa điểm và hình thức ít

nhất có thể

P3.5.2.a Kiểm tra các tập tin cấu

hình hệ thống để xác minh rằng khóa được lưu trong định dạng mã hóa và khóa mã hóa được lưu giữ riêng biệt với

khóa dữ liệu mã hóa

P3.5.2.b Xác định địa điểm lưu trữ

quan trọng để xác minh rằng khóa được lưu trong các địa điểm và hình thức ít nhất có thể

R3.6 Tài liệu đầy đủ và thực hiện tất cả

các quy trình quản lý khóa, thủ tục khóa

mật mã được sử dụng để mã hóa dữ liệu

thẻ thanh toán, bao gồm:

P3.6.a Xác minh sự tồn tại của các thủ

tục quản lý cho các khóa được sử dụng

để mã hóa dữ liệu thẻ thanh toán

P3.6.b Đối với các nhà cung cấp dịch

vụ: Nếu các cổ đông cung cấp dịch vụ khóa với khách hàng của họ để truyền hoặc lưu trữ dữ liệu chủ thẻ, xác minh các nhà cung cấp dịch vụ cung cấp tài liệu hướng dẫn cho khách hàng bao gồm các hướng dẫn về cách để truyền tải một cách an toàn, lưu trữ và cập nhật các khóa của khách hàng phù hợp với

yêu cầu 3.6.1, 3.6.8 dưới đây.

P3.6.c Kiểm tra các thủ tục quản lý

được thực hiện như sau :

R3.6.1 Sự phát sinh của các khóa

mã hóa mạnh

P3.6.1 Xác minh các thủ tục quản

lý quan trọng được thực hiện để yêu cầu phát sinh các khóa mạnh

R3.6.2 Phân phối an toàn mật mã P3.6.2 Xác minh các thủ tục quản

lý quan trọng được thực hiện để yêu cầu phân phối khóa một cách an toàn

R3.6.3 Lưu trữ an toàn mật mã P3.6.3 Xác minh các thủ tục quản

lý quan trọng được thực hiện để yêu cầu lưu trữ khóa một cách an toàn

R3.6.4 Thay đổi mã hóa quan trọng

cho các khóa đã đạt đến kết thúc của

cryptoperiod (ví dụ: sau một thời gian

xác định hoặc sau khi một số nhất định

của thuật toán mã hóa văn bản đã được

sản xuất bởi một khóa) , theo quy định

do liên quan đến nhà cung cấp ứng

dụng hoặc chủ sở hữu, và dựa trên

ngành công nghiệp thực hành và hướng

R3.6.5 Ngừng hoạt động hoặc thay

thế (ví dụ lưu trữ, hủy hoặc thu hồi) các

khóa cần thiết khi sự toàn vẹn của đã bị

suy yếu (ví dụ một nhân viên văn phòng

có kiến thức văn bản rõ ràng về khóa)

hoặc khóa bị nghi ngờ đang bị tổn hại

Lưu ý: Nếu đã về ngừng hoạt động

hoặc thay thế các khóa mã hóa cần phải

được giữ lại, các khóa này phải được

P3.6.5.c Nếu khóa mã hóa đã

ngừng hoạt động hoặc thay thế được giữ lại thì phải xác minh các khóa này không được sử dụng cho các hoạt động

mã hóa

R3.6.6 Nếu các văn bản rõ ràng

hàng năm về các hoạt động quản lý

khóa mã hóa được sử dụng, các hoạt

động này phải được sử dụng quản lý

kiến thức phân chia và kiểm soát kép

(ví dụ yêu cầu hai hoặc ba người, mỗi

người chỉ biết thành phần quan trọng

của riêng mình, để tái tạo lại toàn bộ

khóa)

3.6.6 Kiểm tra văn bản rõ ràng thủ tục

quản lý yêu cầu các kiến thức phân chia

và kiểm soát kép của các khóa

R3.6.7 Phòng ngừa thay đổi trái

phép của các khóa mã hóa

P3.6.7 Xác minh rằng các thủ tục

quản lý quan trọng được thực hiện để đòi hỏi công tác phòng chống thay đổi trái phép của các khóa

R3.6.8 Yêu cầu người quản khóa

Yêu cầu 4: Mã hóa thông tin thẻ trong đường truyền trong quá trình giao dịch.

Thông tin nhạy cảm phải được mã hóa trong quá trình giao dịch qua mạng vì thông tin dễ dàng truy cập bởi các cá nhân gây hại Mạng không dây gây hại, các

lỗ hỏng trong mã hóa và giao thức xác thực là mục tiêu của các cá nhân gây hại – những người khai thác lỗ hỏng này để đạt được quyền truy cập đến môi trường dữ liệu thẻ thanh toán

R4.1 Sử dụng mật mã và giao thức bảo

mật mạnh mẽ (SSL/ TLS, IPSEC, SSH,

…) để bảo vệ dữ liệu nhạy cảm của chủ

thẻ trong quá trình truyền, giao dịch

P4.1 Kiểm tra việc sử dụng các giao

thức bảo mật bất cứ nơi nào dữ liệu chủ thẻ được truyền đi hoặc được nhận trên giao dịch mở, mạng công cộng

Xác minh các mật mã mạnh được sử dụng trong quá trình truyền tải

P4.1.a Chọn ngẫu nhiên một giao dịch

khi họ nhận được và thực hiện giao dịch

để xác minh dữ liệu chủ thẻ được mã hóa trong quá trình truyền tải

P4.1.b Xác minh chỉ các khóa hoặc các

giấy chứng nhận tin cậy được chấp nhận

P4.1.c Xác minh các giao thức được

thưc hiện để sử dụng cấu hình an toàn