PCI P2PE モジュラーアプローチによるクレジットカードセキュリティ対策
2018/6/22
ネットムーブ株式会社
高田 理己
takada@netmove.co.jp[Confidential]

Copyright © NetMove Corporation. All right reserved.

What‘s provided by NetMove?
決済サービス

セキュリティサービス
https://www.saat.jp✓ IC（EMV）化対応済み✓ PCI P2PE 認定取得済み（国内初!!)[Confidential]

Copyright © NetMove Corporation. All right reserved.

2本日のお話し✓ PCI P2PE 概要✓ PCI P2PE コンポーネントとソリューション管理✓ PCI P2PE Key Management Technique[Confidential]

Copyright © NetMove Corporation. All right reserved.

3

PCI P2PE について、まずは概要から..

[Confidential]

Copyright © NetMove Corporation. All right reserved.

4

PCI P2PE（Point To Point Encryption） とは？
✓ 対面加盟店向けソリューション

✓ Point To Point でカード情報を暗号化
対面加盟店（カードリーダ）[Confidential]

Copyright © NetMove Corporation. All right reserved.

暗号化

決済センタ

5

Why do we need P2PE?
暗号化方式

アルゴリズム

対称鍵
非対称鍵

3DES,AES,..etc
RSA, ECC, ..etc

鍵サイズ

暗号化モード128bit, 256bit,..
1024bit, 2048bit

ECB, CBC, ..etc

定則
リプレイ攻撃対策、鍵自体の暗号化,..etc[Confidential]

Copyright © NetMove Corporation. All right reserved.

6• To Be Created[Confidential]

Copyright © NetMove Corporation. All right reserved.

7

実行計画2018年版からの引用[Confidential]

Copyright © NetMove Corporation. All right reserved.

8

実行計画2018年版からの引用[Confidential]

Copyright © NetMove Corporation. All right reserved.

9

PCI P2PE Overview（PCI SSC サイト引用）• Only Council-listed P2PE solutions are recognized as meeting
the requirements necessary for merchants to reduce thescope of their cardholder data environment through useof a P2PE solution. (PCI P2PE FAQ)PCI DSS Quick Reference Guide Understanding PCI DSS v3.0
[Confidential]

Copyright © NetMove Corporation. All right reserved.

10

SAQ Validation Type P2PE

Of Questions:22

Of Questions:331

Of Questions:33
PCIP2PE Solution Provider Service
利用時は自己問診33項目で加盟店はPCIDSS準拠相当とみなされる[Confidential]

Copyright © NetMove Corporation. All right reserved.

11

Self-Assessment Questionnaire P2PE（参考）[Confidential]

Copyright © NetMove Corporation. All right reserved.

12続いて、P2PE において構成されるコンポネントとソリューション全体の管理について[Confidential]

Copyright © NetMove Corporation. All right reserved.

13

PCI P2PE Components
HSMで鍵管理
鍵管理アプリは開発済み

加盟店決済センタ間はセンシティブデータを暗号化

PTS 認定済み端末(POI)を利用

弊社ポケレジで対応済み

Example P2PE Implementation at a Glance[Confidential]

Copyright © NetMove Corporation. All right reserved.

14

PCI P2PE Domains (High Level Summary of Six P2PE Domains)
暗号化端末
アプリ管理

ロジスティクス

暗号化アプリセキュリティ

P2PEソリューション
管理

加盟店管理
ソリューション

N/A(Not Applicable)

復号化環境

鍵管理
運用全般

[Confidential]

Copyright © NetMove Corporation. All right reserved.

15

PCI P2PE Component Provider
Added new diagram to explain relationships between P2PE solution
providers, P2PE component providers, and other third
parties.(Summary of Change P2PE 1.1 to 2.0）
https://www.pcisecuritystandards.org/assessors_and_solutions/point_to_point_encryption_components[Confidential]

Copyright © NetMove Corporation. All right reserved.

16

PCI P2PE ソリューションプロバイダの責務✓ P2PE 対応可能なコンポーネントの選定✓ 責任、役割分担を明確に規定✓ 運用体制の確立[Confidential]

Copyright © NetMove Corporation. All right reserved.

17

PCI P2PE 監査提出証跡例[Confidential]

Approval

3 rd Party
Agreement

ManualLogs

Copyright © NetMove Corporation. All right reserved.

18鍵生成プロセス• To Be Created[Confidential]

Copyright © NetMove Corporation. All right reserved.

19

端末デプロイプロセス• To Be Created[Confidential]

Copyright © NetMove Corporation. All right reserved.

20

PCI P2PE
Key Management Technique[Confidential]

Copyright © NetMove Corporation. All right reserved.

21

What’s “DUKPT”? (P2PE Core Key Management)•Derived Unique Key Per Transaction–•

トランザクション毎に異なるユニークな暗号鍵を使うことで暗号鍵の危殆化を防止する仕組み

BDK（Base Derivation Key）を用いて端末毎に異なる鍵を生成––

BDK が危殆化した際には決済システムの鍵が判別できてしまう
P2PE では BDK は HSM に格納して厳重に管理することが義務付けられている

KSN
決済端末

HSM
BDK

最初に Initial Key を BDK で端末鍵を生成して配布[Confidential]

IPEK

Copyright © NetMove Corporation. All right reserved.

22

Remote Key Injection
PCI P2PE Domain6 Annex A1(Remote Key Distribution using
Asymmetric Techniques)

Terminal + CA Cert

HSM + CA CertCABDKVerifySuggested
Terminal Cert
IKSN

InjectDecrypt+Generate

IPEK

Encrypt

IPEKTMKTMKDecrypt

Verify[Confidential]

Copyright © NetMove Corporation. All right reserved.

Encrypt&Sign
23

ご提供サービス形態イメージ（ご参考）■PCI P2PE Solution Providers List
https://www.pcisecuritystandards.org/assessors_and_solutions/point_to_point_encryption_solutions[Confidential]

Copyright © NetMove Corporation. All right reserved.

■PCI P2PE Component Providers List
https://www.pcisecuritystandards.org/assessors_and_solutions/point_to_point_encryption_components

24

P2PE モジュラアプローチ 本日のまとめ✓ 対面決済を Point To Point で暗号化

✓ モジュラ型アプローチによる管理の効率化✓単に暗号化すれば良いというわけではない• 適正な暗号鍵のキーマネジメント• ソリューションとしての厳密な管理体制✓セキュリティを担保しつつ、加盟店の負荷・責務は軽減[Confidential]

Copyright © NetMove Corporation. All right reserved.

25