Токенизация (информационная безопасность)

Alex Rofle «Падение и рост токенизации», Май 13, 2015:

Концепция токенизации, принятая сегодня в отрасли, существует с тех пор, как столетия назад появились первые валютные системы в качестве средства снижения риска при обращении с дорогостоящими финансовыми инструментами путем их замены суррогатными эквивалентами. В физическом мире токены (денежный знак) имеют долгую историю использования в качестве замены таких финансовых инструментов, как монеты и банкноты. В современной истории жетоны метро и фишки казино применяются в соответствующих местах, чтобы исключить физические валютные риски и риски оборота наличных денег, такие как кража.

В цифровом мире аналогичные методы замещения использовались с 1970-х годов в качестве средства изоляции элементов реальных данных от воздействия других систем данных. Например, в базах данных значения суррогатных ключей используются с 1976 года для изоляции данных, связанных с внутренними механизмами баз данных и их внешними эквивалентами, для различного применения в обработке данных. В последнее время эти концепции были расширены для обеспечения тактики изоляции и выполнения мер безопасности, применяемых в целях защиты данных.[6]

В индустрии платежных карт токенизация является одним из средств защиты конфиденциальных данных о держателях карт в целях соответствия отраслевым стандартам и государственным нормам.

В 2001 году TrustCommerce создал концепцию токенизации для защиты конфиденциальных платежных данных клиентов компании Classmates.com.[7] Компания привлекла TrustCommerce, потому что риск хранения данных держателя карты был слишком велик, если бы вдруг их системы подверглись взлому. TrustCommerce разработал систему TC Citadel®, благодаря которой покупатели могли ссылаться на токен вместо данных держателя карты, а TrustCommerce обрабатывал платеж от имени продавца.[8] Такая система защиты позволила клиентам надежно и безопасно совершать повторяющиеся платежи без необходимости хранить платежную информацию о держателе карты. Токенизация заменяет основной номер счета (PAN-код) на безопасные, случайно сгенерированные токены. В случае перехвата данные не содержат информации о держателях карт, что делает их бесполезными для хакеров. PAN-код не может быть получен, даже если токен и системы, в которых он находится, взломаны, и токен не может быть обратно преобразован в PAN-код.

Токенизация была применена к данным платежных карт компанией Shift4 Corporation[9] и обнародована во время отраслевого саммита по безопасности в Лас-Вегасе, штат Невада, в 2005 году.[10] Технология предназначена для предотвращения кражи информации о кредитной карте на запоминающем устройстве. Shift4 определяет токенизацию, как «концепцию использования неуязвимого к расшифровке фрагмента данных для представления конфиденциальных или секретных данных посредством ссылки на него. В контексте индустрии платежных карт (PCI DSS) токены используются для ссылки на данные о держателях карт, которые управляются в системе токенизации, приложении или на удаленном безопасном сервере.»[11]

Для обеспечения защиты данных на протяжении всего жизненного цикла токенизация часто комбинируется со сквозным шифрованием при передаче данных в систему или службу токенизации, включая обратное преобразование токена в исходные данные. Например, чтобы избежать риска кражи вредоносными программами из систем с низким уровнем доверия, таких как точки продаж (POS), как в случае хакерской атаки 2013 года, шифрование данных о держателях карт должно выполняться до ввода данных карт в POS, а не после. Шифрование происходит в рамках защищенного и проверенного устройства для чтения карт, и данные остаются зашифрованными до тех пор, пока не будут получены хостом обработки. Подход, впервые примененный платежными системами Heartland Payment Systems[12] в качестве средства защиты платежных данных от продвинутых угроз, в настоящее время широко используется технологическими и промышленными компаниями по обработке платежей.[13] Совет PCI DSS также в соответствующих документах определил специфические требования к сквозному шифрованию (сертифицированное шифрование вида точка-точка — P2PE) для различных сфер применения.

Токенизация и «классическое» шифрование эффективно защищают данные, если они реализованы должным образом, и идеальное решение для обеспечения безопасности будет использовать оба этих метода. Несмотря на сходство в некоторых отношениях, токенизация и классическое шифрование различаются в некоторых ключевых аспектах. Оба эти метода обеспечивают криптографическую защиту данных и выполняют по существу одну и ту же функцию, однако делают они это различными способами и оказывают различное влияние на данные, которые защищают.[14]

Токенизация — это нематематический подход, который заменяет конфиденциальные данные на неконфиденциальные заменители без изменения типа или длины данных. Это важное отличие от шифрования, поскольку изменение длины и типа данных может сделать информацию нечитаемой в промежуточных системах, таких как базы данных. Токенизированные данные безопасны, но они все еще могут быть обработаны устаревшими системами, что делает токенизацию более гибкой, чем классическое шифрование.

Другое отличие заключается в том, что для обработки токенов требуется значительно меньше вычислительных ресурсов. При токенизации определенные данные полностью или частично остаются видимыми для обработки и анализа, а конфиденциальная информация — скрытой. Это позволяет быстрее обрабатывать токенизированные данные и снижает нагрузку на системные ресурсы. Это может стать ключевым преимуществом в системах, которые ориентированы на высокую производительность и низкое потребление.[15]

Существует множество способов классификации токенов: одноразовый или многоцелевой, криптографический или некриптографический, обратимый или необратимый, аутентифицируемый или неаутентифицируемый, и различные их комбинации.

В контексте платежей важную роль играет разница между большой и маленькой разрядностью токенов.[16]

Системы токенизации первого поколения используют базу данных для сопоставления реальных данных с замещающими их токенами и обратно. Чтобы избежать потери данных это требует хранения, управления и непрерывного резервного копирования для каждой новой транзакции, добавленной в базу данных токенов. Другой проблемой является обеспечение согласованности между центрами обработки данных, что требует непрерывной синхронизации баз данных токенов. При таком подходе неизбежны значительные компромиссы между согласованностью, доступностью и производительностью в соответствии с теоремой CAP. Эти накладные расходы усложняют обработку транзакций в реальном времени, чтобы избежать потери данных и обеспечить целостность данных в центрах обработки данных, а также ограничивают масштаб. Хранение всех конфиденциальных данных в одном месте создает привлекательную цель для атаки и нанесения ущерба, а также приводит к появлению юридических рисков обобщения данных, конфиденциальных в Интернете, в частности в ЕС.

Другим ограничением технологий токенизации является измерение уровня безопасности для данного решения путем независимой проверки. С отсутствием стандартов, последнее имеет решающее значение для установления надежности токенизации, предлагаемой, когда токены используются для соответствия нормативным требованиям. Совет PCI DSS рекомендует независимую проверку и подтверждение всех требований безопасности и соответствия: «Продавцы, рассматривающие использование токенизации, должны провести тщательную оценку и анализ рисков для выявления и документирования уникальных характеристик их конкретной реализации, включая все взаимодействия с данными платежных карт и конкретными системами и процессами токенизации».[5]

Метод создания токенов также может иметь ограничения с точки зрения безопасности. Что же касается безопасности и атак на генераторы случайных чисел, которые обычно используются для создания токенов и таблиц их сопоставления, то необходимо провести тщательное исследование, чтобы гарантировать, что используется действительно проверенный и надежный метод.[19] Генераторы случайных чисел имеют ограничения с точки зрения скорости, энтропии, отбора и смещения, и свойства безопасности должны быть тщательно проанализированы и измерены для предотвращения предсказуемости и компромисса.

По мере все более широкого внедрения токенизации появились новые подходы к данной технологии для устранения подобных операционных рисков и сложностей, а также для расширения масштабов, подходящих для новых случаев использования больших данных и высокопроизводительной обработки транзакций, особенно в финансовых и банковских услугах.[20] Технологии отказоустойчивой токенизации и токенизации без отслеживания состояния[21] были независимо протестированы и утверждены, чтобы значительно ограничить количество применимых элементов управления стандарта безопасности данных PCI DSS, чтобы уменьшить количество оценок. Токенизация без отслеживания состояния позволяет произвольно сопоставлять текущие элементы данных с суррогатными значениями без использования базы данных, сохраняя при этом свойства изоляции токенизации.

В ноябре 2014 года American Express выпустила сервис токенов, который соответствует стандарту токенов EMV.[22]

Создание альтернативной платежной системы требует совместной работы ряда организаций для предоставления конечным пользователям коммуникации ближнего поля (NFC) или других технологий, основанных на платежных сервисах. Одной из проблем является совместимость между участниками. Для решения этой проблемы предлагается роль доверенного менеджера услуг (TSM) для установления технической связи между операторами сотовой связи (ОСС) и поставщиками услуг, чтобы эти субъекты могли работать вместе. Токенизация может играть посредническую роль для таких субъектов.

Токенизация как стратегия безопасности заключается в возможности заменить реальный номер карты на суррогатный (сокрытие цели) и установить последующие ограничения, наложенные на суррогатный номер карты (снижение риска). Если суррогатный номер можно использовать неограниченным образом или даже в широком смысле, как в Apple Pay, то токен приобретает такое же значение, как и реальный номер кредитной карты. В этих случаях токен может быть защищен вторым динамическим токеном, который уникален для каждой транзакции и также связан с определенной платежной картой. Пример динамических токенов, специфичных для транзакций, включает в себя криптограммы, используемые в спецификации EMV.

Payment Card Industry Data Security Standard, отраслевой набор требований, необходимых для соблюдения любой организацией, которая хранит, обрабатывает или передает данные о держателях карт, предписывает, что данные кредитных карт должны быть защищены при хранении.[23] Токенизация, применяемая к данным платежных карт, часто реализуется для выполнения этого стандарта, заменяя номера кредитных карт и ACH в некоторых системах случайным значением или строкой символов.[24] Токены могут быть отформатированы различными способами. Некоторые поставщики токенов или системы токенизации создают суррогатные значения таким образом, чтобы они соответствовали формату исходных конфиденциальных данных. В случае данных платежной карты токен может иметь ту же длину, что и основной номер счета (банковской карты), и содержать такие элементы исходных данных, как последние четыре цифры номера карты. При запросе авторизации платежной карты для проверки законности транзакции вместо номера карты продавцу может быть возвращен токен, а также код авторизации транзакции. Токен хранится в принимающей системе, а фактические данные о держателе карты сопоставляются с токеном в защищенной системе токенизации. Хранение токенов и данных платежных карт должно соответствовать действующим стандартам PCI DSS, включая использование надежной криптографии.[25]

В настоящее время токенизация находится в определении стандартов в ANSI X9 как Х9.119 часть 2. X9 отвечает за отраслевые стандарты финансовой криптографии и защиты данных, включая управление PIN-кодами платежных карт, шифрование кредитных и дебетовых карт, а также связанные с ними технологии и процессы.

Совет PCI DSS также заявил о поддержке токенизации для снижения риска утечки данных в сочетании с другими технологиями, такими как двухточечное шифрование (P2PE), и оценками соответствия рекомендациям PCI DSS.[26]

Visa Inc. выпустила Visa Tokenization Best Practices[27] для использования токенизации в приложениях и услугах по обработке кредитных и дебетовых карт.

В марте 2014 года, EMVCo LLC выпустила свою первую спецификацию оплаты токена для EMV.[28]

NIST стандартизировал алгоритмы шифрования с сохранением формата FF1 и FF3 в своей специальной публикации 800-38G.[29]

При правильной проверке и соответствующей независимой оценке токенизация может затруднить злоумышленникам доступ к конфиденциальным данным вне системы или службы токенизации. Внедрение токенизации может упростить требования PCI DSS, поскольку системы, которые больше не хранят или не обрабатывают конфиденциальные данные, могут иметь сокращение применяемых элементов управления, требуемых рекомендациями PCI DSS.

В качестве передового опыта в области безопасности[30] необходимо провести независимую оценку и проверку любых технологий, используемых для защиты данных, включая токенизацию, для установления безопасности и прочности метода и реализации, прежде чем можно будет предъявлять какие-либо претензии в отношении соблюдения конфиденциальности, соответствия нормативным требованиям и безопасности данных. Эта проверка особенно важна для токенизации, поскольку токены используются совместно для общего пользования и, следовательно, подвергаются риску в средах с низким уровнем доверия. Невозможность обращения токена или набора токенов к действительным конфиденциальным данным должна быть установлена с использованием общепринятых в отрасли измерений и доказательств соответствующими экспертами, независимыми от поставщика услуг или решения.

• Шифрование, сохраняющее формат
• Токен (авторизации)