Focus記事, カードセキュリティ最新情報, カードセキュリティPCI DSS, ペイメントニュース, ペイメント新着情報

カード決済システムセキュリティの最新トレンド（下）

2014年6月5日8:30

カード決済システムセキュリティの最新トレンド（下）
3-Dセキュアのワンタイムパスワード化、P2PE処理

日本セーフネット

PCI DSSを準拠した企業でも不正利用が発生
P2PEにより、一気通貫の暗号化が実現

続いて、「P2PE（Point to Point Encryption）」について説明します。パソコンのセキュリティで「エンドポイントセキュリティ」がありますが、情報の末端からセキュリティを施すことです。「P2PE」は、POSやECサイトのシステム全体にクレジットカード番号が入ってきた瞬間にデータベースに保存するまで、一気通貫で暗号化する技術です。PCI DSSで重要なデータベースの暗号化は、PAN（カード会員番号）などをデータベースに保存するときに求めています。オンメモリの状態で、フロントのWebサーバがハッキングされた場合、PCI DSSに準拠しても情報漏洩してしまいます。

米国・ハートランドペイメントシステム社の事例では、PCI DSSに準拠していながらも情報漏えいが発生してしまいました。通常のECサイトの場合、ユーザーがWebサーバにアクセスして決済を行います。その際の通信はSSL通信になりますが、一度Webサーバ側で暗号が解かれます。データベースでは別の手法で暗号化していますが、PCI DSSを取得している一般的なECサイトでは、Webサイト自体がマルウェアに感染し、暗号化通信が終わった後のカード番号が読み取られる危険性があります。

PCI DSSの運営団体であるPCI SSCでも“PCI DSSは万能ではない”と認めており、P2PEのガイドラインを出しています。ここで定義しているのは、データを暗号化した領域（データベースやストレージ）で、保存前にカード番号が入ってきた時点で暗号化してしまって、そのままデータベースに漬け込みます。これができているのであれば、データベースを暗号化する必要もないかもしれません。当然、一気通貫でデータが暗号化されているので、通信の傍受やマルウェアも防ぐことが可能です。

POSシステムの暗号化の例として、POS端末に暗号化ソフトを導入いただいて、スワイプした時点で暗号化してしまうケースをご紹介します。ここでは、OSのメモリに展開する前にカードを暗号化してサーバに送ります。Webサーバ上は予めクレジットカード情報を読めないことを前提にアプリケーションをつくる必要があります。クレジットカード番号そのものをWebサーバに渡さない仕組みが重要で、トークナイゼーションと同様に、先頭、後半の4桁、有効期限など、処理に必要な番号だけ渡します。

PCI DSS準拠の最難関
データベースの暗号化は必要か？

P2PEでクレジットカード番号を暗号化できるのであれば、データベースの暗号化は必要か？といった疑問が出てきます。なぜなら、データベースの暗号化はPCI DSSに準拠する上で最も困難だからです。

弊社ではデータベース暗号化アプライアンス「DataSecure」を販売しています。クレジットカード番号が暗号化されている時にデータベースの暗号化が必要かということについては、回答が難しい部分もあります。端的に言うと、PCI DSSや個人情報で暗号化されている側からというと必要ですが、整理を試みてみました。

データベースの暗号化を実装する際、情報を暗号化しているだけではなく、DLP（DataLossPrevension）機能が中心で、テーブルにカラムを追加してリアルタイムに処理しています。また、暗号化しただけでは、数学的にはその情報を元に戻すことが可能です。例えば、顧客情報が入ったPCのハードディスクを暗号化していた場合でも、なくした場合は公表しなければなりません。ただ単純にP2PEを実装しただけだと、暗号化されたカード情報が手に入る可能性があります。そのため、データベースの暗号化が必要となります。ただ、PCI DSSの基準では、仮にデータベースを暗号化していなくても代替コントロールが許可されています。

大切なのはどのような分析で暗号化を行った、もしくはこの分析でデータベースの暗号は必要なかったというトークスクリプトを用意することです。カード業界の流れとして、データベースの暗号化というよりもPANの暗号化は必須になっていくと考えます。

なお、Safenetでは、P2PEを実装しているWiMAX用のEMV ICカード対応の決済端末を提供する企業に暗号化ソリューションを提供しています。

※本記事は2014年3月25日に開催された「ペイメントカード・セキュリティフォーラム2014」の日本セーフネット　サービスプロバイダ営業部　部長　亀田治伸氏の講演をベースに加筆を加え、紹介しています。

■お問い合わせ先