P2PE
Más información
- Propietario
- PCI Security Standards Council
- Año
- 2011
- Tipo
- Estándar de seguridad
Cifrar los datos de la tarjeta dentro del propio terminal, de modo que el sistema de caja de la tienda solo vea texto cifrado hasta llegar al proveedor de pagos.
El PCI Security Standards Council publicó el estándar en 2011. La tarjeta la lee un terminal resistente a manipulaciones que cifra los datos al instante, normalmente con una clave única por operación derivada mediante DUKPT. El descifrado ocurre solo en el proveedor, dentro de un HSM. Entre medias, los datos atraviesan la red y los TPV de la tienda como ruido ilegible.
La utilidad quedó clara cuando Target perdió 40 millones de números de tarjeta en la Navidad de 2013. Los atacantes habían instalado malware en las cajas que rascaba los datos de la memoria en el breve instante en que estaban en claro. Con una solución P2PE validada ese instante no existe, y la auditoría PCI DSS del comercio se reduce a un cuestionario mucho más corto.