P2PE
Altre info
- Proprietario
- PCI Security Standards Council
- Anno
- 2011
- Tipo
- Standard di sicurezza
Cifrare i dati della carta dentro il terminale, così il sistema di cassa del negozio vede solo testo cifrato fino al fornitore di pagamenti.
Il PCI Security Standards Council ha pubblicato lo standard nel 2011. La carta viene letta da un terminale a prova di manomissione che cifra subito i dati, di solito con una chiave unica per transazione derivata tramite DUKPT. La decifrazione avviene solo presso il fornitore, dentro un HSM. Nel mezzo, i dati attraversano la rete del negozio e i registratori di cassa come rumore illeggibile.
Il senso è diventato evidente quando Target ha perso 40 milioni di numeri di carta a Natale 2013. Gli aggressori avevano installato sulle casse un malware che copiava i dati dalla memoria nel breve istante in cui erano in chiaro. Una soluzione P2PE convalidata non ha quell'istante, e la valutazione PCI DSS dell'esercente si riduce a un questionario molto più breve.