P2PE
Meer info
- Eigenaar
- PCI Security Standards Council
- Uitgebracht
- 2011
- Type
- Beveiligingsstandaard
Kaartgegevens versleutelen in de terminal zelf, zodat het kassasysteem van de winkel tot aan de betaalprovider alleen cijfertekst ziet.
De PCI Security Standards Council publiceerde de standaard in 2011. De kaart wordt gelezen door een manipulatiebestendige terminal die de gegevens direct versleutelt, meestal met een unieke sleutel per transactie afgeleid via DUKPT. Ontsleuteling vindt alleen plaats bij de provider, in een HSM. Daartussen passeren de gegevens het netwerk en de kassa's van de winkel als onleesbare ruis.
Het nut werd pijnlijk duidelijk toen Target met kerst 2013 40 miljoen kaartnummers verloor. De aanvallers hadden malware op de kassa's geplaatst die kaartgegevens uit het geheugen schraapte op het korte moment dat ze daar leesbaar stonden. Een gevalideerde P2PE-oplossing kent dat moment niet, en de PCI DSS-beoordeling van de winkelier slinkt tot een veel kortere vragenlijst.