PCI PIN Security
O manual da indústria de cartões sobre como PINs são criptografados, transportados e manipulados — o irmãozinho do PCI DSS, com bem mais HSMs.
Os requisitos são publicados pelo PCI Security Standards Council e valem para quem recebe, traduz ou verifica PINs: adquirentes, processadores e os switches dos próprios bancos. Um PIN só pode existir em texto claro dentro de hardware aprovado — na prática, um HSM — e, fora dele, trafega como um bloco de PIN criptografado conforme a ISO 9564.
O coração do padrão é o gerenciamento de chaves. Controle duplo e conhecimento dividido valem para tudo que toca as chaves-mestras; ninguém, sozinho, jamais vê uma chave inteira. A mudança recente mais visível é a obrigatoriedade de key blocks como o TR-31, implantada em fases até 2025, para que uma chave não possa mais ser usada para nada além do que foi criada para fazer.