Programari estàndard PCI-Secure
Informació del producte: proveïdor estàndard de programari PCI-Secure
Guia d'implementació de Viking Terminal 2.00
Especificacions
Versió: 2.0
1. Introducció i abast
1.1 Introducció
Guia d'implementació del proveïdor estàndard de programari PCI-Secure
proporciona directrius per implementar el programari al Viking
Terminal 2.00.
1.2 Marc de seguretat del programari (SSF)
El marc de seguretat del programari (SSF) garanteix el pagament segur
aplicació a la terminal Viking 2.00.
1.3 Guia d'implementació del proveïdor de programari – Distribució i
Actualitzacions
Aquesta guia inclou informació sobre la distribució i les actualitzacions
de la Guia d'implementació del proveïdor de programari per al terminal Viking
2.00.
2. Aplicació de pagament segur
2.1 Aplicació S/W
El programari d'aplicació de pagament segur garanteix la seguretat
comunicació amb l'amfitrió de pagament i ECR.
2.1.1 Configuració del paràmetre TCP/IP de comunicació de l'amfitrió de pagament
Aquesta secció proporciona instruccions per configurar el TCP/IP
paràmetres de comunicació amb l'amfitrió de pagament.
2.1.2 Comunicació ECR
Aquesta secció ofereix instruccions per a la comunicació amb el
ECR (Caixa Registradora Electrònica).
2.1.3 Comunicació amb l'amfitrió mitjançant ECR
En aquesta secció s'explica com establir comunicació amb el
host de pagament mitjançant l'ECR.
2.2 Maquinari de terminal compatible
L'aplicació de pagament segur és compatible amb Viking Terminal 2.00
maquinari.
2.3 Polítiques de seguretat
En aquesta secció es descriuen les polítiques de seguretat que haurien de ser
se segueix quan s'utilitza l'aplicació de pagament segur.
3. Actualització de programari remota segura
3.1 Aplicabilitat del comerciant
Aquesta secció proporciona informació sobre l'aplicabilitat de secure
actualitzacions remotes de programari per als comerciants.
3.2 Política d'ús acceptable
Aquesta secció descriu la política d'ús acceptable per a la seguretat
actualitzacions remotes de programari.
3.3 Tallafoc personal
Instruccions per configurar el tallafoc personal per permetre
En aquesta secció es proporcionen actualitzacions de programari remotes segures.
3.4 Procediments d'actualització remota
Aquesta secció explica els procediments per dur a terme la seguretat
actualitzacions remotes de programari.
4. Supressió segura de dades sensibles i protecció de les emmagatzemades
Dades del titular de la targeta
4.1 Aplicabilitat del comerciant
Aquesta secció proporciona informació sobre l'aplicabilitat de secure
supressió de dades sensibles i protecció de les dades emmagatzemades del titular de la targeta
per als comerciants.
4.2 Instruccions d'eliminació segura
Es proporcionen instruccions per suprimir dades sensibles de manera segura
en aquesta secció.
4.3 Ubicacions de les dades emmagatzemades del titular de la targeta
Aquesta secció enumera les ubicacions on s'emmagatzemen les dades del titular de la targeta
i ofereix orientacions per protegir-lo.
En aquesta secció s'expliquen els procediments per a la gestió de l'ajornament
transaccions d'autorització de manera segura.
4.5 Procediments de resolució de problemes
Instruccions per resoldre problemes relacionats amb la seguretat
es proporcionen la supressió i la protecció de les dades emmagatzemades del titular de la targeta
aquesta secció.
4.6 Ubicacions PAN: es mostren o s'imprimeixen
Aquesta secció identifica les ubicacions on PAN (Compte principal
Número) es mostra o s'imprimeix i proporciona orientació sobre la seguretat
això.
4.7 Avís files
Instruccions per gestionar prompte filees proporcionen de manera segura
aquesta secció.
4.8 Gestió de claus
Aquesta secció explica els procediments de gestió clau per garantir
la seguretat de les dades emmagatzemades del titular de la targeta.
Reinici de 4.9 '24 HR'
Instruccions per fer un reinici "24 HR" per garantir el sistema
seguretat es proporcionen en aquesta secció.
4.10 Llista blanca
Aquesta secció proporciona informació sobre la llista blanca i la seva
importància per mantenir la seguretat del sistema.
5. Autenticació i controls d'accés
Aquesta secció tracta les mesures d'autenticació i control d'accés
per garantir la seguretat del sistema.
Preguntes freqüents (FAQ)
P: Quin és l'objectiu de l'estàndard de programari PCI-Secure?
Guia d'implementació del proveïdor?
R: La guia ofereix directrius per implementar el pagament segur
programari d'aplicació al Viking Terminal 2.00.
P: Quin maquinari del terminal és compatible amb el pagament segur
aplicació?
R: L'aplicació de pagament segur admet el terminal Viking
2.00 maquinari.
P: Com puc suprimir dades sensibles de manera segura?
R: Les instruccions per suprimir dades sensibles de manera segura són
previstos a l'apartat 4.2 de la guia.
P: Quina és la importància de la llista blanca?
R: La llista blanca té un paper crucial en el manteniment del sistema
seguretat permetent que només s'executin aplicacions aprovades.
Aquest contingut està classificat com a Intern
Nets Denmark A/S:
Guia d'implementació del proveïdor de programari estàndard de programari PCI-Secure per a la terminal Viking 2.00
Versió 2.0
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00 1 1
Continguts
1. Introducció i abast ……………………………………………………………………. 3
1.1
Introducció ………………………………………………………………………………………………. 3
1.2
Marc de seguretat del programari (SSF)…………………………………………………………. 3
1.3
Guia d'implementació del proveïdor de programari: distribució i actualitzacions…… 3
2. Sol·licitud de pagament segur………………………………………………………………………… 4
2.1
Aplicació S/W ………………………………………………………………………………………………. 4
2.1.1 Configuració del paràmetre TCP/IP de comunicació de l'amfitrió de pagament ………….. 4
2.1.2 Comunicació ECR………………………………………………………………………………. 5
2.1.3 Comunicació amb l'amfitrió mitjançant ECR…………………………………………………………………. 5
2.2
Maquinari(s) de terminal admesos …………………………………………………….. 6
2.3
Polítiques de seguretat …………………………………………………………………………………. 7
3. Actualització de programari remota segura ………………………………………………………. 8
3.1
Aplicabilitat del comerciant …………………………………………………………………… 8
3.2
Política d'ús acceptable ……………………………………………………………………. 8
3.3
Tallafoc personal………………………………………………………………………………… 8
3.4
Procediments d'actualització remota …………………………………………………………………… 8
4. Supressió segura de dades sensibles i protecció de les dades emmagatzemades del titular de la targeta9
4.1
Aplicabilitat del comerciant …………………………………………………………………… 9
4.2
Instruccions d'eliminació segura………………………………………………………………… 9
4.3
Ubicacions de les dades emmagatzemades del titular de la targeta…………………………………………….. 9
4.4
Operació d'autorització diferida ……………………………………………………. 10
4.5
Procediments de resolució de problemes ……………………………………………………… 10
4.6
Ubicacions de PAN: es mostren o s'imprimeixen ……………………………………………………… 10
4.7
Avís files ………………………………………………………………………………….. 11
4.8
Gestió de claus ………………………………………………………………………………… 11
4.9
Reinici `24 HR' .................................................................................................................. 12
4.10 Inscripció a la llista blanca ………………………………………………………………………………… 12
5. Autenticació i controls d'accés ……………………………………………………………. 13
5.1
Control d'accés ……………………………………………………………………………. 13
5.2
Controls de contrasenya …………………………………………………………………………………. 15
6. Enregistrament ………………………………………………………………………………………………….. 15
6.1
Aplicabilitat del comerciant ……………………………………………………………………. 15
6.2
Configuració dels paràmetres del registre ……………………………………………………. 15
6.3
Registre central ………………………………………………………………………………… 15
6.3.1 Habilita el registre de traça al terminal ……………………………………………………… 15
6.3.2 Enviar registres de traça a l'amfitrió …………………………………………………………………… 15
6.3.3 Registre de traça remot………………………………………………………………………………. 16
6.3.4 Registre remot d'errors………………………………………………………………………………. 16
7. Xarxes sense fil ………………………………………………………………………………… 16
7.1
Aplicabilitat del comerciant ……………………………………………………………………. 16
7.2
Configuracions sense fil recomanades ………………………………………… 16
8. Segmentació de la xarxa ………………………………………………………………….. 17
8.1
Aplicabilitat del comerciant ……………………………………………………………………. 17
9. Accés remot ……………………………………………………………………………… 17
9.1
Aplicabilitat del comerciant ……………………………………………………………………. 17
10.
Transmissió de dades sensibles …………………………………………………….. 17
10.1 Transmissió de dades sensibles ……………………………………………………… 17
10.2 Compartició de dades sensibles amb un altre programari ……………………………………….. 17
10.3 Correu electrònic i dades sensibles …………………………………………………………………………. 17
10.4 Accés administratiu fora de la consola ………………………………………………. 17
11.
Metodologia de versions de Viking ………………………………………………………. 18
12.
Instruccions sobre la instal·lació segura de pedaços i actualitzacions. …………. 18
13.
Actualitzacions de llançament de Viking ………………………………………………………………………. 19
14.
Requisits no aplicables ……………………………………………………………………. 19
15.
Referència dels requisits estàndard del programari segur de PCI …………… 23
16.
Glossari de termes …………………………………………………………………………………. 24
17.
Control de documents …………………………………………………………………… 25
2
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
1. Introducció i abast
1.1 Introducció
L'objectiu d'aquesta Guia d'implementació del proveïdor de programari estàndard de PCI-Secure és proporcionar a les parts interessades una guia clara i exhaustiva sobre la implementació, configuració i funcionament segurs del programari Viking. La guia indica als comerciants com implementar l'aplicació Viking de Nets al seu entorn d'una manera compatible amb l'estàndard de programari segur PCI. Tot i que, no pretén ser una guia d'instal·lació completa. L'aplicació Viking, si s'instal·la d'acord amb les directrius aquí documentades, hauria de facilitar i donar suport al compliment de la PCI d'un comerciant.
1.2 Marc de seguretat del programari (SSF)
El PCI Software Security Framework (SSF) és una col·lecció d'estàndards i programes per al disseny i desenvolupament segurs de programari d'aplicacions de pagament. El SSF substitueix l'estàndard de seguretat de dades de l'aplicació de pagament (PA-DSS) amb requisits moderns que admeten una gamma més àmplia de tipus de programari de pagament, tecnologies i metodologies de desenvolupament. Proporciona als venedors estàndards de seguretat com l'estàndard de programari segur PCI per desenvolupar i mantenir programari de pagament perquè protegeixi les transaccions i les dades de pagament, minimitzi les vulnerabilitats i es defensi dels atacs.
1.3 Guia d'implementació del proveïdor de programari: distribució i actualitzacions
Aquesta Guia d'implementació del proveïdor de programari estàndard de programari segur de PCI s'ha de difondre a tots els usuaris d'aplicacions rellevants, inclosos els comerciants. S'ha d'actualitzar almenys una vegada a l'any i després de canvis en el programari. La re anualview i l'actualització hauria d'incloure els nous canvis de programari, així com els canvis a l'estàndard de programari segur.
Nets publica informació sobre la llista weblloc si hi ha actualitzacions a la guia d'implementació.
Weblloc web: https://support.nets.eu/
Per Example: La Guia d'implementació del proveïdor de programari estàndard de Nets PCI-Secure es distribuirà a tots els clients, distribuïdors i integradors. Els clients, distribuïdors i integradors rebran una notificació des de reviews i actualitzacions.
Les actualitzacions de la Guia d'implementació del proveïdor de programari estàndard de PCI-Secure també es poden obtenir contactant directament amb Nets.
Aquesta Guia d'implementació del proveïdor de programari estàndard de programari PCI-Secure fa referència tant a l'estàndard de programari PCI-Secure com als requisits PCI. En aquesta guia es fa referència a les versions següents.
· PCI-Secure-Software-Standard-v1_2_1
3
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
2. Aplicació de pagament segur
2.1 Aplicació S/W
Les aplicacions de pagament Viking no utilitzen cap programari o maquinari extern que no pertanyi a l'aplicació integrada Viking. Tots els executables S/W que pertanyen a l'aplicació de pagament Viking estan signats digitalment amb el kit de signatura Tetra proporcionat per Ingenico.
· El terminal es comunica amb el Nets Host mitjançant TCP/IP, ja sigui a través d'Ethernet, GPRS, Wi-Fi, o mitjançant la PC-LAN que executa l'aplicació TPV. Així mateix, el terminal es pot comunicar amb l'amfitrió a través del mòbil amb connexió Wi-Fi o GPRS.
Els terminals Viking gestionen tota la comunicació mitjançant el component de capa d'enllaç Ingenico. Aquest component és una aplicació carregada al terminal. La capa d'enllaç pot gestionar diverses comunicacions al mateix temps utilitzant diferents perifèrics (mòdem i port sèrie, per exemple.ample).
Actualment admet els protocols següents:
· Física: RS232, mòdem intern, mòdem extern (mitjançant RS232), USB, Ethernet, Wi-Fi, Bluetooth, GSM, GPRS, 3G i 4G.
· Enllaç de dades: SDLC, PPP. · Xarxa: IP. · Transport: TCP.
El terminal sempre pren la iniciativa d'establir la comunicació amb el Nets Host. No hi ha S/W del servidor TCP/IP al terminal i el S/W del terminal mai no respon a les trucades entrants.
Quan s'integra amb una aplicació TPV en un ordinador, el terminal es pot configurar per comunicar-se mitjançant la PC-LAN que executa l'aplicació TPV mitjançant RS232, USB o Bluetooth. Tot i així, tota la funcionalitat de l'aplicació de pagament s'està executant al S/W del terminal.
El protocol d'aplicació (i el xifratge aplicat) és transparent i independent del tipus de comunicació.
2.2 Configuració del paràmetre TCP/IP de comunicació de l'amfitrió de pagament
4
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
2.3 Comunicació ECR
· Sèrie RS232 · Connexió USB · Configuració de paràmetres TCP/IP, també conegut com a ECR sobre IP
· Opcions de comunicació d'amfitrió/ECR a l'aplicació de pagament Viking
· Configuració dels paràmetres de Nets Cloud ECR (Connect@Cloud).
2.4 Comunicació amb l'amfitrió mitjançant ECR
Nota: Consulteu "2.1.1- Configuració dels paràmetres TCP/IP de comunicació de l'amfitrió de pagament" per obtenir els ports TCP/IP específics del país.
5
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
2.5 Maquinari de terminal compatible
L'aplicació de pagament Viking és compatible amb diversos dispositius Ingenico validats per PTS (seguretat de transaccions PIN). A continuació es mostra la llista del maquinari del terminal juntament amb el seu número d'aprovació PTS.
Tipus de terminals Tetra
Maquinari del terminal
Carrer 3000
PTS
Aprovació PTS
número de versió
5.x
4-30310
Versió de maquinari PTS
LAN30EA LAN30AA
Escriptori 3500
5.x
4-20321
DES35BB
Mou 3500
5.x
4-20320
MOV35BB MOV35BC MOV35BQ MOV35BR
Enllaç 2500
Link2500 Self4000
4.x
4-30230
5.x
4-30326
5.x
4-30393
LIN25BA LIN25JA
LIN25BA LIN25JA SEL40BA
Versió del firmware PTS
820547v01.xx 820561v01.xx 820376v01.xx 820376v02.xx 820549v01.xx 820555v01.xx 820556v01.xx 820565v01.xx 820547v01.xx 820376v01.xx 820376v02.xx 820547v01.xx 820549v01.xx 820555v01.xx 820556v01.xx 820565v01.xx 820547v01.xx 820565v01.xx 820548v02.xx 820555v01.xx 820556v01.xx 820547v01.xx
820547v01.xx
820547v01.xx
6
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
2.6 Polítiques de seguretat
L'aplicació de pagament Viking s'adhereix a totes les polítiques de seguretat aplicables especificades per Ingenico. Per a informació general, aquests són els enllaços a les polítiques de seguretat dels diferents terminals Tetra:
Tipus de terminal
Link2500 (v4)
Document de política de seguretat Link/2500 PCI PTS Security Policy (pcisecuritystandards.org)
Link2500 (v5)
Política de seguretat PCI PTS (pcisecuritystandards.org)
Escriptori 3500
https://listings.pcisecuritystandards.org/ptsdocs/4-20321ICO-OPE-04972-ENV12_PCI_PTS_Security_Policy_Desk_3200_Desk_3500-1650663092.33407.pdf
Mou3500
https://listings.pcisecuritystandards.org/ptsdocs/4-20320ICO-OPE-04848-ENV11_PCI_PTS_Security_Policy_Move_3500-1647635765.37606.pdf
Carril 3000
https://listings.pcisecuritystandards.org/ptsdocs/4-30310SP_ICO-OPE-04818-ENV16_PCI_PTS_Security_Policy_Lane_3000-1648830172.34526.pdf
Self4000
Política de seguretat Self/4000 PCI PTS (pcisecuritystandards.org)
7
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
3. Actualització de programari remota segura
3.1 Aplicabilitat del comerciant
Nets ofereix de forma segura actualitzacions de l'aplicació de pagament Viking de forma remota. Aquestes actualitzacions es produeixen al mateix canal de comunicació que les transaccions de pagament segures i el comerciant no està obligat a fer cap canvi a aquesta ruta de comunicació per complir-la.
Per obtenir informació general, els comerciants haurien de desenvolupar una política d'ús acceptable per a tecnologies crítiques orientades als empleats, segons les directrius següents per a VPN o altres connexions d'alta velocitat, les actualitzacions es reben mitjançant un tallafoc o un tallafoc personal.
3.2 Política d'ús acceptable
El comerciant hauria de desenvolupar polítiques d'ús per a tecnologies crítiques orientades als empleats, com ara mòdems i dispositius sense fil. Aquestes polítiques d'ús haurien d'incloure:
· Aprovació explícita de la direcció per al seu ús. · Autenticació per al seu ús. · Una llista de tots els dispositius i personal amb accés. · Etiquetar els dispositius amb el propietari. · Informació de contacte i finalitat. · Usos acceptables de la tecnologia. · Ubicacions de xarxa acceptables per a les tecnologies. · Una llista de productes aprovats per l'empresa. · Permetre l'ús de mòdems per als venedors només quan sigui necessari i la desactivació després de l'ús. · Prohibició d'emmagatzemar les dades del titular de la targeta en mitjans locals quan es connecta de forma remota.
3.3 Tallafoc personal
Qualsevol connexió "sempre activada" des d'un ordinador a una VPN o una altra connexió d'alta velocitat s'ha de protegir mitjançant un producte tallafoc personal. El tallafoc està configurat per l'organització per complir estàndards específics i no alterable per l'empleat.
3.4 Procediments d'actualització remota
Hi ha dues maneres d'activar el terminal per contactar amb el centre de programari de Nets per obtenir actualitzacions:
1. Ja sigui manualment mitjançant una opció de menú al terminal (feu lliscar la targeta del comerciant, seleccioneu el menú 8 "Programari", 1 "Obtén programari"), o s'ha iniciat l'amfitrió.
2. Ús del mètode iniciat amb l'amfitrió; el terminal rep automàticament una ordre de l'amfitrió després d'haver realitzat una transacció financera. L'ordre diu al terminal que es posi en contacte amb el centre de programari de Nets per comprovar si hi ha actualitzacions.
Després d'una actualització correcta del programari, un terminal amb una impressora integrada imprimirà un rebut amb informació sobre la nova versió.
Els integradors de terminals, els socis i/o l'equip de suport tècnic de Nets tindran la responsabilitat d'informar els comerciants de l'actualització, inclòs l'enllaç a la guia d'implementació actualitzada i les notes de llançament.
A més del rebut després de l'actualització del programari, l'aplicació de pagament Viking també es pot validar mitjançant la informació del terminal en prémer la tecla "F3" al terminal.
8
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
4. Supressió segura de les dades sensibles i protecció de les dades emmagatzemades del titular de la targeta
4.1 Aplicabilitat del comerciant
L'aplicació de pagament Viking no emmagatzema cap dada de banda magnètica, valors o codis de validació de targetes, PIN o dades de bloc de PIN, material de clau criptogràfica o criptogrames de les seves versions anteriors.
Per complir amb PCI, un comerciant ha de tenir una política de retenció de dades que defineixi quant de temps es conservaran les dades del titular de la targeta. L'aplicació de pagament Viking conserva les dades del titular de la targeta i/o les dades d'autenticació sensibles de l'última transacció i en cas que hi hagi transaccions d'autorització fora de línia o diferides mentre s'adhereix al compliment de l'estàndard de programari PCI-Secure al mateix temps, per tant, pot estar exempt de la política de retenció de dades del titular de la targeta del comerciant.
4.2 Instruccions d'eliminació segura
El terminal no emmagatzema dades d'autenticació sensibles; full track2, CVC, CVV o PIN, ni abans ni després de l'autorització; excepte per a les transaccions d'autorització diferida, en el qual cas les dades d'autenticació sensibles xifrades (dades completes de la pista2) s'emmagatzemen fins que es fa l'autorització. Després de l'autorització, les dades s'eliminen de manera segura.
Qualsevol cas de dades històriques prohibides que existeixi en un terminal s'eliminarà automàticament de manera segura quan s'actualitzi l'aplicació de pagament Viking del terminal. L'eliminació de les dades històriques prohibides i de les dades anteriors a la política de retenció es produirà automàticament.
4.3 Ubicacions de les dades emmagatzemades del titular de la targeta
Les dades del titular de la targeta s'emmagatzemen al Flash DFS (Data File sistema) del terminal. Les dades no són directament accessibles pel comerciant.
Magatzem de dades (file, taula, etc.)
Elements de dades del titular de la targeta emmagatzemats (PAN, caducitat, qualsevol element del SAD)
Com es protegeix el magatzem de dades (per exemple,ampli, xifratge, controls d'accés, truncament, etc.)
File: trans.rsd
PAN, data de caducitat, codi de servei
PAN: 3DES-DUKPT xifrat (112 bits)
File: storefwd.rsd PAN, data de caducitat, codi de servei
PAN: 3DES-DUKPT xifrat (112 bits)
File: transoff.rsd PAN, data de caducitat, codi de servei
PAN: 3DES-DUKPT xifrat (112 bits)
File: transorr.rsd PAN truncat
Truncat (6 primers, 4 últims)
File: offlrep.dat
PAN truncat
Truncat (6 primers, 4 últims)
File: defauth.rsd PAN, data de caducitat, codi de servei
PAN: 3DES-DUKPT xifrat (112 bits)
File: defauth.rsd Dades completes de la pista2
Dades completes de Track2: 3DES-DUKPT preencriptat (112 bits)
9
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
4.4 Operació d'autorització diferit
L'autorització diferida es produeix quan un comerciant no pot completar una autorització en el moment de la transacció amb el titular de la targeta a causa de problemes de connectivitat, sistemes o altres limitacions, i després completa l'autorització quan pot fer-ho.
Això vol dir que es produeix una autorització ajornada quan es realitza una autorització en línia després que la targeta ja no estigui disponible. Com que l'autorització en línia de les transaccions d'autorització ajornada es retarda, les transaccions s'emmagatzemaran al terminal fins que les transaccions s'autoritzin amb èxit més tard quan la xarxa estigui disponible.
Les transaccions s'emmagatzemen i s'envien més tard a l'amfitrió, com ara com s'emmagatzemen les transaccions fora de línia a partir d'avui a l'aplicació de pagament Viking.
El comerciant pot iniciar la transacció com a "Autorització Diferida" des de la Caixa Registradora Electrònica (ECR) o mitjançant el menú del terminal.
El comerciant es pot carregar les transaccions d'autorització diferida a l'amfitrió de Nets mitjançant les opcions següents: 1. ECR – Ordre d'administració – Envia fora de línia (0x3138) 2. Terminal – Comerciant ->2 EOT -> 2 enviats a l'amfitrió
4.5 Procediments de resolució de problemes
L'assistència de Nets no sol·licitarà dades confidencials d'autenticació ni de titular de targeta per resoldre problemes. L'aplicació de pagament Viking no és capaç de recollir o resoldre problemes de dades sensibles en cap cas.
4.6 Ubicacions PAN: es mostren o s'imprimeixen
PAN emmascarat:
· Rebuts de transacció financera: el PAN emmascarat sempre s'imprimeix al rebut de la transacció tant per al titular de la targeta com per al comerciant. El PAN emmascarat en la majoria dels casos és amb * on els primers 6 dígits i els últims 4 dígits estan en text clar.
· Informe de llista de transaccions: l'informe de llista de transaccions mostra les transaccions realitzades en una sessió. Els detalls de la transacció inclouen el PAN emmascarat, el nom de l'emissor de la targeta i l'import de la transacció.
· Últim rebut del client: La còpia del darrer rebut del client es pot generar des del menú de còpia del terminal. El rebut del client conté el PAN emmascarat com a rebut del client original. La funció proporcionada s'utilitza en cas que el terminal no generi un rebut del client durant la transacció per qualsevol motiu.
PAN xifrat:
· Rebut de transacció fora de línia: la versió del rebut del minorista de la transacció fora de línia inclou les dades del titular de la targeta encriptades DUKPT Triple DES de 112 bits (PAN, data de caducitat i codi de servei).
BAX: 71448400-714484 12/08/2022 10:39
Visa sense contacte ************3439-0 107A47458AE773F3A84DF977 553E3D93FFFF9876543210E0 15F3 AJUDA: A0000000031010 TVR: 0000000000: 123461 ID de la botiga: 000004 000000 3 XNUMX XNUMX XNUMX XNUMX XNUMX CXNUMX
10
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
Resp.: Y1 Sessió: 782
COMPRA
NOK
12,00
APROVAT
CÒPIA DEL DISTRIBUIDOR
Confirmació:
L'aplicació de pagament Viking sempre xifra les dades del titular de la targeta per defecte per a l'emmagatzematge de transaccions fora de línia, la transmissió cap a l'amfitrió de NETS i per imprimir les dades de la targeta xifrades al rebut del minorista per a una transacció fora de línia.
A més, per mostrar o imprimir la targeta PAN, l'aplicació de pagament Viking sempre emmascara els dígits PAN amb un asterisc "*" amb els primers 6 + els últims 4 dígits clars per defecte. El format d'impressió del número de targeta està controlat pel sistema de gestió del terminal, on el format d'impressió es pot canviar sol·licitant a través del canal adequat i presentant una necessitat legítima de negoci, però per a l'aplicació de pagament Viking, no hi ha cap cas.
Example per a PAN emmascarat: PAN: 957852181428133823-2
Informació mínima: **************3823-2
Informació màxima: 957852********3823-2
4.7 Avís files
L'aplicació de pagament Viking no ofereix cap indicació independent files.
Sol·licituds d'aplicacions de pagament Viking per a les entrades del titular de la targeta mitjançant indicacions de visualització que formen part del sistema de missatgeria dins de l'aplicació de pagament Viking signada.
Al terminal es mostren les sol·licituds de PIN, import, etc. i s'esperen les entrades del titular de la targeta. Les entrades rebudes del titular de la targeta no s'emmagatzemen.
4.8 Gestió de claus
Per a la gamma de models de terminals Tetra, tota la funcionalitat de seguretat es realitza en una àrea segura d'un dispositiu PTS protegit de l'aplicació de pagament.
El xifratge es realitza dins de l'àrea segura, mentre que el desxifrat de les dades xifrades només pot ser realitzat pels sistemes Nets Host. Tot l'intercanvi de claus entre l'amfitrió de Nets, l'eina Key/Inject (per a terminals Tetra) i el PED es fa de forma xifrada.
Nets implementa els procediments per a la gestió de claus d'acord amb un esquema DUKPT amb xifratge 3DES.
Totes les claus i components clau utilitzats pels terminals de Nets es generen mitjançant processos aleatoris o pseudoaleatoris aprovats. Les claus i components clau utilitzats pels terminals de Nets són generats pel sistema de gestió de claus de Nets, que utilitzen unitats aprovades Thales Payshield HSM per generar claus criptogràfiques.
11
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
La gestió de claus és independent de la funcionalitat de pagament. Per tant, carregar una aplicació nova no requereix un canvi a la funcionalitat clau. L'espai de claus del terminal admetrà unes 2,097,152 transaccions. Quan s'esgota l'espai clau, el terminal Viking deixa de funcionar i mostra un missatge d'error i, a continuació, s'ha de substituir el terminal.
4.9 Reinici `24 HR'
Tots els terminals Viking són PCI-PTS 4.x i superiors i, per tant, compleixen el requisit de compliment que el terminal PCI-PTS 4.x es reiniciarà com a mínim una vegada cada 24 hores per esborrar la memòria RAM i protegir encara més l'HW del terminal per fer servir el pagament. dades de la targeta.
Un altre avantatge del cicle de reinici de 24 hores és que les fuites de memòria es reduiran i tindran menys impacte per al comerciant (no és que hauríem d'acceptar problemes de fuites de memòria.
El comerciant pot establir el temps de reinici des de l'opció del menú del terminal a "Hora de reinici". El temps de reinici es defineix en funció del rellotge de `24 hores' i tindrà el format HH:MM.
El mecanisme de restabliment està dissenyat per garantir un restabliment del terminal almenys una vegada cada 24 hores de funcionament. Per complir amb aquest requisit s'ha definit una franja horària, anomenada "interval de reinici", representada per Tmin i Tmax. Aquest període representa l'interval de temps on es permet el reinici. Depenent del cas de negoci, l'"interval de restabliment" es personalitza durant la fase d'instal·lació del terminal. Per disseny, aquest període no pot ser inferior a 30 minuts. Durant aquest període, el restabliment es produeix cada dia 5 minuts abans (a T3), tal com s'explica al diagrama següent:
4.10 Llista blanca
La llista blanca és un procediment per determinar que els PAN enumerats com a llista blanca es permeten mostrar en text clar. Viking utilitza 3 camps per determinar els PAN de la llista blanca que es llegeixen a partir de les configuracions baixades del sistema de gestió de terminals.
Quan un "marcador de compliment" a l'amfitrió de Nets s'estableix en Y, la informació de l'amfitrió de Nets o del sistema de gestió del terminal es baixa al terminal, quan s'inicia el terminal. Aquesta marca de compliment s'utilitza per determinar els PAN de la llista blanca que es llegeixen del conjunt de dades.
El senyalador "Track2ECR" determina si l'ECR permet que les dades Track2 puguin ser gestionades (enviades/rebudes) per a un emissor específic. Depenent del valor d'aquesta bandera, es determina si les dades de track2 s'han de mostrar en mode local a l'ECR.
El "camp de format d'impressió" determina com es mostrarà el PAN. Totes les targetes de l'àmbit PCI tindran el format d'impressió configurat per mostrar el PAN en forma truncada/emmascarada.
12
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
5. Autenticació i controls d'accés
5.1 Control d'accés
L'aplicació de pagament Viking no té comptes d'usuari ni contrasenyes corresponents, per tant, l'aplicació de pagament Viking està exempta d'aquest requisit.
· Configuració integrada de l'ECR: no és possible accedir a tipus de transaccions com ara reemborsament, dipòsit i revocació des del menú del terminal per garantir que aquestes funcions no es facin mal ús. Aquests són els tipus de transaccions on es produeix el flux de diners del compte del comerciant al compte del titular de la targeta. És responsabilitat del comerciant assegurar-se que l'ECR només l'utilitzin usuaris autoritzats.
· Configuració autònoma: el control d'accés a la targeta de comerciant està activat per defecte per accedir a tipus de transaccions com ara reemborsament, dipòsit i revocació des del menú del terminal per protegir aquestes funcions de l'ús indegut. El terminal Viking està configurat per defecte per protegir les opcions del menú, per evitar l'accés no autoritzat. Els paràmetres per configurar la seguretat del menú es troben a Menú de comerciant (accessible amb una targeta de comerciant) -> Paràmetres -> Seguretat
Protegir el menú Establiu a "Sí" per defecte. El botó de menú del terminal està protegit mitjançant la configuració del menú Protecció. Només el comerciant pot accedir al menú mitjançant una targeta de comerciant.
13
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
Protegir la reversió Establiu a "Sí" per defecte. La reversió d'una transacció només la pot fer el comerciant mitjançant la targeta de comerciant per accedir al menú de reversió.
Protegir la reconciliació Establida a "Sí" de manera predeterminada. Només el comerciant amb la targeta de comerciant pot accedir a l'opció de conciliació quan aquesta protecció està configurada com a vertadera.
Protegeix la drecera Establiu a "Sí" de manera predeterminada Menú de drecera amb les opcions per a viewLa informació del terminal i l'opció per actualitzar els paràmetres de Bluetooth estaran disponibles per al comerciant només quan es llisca la targeta del comerciant.
14
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
5.2 Controls de contrasenya
L'aplicació de pagament Viking no té comptes d'usuari ni contrasenyes corresponents; per tant, l'aplicació Viking està exempta d'aquest requisit.
6. Registració
6.1 Aplicabilitat del comerciant
Actualment, per a l'aplicació de pagament Nets Viking, no hi ha cap configuració de registre PCI configurable per l'usuari final.
6.2 Configuració de la configuració del registre
L'aplicació de pagament Viking no té comptes d'usuari, per la qual cosa no s'aplica el registre conforme a PCI. Fins i tot en el registre de transaccions més detallat, l'aplicació de pagament Viking no registra cap dada d'autenticació sensible ni dades del titular de la targeta.
6.3 Registre centralitzat
El terminal té un mecanisme de registre genèric. El mecanisme també inclou el registre de creació i supressió de l'executable S/W.
Les activitats de descàrrega de S/W es registren i es poden transferir a l'amfitrió manualment mitjançant una elecció de menú al terminal o a petició de l'amfitrió marcat en el trànsit de transaccions normals. Si l'activació de la descàrrega de S/W falla a causa de signatures digitals no vàlides al rebut files, l'incident es registra i es transfereix a l'amfitrió automàticament i immediatament.
6.4 6.3.1 Habilita el registre de traça al terminal
Per habilitar el registre de traça:
1 Llisca la targeta de comerciant. 2 Aleshores, al menú, seleccioneu "9 Menú del sistema". 3 A continuació, aneu al menú "2 Registre del sistema". 4 Introduïu el codi del tècnic, que podeu obtenir trucant al servei d'assistència de Nets Merchant Service. 5 Seleccioneu "8 paràmetres". 6 A continuació, activeu "Registre" a "Sí".
6.5 6.3.2 Envia registres de traça a l'amfitrió
Per enviar registres de traça:
1 Premeu la tecla Menú del terminal i, a continuació, feu lliscar la targeta del comerciant. 2 Aleshores, al menú principal, seleccioneu "7 Menú de l'operador". 3 A continuació, seleccioneu "5 Envia registres de traça" per enviar registres de traça a l'amfitrió.
15
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
6.6 6.3.3 Registre de traça remot
S'estableix un paràmetre a Nets Host (PSP) que activarà/desactivarà la funcionalitat de registre de traça del terminal de forma remota. Nets Host enviarà el paràmetre de registre d'activació/desactivació de Trace al terminal al conjunt de dades juntament amb l'hora programada en què el terminal carregarà els registres de seguiment. Quan el terminal rep el paràmetre Trace com habilitat, començarà a capturar els registres de traça i, a l'hora programada, carregarà tots els registres de traça i desactivarà la funcionalitat de registre després.
6.7 6.3.4 Registre remot d'errors
Els registres d'errors estan sempre habilitats al terminal. Igual que el registre de traça, s'estableix un paràmetre a Nets Host que activarà/desactivarà la funcionalitat de registre d'errors del terminal de forma remota. Nets Host enviarà el paràmetre de registre d'activació/desactivació de Trace al terminal al conjunt de dades juntament amb l'hora programada en què el terminal carregarà els registres d'error. Quan el terminal rep el paràmetre de registre d'errors activat, començarà a capturar els registres d'errors i, a l'hora programada, carregarà tots els registres d'errors i desactivarà la funcionalitat de registre després.
7. Xarxes sense fil
7.1 Aplicabilitat del comerciant
Terminal de pagament Viking: MOVE 3500 i Link2500 tenen la capacitat de connectar-se amb la xarxa Wi-Fi. Per tant, perquè la xarxa sense fil s'implementa de manera segura, cal tenir en compte a l'hora d'instal·lar i configurar la xarxa sense fil, tal com es detalla a continuació.
7.2 Configuracions sense fil recomanades
Hi ha moltes consideracions i passos a seguir a l'hora de configurar xarxes sense fil connectades a la xarxa interna.
Com a mínim, s'han d'establir els paràmetres i configuracions següents:
· Totes les xarxes sense fil s'han de segmentar mitjançant un tallafoc; si es requereixen connexions entre la xarxa sense fil i l'entorn de dades del titular de la targeta, l'accés ha de ser controlat i assegurat pel tallafoc.
· Canviar el SSID predeterminat i desactivar la difusió SSID · Canviar les contrasenyes predeterminades tant per a les connexions sense fil com per als punts d'accés sense fil, això inclou con-
accés únic així com cadenes de comunitat SNMP · Canvieu qualsevol altre valor predeterminat de seguretat proporcionat o establert pel venedor · Assegureu-vos que els punts d'accés sense fil s'actualitzen al darrer microprogramari · Utilitzeu només WPA o WPA2 amb claus fortes, WEP està prohibit i no s'ha d'utilitzar mai. · Canviar les claus WPA/WPA2 en la instal·lació, així com de manera regular i sempre que una persona amb
el coneixement de les claus abandona l'empresa
16
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
8. Segmentació de la xarxa
8.1 Aplicabilitat del comerciant
L'aplicació de pagament Viking no és una aplicació de pagament basada en servidor i resideix en un terminal. Per aquest motiu, la sol·licitud de pagament no requereix cap ajust per complir aquest requisit. Per al coneixement general del comerciant, les dades de la targeta de crèdit no es poden emmagatzemar en sistemes connectats directament a Internet. Per exampel, web els servidors i els servidors de bases de dades no s'han d'instal·lar al mateix servidor. S'ha de configurar una zona desmilitaritzada (DMZ) per segmentar la xarxa de manera que només les màquines de la DMZ siguin accessibles per Internet.
9. Accés remot
9.1 Aplicabilitat del comerciant
No es pot accedir a l'aplicació de pagament Viking de forma remota. El suport remot només es produeix entre un membre del personal d'assistència de Nets i el comerciant per telèfon o mitjançant Nets directament al lloc amb el comerciant.
10.Transmissió de dades sensibles
10.1 Transmissió de dades sensibles
L'aplicació de pagament Viking assegura les dades sensibles i/o les dades del titular de la targeta en trànsit mitjançant l'ús d'encriptació a nivell de missatge mitjançant 3DES-DUKPT (112 bits) per a tota la transmissió (incloses les xarxes públiques). Els protocols de seguretat per a comunicacions IP de l'aplicació Viking a l'amfitrió no són necessaris, ja que el xifratge a nivell de missatge s'implementa mitjançant 3DES-DUKPT (112 bits) tal com es descriu anteriorment. Aquest esquema de xifratge garanteix que, fins i tot si s'intercepten transaccions, no es poden modificar ni comprometre de cap manera si 3DES-DUKPT (112 bits) es considera un xifratge fort. Segons l'esquema de gestió de claus DUKPT, la clau 3DES utilitzada és única per a cada transacció.
10.2 Compartir dades sensibles amb un altre programari
L'aplicació de pagament Viking no proporciona cap interfície/API lògica per permetre compartir dades del compte de text en clar directament amb altres programaris. No es comparteixen dades sensibles ni dades del compte de text en clar amb altres programaris mitjançant API exposades.
10.3 Correu electrònic i dades sensibles
L'aplicació de pagament Viking no admet de forma nativa l'enviament de correu electrònic.
10.4 Accés administratiu fora de la consola
Viking no admet l'accés administratiu que no sigui de la consola. Tanmateix, per al coneixement general del comerciant, l'accés administratiu que no sigui de la consola ha d'utilitzar SSH, VPN o TLS per xifrar tots els accessos administratius que no siguin de la consola als servidors de l'entorn de dades del titular de la targeta. No s'han d'utilitzar Telnet ni altres mètodes d'accés no xifrats.
17
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
11. Metodologia de versions Viking
La metodologia de control de versions de Nets consta d'un número de versió S/W de dues parts: a.bb
on s'incrementarà "a" quan es facin canvis d'alt impacte segons l'estàndard de programari PCI-Secure. a - versió principal (1 dígit)
`bb' s'incrementarà quan es facin canvis planificats de baix impacte segons l'estàndard de programari PCI-Secure. bb - versió menor (2 dígits)
El número de versió S/W de l'aplicació de pagament Viking es mostra així a la pantalla del terminal quan el terminal està encès: `abb'
· Una actualització de, per exemple, 1.00 a 2.00 és una actualització funcional important. Pot incloure canvis que afectin la seguretat o els requisits de l'estàndard de programari segur PCI.
· Una actualització de, per exemple, 1.00 a 1.01 és una actualització funcional no significativa. És possible que no inclogui canvis que afectin la seguretat o els requisits de l'estàndard de programari segur PCI.
Tots els canvis es representen en ordre numèric seqüencial.
12. Instruccions sobre la instal·lació segura de pedaços i actualitzacions.
Nets ofereix de forma segura actualitzacions d'aplicacions de pagament a distància. Aquestes actualitzacions es produeixen al mateix canal de comunicació que les transaccions de pagament segures i el comerciant no està obligat a fer cap canvi a aquesta ruta de comunicació per complir-la.
Quan hi hagi un pedaç, Nets actualitzarà la versió del pedaç a Nets Host. El comerciant obtindria els pegats mitjançant una sol·licitud de descàrrega de S/W automatitzada, o el comerciant també pot iniciar una descàrrega de programari des del menú del terminal.
Per obtenir informació general, els comerciants haurien de desenvolupar una política d'ús acceptable per a tecnologies crítiques orientades als empleats, segons les directrius següents per a VPN o altres connexions d'alta velocitat, les actualitzacions es reben mitjançant un tallafoc o un tallafoc de personal.
L'amfitrió de Nets està disponible a través d'Internet mitjançant un accés segur o mitjançant una xarxa tancada. Amb la xarxa tancada, el proveïdor de xarxa té una connexió directa amb el nostre entorn amfitrió que ofereix el seu proveïdor de xarxa. Els terminals es gestionen a través dels serveis de gestió de terminals de Nets. El servei de gestió de terminals defineix per exampla regió a la qual pertany el terminal i l'adquirent en ús. La gestió del terminal també és responsable d'actualitzar el programari del terminal de forma remota a través de la xarxa. Nets assegura que el programari carregat al terminal ha completat les certificacions requerides.
Nets recomana punts de control a tots els seus clients per garantir pagaments segurs i segurs, tal com s'enumeren a continuació: 1. Mantingueu una llista de tots els terminals de pagament operatius i feu fotografies de totes les dimensions perquè sàpigues com han de ser. 2. Busca signes evidents de tampcom ara segells trencats sobre plaques de coberta d'accés o cargols, cablejat estrany o diferent o un dispositiu de maquinari nou que no podeu reconèixer. 3. Protegiu els vostres terminals de l'abast del client quan no els feu servir. Inspeccioneu els vostres terminals de pagament diàriament i altres dispositius que puguin llegir targetes de pagament. 4. Heu de comprovar la identitat del personal de reparació si espereu alguna reparació del terminal de pagament. 5. Truqueu a Nets o al vostre banc immediatament si sospiteu alguna activitat poc òbvia. 6. Si creieu que el vostre dispositiu TPV és vulnerable al robatori, hi ha bressols de servei i arnesos i cordons segurs disponibles per comprar comercialment. Potser val la pena considerar el seu ús.
18
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
13.Actualitzacions de llançament de Viking
El programari Viking es publica en els cicles de llançament següents (subjecte a canvis):
· 2 llançaments principals anuals · 2 llançaments menors anualment · Pedaços de programari, segons sigui necessari, (per exemple, a causa d'algun error crític/problema de vulnerabilitat). Si a
La versió està operativa al camp i s'informa d'alguns problemes crítics, llavors s'espera que un pedaç de programari amb la correcció s'alliberi en el termini d'un mes.
Els comerciants serien notificats sobre els llançaments (principals/menors/pedaç) mitjançant correus electrònics que s'enviarien directament a les seves respectives adreces de correu electrònic. El correu electrònic també inclourà els aspectes més destacats de la versió i les notes de llançament.
Els comerciants també poden accedir a les notes de la versió que es penjaran a:
Notes de la versió del programari (nets.eu)
Les versions de Viking Software es signen mitjançant l'eina de cant d'Ingenico per a terminals Tetra. Només es pot carregar al terminal programari signat.
14. Requisits no aplicables
Aquesta secció conté una llista de requisits de l'estàndard de programari PCI-Secure que s'ha avaluat com a "No aplicable" a l'aplicació de pagament Viking i la justificació d'això.
Estàndard de programari segur PCI
CO
Activitat
Justificació per ser "No aplicable"
5.3
Mètodes d'autenticació (inclosa la creació de sessions, l'aplicació de pagament Viking s'executa amb PTS POI aprovat per PCI
dentals) són prou forts i robusts per al dispositiu.
protegir les credencials d'autenticació
L'aplicació de pagament Viking no ofereix locals, no de consola.
ventilat.
o accés remot, ni nivell de privilegis, per tant no hi ha
credencials d'identificació al dispositiu PTS POI.
L'aplicació de pagament Viking no ofereix paràmetres per gestionar o generar identificadors d'usuari i no proporciona cap accés local, que no sigui de consola o remot als actius crítics (fins i tot amb finalitats de depuració).
5.4
Per defecte, tot l'accés als actius crítics es re-
L'aplicació de pagament Viking s'executa amb PTS POI aprovat per PCI
limitada només a aquells comptes i dispositius de serveis.
que requereixen aquest accés.
L'aplicació de pagament Viking no proporciona configuració
gestionar o generar comptes o serveis.
7.3
Tots els números aleatoris utilitzats pel programari són l'aplicació de pagament Viking no utilitza cap RNG (aleatori
generat utilitzant només un generador de números aleatoris aprovat) per a les seves funcions de xifratge.
algorismes o biblioteques de generació de ber (RNG).
19
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
Els algorismes o biblioteques RNG aprovats són aquells que compleixen els estàndards de la indústria per a una impredictibilitat suficient (per exemple, la publicació especial del NIST 800-22).
L'aplicació de pagament Viking no genera ni utilitza números aleatoris per a funcions criptogràfiques.
7.4
Els valors aleatoris tenen entropia que compleix amb l'aplicació de pagament Viking no utilitza cap RNG (aleatori
requisits mínims de força efectiva del generador de números) per a les seves funcions de xifratge.
les primitives criptogràfiques i les claus que es basen
sobre ells.
L'aplicació de pagament Viking no genera ni utilitza cap
nombres aleatoris per a funcions criptogràfiques.
8.1
Tots els intents d'accés i ús d'actius crítics L'aplicació de pagament Viking s'executa amb un PTS PTS aprovat per PCI
es fa un seguiment i es pot traçar a un individu únic. dispositius, on es gestionen tots els actius crítics, i el
El microprogramari PTS POI garanteix la confidencialitat i la integritat dels
dades sitives mentre s'emmagatzemen al dispositiu PTS POI.
La confidencialitat, la integritat i la resistència de la funció sensible de l'aplicació de pagament Viking estan protegides i proporcionades pel microprogramari PTS POI. El microprogramari PTS POI impedeix qualsevol accés als actius crítics fora del terminal i es basa en l'anti-tamperen característiques.
L'aplicació de pagament Viking no ofereix accés local, sense consola o remot, ni nivell de privilegis, per tant no hi ha cap persona ni altres sistemes amb accés a actius crítics, només l'aplicació de pagament Viking és capaç de gestionar actius crítics.
8.2
Tota l'activitat es captura en una aplicació de pagament Viking suficient i necessària s'executa en un PTS PTS aprovat per PCI
detalls per descriure amb precisió quins dispositius específics.
es van realitzar activitats, qui les va realitzar
ells, l'hora en què es van interpretar i
L'aplicació de pagament Viking no ofereix locals sense consola
quins actius crítics es van veure afectats.
o accés remot, ni nivell de privilegis, per tant no n'hi ha
només una persona o altres sistemes amb accés a actius crítics
L'aplicació de pagament Viking és capaç de gestionar actius crítics.
· L'aplicació de pagament Viking no ofereix modes de funcionament privilegiats.
· No hi ha funcions per desactivar el xifratge de dades sensibles
· No hi ha funcions per al desxifrat de dades sensibles
· No hi ha funcions per exportar dades sensibles a altres sistemes o processos
· No s'admeten funcions d'autenticació
Els controls de seguretat i la funcionalitat de seguretat no es poden desactivar ni suprimir.
8.3
El programari admet la retenció segura de l'aplicació de pagament de Viking s'executa a PTS POI aprovat per PCI
registres d'activitat de cua.
dispositius.
20
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
8.4 B.1.3
L'aplicació de pagament Viking no ofereix accés local, sense consola o remot, ni nivell de privilegis, per tant no hi ha cap persona ni altres sistemes amb accés a actius crítics, només l'aplicació de pagament Viking és capaç de gestionar els actius crítics.
· L'aplicació de pagament Viking no ofereix modes de funcionament privilegiats.
· No hi ha funcions per desactivar el xifratge de dades sensibles
· No hi ha funcions per al desxifrat de dades sensibles
· No hi ha funcions per exportar dades sensibles a altres sistemes o processos
· No s'admeten funcions d'autenticació
Els controls de seguretat i la funcionalitat de seguretat no es poden desactivar ni suprimir.
El programari gestiona errors en els mecanismes de seguiment d'activitats de manera que es preserva la integritat dels registres d'activitats existents.
L'aplicació de pagament Viking s'executa en dispositius PTS POI aprovats per PCI.
L'aplicació de pagament Viking no ofereix accés local, sense consola o remot, ni nivell de privilegis, per tant no hi ha cap persona ni altres sistemes amb accés a actius crítics, només l'aplicació Viking és capaç de gestionar actius crítics.
· L'aplicació de pagament Viking no ofereix modes de funcionament privilegiats.
· No hi ha funcions per desactivar el xifratge de dades sensibles
· No hi ha funcions per al desxifrat de dades sensibles
· No hi ha funcions per exportar dades sensibles a altres sistemes o processos
· No s'admeten funcions d'autenticació
· Els controls de seguretat i la funcionalitat de seguretat no es poden desactivar ni esborrar.
El proveïdor de programari manté la documentació que descriu totes les opcions configurables que poden afectar la seguretat de les dades sensibles.
L'aplicació de pagament Viking s'executa en dispositius PTS POI aprovats per PCI.
L'aplicació de pagament Viking no ofereix cap de les opcions següents als usuaris finals:
· opció configurable per accedir a dades sensibles
21
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
B.2.4 B.2.9 B.5.1.5
· opció configurable per modificar mecanismes de protecció de dades sensibles
· accés remot a l'aplicació
· actualitzacions remotes de l'aplicació
· opció configurable per modificar la configuració predeterminada de l'aplicació
El programari utilitza només les funcions de generació de números aleatoris incloses a l'avaluació del dispositiu PTS del terminal de pagament per a totes les operacions criptogràfiques que impliquen dades o funcions sensibles on es requereixen valors aleatoris i no implementa els seus propis.
Viking no utilitza cap RNG (generador de números aleatoris) per a les seves funcions de xifratge.
L'aplicació Viking no genera ni utilitza números aleatoris per a funcions criptogràfiques.
funció(s) de generació de nombres aleatoris.
La integritat del missatge de programari files està protegit d'acord amb l'objectiu de control B.2.8.
Totes les visualitzacions del terminal Viking estan codificades a l'aplicació i cap indicació files estan presents fora de l'aplicació.
Cap indicació fileSi existeixen fora de l'aplicació de pagament Viking, tota la informació necessària la genera l'aplicació.
La guia d'implementació inclou instruccions per a les parts interessades per signar criptogràficament totes les indicacions files.
Totes les indicacions que es mostren al terminal Viking estan codificades a l'aplicació i cap indicació files estan presents fora de l'aplicació.
Cap indicació fileSi existeixen fora de l'aplicació de pagament Viking, tota la informació necessària la genera l'aplicació
22
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
15. Referència dels requisits estàndard del programari segur PCI
Capítols d'aquest document 2. Aplicació de pagament segur
Requisits estàndard de programari segur PCI
B.2.1 6.1 12.1 12.1.b
Requisits PCI DSS
2.2.3
3. Programari remot segur
11.1
Actualitzacions
11.2
12.1
1 i 12.3.9 2, 8 i 10
4. Supressió segura de les dades sensibles i protecció de les dades emmagatzemades del titular de la targeta
3.2 3.4 3.5 A.2.1 A.2.3 B.1.2a
Autenticació i controls d'accés 5.1 5.2 5.3 5.4
3.2 3.2 3.1 3.3 3.4 3.5 3.6
8.1 i 8.2 8.1 i 8.2
Enregistrament
3.6
10.1
8.1
10.5.3
8.3
Xarxa sense fils
4.1
1.2.3 i 2.1.1 4.1.1 1.2.3, 2.1.1,4.1.1, XNUMX
Segmentació de la xarxa Accés remot Transmissió de dades del titular de la targeta
4.1c
B.1.3
A.2.1 A.2.3
1.3.7
8.3
4.1 4.2 2.3 8.3
Metodologia de versions Viking
11.2 12.1.b
Instruccions per als clients sobre 11.1
instal·lació segura de pedaços i 11.2
actualitzacions.
12.1
23
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
16. Glossari de termes
TERM Dades del titular de la targeta
DUKPT
3DES Merchant SSF
PA-QSA
DEFINICIÓ
La banda magnètica completa o el PAN més qualsevol dels següents: · Nom del titular de la targeta · Data de caducitat · Codi de servei
La clau única derivada per transacció (DUKPT) és un esquema de gestió de claus en què per a cada transacció s'utilitza una clau única que es deriva d'una clau fixa. Per tant, si una clau derivada està compromesa, les dades de transaccions futures i passades encara estan protegides, ja que les claus següents o anteriors no es poden determinar fàcilment.
En criptografia, Triple DES (3DES o TDES), oficialment l'algoritme de xifratge de dades triple (TDEA o Triple DEA), és un xifratge de blocs de clau simètrica, que aplica l'algoritme de xifratge DES tres vegades a cada bloc de dades.
L'usuari final i comprador del producte Viking.
El PCI Software Security Framework (SSF) és una col·lecció d'estàndards i programes per al disseny i desenvolupament segurs de programari de pagament. La seguretat del programari de pagament és una part crucial del flux de transaccions de pagament i és essencial per facilitar transaccions de pagament fiables i precises.
Avaluadors de seguretat qualificats de sol·licitud de pagament. Empresa QSA que ofereix serveis als venedors d'aplicacions de pagament per validar les aplicacions de pagament dels venedors.
SAD (dades d'autenticació sensibles)
Informació relacionada amb la seguretat (codis/valors de validació de targetes, dades de seguiment completes, PIN i blocs de PIN) que s'utilitza per autenticar els titulars de la targeta, que apareix en text sense format o sense protecció. La divulgació, modificació o destrucció d'aquesta informació podria comprometre la seguretat d'un dispositiu criptogràfic, sistema d'informació o informació del titular de la targeta o es podria utilitzar en una transacció fraudulenta. Les dades d'autenticació sensibles no s'han d'emmagatzemar mai quan s'hagi acabat una transacció.
Viking HSM
La plataforma de programari utilitzada per Nets per al desenvolupament d'aplicacions per al mercat europeu.
Mòdul de seguretat de maquinari
24
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
17. Control de documents
Autor del document, Reviewers i aprovadors
Descripció SSA Development Compliance Manager Arquitecte de sistemes QA Product Owner Product Manager Director d'enginyeria
Funció Reviewer Autor Reviewer & Aprovador Reviewer & Aprovador Reviewer & Aprovador Reviewer & Gestor d'aprovació
Nom Claudio Adami / Flavio Bonfiglio Sorans Aruna Panicker Arno Ekström Shamsher Singh Varun Shukla Arto Kangas Eero Kuusinen Taneli Valtonen
Resum dels canvis
Número de versió 1.0
1.0
1.1
Data de la versió 03-08-2022
15-09-2022
20-12-2022
Naturalesa del canvi
Primera versió per a l'estàndard de programari PCI-Secure
Actualitzat l'apartat 14 amb els objectius de control no aplicables amb la seva justificació
Seccions actualitzades 2.1.2 i 2.2
amb Self4000.
Eliminat
Link2500 (versió PTS 4.x) del
llista de terminals compatibles
Canvia l'autor Aruna Panicker Aruna Panicker
Aruna Panicker
Reviewer
Data d'aprovació
Shamsher Singh 18-08-22
Shamsher Singh 29-09-22
Shamsher Singh 23-12-22
1.1
05-01-2023 Secció actualitzada 2.2 amb Link2500 Aruna Panicker Shamsher Singh 05-01-23
(pts v4) per continuar amb el suport
per a aquest tipus de terminal.
1.2
20-03-2023 Secció actualitzada 2.1.1 amb el letó Aruna Panicker Shamsher Singh 21-04-23
i terminal pro lituàfiles.
I 2.1.2 amb comunicació BT-iOS
suport tipus ció
2.0
03-08-2023 Versió de llançament actualitzada a Aruna Panicker Shamsher Singh 13-09-23
2.00 en capçalera/peus de pàgina.
S'ha actualitzat la secció 2.2 amb la nova
Maquinari i microprogramari Move3500
versions. S'ha actualitzat la secció 11 per
`Metodologia de versions Viking'.
S'ha actualitzat la secció 1.3 amb l'última
versió del requisit PCI SSS
guia. S'ha actualitzat la secció 2.2 per al suport
S'han eliminat terminals portats sense suport
versions de maquinari portades del
llista.
2.0
16-11-2023 Actualització visual (CVI).
Leyla Avsar
Arno Ekström 16-11-23
25
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
Llista de distribució
Nom Departament Terminal Gestió de Productes
Desenvolupament de funcions, prova, gestió de projectes, equip de gestió de productes de terminal de compliment, producte de gestor de compliment
Aprovacions de documents
Nom Arto Kangas
Funció Propietari del producte
Document Review Plans
Aquest document serà revieweditat i actualitzat, si cal, tal com es defineix a continuació:
· Segons sigui necessari per corregir o millorar el contingut de la informació · Després de qualsevol canvi o reestructuració organitzativa · Després d'una revisió anualview · Seguiment de l'explotació d'una vulnerabilitat. · Seguiment de noves informacions/requisits sobre vulnerabilitats rellevants
26
Guia d'implementació del proveïdor estàndard de programari PCI-Secure v2.0 per a Viking Terminal 2.00
Documents/Recursos
 |
nets Programari estàndard PCI-Secure [pdfGuia de l'usuari Programari estàndard PCI-Secure, PCI-Secure, programari estàndard, programari |
