Piranti Lunak Standar PCI-Secure
Informasi produk: PCI-Secure Software Standard Vendor
Pandhuan Implementasine kanggo Viking Terminal 2.00
Spesifikasi
Versi: 2.0
1. Pambuka lan Lingkup
1.1 Pambuka
Pandhuan Implementasi Vendor Standar Piranti Lunak PCI-Secure
menehi pedoman kanggo ngleksanakake piranti lunak ing Viking
Terminal 2.00.
1.2 Kerangka Keamanan Perangkat Lunak (SSF)
Kerangka Keamanan Perangkat Lunak (SSF) njamin pembayaran sing aman
aplikasi ing Viking Terminal 2.00.
1.3 Pandhuan Implementasi Vendor Piranti Lunak - Distribusi lan
Nganyari
Pandhuan iki kalebu informasi babagan distribusi lan nganyari
saka Pandhuan Implementasi Vendor Piranti Lunak kanggo Terminal Viking
2.00.
2. Aplikasi Pembayaran Aman
2.1 Aplikasi S/W
Piranti lunak aplikasi pembayaran aman njamin aman
komunikasi karo inang pembayaran lan ECR.
2.1.1 Pembayaran Host komunikasi TCP/IP setelan parameter
Bagian iki menehi instruksi kanggo nyetel TCP/IP
paramèter kanggo komunikasi karo host pembayaran.
2.1.2 Komunikasi ECR
Bagian iki menehi instruksi kanggo komunikasi karo
ECR (Electronic Cash Register).
2.1.3 Komunikasi kanggo inang liwat ECR
Bagian iki nerangake carane nggawe komunikasi karo
inang pembayaran nggunakake ECR.
2.2 Hardware terminal sing didhukung
Aplikasi pembayaran sing aman ndhukung Terminal Viking 2.00
hardware.
2.3 Kawicaksanan Keamanan
Bagean iki njlentrehake kabijakan keamanan sing kudu ditindakake
tindakake nalika nggunakake aplikasi pembayaran aman.
3. Nganyari Piranti Lunak Remot Aman
3.1 Aplikasi Merchant
Bagian iki nyedhiyakake informasi babagan aplikasi aman
nganyari piranti lunak remot kanggo pedagang.
3.2 Kabijakan Panggunaan Ditrima
Bagean iki negesake kabijakan panggunaan sing bisa ditampa kanggo aman
nganyari piranti lunak remot.
3.3 Firewall pribadi
Pandhuan kanggo configuring firewall pribadi kanggo ngidini
nganyari piranti lunak remot aman kasedhiya ing bagean iki.
3.4 Prosedur Nganyari Remot
Bagean iki nerangake tata cara kanggo nindakake aman
nganyari piranti lunak remot.
4. Aman Mbusak Data Sensitif lan Proteksi Disimpen
Data Pemegang Kartu
4.1 Aplikasi Merchant
Bagian iki nyedhiyakake informasi babagan aplikasi aman
pambusakan data sensitif lan pangayoman data pemegang kertu sing disimpen
kanggo bakul.
4.2 Pandhuan Busak Aman
Pandhuan kanggo mbusak data sensitif kanthi aman diwenehake
ing bagean iki.
4.3 Lokasi Data Pemegang Kartu sing Disimpen
Bagean iki nampilake lokasi ing ngendi data pemegang kertu disimpen
lan menehi tuntunan kanggo nglindhungi.
Bagean iki nerangake tata cara kanggo nangani tundha
transaksi wewenang aman.
4.5 Tata Cara Ngatasi Masalah
Pandhuan kanggo ngatasi masalah sing gegandhengan karo aman
pambusakan lan pangayoman data cardholder disimpen kasedhiya ing
bagean iki.
4.6 Lokasi PAN – Ditampilake utawa dicithak
Bagean iki ngenali lokasi ing ngendi PAN (Akun Utama
Nomer) ditampilake utawa dicithak lan menehi pandhuan kanggo ngamanake
iku.
4.7 Pandhuan files
Pandhuan kanggo ngatur cepet files aman kasedhiya ing
bagean iki.
4.8 Manajemen kunci
Bagean iki nerangake prosedur manajemen kunci kanggo mesthekake
keamanan data pemegang kertu sing disimpen.
4.9 '24 HR' Urip maneh
Pandhuan kanggo nindakake urip maneh '24 HR' kanggo njamin sistem
keamanan kasedhiya ing bagean iki.
4.10 Daftar Putih
Bagean iki menehi informasi babagan whitelisting lan sawijining
pentinge kanggo njaga keamanan sistem.
5. Otentikasi lan Kontrol Akses
Bagean iki nyakup otentikasi lan langkah-langkah kontrol akses
kanggo njamin keamanan sistem.
Pitakonan sing Sering Ditakoni (FAQ)
P: Apa tujuan PCI-Secure Software Standard
Pandhuan Implementasi Vendor?
A: Pandhuan menehi pedoman kanggo ngleksanakake pembayaran aman
piranti lunak aplikasi ing Viking Terminal 2.00.
P: Hardware terminal sing didhukung dening pembayaran sing aman
aplikasi?
A: Aplikasi pembayaran aman ndhukung Terminal Viking
2.00 hardware.
P: Kepiye carane bisa mbusak data sensitif kanthi aman?
A: Pandhuan kanggo mbusak data sensitif kanthi aman yaiku
kasedhiya ing bagean 4.2 saka pandhuan.
P: Apa pentinge whitelisting?
A: Whitelisting nduweni peran penting kanggo njaga sistem
keamanan kanthi ngidini mung aplikasi sing disetujoni kanggo mbukak.
Isi iki diklasifikasikaké minangka Internal
Nets Denmark A/S:
PCI-Secure Software Standard Software Vendor Implementasi Guide kanggo terminal Viking 2.00
Versi 2.0
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00 1 1
Isine
1. Pambuka lan Cakupan …………………………………………………………………. 3
1.1
Pambuka ……………………………………………………………………………. 3
1.2
Kerangka Kerja Keamanan Perangkat Lunak (SSF) …………………………………………. 3
1.3
Pandhuan Implementasi Vendor Piranti Lunak – Distribusi lan Nganyari …… 3
2. Aplikasi Pembayaran Aman ……………………………………………………… 4
2.1
Aplikasi S/W ……………………………………………………………………………. 4
2.1.1 Komunikasi Host Pembayaran Konfigurasi parameter TCP/IP ……………………….. 4
2.1.2 Komunikasi ECR ................................................................................................ 5
2.1.3 Komunikasi menyang tuan rumah liwat ECR ……………………………………………………. 5
2.2
Perangkat keras terminal sing didhukung ……………………………………………………… 6
2.3
Kawicaksanan Keamanan …………………………………………………………. 7
3. Nganyari Piranti Lunak Jarak Jauh sing Aman ………………………………………………………. 8
3.1
Aplikasi Merchant……………………………………………………………… 8
3.2
Kawicaksanan Panggunaan sing Ditrima …………………………………………………………. 8
3.3
Firewall Pribadi……………………………………………………………… 8
3.4
Prosedur Nganyari Jarak Jauh ……………………………………………………… 8
4. Aman Pambusakan Data Sensitif lan Pangreksan Data Pemegang Kartu sing Disimpen9
4.1
Aplikasi Merchant……………………………………………………………… 9
4.2
Instruksi Mbusak Aman……………………………………………………………… 9
4.3
Lokasi Data Pemegang Kartu sing Disimpen ……………………………………………………… 9
4.4
Transaksi Izin Ditunda ………………………………………………. 10
4.5
Prosedur Pemecahan Masalah ……………………………………………………… 10
4.6
Lokasi PAN – Ditampilake utawa Dicetak …………………………………………… 10
4.7
Prompt files ………………………………………………………………….. 11
4.8
Manajemen Utama …………………………………………………………… 11
4.9
`24 HR' Urip maneh …………………………………………………………………. 12
4.10 Daftar Putih …………………………………………………………………………… 12
5. Otentikasi lan Kontrol Akses ………………………………………………………. 13
5.1
Kontrol Akses ……………………………………………………………………………. 13
5.2
Kontrol Sandi ………………………………………………………………………. 15
6. Logging ……………………………………………………………………………… 15
6.1
Aplikasi Merchant…………………………………………………… 15
6.2
Konfigurasi Setelan Log ………………………………………………………………. 15
6.3
Central Logging ………………………………………………………………… 15
6.3.1 Ngaktifake trace Logging ing terminal ……………………………………………………… 15
6.3.2 Ngirim trace Log menyang host ………………………………………………………………… 15
6.3.3 Trace logging jarak jauh …………………………………………………………………. 16
6.3.4 Log kesalahan jarak jauh………………………………………………………………. 16
7. Jaringan Nirkabel ………………………………………………………………… 16
7.1
Aplikasi Merchant…………………………………………………… 16
7.2
Konfigurasi Nirkabel sing Disaranake …………………………………………… 16
8. Segmentasi Jaringan ……………………………………………………….. 17
8.1
Aplikasi Merchant…………………………………………………… 17
9. Akses Remote …………………………………………………………………………… 17
9.1
Aplikasi Merchant…………………………………………………… 17
10.
Pangiriman Data Sensitif ……………………………………………………… 17
10.1 Pangiriman Data Sensitif ……………………………………………………… 17
10.2 Nuduhake data Sensitif menyang piranti lunak liyane ……………………………………………… 17
10.3 Email lan Data Sensitif ………………………………………………………. 17
10.4 Akses Administratif Non-Konsol ……………………………………………. 17
11.
Metodologi Versi Viking ……………………………………………………. 18
12.
Pandhuan babagan Instalasi Aman saka Patch lan Nganyari. ……………. 18
13.
Update Rilis Viking ……………………………………………………. 19
14.
Persyaratan Non-Applied …………………………………………………………. 19
15.
Referensi Referensi Standar Piranti Lunak PCI Secure…………………… 23
16.
Glosarium Tembung …………………………………………………………………. 24
17.
Kontrol Dokumen ……………………………………………………………… 25
2
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
1. Pambuka lan Lingkup
1.1 Pambuka
Tujuan saka Pandhuan Implementasi Vendor Piranti Lunak Standar PCI-Secure iki yaiku kanggo menehi panuntun dhumateng para pemangku kepentingan babagan implementasi, konfigurasi, lan operasi piranti lunak Viking sing aman. Pandhuan kasebut menehi pitunjuk marang Pedagang babagan carane ngetrapake aplikasi Viking Nets menyang lingkungane kanthi cara sing cocog karo PCI Secure Software Standard. Sanajan, ora dimaksudake minangka pandhuan instalasi lengkap. Aplikasi Viking, yen diinstal miturut pedoman sing didokumentasikan ing kene, kudu nggampangake, lan ndhukung kepatuhan PCI pedagang.
1.2 Kerangka Keamanan Perangkat Lunak (SSF)
PCI Software Security Framework (SSF) minangka kumpulan standar lan program kanggo desain aman lan pangembangan piranti lunak aplikasi pembayaran. SSF ngganti Standar Keamanan Data Aplikasi Pembayaran (PA-DSS) kanthi syarat modern sing ndhukung macem-macem jinis piranti lunak pembayaran, teknologi, lan metodologi pangembangan. Iki nyedhiyakake standar keamanan standar kaya PCI Secure Software Standard kanggo ngembangake lan njaga piranti lunak pembayaran supaya bisa nglindhungi transaksi lan data pembayaran, nyuda kerentanan, lan mbela serangan.
1.3 Pandhuan Implementasi Vendor Piranti Lunak - Distribusi lan Nganyari
Pandhuan Implementasi Vendor Piranti Lunak Standar PCI Secure Software iki kudu disebarake menyang kabeh pangguna aplikasi sing relevan kalebu pedagang. Sampeyan kudu dianyari paling sethithik saben taun lan sawise owah-owahan ing piranti lunak. Ing re taunanview lan nganyari kudu kalebu owah-owahan piranti lunak anyar uga owah-owahan ing Secure Software Standard.
Nets nerbitake informasi ing kadhaptar websitus yen ana nganyari ing pandhuan implementasine.
Websitus: https://support.nets.eu/
Kanggo Example: Nets PCI-Secure Software Standard Software Vendor Implementation Guide bakal disebarake kanggo kabeh pelanggan, pengecer, lan integrators. Pelanggan, Pengecer, lan Integrator bakal diwenehi kabar saka reviews lan nganyari.
Nganyari PCI-Secure Software Standard Software Vendor Implementasi Guide bisa dipikolehi dening kontak Nets langsung, uga.
Pandhuan Implementasi Vendor Piranti Lunak Piranti Lunak PCI-Secure iki nuduhake syarat PCI-Secure Software Standard lan PCI. Versi ing ngisor iki dirujuk ing pandhuan iki.
· PCI-Secure-Software-Standar-v1_2_1
3
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
2. Aplikasi Pembayaran Aman
2.1 Aplikasi S/W
Aplikasi pambayaran Viking ora nggunakake piranti lunak utawa hardware eksternal sing dudu aplikasi sing dipasang Viking. Kabeh eksekusi S/W sing ana ing aplikasi pembayaran Viking ditandatangani kanthi digital karo kit tandha Tetra sing diwenehake dening Ingenico.
· Terminal komunikasi karo Nets Host nggunakake TCP/IP, liwat Ethernet, GPRS, Wi-Fi, utawa liwat PC-LAN sing nganggo aplikasi POS. Uga, terminal bisa komunikasi karo host liwat seluler kanthi konektivitas Wi-Fi utawa GPRS.
Terminal Viking ngatur kabeh komunikasi nggunakake komponen lapisan link Ingenico. Komponen iki minangka aplikasi sing dimuat ing terminal. Link Layer bisa ngatur sawetara komunikasi ing wektu sing padha nggunakake peripheral beda (modem lan port serial kanggo example).
Saiki ndhukung protokol ing ngisor iki:
· Fisik: RS232, modem internal, modem eksternal (liwat RS232), USB, Ethernet, Wi-Fi, Bluetooth, GSM, GPRS, 3G lan 4G.
· Data Link: SDLC, PPP. · Jaringan: IP. · Transportasi: TCP.
Terminal tansah njupuk inisiatif kanggo nggawe komunikasi menyang Nets Host. Ora ana server TCP/IP S/W ing terminal, lan terminal S/W ora tau nanggapi telpon mlebu.
Nalika digabungake karo aplikasi POS ing PC, terminal bisa disetel kanggo komunikasi liwat PC-LAN sing nganggo aplikasi POS nggunakake RS232, USB, utawa Bluetooth. Isih kabeh fungsi aplikasi pembayaran mlaku ing terminal S / W.
Protokol aplikasi (lan enkripsi sing ditrapake) transparan lan bebas saka jinis komunikasi.
2.2 Pembayaran Host komunikasi TCP/IP setelan parameter
4
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
2.3 Komunikasi ECR
· Serial RS232 · Sambungan USB · Persiyapan parameter TCP/IP, uga dikenal minangka ECR liwat IP
· Pilihan komunikasi Host/ECR ing Aplikasi Pembayaran Viking
· Konfigurasi paramèter Nets Cloud ECR (Connect@Cloud).
2.4 Komunikasi kanggo inang liwat ECR
Cathetan: Waca "2.1.1- Komunikasi Host Pembayaran TCP/IP setelan parameter" kanggo port TCP/IP khusus negara.
5
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
2.5 Hardware terminal sing didhukung
Aplikasi pembayaran Viking didhukung ing macem-macem piranti Ingenico sing divalidasi PTS (PIN keamanan transaksi). Dhaptar hardware terminal bebarengan karo nomer persetujuan PTS diwenehi ing ngisor iki.
Jinis Terminal Tetra
Terminal hardware
Lane 3000
PTS
persetujuan PTS
nomer versi
5.x
4-30310
PTS Hardware Versi
LAN30EA LAN30AA
Meja 3500
5.x
4-20321
DES35BB
Pindhah 3500
5.x
4-20320
MOV35BB MOV35BC MOV35BQ MOV35BR
Link2500
Link2500 Self4000
4.x
4-30230
5.x
4-30326
5.x
4-30393
LIN25BA LIN25JA
LIN25BA LIN25JA SEL40BA
Versi Firmware PTS
820547v01.xx 820561v01.xx 820376v01.xx 820376v02.xx 820549v01.xx 820555v01.xx 820556v01.xx 820565v01.xx 820547v01.xx 820376v01.xx 820376v02.xx 820547v01.xx 820549v01.xx 820555v01.xx 820556v01.xx 820565v01.xx 820547v01.xx 820565v01.xx 820548v02.xx 820555v01.xx 820556v01.xx 820547v01.xx
820547v01.xx
820547v01.xx
6
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
2.6 Kawicaksanan Keamanan
Aplikasi pembayaran Viking netepi kabeh kabijakan keamanan sing ditrapake sing ditemtokake dening Ingenico. Kanggo informasi umum, iki minangka pranala menyang kabijakan keamanan kanggo terminal Tetra sing beda:
Tipe Terminal
Link 2500 (v4)
Dokumen Kebijakan Keamanan Link/2500 PCI PTS Kebijakan Keamanan (pcisecuritystandards.org)
Link 2500 (v5)
Kebijakan Keamanan PCI PTS (pcisecuritystandards.org)
Meja3500
https://listings.pcisecuritystandards.org/ptsdocs/4-20321ICO-OPE-04972-ENV12_PCI_PTS_Security_Policy_Desk_3200_Desk_3500-1650663092.33407.pdf
Pindhah3500
https://listings.pcisecuritystandards.org/ptsdocs/4-20320ICO-OPE-04848-ENV11_PCI_PTS_Security_Policy_Move_3500-1647635765.37606.pdf
Lane3000
https://listings.pcisecuritystandards.org/ptsdocs/4-30310SP_ICO-OPE-04818-ENV16_PCI_PTS_Security_Policy_Lane_3000-1648830172.34526.pdf
Dhewe4000
Kebijakan Keamanan PTS Self/4000 PCI (pcisecuritystandards.org)
7
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
3. Nganyari Piranti Lunak Remot Aman
3.1 Aplikasi Merchant
Nets kanthi aman ngirim nganyari aplikasi pembayaran Viking saka jarak jauh. Nganyari iki kedadeyan ing saluran komunikasi sing padha karo transaksi pembayaran sing aman, lan pedagang ora mbutuhake owah-owahan ing jalur komunikasi iki kanggo kepatuhan.
Kanggo informasi umum, pedagang kudu ngembangake kabijakan panggunaan sing bisa ditampa kanggo teknologi sing diadhepi karyawan kritis, miturut pedoman ing ngisor iki kanggo VPN, utawa sambungan kacepetan dhuwur liyane, nganyari ditampa liwat firewall utawa firewall pribadi.
3.2 Kabijakan Panggunaan Ditrima
Pedagang kudu ngembangake kabijakan panggunaan kanggo teknologi kritis sing ngadhepi karyawan, kayata modem lan piranti nirkabel. Kabijakan panggunaan kasebut kudu kalebu:
· Persetujuan manajemen eksplisit kanggo panggunaan. · Authentication kanggo nggunakake. · Dhaptar kabeh piranti lan personel sing nduweni akses. · Labeling piranti karo pemilik. · Informasi kontak lan tujuan. · Panggunaan teknologi sing bisa ditampa. · Lokasi jaringan sing bisa ditampa kanggo teknologi kasebut. · Dhaptar produk sing disetujoni perusahaan. · Ngidini panggunaan modem kanggo vendor mung nalika dibutuhake lan mateni sawise digunakake. · Larangan panyimpenan data pemegang kertu menyang media lokal nalika disambungake saka jarak adoh.
3.3 Firewall pribadi
Sembarang sambungan "tansah aktif" saka komputer menyang VPN utawa sambungan kacepetan dhuwur liyane kudu diamanake kanthi nggunakake produk firewall pribadi. Firewall dikonfigurasi dening organisasi kanggo nyukupi standar tartamtu lan ora bisa diowahi dening karyawan.
3.4 Prosedur Nganyari Remot
Ana rong cara kanggo micu terminal kanggo ngubungi pusat piranti lunak Nets kanggo nganyari:
1. Salah siji kanthi manual liwat pilihan menu ing terminal (gesek kertu sudagar, pilih menu 8 "Software", 1 "Fetch lunak"), utawa Host miwiti.
2. Nggunakake cara Host miwiti; terminal kanthi otomatis nampa printah saka Host sawise wis nindakake transaksi financial. Printah kasebut ngandhani terminal supaya hubungi pusat piranti lunak Nets kanggo mriksa nganyari.
Sawise nganyari piranti lunak sing sukses, terminal kanthi printer sing dibangun bakal nyithak kuitansi kanthi informasi babagan versi anyar.
Integrator terminal, mitra lan/utawa tim dhukungan teknis Nets bakal duwe tanggung jawab kanggo menehi informasi marang pedagang babagan nganyari, kalebu link menyang pandhuan implementasine sing dianyari lan cathetan rilis.
Saliyane nampa sawise nganyari piranti lunak, aplikasi pembayaran Viking uga bisa divalidasi liwat Info Terminal kanthi mencet tombol `F3′ ing terminal.
8
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
4. Aman Mbusak Data Sensitif lan Perlindhungan Data Pemegang Kartu sing Disimpen
4.1 Aplikasi Merchant
Aplikasi pambayaran Viking ora nyimpen data belang magnetik, nilai validasi kertu utawa kode, PIN utawa data blok PIN, materi kunci kriptografi, utawa kriptogram saka versi sadurunge.
Dadi PCI cecek, sudagar kudu kabijakan data-penylametan kang nemtokake suwene data cardholder bakal katahan. Aplikasi pambayaran Viking ora nahan data pemegang kertu lan/utawa data otentikasi sensitif saka transaksi pungkasan lan yen ana transaksi wewenang offline utawa tundha nalika netepi kepatuhan PCI-Secure Software Standard ing wektu sing padha, mula bisa dibebasake saka kabijakan penylametan data sing duwe kertu sudagar.
4.2 Pandhuan Busak Aman
Terminal ora nyimpen data otentikasi sensitif; track2 lengkap, CVC, CVV utawa PIN, ora sadurunge utawa sawise wewenang; kajaba kanggo transaksi Otorisasi Ditundha ing kasus iki ndhelik data otentikasi sensitif (data track2 lengkap) disimpen nganti wewenang wis rampung. Sawise wewenang, data kasebut dibusak kanthi aman.
Sembarang conto data historis sing dilarang sing ana ing terminal bakal dibusak kanthi otomatis kanthi aman nalika aplikasi pembayaran terminal Viking dianyari. Pambusakan data historis sing dilarang lan data sing wis kabijakan retensi kepungkur bakal kelakon kanthi otomatis.
4.3 Lokasi Data Pemegang Kartu sing Disimpen
Data sing duwe kertu disimpen ing Flash DFS (Data File Sistem) terminal. Data kasebut ora bisa diakses langsung dening pedagang.
Toko Data (filemeja, lsp)
Elemen Data Pemegang Kartu sing disimpen (PAN, kadaluwarsa, unsur SAD apa wae)
Cara nyimpen data diamanake (kanggo contoample, enkripsi, kontrol akses, truncation, etc.)
File: trans.rsd
PAN, Tanggal kadaluwarsa, Kode Layanan
PAN: Enkripsi 3DES-DUKPT (112 bit)
File: storefwd.rsd PAN, Tanggal kadaluwarsa, Kode Layanan
PAN: Enkripsi 3DES-DUKPT (112 bit)
File: transoff.rsd PAN, Tanggal kadaluwarsa, Kode Layanan
PAN: Enkripsi 3DES-DUKPT (112 bit)
File: transorr.rsd Dipotong PAN
Dipotong (6 pisanan, 4 pungkasan)
File: offlrep.dat
PAN dipotong
Dipotong (6 pisanan, 4 pungkasan)
File: defauth.rsd PAN, Tanggal kadaluwarsa, Kode Layanan
PAN: Enkripsi 3DES-DUKPT (112 bit)
File: defauth.rsd Data track2 lengkap
Data Track2 Lengkap: 3DES-DUKPT pra-Enkripsi (112 bit)
9
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
4.4 Transaksi Wewenang Ditundha
Wewenang sing ditundha nalika pedagang ora bisa ngrampungake wewenang nalika transaksi karo pemegang kertu amarga konektivitas, masalah sistem, utawa watesan liyane, banjur ngrampungake wewenang kasebut nalika bisa nindakake.
Tegese wewenang sing ditundha nalika wewenang online ditindakake sawise kertu ora kasedhiya maneh. Amarga wewenang online kanggo transaksi wewenang sing ditundha ditundha, transaksi kasebut bakal disimpen ing terminal nganti transaksi kasebut kasil diijinake mengko nalika jaringan kasedhiya.
Transaksi kasebut disimpen lan dikirim mengko menyang host, kaya carane transaksi Offline disimpen nganti saiki ing aplikasi pembayaran Viking.
Merchant bisa miwiti transaksi minangka `Deferred Authorization' saka Electronic Cash Register (ECR) utawa liwat menu terminal.
Transaksi Otorisasi Ditundha bisa diunggah menyang host Nets dening pedagang nggunakake opsi ing ngisor iki: 1. ECR - Admin command - Kirim offline (0x3138) 2. Terminal - Merchant -> 2 EOT -> 2 dikirim menyang host
4.5 Tata Cara Ngatasi Masalah
Dhukungan Nets ora njaluk otentikasi sensitif utawa data pemegang kertu kanggo tujuan ngatasi masalah. Aplikasi pambayaran Viking ora bisa ngumpulake utawa ngatasi masalah data sensitif ing kasus apa wae.
4.6 Lokasi PAN – Ditampilake utawa dicithak
PAN topeng:
· Kuitansi Transaksi Keuangan: Masked PAN tansah dicithak ing kuitansi transaksi kanggo sing duwe kertu lan pedagang. PAN topeng ing umume kasus yaiku * ing ngendi 6 digit pisanan lan 4 digit pungkasan ana ing teks sing cetha.
· Laporan dhaptar transaksi: Laporan dhaptar transaksi nuduhake transaksi sing ditindakake ing sesi. Rincian transaksi kalebu Masked PAN, jeneng penerbit Kartu lan jumlah transaksi.
· Kuitansi pelanggan pungkasan: Salinan kuitansi pelanggan pungkasan bisa digawe saka menu salinan terminal. Kwitansi pelanggan ngemot PAN topeng minangka kuitansi pelanggan asli. Fungsi sing diwenehake digunakake yen terminal gagal ngasilake kuitansi pelanggan sajrone transaksi kanthi alasan apa wae.
PAN sing dienkripsi:
· Kuitansi transaksi offline: Versi kuitansi pengecer saka transaksi offline kalebu data pemegang kartu sing dienkripsi DUKPT Triple DES 112-bit (PAN, Tanggal kadaluwarsa lan kode Layanan).
BAX: 71448400-714484 12/08/2022 10:39
Visa Contactless ************3439-0 107A47458AE773F3A84DF977 553E3D93FFFF9876543210E0 15F3 AID: A0000000031010 TVR: 0000000000: 123461: 000004: 000000: KC3
10
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
Resp.: Y1 Sesi: 782
tuku
NOK
12,00
DISETUJUNI
COPY Eceran
Konfirmasi:
Aplikasi pambayaran Viking tansah ngenkripsi data pemegang kertu kanthi standar kanggo panyimpenan transaksi offline, transmisi menyang host NETS lan kanggo nyithak data kertu sing dienkripsi ing kuitansi pengecer kanggo transaksi offline.
Uga, kanggo nampilake utawa nyetak kertu PAN, aplikasi pambayaran Viking tansah nutupi digit PAN kanthi tanda bintang `*' kanthi 6 + 4 digit pungkasan kanthi cetha minangka standar. Format cetak nomer kertu dikontrol dening sistem manajemen terminal ing ngendi format cetak bisa diganti kanthi njaluk liwat saluran sing tepat lan kanthi menehi kabutuhan bisnis sing sah, nanging kanggo aplikasi pembayaran Viking, ora ana kasus kaya ngono.
Example kanggo masked PAN: PAN: 957852181428133823-2
Info minimal: ************* 3823-2
Info maksimal: 957852********3823-2
4.7 Pandhuan files
Aplikasi pambayaran Viking ora menehi pituduh sing kapisah files.
Aplikasi pambayaran Viking njaluk input sing duwe kertu liwat pituduh tampilan sing minangka bagean saka sistem olahpesen ing aplikasi pambayaran Viking sing wis ditandatangani.
Pandhuan tampilan kanggo PIN, jumlah, lan sapiturute ditampilake ing terminal, lan input sing duwe kertu ditunggu. Input sing ditampa saka pemegang kertu ora disimpen.
4.8 Manajemen kunci
Kanggo sawetara model terminal Tetra, kabeh fungsi keamanan dileksanakake ing area aman piranti PTS sing dilindhungi saka aplikasi pembayaran.
Enkripsi ditindakake ing wilayah sing aman nalika dekripsi data sing dienkripsi mung bisa ditindakake dening sistem Nets Host. Kabeh ijol-ijolan tombol antarane host Nets, Key / Inject alat (kanggo terminal Tetra) lan PED rampung ing wangun ndhelik.
Prosedur kanggo Manajemen Kunci ditindakake dening Nets miturut skema DUKPT nggunakake enkripsi 3DES.
Kabeh tombol lan komponen tombol digunakake dening terminal Nets kui nggunakake disetujoni proses acak utawa pseudorandom. Tombol lan komponen kunci sing digunakake dening terminal Nets digawe dening sistem manajemen kunci Nets, sing nggunakake unit Thales Payshield HSM sing disetujoni kanggo ngasilake kunci kriptografi.
11
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
Manajemen tombol ora gumantung saka fungsi pembayaran. Mangkono, mbukak aplikasi anyar ora mbutuhake owah-owahan ing fungsi tombol. Papan tombol terminal bakal ndhukung sekitar 2,097,152 transaksi. Nalika papan tombol wis entek, terminal Viking mandheg lan nuduhake pesen kesalahan, banjur terminal kudu diganti.
4.9 `24 HR' Urip maneh
Kabeh terminal Viking iku PCI-PTS 4.x lan ndhuwur lan mulane nderek syarat selaras sing PCI-PTS 4.x terminal bakal urip maneh minimal sapisan saben 24 jam kanggo ngilangke RAM lan luwih aman terminal HW saka digunakake kanggo njaluk ditahan pembayaran. data kertu.
Mupangat liyane saka siklus re-boot `24hr' yaiku bocor memori bakal dikurangi lan duwe pengaruh sing luwih sithik kanggo pedagang (dudu yen kita kudu nampa masalah bocor memori.
Merchant bisa nyetel wektu urip maneh saka pilihan Menu terminal kanggo `Wektu urip maneh'. Wektu urip maneh disetel adhedhasar jam `24 jam lan bakal njupuk format HH:MM.
Mekanisme Reset dirancang kanggo njamin reset terminal paling sethithik sapisan saben 24 jam mlaku. Kanggo nepaki syarat iki slot wektu, disebut "interval ngreset" dituduhake dening Tmin lan Tmax wis ditetepake. Periode iki nggantosi interval wektu ngendi reset diijini. Gumantung ing kasus bisnis, "interval ngreset" disesuaikan sajrone tahap instalasi terminal. Miturut desain, wektu iki ora bisa luwih cendhek saka 30 menit. Sajrone periode kasebut, reset ditindakake saben dina 5 menit sadurunge (ing T3) kaya sing diterangake ing diagram ing ngisor iki:
4.10 Daftar Putih
Whitelisting minangka prosedur kanggo nemtokake manawa PAN sing kadhaptar minangka dhaptar putih diijini ditampilake ing teks sing cetha. Viking nggunakake 3 kolom kanggo nemtokake PAN sing diwutahake kanthi putih sing diwaca saka konfigurasi sing diunduh saka sistem manajemen terminal.
Nalika `Gendéra Kepatuhan' ing host Nets disetel menyang Y, informasi saka Nets Host utawa sistem manajemen Terminal diundhuh menyang terminal, nalika terminal diwiwiti. Gendéra Kepatuhan iki digunakake kanggo nemtokake PAN sing kadhaptar putih sing diwaca saka set data.
Gendéra `Track2ECR' nemtokake manawa data Track2 diijini ditangani (dikirim / ditampa) dening ECR kanggo sing ngetokake sekuritas. Gumantung ing Nilai saka flag iki, ditemtokake yen data track2 kudu ditampilake ing mode lokal ing ECR.
`Bidang format cetak' nemtokake cara PAN bakal ditampilake. Kertu ing ruang lingkup PCI kabeh bakal duwe format cetak sing disetel kanggo nampilake PAN ing wangun truncated / masked.
12
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
5. Otentikasi lan Kontrol Akses
5.1 Kontrol Akses
Aplikasi pambayaran Viking ora duwe akun pangguna utawa tembung sandhi sing cocog, mula aplikasi pambayaran Viking dibebasake saka syarat kasebut.
· ECR Integrated persiyapan: Sampeyan ora bisa ngakses jinis transaksi kayata mbalekaken, simpenan lan mbalikke saka menu terminal kanggo nggawe fungsi iki aman saka njupuk misused. Iki minangka jinis transaksi sing ana aliran dhuwit saka akun pedagang menyang akun sing duwe kertu. Iku tanggung jawab pedagang kanggo mesthekake yen ECR mung digunakake dening pangguna sah.
· Persiyapan mandiri: Kontrol akses kertu Merchant diaktifake kanthi gawan kanggo ngakses jinis transaksi kayata Mbalekaken, Simpenan lan Pembalikan saka menu terminal kanggo nggawe fungsi kasebut aman supaya ora disalahgunakan. Terminal Viking dikonfigurasi kanthi gawan kanggo ngamanake pilihan menu, kanggo nyegah akses sing ora sah. Parameter kanggo ngatur keamanan menu ana ing Menu Merchant (diakses nganggo kertu Merchant) -> Parameter -> Keamanan
Menu proteksi Setel menyang `Ya' minangka standar. Tombol menu ing terminal dilindhungi nggunakake konfigurasi menu Protect. Menu mung bisa diakses dening Merchant nggunakake kertu pedagang.
13
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
Nglindhungi mbalikke Setel menyang `Ya' minangka standar. Pembalikan transaksi mung bisa ditindakake dening pedagang nggunakake kertu pedagang kanggo ngakses menu pembalikan.
Nglindhungi rekonsiliasi Setel menyang `Ya' minangka standar Pilihan kanggo Rekonsiliasi mung bisa diakses dening pedagang nganggo kertu pedagang nalika proteksi iki disetel dadi bener.
Nglindhungi Trabasan Setel menyang `Ya' minangka menu Trabasan standar kanthi pilihan kanggo viewIng Info Terminal lan opsi kanggo nganyari paramèter Bluetooth bakal kasedhiya kanggo pedagang mung nalika kertu pedagang diusap.
14
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
5.2 Kontrol Sandi
Aplikasi pambayaran Viking ora duwe akun pangguna utawa sandhi sing cocog; mulane, aplikasi Viking dibebasake saka syarat iki.
6. logging
6.1 Aplikasi Merchant
Saiki, kanggo aplikasi pembayaran Nets Viking, ora ana pangguna pungkasan, setelan log PCI sing bisa dikonfigurasi.
6.2 Ngatur Setelan Log
Aplikasi pambayaran Viking ora duwe akun pangguna, mula logging sing cocog karo PCI ora ditrapake. Malah ing transaksi paling verbose logging aplikasi pembayaran Viking ora log data otentikasi sensitif utawa data cardholder.
6.3 Central Logging
Terminal kasebut nduweni mekanisme log umum. Mekanisme kasebut uga kalebu logging nggawe lan mbusak eksekusi S/W.
Aktivitas download S / W dicathet lan bisa ditransfer menyang Host kanthi manual liwat pilihan menu ing terminal utawa ing panyuwunan saka host sing ditandhani ing lalu lintas transaksi biasa. Yen S/W download aktivasi gagal amarga teken digital ora bener ing ditampa files, kedadean wis mlebu lan ditransfer menyang Host otomatis lan langsung.
6.4 6.3.1 Ngaktifake tilak Ngangkut barang ing terminal
Kanggo ngaktifake trace logging:
1 Gesek kertu Merchant. 2 Banjur ing menu pilih "Menu sistem 9". 3 Banjur pindhah menyang menu "2 System Log". 4 Ketik kode teknisi, sing bisa ditampa kanthi nelpon dhukungan Nets Merchant Service. 5 Pilih "8 Parameter". 6 Banjur aktifake "Logging" dadi "Ya".
6.5 6.3.2 Kirimi tilak Log kanggo inang
Kanggo ngirim log tilak:
1 Penet tombol Menu ing terminal banjur Gesek kertu Merchant. 2 Banjur ing menu utama pilih "Menu 7 Operator". 3 Banjur pilih "5 Kirim Trace Logs" kanggo ngirim trace log menyang host.
15
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
6.6 6.3.3 Remot ngambah logging
Parameter disetel ing Nets Host (PSP) sing bakal ngaktifake / mateni fungsi logging jejak Terminal saka jarak adoh. Nets Host bakal ngirim Trace ngaktifake / mateni parameter logging menyang Terminal ing set Data bebarengan karo wektu sing dijadwalake nalika Terminal bakal ngunggah log Trace. Nalika terminal nampa parameter Trace minangka diaktifake, iku bakal miwiti njupuk Trace log lan ing wektu sing dijadwal bakal ngunggah kabeh trace log lan mateni fungsi logging sakwise.
6.7 6.3.4 Log kesalahan remot
Log kesalahan tansah diaktifake ing terminal. Kaya trace logging, parameter disetel ing Nets Host sing bakal ngaktifake / mateni fungsi logging kesalahan Terminal saka jarak jauh. Nets Host bakal ngirim Trace ngaktifake / mateni parameter logging menyang Terminal ing set Data bebarengan karo wektu sing dijadwalake nalika Terminal bakal ngunggah log Kesalahan. Nalika terminal nampa Error logging parameter minangka diaktifake, iku bakal miwiti njupuk kesalahan log lan ing wektu dijadwal bakal ngunggah kabeh kesalahan log lan mateni fungsi logging sesampunipun.
7. Jaringan Nirkabel
7.1 Aplikasi Merchant
Terminal pembayaran Viking - MOVE 3500 lan Link2500 duwe kemampuan kanggo nyambung karo jaringan Wi-Fi. Mulane, supaya Wireless bisa dileksanakake kanthi aman, kudu dipikirake nalika nginstal lan ngatur jaringan nirkabel kaya sing dijelasake ing ngisor iki.
7.2 Disaranake Konfigurasi Nirkabel
Ana akeh pertimbangan lan langkah sing kudu ditindakake nalika ngonfigurasi jaringan nirkabel sing disambungake menyang jaringan internal.
Paling ora, setelan lan konfigurasi ing ngisor iki kudu ditindakake:
· Kabeh jaringan nirkabel kudu dibagi nggunakake firewall; yen sambungan antarane jaringan nirkabel lan lingkungan data cardholder dibutuhake akses kudu kontrol lan aman dening firewall.
· Ngganti SSID standar lan mateni siaran SSID · Ngganti sandhi standar kanggo sambungan nirkabel lan titik akses nirkabel, iki kalebu con-
akses tunggal uga string komunitas SNMP · Ngganti standar keamanan liyane sing diwenehake utawa disetel dening vendor · Priksa manawa titik akses nirkabel dianyari menyang perangkat kukuh paling anyar · Mung gunakake WPA utawa WPA2 kanthi tombol sing kuwat, WEP dilarang lan ora kudu digunakake · Ngganti tombol WPA/WPA2 nalika instalasi uga kanthi rutin lan kapan wae ana wong
kawruh saka tombol ninggalake perusahaan
16
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
8. Segmentasi Jaringan
8.1 Aplikasi Merchant
Aplikasi pambayaran Viking dudu aplikasi pambayaran adhedhasar server lan dumunung ing terminal. Mulane, aplikasi pambayaran ora mbutuhake pangaturan kanggo nyukupi syarat kasebut. Kanggo kawruh umum bakul, data kertu kredit ora bisa disimpen ing sistem langsung nyambung menyang Internet. Kanggo example, web server lan server database ngirim ora diinstal ing server padha. Zona demiliterisasi (DMZ) kudu disiyapake kanggo segmen jaringan supaya mung mesin ing DMZ sing bisa diakses Internet.
9. Akses Remote
9.1 Aplikasi Merchant
Aplikasi pembayaran Viking ora bisa diakses saka jarak jauh. Dhukungan remot mung ana ing antarane staf dhukungan Nets lan pedagang liwat telpon utawa Nets langsung ing situs karo pedagang.
10. Transmisi data Sensitif
10.1 Pangiriman data Sensitif
Aplikasi pembayaran Viking ngamanake data sensitif lan/utawa data pemegang kertu ing transit kanthi nggunakake enkripsi tingkat pesen nggunakake 3DES-DUKPT (112 bit) kanggo kabeh transmisi (kalebu jaringan umum). Protokol Keamanan kanggo komunikasi IP saka aplikasi Viking menyang Host ora dibutuhake amarga enkripsi tingkat pesen dileksanakake nggunakake 3DES-DUKPT (112-bit) kaya sing kasebut ing ndhuwur. Skema enkripsi iki njamin sanajan transaksi dicegat, ora bisa diowahi utawa dikompromi kanthi cara apa wae yen 3DES-DUKPT (112-bit) tetep dianggep minangka enkripsi sing kuat. Miturut skema manajemen kunci DUKPT, kunci 3DES sing digunakake unik kanggo saben transaksi.
10.2 Nuduhake data Sensitif menyang piranti lunak liyane
Aplikasi pambayaran Viking ora nyedhiyakake antarmuka logis / API kanggo ngaktifake enggo bareng data akun cleartext langsung karo piranti lunak liyane. Ora ana data sensitif utawa data akun cleartext sing dienggo bareng karo piranti lunak liyane liwat API sing kapapar.
10.3 Email lan data Sensitif
Aplikasi pambayaran Viking ora ndhukung kiriman email kanthi asli.
10.4 Akses Administratif Non-Konsol
Viking ora ndhukung akses administratif non-Console. Nanging, kanggo kawruh umum pedagang, akses administratif non-Console kudu nggunakake salah siji SSH, VPN, utawa TLS kanggo enkripsi kabeh akses administratif non-console kanggo server ing lingkungan data pemegang kertu. Telnet utawa cara akses non-enkripsi liyane ora kudu digunakake.
17
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
11. Viking Versioning Methodology
Metodologi versi Nets kasusun saka rong bagean nomer versi S/W: a.bb
ngendi `a' bakal incremented nalika owah-owahan impact dhuwur rampung miturut PCI-Secure Software Standard. a – versi utama (1 digit)
`bb' bakal ditambah nalika owah-owahan sing direncanakake kanthi dampak kurang ditindakake miturut Standar Piranti Lunak PCI-Secure. bb - versi cilik (2 digit)
Nomer versi S/W aplikasi pembayaran Viking ditampilake kaya iki ing layar terminal nalika terminal diuripake: `abb'
· Nganyari saka umpamane, 1.00 nganti 2.00 minangka nganyari fungsional sing signifikan. Bisa uga kalebu owah-owahan kanthi impact ing keamanan utawa syarat PCI Secure Software Standard.
· Nganyari saka contone, 1.00 kanggo 1.01 minangka nganyari fungsional sing ora penting. Iku bisa uga ora kalebu owah-owahan karo impact ing keamanan utawa PCI Secure Software Standard syarat.
Kabeh owah-owahan diwakili kanthi urutan numerik.
12. Pandhuan babagan Instalasi Aman saka Patches lan Update.
Nets ngirim nganyari aplikasi pembayaran remot kanthi aman. Nganyari iki kedadeyan ing saluran komunikasi sing padha karo transaksi pembayaran sing aman, lan pedagang ora mbutuhake owah-owahan ing jalur komunikasi iki kanggo kepatuhan.
Nalika ana tembelan, Nets bakal nganyari versi tembelan ing Nets Host. Merchant bakal entuk patch liwat panjalukan download S / W otomatis, utawa pedagang uga bisa miwiti download piranti lunak saka menu terminal.
Kanggo informasi umum, pedagang kudu ngembangake kabijakan panggunaan sing bisa ditampa kanggo teknologi sing diadhepi karyawan kritis, miturut pedoman ing ngisor iki kanggo VPN utawa sambungan kacepetan dhuwur liyane, nganyari ditampa liwat firewall utawa firewall personel.
Host Nets kasedhiya liwat internet nggunakake akses aman utawa liwat jaringan sing ditutup. Kanthi jaringan sing ditutup, panyedhiya jaringan duwe sambungan langsung menyang lingkungan inang sing ditawakake saka panyedhiya jaringan. Terminal kasebut dikelola liwat layanan manajemen terminal Nets. Layanan manajemen terminal nemtokake kanggo example wilayah sing terminal belongs lan acquirer digunakake. Manajemen terminal uga tanggung jawab kanggo nganyarke piranti lunak terminal saka jarak adoh liwat jaringan. Nets mesthekake yen piranti lunak sing diunggah menyang terminal wis ngrampungake sertifikasi sing dibutuhake.
Nets nyaranake mriksa titik kanggo kabeh pelanggan kanggo mesthekake pembayaran aman lan aman minangka kapacak ing ngisor iki: 1. Tansah dhaftar kabeh terminal pembayaran operasional lan njupuk gambar saka kabeh dimensi supaya sampeyan ngerti apa padha mestine kanggo katon kaya. 2. Mangga madosi pratandha ketok tampering kayata segel rusak liwat piring tutup akses utawa ngawut-awut, kabel aneh utawa beda utawa piranti hardware anyar sing ora bisa ngenali. 3. Nglindhungi terminal saka tekan customer nalika ora dienggo. Priksa terminal pembayaran saben dina lan piranti liyane sing bisa maca kertu pembayaran. 4. Sampeyan kudu mriksa identitas personel repair yen sampeyan ngarepake sembarang ndandani terminal pembayaran. 5. Telpon Nets utawa bank sampeyan langsung yen sampeyan curiga ana kegiatan sing ora jelas. 6. Yen sampeyan yakin yen piranti POS rentan kanggo nyolong, banjur ana cradles layanan lan harnesses aman lan tethers kasedhiya kanggo tuku komersial. Sampeyan bisa uga worth considering nggunakake.
18
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
13. Viking Release Update
Piranti lunak Viking dirilis ing siklus rilis ing ngisor iki (gumantung owah-owahan):
· 2 rilis utama saben taun · 2 rilis cilik saben taun · Patch piranti lunak, nalika dibutuhake, (contone, amarga ana masalah bug / kerentanan sing kritis). Yen a
release wis operasional ing lapangan lan sawetara masalah kritis (s) kacarita, banjur patch lunak karo fix samesthine bakal dirilis ing wektu siji sasi '.
Pedagang bakal diwenehi kabar babagan rilis (utama / minor / patch) liwat email sing bakal langsung dikirim menyang alamat email masing-masing. Email kasebut uga bakal ngemot sorotan utama babagan rilis lan cathetan rilis.
Pedagang uga bisa ngakses cathetan rilis sing bakal diunggah ing:
Cathetan rilis piranti lunak (nets.eu)
Rilis Viking Software ditandatangani nggunakake alat nyanyi Ingenico kanggo terminal Tetra. Mung piranti lunak sing wis ditandatangani bisa dimuat ing terminal.
14. Syarat sing ora bisa ditrapake
Bagean iki ngemot dhaptar syarat ing Standar Piranti Lunak PCI-Secure sing wis ditaksir minangka `NotApplicable' kanggo aplikasi pembayaran Viking lan kabeneran iki.
PCI Secure Software Standard
CO
Kegiatan
Katrangan kanggo dadi 'Ora bisa ditrapake'
5.3
Cara otentikasi (kalebu sesi cre- Aplikasi pambayaran Viking mlaku ing POI PTS sing disetujoni PCI
deentials) cukup kuwat lan kuat kanggo piranti.
nglindhungi Diverifikasi bukti asli saka dadi
palsu, spoofed, bocor, guessed, utawa circum- Aplikasi pembayaran Viking ora nawakake lokal, non-console
vented.
utawa akses remot, utawa tingkat hak istimewa, saéngga ora ana
kredensial tentasi ing piranti PTS POI.
Aplikasi pambayaran Viking ora nyedhiyakake setelan kanggo ngatur utawa ngasilake ID pangguna lan ora menehi akses lokal, non-konsol utawa remot menyang aset kritis (sanajan kanggo tujuan debug).
5.4
Kanthi gawan, kabeh akses menyang aset kritis
Aplikasi pembayaran Viking mlaku ing PCI disetujoni PTS POI
mung kanggo akun kasebut lan piranti layanan.
sing mbutuhake akses kuwi.
Aplikasi pembayaran Viking ora nyedhiyani setelan kanggo
ngatur utawa ngasilake akun utawa layanan.
7.3
Kabeh nomer acak sing digunakake piranti lunak yaiku aplikasi pembayaran Viking ora nggunakake RNG (random
kui mung nggunakake generator nomer acak disetujoni) kanggo fungsi enkripsi.
generasi ber (RNG) algoritma utawa perpustakaan.
19
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
Algoritma utawa perpustakaan RNG sing disetujoni yaiku sing cocog karo standar industri amarga ora bisa diprediksi (contone, NIST Special Publication 800-22).
Aplikasi pambayaran Viking ora ngasilake utawa nggunakake nomer acak kanggo fungsi kriptografi.
7.4
Nilai acak duwe entropi sing cocog karo aplikasi pembayaran Viking ora nggunakake RNG (random
syarat kekuatan efektif minimal nomer generator) kanggo fungsi enkripsi sawijining.
primitif lan kunci cryptographic sing gumantung
marang wong-wong mau.
Aplikasi pambayaran Viking ora ngasilake utawa nggunakake
nomer acak kanggo fungsi cryptographic.
8.1
Kabeh nyoba akses lan panggunaan aset kritis aplikasi pembayaran Viking mlaku ing PCI disetujoni PTS POI
dilacak lan bisa dilacak menyang individu sing unik. piranti, ngendi kabeh nangani aset kritis mengkono, lan
Firmware PTS POI njamin kerahasiaan lan integritas sen-
data sitive nalika disimpen ing piranti PTS POI.
Kerahasiaan, integritas lan daya tahan aplikasi pembayaran Viking sing sensitif dilindhungi lan diwenehake dening perangkat kukuh PTS POI. Perangkat kukuh PTS POI ngalangi akses menyang aset kritis metu saka terminal lan gumantung ing anti-tampfitur ering.
Aplikasi pambayaran Viking ora nawakake akses lokal, non-konsol utawa remot, utawa tingkat hak istimewa, saengga ora ana wong utawa sistem liyane sing duwe akses menyang aset kritis, mung aplikasi pambayaran Viking sing bisa nangani aset kritis
8.2
Kabeh kegiatan dijupuk ing cekap lan perlu- Aplikasi pembayaran Viking mlaku ing PCI disetujoni PTS POI
rincian gambar kanggo njlèntrèhaké kanthi akurat apa piranti tartamtu.
kegiatan sing ditindakake, sing ditindakake
dheweke, wektu padha dileksanakake, lan
Aplikasi pembayaran Viking ora nawakake lokal, non-konsol
aset kritis sing kena pengaruh.
utawa akses remot, utawa tingkat hak istimewa, mangkono ora ana
wong utawa sistem liyane karo akses menyang aset kritis, mung
Aplikasi pembayaran Viking bisa nangani aset kritis.
· Aplikasi pambayaran Viking ora nyedhiyakake mode operasi hak istimewa.
· Ora ana fungsi kanggo mateni enkripsi data sensitif
· Ora ana fungsi kanggo dekripsi data sensitif
· Ora ana fungsi kanggo ngekspor data sensitif menyang sistem utawa proses liyane
· Ora ana fitur otentikasi sing didhukung
Kontrol keamanan lan fungsi keamanan ora bisa dipateni utawa dibusak.
8.3
Piranti lunak ndhukung penylametan aman saka aplikasi pembayaran de- Viking mlaku ing PCI disetujoni PTS POI
cathetan aktivitas buntut.
piranti.
20
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
8.4 B.1.3
Aplikasi pembayaran Viking ora nawakake akses lokal, non-console utawa remot, utawa tingkat hak istimewa, saéngga ora ana wong utawa sistem liyane kanthi akses menyang aset kritis, mung aplikasi pembayaran Viking sing bisa nangani aset kritis.
· Aplikasi pambayaran Viking ora nyedhiyakake mode operasi hak istimewa.
· Ora ana fungsi kanggo mateni enkripsi data sensitif
· Ora ana fungsi kanggo dekripsi data sensitif
· Ora ana fungsi kanggo ngekspor data sensitif menyang sistem utawa proses liyane
· Ora ana fitur otentikasi sing didhukung
Kontrol keamanan lan fungsi keamanan ora bisa dipateni utawa dibusak.
Piranti lunak nangani kegagalan ing mekanisme nelusuri aktivitas supaya integritas rekaman aktivitas sing wis ana bisa dilestarekake.
Aplikasi pembayaran Viking mlaku ing piranti POI PTS sing disetujoni PCI.
Aplikasi pembayaran Viking ora nawakake akses lokal, non-console utawa remot, utawa tingkat hak istimewa, saéngga ora ana wong utawa sistem liyane kanthi akses menyang aset kritis, mung aplikasi Viking sing bisa nangani aset kritis.
· Aplikasi pambayaran Viking ora nyedhiyakake mode operasi hak istimewa.
· Ora ana fungsi kanggo mateni enkripsi data sensitif
· Ora ana fungsi kanggo dekripsi data sensitif
· Ora ana fungsi kanggo ngekspor data sensitif menyang sistem utawa proses liyane
· Ora ana fitur otentikasi sing didhukung
· Kontrol keamanan lan fungsi keamanan ora bisa dipateni utawa dibusak.
Vendor piranti lunak njaga dokumentasi sing nggambarake kabeh opsi sing bisa dikonfigurasi sing bisa mengaruhi keamanan data sensitif.
Aplikasi pembayaran Viking mlaku ing piranti POI PTS sing disetujoni PCI.
Aplikasi pambayaran Viking ora nyedhiyakake apa wae ing ngisor iki kanggo pangguna pungkasan:
· pilihan sing bisa dikonfigurasi kanggo ngakses data sensitif
21
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
B.2.4 B.2.9 B.5.1.5
· opsi configurable kanggo ngowahi mekanisme kanggo nglindhungi data sensitif
· akses remot menyang aplikasi
· nganyari remot saka aplikasi
· opsi configurable kanggo ngowahi setelan gawan saka aplikasi
Piranti lunak mung nggunakake fungsi generasi nomer acak sing kalebu ing evaluasi piranti PTS terminal pambayaran kanggo kabeh operasi kriptografi sing nglibatake data sensitif utawa fungsi sensitif sing mbutuhake nilai acak lan ora ngetrapake dhewe.
Viking ora nggunakake RNG (generator nomer acak) kanggo fungsi enkripsi.
Aplikasi Viking ora ngasilake utawa nggunakake nomer acak kanggo fungsi kriptografi.
fungsi generasi nomer acak (s).
Integritas piranti lunak cepet files dilindhungi miturut Control Objective B.2.8.
Kabeh tampilan pituduh ing terminal Viking dienkode ing aplikasi kasebut lan ora ana pituduh files ana ing njaba aplikasi.
Ora cepet files njaba aplikasi pembayaran Viking ana, kabeh informasi sing perlu kui dening aplikasi.
Pandhuan implementasine kalebu instruksi kanggo para pemangku kepentingan kanggo mlebu kanthi kriptografis kabeh pituduh files.
Kabeh pituduh sing ditampilake ing terminal Viking dienkode ing aplikasi kasebut lan ora ana pituduh files ana ing njaba aplikasi.
Ora cepet files njaba aplikasi pembayaran Viking ana, kabeh informasi sing perlu kui dening aplikasi
22
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
15. Referensi Requirements Standar Piranti Lunak PCI Secure
Bab ing dokumen iki 2. Aplikasi Pembayaran Aman
PCI Secure Software Requirements Standard
B.2.1 6.1 12.1 12.1.b
syarat PCI DSS
2.2.3
3. Piranti Lunak Remote Aman
11.1
Nganyari
11.2
12.1
1&12.3.9 2, 8, & 10
4. Aman Mbusak Data Sensitif lan Perlindhungan Data Pemegang Kartu sing Disimpen
3.2 3.4 3.5 A.2.1 A.2.3 B.1.2a
Otentikasi lan Kontrol Akses 5.1 5.2 5.3 5.4
3.2 3.2 3.1 3.3 3.4 3.5 3.6
8.1 & 8.2 8.1 & 8.2
logging
3.6
10.1
8.1
10.5.3
8.3
Jaringan Nirkabel
4.1
1.2.3 & 2.1.1 4.1.1 1.2.3, 2.1.1,4.1.1, XNUMX
Segmentasi Jaringan Transmisi Akses Jauh Data Pemegang Kartu
4.1c
B.1.3
A.2.1 A.2.3
1.3.7
8.3
4.1 4.2 2.3 8.3
Metodologi Versi Viking
11.2 12.1.b
Pandhuan kanggo pelanggan babagan 11.1
instalasi aman patch lan 11.2
nganyari.
12.1
23
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
16. Daftar Istilah
Data Pemegang Kartu TERM
DUKPT
3DES Merchant SSF
PA-QSA
DEFINISI
Strip magnetik lengkap utawa PAN plus samubarang ing ngisor iki: · Jeneng sing duwe kertu · Tanggal kadaluwarsa · Kode Layanan
Derived Unique Key Per Transaction (DUKPT) minangka skema manajemen kunci sing kanggo saben transaksi, kunci unik digunakake sing asale saka kunci tetep. Mulane, yen kunci asale dikompromi, data transaksi mangsa ngarep lan kepungkur isih dilindhungi amarga kunci sabanjure utawa sadurunge ora bisa ditemtokake kanthi gampang.
Ing kriptografi, Triple DES (3DES utawa TDES), kanthi resmi Triple Data Encryption Algorithm (TDEA utawa Triple DEA), minangka cipher blok kunci simetris, sing ngetrapake algoritma cipher DES kaping telu kanggo saben blok data.
Pangguna pungkasan lan panuku produk Viking.
PCI Software Security Framework (SSF) minangka kumpulan standar lan program kanggo desain aman lan pangembangan piranti lunak pembayaran. Keamanan piranti lunak pembayaran minangka bagean penting saka aliran transaksi pembayaran lan penting kanggo nggampangake transaksi pembayaran sing dipercaya lan akurat.
Aplikasi Pembayaran Penilai Keamanan Kualifikasi. Perusahaan QSA sing nyedhiyakake layanan kanggo vendor aplikasi pembayaran kanggo validasi aplikasi pembayaran vendor.
SAD (Data Otentikasi Sensitif)
Informasi sing gegandhengan karo keamanan (Kode / Nilai Validasi Kertu, data trek lengkap, PIN, lan Blok PIN) digunakake kanggo otentikasi sing duwe kertu, katon ing plaintext utawa wangun sing ora dilindhungi. Pambocoran, modifikasi, utawa karusakan informasi iki bisa kompromi keamanan piranti kriptografi, sistem informasi, utawa informasi pemegang kertu utawa bisa digunakake ing transaksi penipuan. Data Otentikasi Sensitif ora kudu disimpen nalika transaksi rampung.
Viking HSM
Platform piranti lunak sing digunakake dening Nets kanggo pangembangan aplikasi kanggo pasar Eropa.
Modul keamanan hardware
24
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
17. Kontrol Dokumen
Pengarang Dokumen, Reviewers lan Approvers
Deskripsi SSA Development Compliance Manager System Architect QA Product Owner Product Manager Direktur Teknik
Fungsi Reviewer Pengarang Reviewer & Approver Reviewer & Approver Reviewer & Approver Reviewer & Approver Manager Manager
Nama Claudio Adami / Flavio Bonfiglio Sorans Aruna Panicker Arno Ekström Shamsher Singh Varun Shukla Arto Kangas Eero Kuusinen Taneli Valtonen
Ringkesan Owah-owahan
Nomer Versi 1.0
1.0
1.1
Versi Tanggal 03-08-2022
15-09-2022
20-12-2022
Sifat Ewah-ewahan
Versi pisanan kanggo PCI-Secure Software Standard
Dianyari bagean 14 kanthi tujuan kontrol sing ora bisa ditrapake kanthi kabeneran
Dianyari bagean 2.1.2 lan 2.2
karo Self4000.
Dibusak
Link2500 (versi PTS 4.x) saka
dhaftar terminal didhukung
Ganti Pengarang Aruna Panicker Aruna Panicker
Aruna Panicker
Reviewer
Tanggal Disetujui
Shamsher Singh 18-08-22
Shamsher Singh 29-09-22
Shamsher Singh 23-12-22
1.1
05-01-2023 Updated section 2.2 with Link2500 Aruna Panicker Shamsher Singh 05-01-23
(pts v4) kanggo terus support
kanggo jinis terminal iki.
1.2
20-03-2023 Dianyari bagean 2.1.1 karo Latvia Aruna Panicker Shamsher Singh 21-04-23
lan pro terminal Lithuaniafiles.
Lan 2.1.2 karo komunikasi BT-iOS
dhukungan jinis tion
2.0
03-08-2023 Version release version updated to Aruna Panicker Shamsher Singh 13-09-23
2.00 ing header / footer.
Dianyari bagean 2.2 karo anyar
hardware lan firmware Move3500
versi. Dianyari bagean 11 kanggo
`Metodologi Versi Viking'.
Dianyari bagean 1.3 karo paling anyar
versi syarat PCI SSS
panuntun. Dianyari bagean 2.2 kanggo sup-
terminal porting dibusak unsup-
versi hardware njejeri saka
dhaptar.
2.0
16-11-2023 Visual (CVI) nganyari
Leyla Avsar
Arno Ekström 16-11-23
25
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
Dhaftar Distribusi
Jeneng Terminal Departemen Manajemen Produk
Pengembangan Fungsi, Tes, Manajemen Proyek, Tim Manajemen Produk Terminal Kepatuhan, Produk Manajer Kepatuhan
Persetujuan Dokumen
Jeneng Arto Kangas
Fungsi Product Owner
Dokumen Review Rencana
Dokumen iki bakal manehviewed lan dianyari, yen perlu, kaya sing ditegesake ing ngisor iki:
· Minangka dibutuhake kanggo mbenerake utawa nambah isi informasi · Dipuntedahaken sembarang owah-owahan organisasi utawa di toto maneh · Dipuntedahaken re taunanview · Sawise eksploitasi kerentanan · Nderek informasi / syarat anyar babagan kerentanan sing cocog
26
PCI-Secure Software Standard Vendor Implementation Guide v2.0 kanggo Viking Terminal 2.00
Dokumen / Sumber Daya
 |
jaring PCI-Secure Standard Software [pdf] Pandhuan pangguna Piranti Lunak Standar PCI-Secure, PCI-Secure, Piranti Lunak Standar, Piranti Lunak |
