Proteger o PIN em uma transação exige mais do que criptografar uma mensagem ISO 8583. É preciso capturar a senha em um dispositivo apropriado, formar e proteger o PIN Block, administrar corretamente as chaves e executar operações criptográficas em um ambiente controlado. Este artigo explica como PIN Block, DUKPT e HSM se relacionam nessa cadeia.
O foco aqui é a proteção do PIN e das chaves. Para os temas de MAC, PAN e chip EMV, veja também Integridade e Proteção de Dados na ISO 8583.
O que é um PIN Block?
O PIN Block é uma representação estruturada do PIN, preparada conforme o formato definido para a integração. Dependendo do formato, a composição pode incluir dados associados à conta. O bloco é então protegido criptograficamente antes de seguir pelo fluxo de pagamento; ele não deve ser tratado como uma senha em texto claro nem gravado em logs da aplicação.
Em muitos perfis de mensagens ISO 8583, o elemento de dados 52 (DE 52) transporta dados de PIN protegidos. O mapeamento e o formato exatos dependem das regras da bandeira, do adquirente e do processador. Por isso, uma integração precisa seguir a especificação aplicável, em vez de presumir que todo sistema usa o mesmo formato.
Como o DUKPT deriva uma chave por transação
DUKPT significa Derived Unique Key Per Transaction. O método deriva uma chave de uso para cada transação a partir do material de derivação associado ao dispositivo e de dados de identificação e contador, como o KSN. O terminal e o ambiente de processamento aplicam a derivação correspondente para proteger e processar a operação.
- O dispositivo recebe material inicial de chave por um processo controlado de injeção ou carregamento.
- Para a transação, o dispositivo avança o contador e deriva a chave de uso correspondente.
- O PIN Block é protegido com essa chave e encaminhado junto aos dados definidos pelo perfil da integração.
- O processador identifica o contexto de derivação e solicita a operação criptográfica compatível ao equipamento seguro.
O DUKPT ajuda a limitar o uso de uma chave a uma transação, mas não elimina a necessidade de proteger o material inicial, controlar contadores, restringir operações e tratar incidentes. Uma chave derivada exposta não deve ser considerada inofensiva sem analisar a variante e o contexto de implementação.
Gestão do ciclo de vida das chaves
Uma arquitetura segura precisa controlar as chaves desde a criação até a retirada de uso. Isso inclui geração, transporte, carregamento, armazenamento, autorização de uso, rotação, resposta a comprometimento e destruição. Também é necessário separar chaves por finalidade e limitar quais pessoas e sistemas podem iniciar cada operação.
- Use procedimentos de carregamento e distribuição aprovados para o ambiente de pagamento.
- Restrinja o uso de cada chave à função prevista e mantenha controles de acesso e auditoria.
- Proteja chaves exportadas em estruturas apropriadas, com integridade e atributos de uso vinculados quando aplicável.
- Planeje rotação, substituição e resposta a comprometimento sem reutilizar material de chave fora das regras definidas.
O PCI PIN Security Standard descreve controles para o processamento seguro de PIN e a gestão das chaves ao longo de seu ciclo de vida. As práticas concretas devem seguir os requisitos aplicáveis ao participante e ao arranjo de pagamento.
Qual é o papel do HSM?
Um HSM é um módulo de segurança criptográfica projetado para proteger operações e dados sensíveis. Em ambientes de pagamento, ele pode executar funções como derivar ou traduzir chaves e processar PIN Blocks, conforme os comandos suportados, as regras do produto e a configuração implantada.
O HSM reduz a exposição de chaves e de dados de PIN a aplicações comuns, mas não substitui o desenho correto da integração. A organização ainda precisa controlar quem administra o equipamento, quais comandos são permitidos, como as chaves são carregadas e como eventos são auditados. O PCI PTS HSM Standard trata das características e da gestão desses módulos ao longo do ciclo de vida.
O que validar em uma integração de PIN
- Confirme o formato de PIN Block, o algoritmo, o uso das chaves e o mapeamento de DE 52 na especificação do processador.
- Verifique se terminal e host derivam a mesma chave para o KSN e contador de teste, sem expor chaves ou PINs em logs.
- Teste respostas aprovadas, recusadas, timeouts, reversões, rotação e recuperação de falhas sem reutilizar dados sensíveis de produção.
- Valide que a aplicação só chama operações autorizadas no HSM e trata corretamente erros de formato, chave ou estado do contador.
- Meça latência e volume com dados de teste, observando o tempo de resposta do dispositivo e dos serviços integrados.
Essas verificações ajudam a encontrar incompatibilidades entre formatos e fluxos antes da entrada em produção. Elas não substituem uma avaliação de segurança nem a validação de conformidade exigida para cada ambiente.
Perguntas frequentes sobre PIN Block, DUKPT e HSM
PIN Block é a mesma coisa que criptografar uma senha?
Não exatamente. PIN Block é uma representação formatada do PIN usada no fluxo de pagamento. A proteção criptográfica do bloco e o formato escolhido dependem do padrão e da especificação da integração.
O que o DUKPT faz?
DUKPT deriva uma chave de uso para cada transação a partir do material inicial de derivação e dos dados de identificação e contador do dispositivo. A proteção das chaves iniciais e o controle da implementação continuam essenciais.
O HSM guarda todas as chaves sem nunca exportá-las?
Isso depende do projeto e das regras do ambiente. Um HSM protege e executa operações criptográficas; quando uma chave precisa ser transferida, o método e os controles de proteção devem seguir os padrões aplicáveis. Não se deve presumir que toda implementação funciona da mesma forma.
O campo 52 da ISO 8583 sempre contém o mesmo formato?
Não. O elemento de dados 52 é associado a dados de PIN em muitos perfis, mas o formato e o mapeamento devem ser confirmados na especificação do arranjo, adquirente e processador.