As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Troca de chaves físicas
Você pode usar o Physical Key Exchange para converter com segurança componentes de chaves criptográficas em papel em formato eletrônico quando seus parceiros ou fornecedores não oferecem suporte à troca eletrônica de chaves. Guardiões de AWS chaves treinados realizam cerimônias importantes em instalações AWS-operated seguras com certificação PCI PIN e P2PE, convertendo os principais componentes em papel em formato eletrônico usando um HSM offline. O serviço usa a troca de ECDH-based chaves para entregar um bloco de ECDH-wrapped TR-31 chaves, que você importa diretamente para sua conta AWS de criptografia de pagamento.
nota
Recomendamos o uso baseado em padrões sempre Importando e exportando chaves que possível. Use o Physical Key Exchange somente quando seus parceiros ou fornecedores não oferecem suporte a métodos de troca eletrônica de chaves, como ANSI X9.24 TR-34, RSA wrap/unwrap ou ECDH. ECDH
Como funciona o Physical Key Exchange
Para iniciar a troca de chaves em papel, um CloudFormation modelo
O diagrama a seguir mostra o processo de troca de chaves físicas de ponta a ponta.
-
Iniciação — Você envia um ticket de suporte ou trabalha com seu gerente de conta para enviar uma solicitação.
-
Configuração do cliente — A criptografia de AWS pagamento fornece um CloudFormation modelo para você concluir as seguintes etapas de pré-requisito:
-
Crie um par de chaves ECC P521 em sua conta de criptografia de AWS pagamento e recupere o certificado de chave pública.
-
Crie um bucket do Amazon S3 com uma política que conceda acesso principal ao serviço AWS de criptografia de pagamento. read/write
-
Armazene o certificado público ECC e a CA raiz de assinatura no bucket do Amazon S3.
-
Forneça os principais atributos: uso da chave, principais modos de uso e número de componentes principais em papel a serem enviados.
-
-
Compartilhe o nome do bucket do S3 — O cliente compartilha o nome do bucket do S3 criado pela CloudFormation pilha, onde o certificado de chave pública, a cadeia de certificados e os atributos da chave são armazenados para que a criptografia de AWS pagamento inicie a troca de chaves.
-
Coordenação de envio — A criptografia de AWS pagamento fornece detalhes de envio para a instalação US-based segura. Você ou seu parceiro enviam os principais componentes em papel para os AWS principais guardiões.
-
Recibo do componente — os AWS principais guardiões recebem cada componente em papel e enviam uma confirmação separada para cada componente.
-
Cerimônia da AWS chave — os principais guardiões realizam a cerimônia da chave usando um HSM offline. O bloco de TR-31 chaves resultante, encapsulado usando uma ECDH-derived AES-256 chave, o certificado público ECC do HSM off-line e seu certificado de assinatura são enviados para seu bucket do Amazon S3.
-
Conclusão — A criptografia de AWS pagamento envia uma confirmação de que a cerimônia principal foi concluída. Você pode então importar o bloco de TR-31 chaves encapsulado em ECDH para sua conta AWS de criptografia de pagamento usando o método. Importar chaves usando técnicas assimétricas (ECDH)
-
Cobrança — Você é cobrado por chave trocada após a conclusão bem-sucedida da cerimônia principal.
Segurança e conformidade
O Physical Key Exchange opera em instalações AWS seguras projetadas para atender aos requisitos de segurança física e lógica do PCI PIN e do PCI P2PE. Os seguintes controles estão em vigor:
- Controle duplo e separação de funções
-
AWS os principais guardiões são designados por equipes diferentes com estruturas de relatórios separadas. Os processos estão em vigor para garantir que as principais etapas das cerimônias sejam realizadas sob controle duplo.
- HSM off-line
-
As principais cerimônias são realizadas usando módulos de segurança de HSM-listed hardware PCI PTS certificados que operam off-line sem conectividade de rede. Sua chave nunca existe em texto não criptografado fora dos limites do HSM.
- Entrega de chave criptográfica
-
O material da chave é transferido do HSM off-line para sua conta de criptografia AWS de pagamento usando a troca de ECDH-based chaves, garantindo proteção criptográfica de ponta a ponta.
- Auditoria e conformidade
-
AWS tem processos implementados para atender aos requisitos de conformidade aplicáveis que são avaliados periodicamente para os atestados PCI PIN e P2PE. Consulte o pacote de conformidade no AWS Artifact para ver os relatórios que você tem como referência em suas próprias avaliações de PCI.
