Scope - Guia de Implementacao PA-DSS

Transcrição

Solução Completa para Pagamento Eletrônico
Guia de Implementação Segura
 fev-10 Itautec S/A - Grupo Itautec
Este documento é de propriedade da Itautec S/A. As informações aqui contidas têm
caráter técnico/informativo e não poderão ser copiadas, fotocopiadas, reproduzidas,
traduzidas ou reduzidas a qualquer meio eletrônico ou forma legível por máquina sem a
autorização prévia da Itautec S.A – Grupo Itautec. Esta se reserva, por outro lado, o
direito de alterar seu conteúdo e forma, sem qualquer aviso prévio.
São Paulo, 24 de fevereiro de 2010
Histórico do Documento
Revisão
Data
Responsável
Histórico
0.1
01/09/08
Jailton Santana
Versão preliminar.
0.2
04/08/09
Jailton Santana e Henrique
Fabricio Gagliardi
Atualização para o PA-DSS.
0.3
07/09/09
Cassius Camillo Ramos
0.5
23/11/09
Jailton Santana
1.0
04/12/09
Jailton Santana
1.1
16/12/09
Jailton Santana
1.2
29/12/09
Jailton Santana
Capítulos introdutórios e glossário reescritos e
melhor padronizados (termos e formato).
Atualização conforme relatório de auditoria da
Trustwave
Acréscimo de nota importante sobre a desabilitação
de recursos da máquina não utilizados.
Acrescentado tópico para a configuração dos
ambientes.
Atualização conforme relatório de segunda auditoria
da Trustwave
Índice
PREFÁCIO ........................................................................................................................................................ 6
DOCUMENTAÇÃO DISPONÍVEL............................................................................................................................ 6
OBJETIVO ......................................................................................................................................................... 6
COMPATIBILIDADE ............................................................................................................................................. 6
A QUEM SE DESTINA ......................................................................................................................................... 7
NORMAS ........................................................................................................................................................... 8
PCI DSS ......................................................................................................................................................... 8
PABP .............................................................................................................................................................. 9
PA DSS ......................................................................................................................................................... 10
ARQUITETURA DO SCOPE .......................................................................................................................... 11
ARQUITETURA DE OPERAÇÃO .......................................................................................................................... 11
APLICATIVOS .................................................................................................................................................. 13
CRIPTOGRAFIA ............................................................................................................................................. 14
CONTROLE DE CHAVES.................................................................................................................................... 14
TROCA DAS CHAVES........................................................................................................................................ 14
REQUISITOS DO PA DSS .............................................................................................................................. 15
REQUISITO 1 - NÃO RETER TODOS OS DADOS DA TARJA MAGNÉTICA, DO CÓDIGO OU VALOR DE VALIDAÇÃO DO
CARTÃO (CAV2, CID, CVC2, CVV2) OU BLOQUEIO DO PIN .............................................................................
15
Requisito 1.1.4 - Exclusão de dados de autenticação confidenciais armazenados por versões anteriores
do aplicativo de pagamento ...................................................................................................................... 15
Requisito 1.1.5 - Exclusão de quaisquer dados de autenticação confidenciais (pré-autorização)
recolhidos como resultado da resolução de problemas com o aplicativo de pagamento. ....................... 15
REQUISITO 2 - PROTEGER OS DADOS ARMAZENADOS DO PORTADOR DO CARTÃO ............................................... 16
Requisito 2.1 - Eliminação dos dados do portador do cartão após o período de retenção definido pelo
cliente. ....................................................................................................................................................... 16
Requisito 2.7 - Exclusão de material de chave criptográfico ou criptogramas armazenados por versões
anteriores do aplicativo de pagamento. .................................................................................................... 17
REQUISITO 3 - FORNECER RECURSOS DE AUTENTICAÇÃO SEGURA .................................................................... 17
Requisito 3.1 - Uso de IDs de usuário exclusivos e autenticação segura para acesso administrativo e
acesso a dados do portador do cartão. .................................................................................................... 17
Requisito 3.2 - Uso de IDs de usuário exclusivos e autenticação segura para acesso a PCs, servidores e
bancos de dados com aplicativos de pagamento. .................................................................................... 18
REQUISITO 4 - REGISTRAR EM LOG A ATIVIDADE DO APLICATIVO DE PAGAMENTO ................................................ 19
Requisito 4.2 - Implementar trilhas de auditoria automatizada................................................................. 19
REQUISITO 6 - PROTEGER TRANSMISSÕES WIRELESS ....................................................................................... 19
Requisito 6.1 - Implementação segura de tecnologia wireless................................................................. 19
Requisito 6.2 - Proteger transmissões de dados do portador do cartão em redes wireless. ................... 20
REQUISITO 9 - OS DADOS DO PORTADOR DO CARTÃO NUNCA DEVEM SER ARMAZENADOS EM SERVIDORES
CONECTADOS À INTERNET ............................................................................................................................... 20
Requisito 9.1 - Armazenar dados do portador do cartão somente em servidores não conectados à
Internet. ..................................................................................................................................................... 20
REQUISITO 10 - FACILITAR ATUALIZAÇÕES DE SOFTWARE REMOTAS SEGURAS ................................................... 21
REQUISITO 11 - FACILITAR O ACESSO REMOTO SEGURO AO APLICATIVO DE PAGAMENTO .................................... 21
Requisito 11.2 - Implementar autenticação de dois fatores para acesso remoto ao aplicativo de
pagamento. ............................................................................................................................................... 21
Requisito 11.3 - Implementar com segurança o acesso remoto ao software. .......................................... 22
REQUISITO 12 - CRIPTOGRAFAR TRÁFEGO SENSÍVEL POR REDES PÚBLICAS ....................................................... 23
Requisito 12.1 - Proteger transmissões de dados do portador do cartão em redes públicas. ................. 23
Requisito 12.2 - Criptografar dados do portador do cartão enviados por meio de tecnologias de envio de
mensagens de usuário final. ..................................................................................................................... 24
REQUISITO 13 - CRIPTOGRAFAR TODOS OS ACESSOS ADMINISTRATIVOS NÃO-CONSOLE ..................................... 24
Requisito 13.1 - Criptografar os acessos administrativos não-console. ................................................... 24
SCOPE – Solução Completa para Pagamento Eletrônico
3
Itautec S.A.
CONFIGURAÇÕES DO SISTEMA OPERACIONAL ..................................................................................... 25
CONFIGURAÇÃO COMUM ................................................................................................................................. 25
W INDOWS SERVER 2003 ................................................................................................................................ 25
CONCILIAÇÃO ............................................................................................................................................... 28
ATUALIZAÇÃO DE VERSÃO ........................................................................................................................ 30
PREPARANDO PARA ATUALIZAÇÃO ................................................................................................................... 30
EM CASO DE ERRO .......................................................................................................................................... 30
SOLICITANDO SUPORTE.............................................................................................................................. 32
AUTENTICIDADE E INTEGRIDADE DAS ATUALIZAÇÕES ........................................................................ 33
CONSIDERAÇÕES FINAIS ............................................................................................................................ 34
REFERÊNCIAS................................................................................................................................................. 34
APÊNDICE A – FERRAMENTAS ADICIONAIS ............................................................................................ 35
REMOÇÃO SEGURA DE ARQUIVO ...................................................................................................................... 35
Eraser ........................................................................................................................................................ 35
COMPACTADORES .......................................................................................................................................... 35
Winrar ........................................................................................................................................................ 35
VERIFICAÇÃO DE INTEGRIDADE (HASHES) ......................................................................................................... 35
FileVerifier++ ............................................................................................................................................. 35
File Checksum Integrity Verifier ................................................................................................................ 35
APÊNDICE B - REFERÊNCIA RÁPIDA ......................................................................................................... 37
APÊNDICE C - GLOSSÁRIO .......................................................................................................................... 39
4
Itautec S.A.
Índice de Tabelas e Ilustrações
Tabela 1 – Documentação disponível ............................................................................................................... 6
Tabela 2 – Aplicabilidade do PCI DSS – Resumo ............................................................................................ 8
Figura 1 – Arquitetura do ambiente do SCOPE .............................................................................................. 11
Tabela 3 – Arquitetura do SCOPE. ................................................................................................................. 12
Tabela 4 – Portas TCP Utilizadas pelo SCOPE .............................................................................................. 22
Figura 2 – Parâmetros para configuração do SCOPE Conciliação ................................................................ 28
Figura 3 – Exemplo de estrutura de diretório organizada pelo SCOPE Conciliação ...................................... 29
5
Itautec S.A.
Prefácio
Documentação Disponível
Os seguintes documentos são fornecidos com o SCOPE:
Documento
Descrição
SCOPE - Guia de Implementação
Este documento.
Segura
Guia de implantação e operação
segura do produto, de acordo com a
especificação PA DSS.
SCOPE - Manual de Instalação e
Descreve
os
Configuração
instalação e configuração do produto.
SCOPE - Manual de Administração
Descreve
os
procedimentos
procedimentos
de
de
administração do produto.
SCOPE - Manual do Desenvolvedor
Descreve como integrar aplicações
de
automação
comercial
com
o
SCOPE.
Tabela 1 – Documentação disponível
IMPORTANTE: É recomendado que este documento seja cuidadosamente lido antes da
instalação e configuração do produto.
Objetivo
O SCOPE, uma das aplicações de pagamento eletrônico líderes no mercado de TEF
dedicada do Brasil, é certificado perante as principais redes adquirentes do mercado
brasileiro.
Trabalhando junto com estas redes, a Itautec adequou o SCOPE ao padrão de segurança
PA DSS, de forma a tornar o produto aderente às melhores práticas mundiais do mercado
de cartões, e suportar a adoção destas no mercado brasileiro.
Na terminologia da especificação PA DSS, este documento tem o objetivo de servir como
um Guia de Implementação do PA DSS, ou seja, como um guia de implantação e operação
segura do produto, de forma que ele possa ser implantado e utilizado pelos
estabelecimentos de acordo com a especificação PCI DSS.
Uma breve introdução às especificações PA DSS e PCI DSS é dada mais adiante neste
documento.
Compatibilidade
Este Guia de Implementação Segura busca atender à especificação PA DSS 1.2. A
especificação PA DSS 1.2 se mantém em linha com a especificação PCI DSS 1.2.
6
Itautec S.A.
Este documento é revisado anualmente, ou a cada alteração da especificação PA DSS e a
cada alteração deste, o centro de treinamento da Itautec é informado para a atualização do
curso do SCOPE.
A Quem se Destina
Este manual se destina aos estabelecimentos que utilizam o SCOPE, e aos revendedores e
integradores que prestam serviços de instalação e configuração do produto aos
estabelecimentos.
Os estabelecimentos, revendedores e integradores são responsáveis por seguir as
recomendações deste Guia de Implementação PA-DSS, de forma a atender requisitos do
PCI DSS relacionados ao SCOPE.
A Itautec libera esta Guia de Implementação PA-DSS como parte da documentação do
SCOPE (ex: através do CD de instalação do produto). Ocasionalmente, a Itautec também
poderá liberar novas versões deste Guia de Implementação PA-DSS juntamente com
atualizações “avulsas” que não incluem o conteúdo completo do CD do produto.
Assim como qualquer componente do produto, este documento pode ser obtido através do
Representante Comercial Itautec ou da Assistência Técnica Itautec.
IMPORTANTE: A utilização do SCOPE de acordo com este Guia de Implementação
Segura somente não é condição suficiente para aderência ao PCI DSS.
Um aplicativo de pagamento como o SCOPE é apenas um dos elementos do ambiente do
estabelecimento, que deve estar aderente ao PCI DSS como um todo.
7
Itautec S.A.
Normas
PCI DSS
O PCI SSC – Payment Card Industry Security Standards Council (em português,
Conselho de Padrões de Segurança da Indústria de Cartões de Pagamento) é um fórum
aberto, fundado pelas principais bandeiras de pagamento eletrônico do mercado:
AMERICAN EXPRESS, DISCOVER FINANCIAL SERVICES, JCB INTERNATIONAL,
MASTERCARD WORLDWIDE e VISA. O PCI Security Standards Council tem como
objetivos o desenvolvimento, aperfeiçoamento, disseminação e implantação de padrões de
segurança para a proteção de dados dos portadores de cartão.
Um dos padrões desenvolvidos pelo PCI SSC é o PCI DSS – Payment Card Industry Data
Security Standard (em português, Padrão de Segurança de Dados da Indústria de Cartões
de Pagamento).
Os requisitos de segurança definidos no PCI DSS se aplicam aos estabelecimentos que
processam, transmitem ou armazenam dados de cartões.
A tabela a seguir, retirada do PCI DSS, ilustra os dados confidenciais do portador do cartão
e de autenticação comumente manipulados em um ambiente de pagamento, se eles podem
ou não ser armazenados, e se devem ser protegidos. Esta tabela não é detalhada, destinase apenas a ilustrar os diferentes tipos de requisitos que se aplicam a cada elemento de
dados.
Elemento de dados
Dados do
portador do
cartão
Dados de
autenticação
2
confidenciais
Número da conta principal
(PAN)
1
Nome do portador do cartão
1
Código de serviço
1
Data de vencimento
Dados completos da tarja
3
magnética
CAV2/CID/CVC2/CVV2
PIN/Bloco de PIN
Armazenamento
permitido
Proteção
necessária
Req. do PCI
DSS 3, 4
Sim
Sim
Sim
Sim
Sim
Sim
Sim
Sim1
1
Sim
Não
Não
Não
Não
Não se aplica
Não se aplica
Não
Não
Não se aplica
Não se aplica
Não se aplica
Não se aplica
1
Tabela 2 – Aplicabilidade do PCI DSS – Resumo
1
Esses elementos de dados devem ser protegidos se forem armazenados em conjunto com o PAN. Essa proteção deve ser feita com
base nos requisitos do PCI DSS para proteção geral do ambiente do portador do cartão. Além disso, outras legislações (por exemplo,
relacionadas à proteção de dados do consumidor, privacidade, roubo de identidade ou segurança de dados) podem exigir uma
proteção específica desses dados ou a divulgação adequada das práticas de empresas se os dados pessoais do cliente estiverem
sendo coletados durante o curso dos negócios. O PCI DSS, no entanto, não se aplica se o PAN não for armazenado, processado ou
transmitido.
2
Não armazenar dados de autenticação confidenciais após a autorização (mesmo se estiverem criptografados).
3
Dados de acompanhamento completo da tarja magnética, imagem da tarja magnética no chip ou outro local.
8
Itautec S.A.
O número de conta principal (PAN) é o fator decisivo na aplicabilidade dos requisitos do PCI
DSS e do PA-DSS. Se o PAN não for armazenado, processado ou transmitido, o PCI DSS e
o PA-DSS não se aplicam.
Resumidamente, o padrão PCI DSS é composto de 12 requisitos, agrupados em 6 grupos
logicamente relacionados:
•
Montar e manter uma rede segura
o Requisito 1: Instalar e manter uma configuração de firewall para proteger
dados de cartão.
o Requisito 2: Não utilizar padrões para senhas de sistemas e outros parâmetros
de segurança fornecidos pelo vendedor.
•
Proteger dados de cartão
o Requisito 3: Proteger dados de cartão armazenado.
o Requisito 4: Criptografar a transmissão em redes públicas abertas de dados de
cartão.
•
Manter um programa para administração de vulnerabilidade
o Requisito 5: Usar e regularmente atualizar software de antivírus.
o Requisito 6: Desenvolver e manter sistemas e aplicações seguras.
•
Implementar fortes medidas de controle de acesso
o Requisito 7: Restringir acesso a dados de cartão a apenas quem necessita
saber
o Requisito 8: Atribuir uma identificação única para cada pessoa com acesso a
computador.
o Requisito 9: Restringir acesso físico a dados de cartão
•
Monitorar e testar redes regularmente
o Requisito 10: Rastrear e monitorar todo acesso a recursos de rede e dados de
cartão.
o Requisito 11: Testar regularmente sistemas e processos de segurança.
•
Manter uma política de segurança da informação
o Requisito 12: Manter uma política voltada para a segurança da informação.
IMPORTANTE: A adequação ao padrão PCI DSS é de responsabilidade dos
estabelecimentos que processam, transmitem ou armazenam dados de cartões. Os
estabelecimentos devem consultar as redes adquirentes com as quais trabalham – por
exemplo, American Express, Redecard e Visanet no Brasil –, para detalhes específicos da
adoção do padrão PCI DSS no mercado brasileiro e em seu segmento.
PABP
PABP – Payment Application Best Practices (em português, Melhores Práticas para
Aplicações de Pagamento) é uma especificação criada pela VISA e voltada para empresas
9
Itautec S.A.
que desenvolvem aplicações de pagamento que manipulam dados sensitivos de cartões de
pagamento.
A Itautec adequou o SCOPE à especificação PABP em 2008. No final deste mesmo ano, a
especificação PABP foi adotada pelo PCI SSC e republicada com o nome de PA DSS,
como um padrão a ser seguido por todas as bandeiras.
PA DSS
PCI PA DSS – Payment Application Data Security Standard (em português, Padrão de
Segurança de Dados para Aplicações de Pagamento) é uma especificação adotada pelo
PCI SSC com o objetivo de padronizar para todas as bandeiras os requisitos de segurança
que as aplicações de pagamento devem atender.
O PA DSS tem o objetivo de permitir a implementação do PCI DSS pelos estabelecimentos
que utilizam aplicações de pagamento de mercado, como o SCOPE. Desta forma, o PA
DSS tem forte relação com o PCI DSS, e é mantido alinhado com este.
Pode-se entender o PA DSS como a parte do PCI DSS que é atendida, total, parcialmente
ou com a ajuda do aplicativo de pagamento. Desta forma, a Itautec trabalha com as
principais redes autorizadoras do mercado brasileiro para adequar e manter o SCOPE
aderente ao PA DSS, e assim permitir que os estabelecimentos que utilizam o produto
possam implantar o PCI DSS mais facilmente e com um investimento menor.
IMPORTANTE: A adequação do SCOPE ao PA DSS é de responsabilidade da Itautec,
como fabricante do produto. No entanto, a instalação e operação do produto de acordo com
este Guia de Implementação Segura é responsabilidade do estabelecimento, para não estar
em desacordo com o PCI DSS.
IMPORTANTE: A utilização do SCOPE de acordo com este Guia de Implementação Segura
somente não é condição suficiente para aderência ao PCI DSS.
Um aplicativo de pagamento como o SCOPE é apenas um dos elementos do ambiente do
estabelecimento, que deve estar aderente ao PCI DSS como um todo.
10
Itautec S.A.
Arquitetura do SCOPE
Arquitetura de Operação
Esta seção contém um esquema de arquitetura do SCOPE, de forma a caracterizar o
ambiente onde os requisitos do PA DSS que serão discutidos nas próximas seções devem
ser aplicados.
O esquema contém elementos que fazem parte do produto, e elementos que devem ser
implementados pelo estabelecimento – especialmente os firewalls – para aderência ao PA
DSS.
Figura 1 – Arquitetura do ambiente do SCOPE
IMPORTANTE: Todos os módulos do SCOPE devem estar dentro duma rede privada do
estabelecimento para que este seja aderente ao PCI-DSS.
Os módulos da Figura 1 estão descritos na tabela abaixo.
Módulo
Descrição
Automação comercial
Aplicativo para realizar venda e, na
arquitetura acima, está integrada com o
SCOPE para o pagamento com cartões.
11
Itautec S.A.
Redes autorizadoras (AMEX,
Entidade,
direta
Visanet, Redecard, etc.)
responsável
ou
pela
indiretamente,
aprovação
das
transações.
Roteador
Dispositivo de rede que faz a ponte entre
o SCOPEGW, através de TCP/IP, com as
autorizadoras que utilizam o protocolo
X.25.
SCOPE Client
Módulo do SCOPE ao qual a automação
comercial
se
integra
para
efetuar
transações de pagamento.
SCOPE Server (SCOPESRV)
Gerencia os diversos terminais onde
executa
a
automação
comercial,
e
executa as transações de pagamento
solicitadas por eles através do SCOPE
Client.
SCOPE Gateway (SCOPEGW)
Gerencia a comunicação com as redes
autorizadoras, isolando o SCOPE Server
dos
diferentes
protocolos
de
comunicação.
SCOPE Administração
Módulo para consulta e emissão de
(SCOPEADM)
relatórios de transações.
SCOPE Pendências
Módulo para consulta e resolução de
(SCOPEPND)
transações pendentes.
SCOPE Configurador
Módulo de configuração do produto.
(SCOPECNF)
SCOPELimpezaBD
Módulo para remoção de dados históricos
do banco de dados do SCOPE.
Sistema gerenciador de banco
Gerencia o banco de dados do SCOPE,
de dados (SGBD)
onde
são
mantidos
dados
de
configuração do produto e as transações
efetuadas.
O
SCOPE
trabalha
com
bancos de dados padrão de mercado,
como Microsoft SQL Server, Oracle e IBM
DB2.
Tabela 3 – Arquitetura do SCOPE.
Consultar o documento “Scope - Manual Desenvolvedor.pdf” para maiores detalhes sobre
cada módulo e sua operação.
Com exceção do SCOPE Client, os outros módulos do SCOPE executam exclusivamente
sobre a plataforma Microsoft Windows® 32 bits. Estes módulos são arquivos executáveis
por si.
12
Itautec S.A.
O SCOPE Client é um conjunto de bibliotecas utilizado pelo aplicativo de automação
®
comercial. Estão disponíveis bibliotecas para aplicações que rodam em MS-Windows 32bits e Linux. O documento “Scope - Manual Desenvolvedor.pdf” contém detalhes de
utilização e integração do SCOPE Client ao aplicativo de automação comercial.
Aplicativos
Todos os aplicativos utilizados nas máquinas devem ser versões suportadas pelos
fabricantes e todos os patches de segurança atualizados. Dentre os aplicativos estão:
•
Sistemas operacionais
•
Sistemas gerenciadores de bancos de dados
•
Java Runtime Environment
•
Firewall
•
Antivírus
IMPORTANTE: Com isto, obviamente, sistemas operacionais DOS e Windows 98 nunca
deve ser utilizados para rodar qualquer componente do SCOPE.
13
Itautec S.A.
Criptografia
Este tópico descreve o tratamento de criptografia do SCOPE. Qualquer dado histórico deve
ser removido para a conformidade com o PCI DSS.
Controle de chaves
Com o intuito de proteger dados sensíveis, o SCOPE utiliza o algoritmo AES-128 que é
recomendado pelo NIST (National Institute of Standards and Technology). Este é um
algoritmo simétrico e utiliza chaves de criptografia com 128 bits de tamanho.
O SCOPE trabalha com duas chaves criptográficas principais e duas secundárias. As
chaves principais são as chaves que estão sendo utilizadas no momento para criptografar e
descriptografar. As secundárias são as chaves imediatamente anteriores usadas apenas
para descriptografar dados que foram protegidos antes da criação da chave principal. Em
outras palavras, quando há a troca de chaves, as principais passam a ser secundárias e
recebem um novo valor para a chave. Assim, quando o SCOPE acessar uma informação
criptografada com a chave antiga, ele utilizará a chave secundária.
A chave utilizada para criptografar os dados armazenados e trafegados é conhecida como
DEK (data encryption key). Anteriormente esta chave era armazenada no arquivo de
registro do MS-Windows® (Registry) somente da máquina onde o SCOPE Server é
executado, porém a partir da versão 2.25.XX.XX do SCOPE esta chave passou a ser
armazenada na autoridade local de segurança (LSA) do MS-Windows®. Acompanhando a
DEK é gravada também a data em que foi ela foi gerada com o mês e o ano.
IMPORTANTE: Caso o servidor SCOPE seja trocado de máquina e os dados do banco não
sejam excluídos, devem-se exportar as chaves que estão localizadas na máquina atual,
pois senão o SCOPE Server criará novas chaves aleatórias.
NOTA: Atende os requisitos 2.5 e 2.6 do PA-DSS e aos requisitos 3.5 do PCI-DSS.
Troca das chaves
A chave é automaticamente alterada a cada um ano pelo SCOPE sem a intervenção do
usuário. A partir deste ponto, a antiga é armazenada em outro local, mas ainda na LSA, e
então é criada uma chave nova.
Se o estabelecimento perceber que as chaves foram comprometidas ou deseja alterar-las,
deve-se entrar em contato com a Itautec para solicitar que as chaves sejam trocadas.
14
Itautec S.A.
Requisitos do PA DSS
Aqui detalhamos os itens que este guia de implementação deve conter para atender o PA
DSS. O conteúdo deste está detalhado por requisito da norma que o documento deve
conter, conforme anexo A do documento “Requisitos e procedimentos de avaliação de
segurança” do PA DSS, versão 1.2.
Requisito 1 - Não reter todos os dados da tarja magnética, do
código ou valor de validação do cartão (CAV2, CID, CVC2,
CVV2) ou bloqueio do PIN
A PA-DSS requer que os dados de autenticação confidenciais usados em uma ou mais
transação
não
sejam
armazenados
após
a
autorização
(mesmo
se
estiverem
criptografados). Nesse caso, dados como rastros do cartão magnético ou senha do cartão
jamais devem constar em históricos, logs, bancos de dados.
Para minimizar o risco poderiam ser armazenados da tarja magnética apenas os elementos
de dados que seriam necessários para a aplicativo, como talvez o nome do portador da
conta, o PAN, data de vencimento ou código de serviço, porém de maneira truncada (no
caso do PAN) e/ou protegida.
Em particular, dados de autenticação confidencial devem ser coletados somente quando
necessário e de maneira limitada para que possa resolver apenas problemas específicos e
excluídos após sua utilização. Dados como o número de 3 ou 4 dígitos na frente ou no
verso do cartão (CVV2, CVC2, CID, CAV2), geralmente usados para verificar as
transações, ou o PIN (senha) e/ou bloqueio de PIN criptografado precisam ser excluídos de
forma segura pelo aplicativo imediatamente após deixarem de ser necessários para cada
transação e não devem ser armazenados.
Estes dados devem ficar criptografados enquanto estiverem armazenados para uso, em
locais específicos e com acesso limitado.
Requisito 1.1.4 - Exclusão de dados de autenticação confidenciais
armazenados por versões anteriores do aplicativo de pagamento
Os dados do histórico devem ser removidos (dados da tarja magnética, códigos de
validação do cartão, PINs ou bloqueios de PIN armazenados por versões anteriores do
SCOPE). Esta remoção é essencial para que o estabelecimento esteja aderente ao PCI
DSS.
A remoção pode ser realizada com o aplicativo ScopeLimpezaBD.EXE. Os detalhes de
como usar este aplicativo pode ser visto no documento de administração do SCOPE.
PCI DSS: Requisito do padrão de segurança de dados do PCI 3.2.
Requisito 1.1.5 - Exclusão de quaisquer dados de autenticação
15
Itautec S.A.
confidenciais (pré-autorização) recolhidos como resultado
resolução de problemas com o aplicativo de pagamento.
da
Quando houver necessidade de habilitar o trace com o nível alto no SCOPE, estes arquivos
gerados com maior detalhe de informação precisam de certas precauções:
•
Dados de autenticação confidenciais (pré-autorização) somente devem ser
coletados quando necessário para resolver problemas específicos.
•
Tais dados devem ser armazenados somente em locais específicos e conhecidos,
com acesso limitado.
•
A coleta somente deve ser feita numa quantidade limitada de dados para solucionar
algum problema específico.
•
Os dados de autenticação confidenciais devem ser criptografados enquanto
estiverem armazenados. Neste caso, pode utilizar um compactador de arquivo que
proteger os arquivos.
•
Tais dados devem ser excluídos de forma segura imediatamente após o uso.
Nunca deverá ser enviado nenhum número de cartão e/ou outros dados do portador do cartão por email ou qualquer outro meio para funcionários da Itautec S.A.
Requisito 2 - Proteger os dados armazenados do portador do
cartão
Sempre que seu armazenamento for necessário pelo aplicativo o PAN deve estar ilegível.
Atualmente o SCOPE utiliza truncamento do PAN (primeiros seis dígitos e quatro últimos
dígitos) para isso. Porém, uma alternativa ao truncamento seria o uso de criptografia
robusta a partir de chaves (gerenciadas) e aplicada sobre o PAN. “O PAN deve ser
convertido como ilegível em qualquer local que é armazenado, mesmo fora do aplicativo de
pagamento.”
Requisito 2.1 - Eliminação dos dados do portador do cartão após o
período de retenção definido pelo cliente.
Todos os dados do portador do cartão devem ser removidos após o tempo definido pela
política de retenção de dados do estabelecimento.
O SCOPE armazena apenas os dados que são permitidos apenas na base de dados do
SCOPE.
Para atender a política de retenção dos dados do portador do cartão, pode ser utilizado o
aplicativo ScopeLimpezaBD.EXE que agenda a limpeza de dados antigos. Os detalhes de
como usar este aplicativo pode ser visto no documento de administração do SCOPE.
16
Itautec S.A.
Requisito 2.7 - Exclusão de material de chave criptográfico ou
criptogramas armazenados por versões anteriores do aplicativo de
pagamento.
A versão 2.25 do SCOPE começou a trabalhar com chaves criptográficas AES 128-bits.
Estas chaves foram armazenadas no Registry do MS-Windows®, nas chaves:
•
HKEY_LOCAL_MACHINE\SOFTWARE\Scope\SCOPESRV\AnteDado
•
HKEY_LOCAL_MACHINE\SOFTWARE\Scope\SCOPESRV\AnteTraf
•
HKEY_LOCAL_MACHINE\SOFTWARE\Scope\SCOPESRV\ProtDado
•
HKEY_LOCAL_MACHINE\SOFTWARE\Scope\SCOPESRV\ProtTraf
A partir da versão 2.25.XX.XX, o SCOPE passou a fazer uso do LSA do MS-Windows®
para armazenar as chaves.
Além da exclusão dos dados históricos, a atualização de versão deve ser precedida da
remoção destes materiais criptográficos, excluindo as chaves listadas anteriormente, para
os ambientes que ainda estão com elas.
Estas remoções são essencialmente necessárias para a conformidade com o PCI.
Ao atualizar a versão, o SCOPE irá gerar automaticamente novas chaves para criptografar
as informações futuras das transações. Contudo, para isso é importante que o SCOPE
esteja executando com privilégios que permitam a escrita e leitura de LSA Secrets do
serviço LSA do MS-Windows®. Em geral contas administrativas possuem esses privilégios,
portanto, será necessário que apenas a aplicativo SCOPE Server seja executada com
privilégios administrativos a fim de que esse aplicativo possa ter acesso às chaves
armazenadas na LSA.
Requisito 3 - Fornecer recursos de autenticação segura
Requisito 3.1 - Uso de IDs de usuário exclusivos e autenticação segura
para acesso administrativo e acesso a dados do portador do cartão.
O SCOPE provê uma maneira de controle de acesso de usuários baseado no perfil de
acesso. O nível de controle de cada perfil abrange as telas dos módulos administrativos e
de configuração do SCOPE – SCOPEADM, SCOPEPND e SCOPECNF respectivamente –,
e tem opção de restringir à apenas leitura ou à leitura e escrita (em telas que permitem a
entrada de dados).
A instalação padrão do SCOPE grava apenas o perfil Administrador que possui acesso total
aos módulos do SCOPE. Após a instalação do produto, na primeira execução do
SCOPECNF, são solicitados os primeiros dados de configuração, entre ele é o usuário e a
senha do administrador do SCOPE. Esta conta deve ser a da pessoa responsável por tal
papel no ambiente SCOPE.
Deve-se atribuir a cada pessoa que usará os módulos administrativos do SCOPE uma
conta única.
17
Itautec S.A.
As senhas criadas para as contas são validadas pelo SCOPE e aceitas apenas se a mesma
for considerada média.
IMPORTANTE: As senhas criadas no SCOPE são case-sensitive, isto é, a senha Password
é diferente de password.
Para o PCI DSS, no que tange a senha, a empresa deve instruir aos que possuam acesso
ao ambiente de TEF do SCOPE, exceto a máquina com o aplicativo comercial, que se
devem respeitar as seguintes regras:
8.5.8 Não utilize senhas ou contas genéricas, de grupo ou compartilhadas;
8.5.9 Mude as senhas dos usuários pelo menos a cada 90 dias;
8.5.10 Exija uma senha com o comprimento mínimo de pelo menos sete caracteres;
8.5.11 Use senhas contendo caracteres tanto numéricos como alfabéticos;
8.5.12 Não permita que um indivíduo submeta uma nova senha que seja idêntica a
qualquer uma das quatro últimas que ele usou;
8.5.13 Limite a tentativa de acesso repetido por razão de bloqueio do ID do usuário a
não mais de seis tentativas;
8.5.14 Ajuste a duração do bloqueio para trinta minutos ou até que o administrador
habilite o ID do usuário;
8.5.15 Se uma sessão estiver inativa por mais de 15 minutos, exija que o usuário
entre outra vez a senha para reativar o terminal.
Sempre que possível deve-se utilizar autenticação segura para o SCOPE e para o sistema
onde algum item do ambiente do SCOPE está instalado.
Para configurar o ambiente para atender o PCI-DSS, ver Configurações do sistema operacional.
PCI DSS: Requisito do padrão de segurança de dados do PCI 8.1, 8.2 e 8.5.8-8.5.15.
Requisito 3.2 - Uso de IDs de usuário exclusivos e autenticação segura
para acesso a PCs, servidores e bancos de dados com aplicativos de
pagamento.
Qualquer acesso a algum sistema (sistema operacional, servidor, banco de dados) que faz
parte do ambiente do SCOPE deve ser realizado com nomes de usuários exclusivos e ter
uma autenticação segura, conforme Requisitos 8.5.8 a 8.5.15 do PCI DSS. Para configurar
o ambiente ver Configurações do sistema operacional.
PCI DSS: Requisito do padrão de segurança de dados do PCI 8.1 e 8.2.
18
Itautec S.A.
Requisito 4 - Registrar em log a atividade do aplicativo de
pagamento
Requisito 4.2 - Implementar trilhas de auditoria automatizada.
O sistema operacional deve ser configurado para manter a rastreabilidade dos acessos dos
usuários. Em outras palavras, habilitar a auditoria de eventos no computador, como logon e
acesso a objetos de acordo com PCI Data Security Standard 10.2 e 10.3.
10.2 Implementar os registros de auditoria automatizados para reconstruir os
seguintes eventos, para todos os componentes do sistema:
10.2.1 Todo acesso feito por um usuário individual aos dados do portador de
cartão;
10.2.2 Todas as ações tomadas por qualquer indivíduo com privilégios tipo
“root” ou administrativos;
10.2.3 Acesso a todos os registros de auditoria;
10.2.4 Tentativas inválidas de acesso lógico;
10.2 5 Uso de mecanismos de identificação e autenticação;
10.2.6 Inicialização dos logs de auditoria;
10.2.7 Criação ou remoção de objetos de sistema.
10.3 Gravar pelo menos os seguintes registros de auditoria para cada evento ligado a
todos os componentes do sistema:
10.3.1 Identificação do usuário;
10.3.2 Tipo de evento;
10.3.3 Data e hora;
10.3.4 Indicação de sucesso ou falha;
10.3.5 Origem do evento;
10.3.6 Identidade ou nome do dado, componente de sistema ou recurso
afetado.
O SCOPE possui uma auditoria para o módulo SCOPECNF, na qual são impressos
algumas informações quando há a configuração de itens do SCOPE. A sua consulta deve
ser feita através de comandos diretamente no sistema gerenciador de banco de dados.
Pode ser possível desabilitar este recurso, excluindo ou renomeando a tabela AUDITORIA
da base do SCOPE, no entanto, sua exclusão pode resultar em não conformidade com o
PCI DSS.
PCI DSS: Requisito do padrão de segurança de dados do PCI 10.2 e 10.3.
Requisito 6 - Proteger transmissões wireless
Requisito 6.1 - Implementação segura de tecnologia wireless.
Em estabelecimentos que utilizem redes wireless para algum item do ambiente SCOPE, a
instalação do firewall é obrigatória conforme Requisito 1.3.8 do PCI DSS.
19
Itautec S.A.
1.3.8 Implementar o mascaramento de IP para impedir que endereços internos
sejam traduzidos e revelados na Internet, usando o espaço de endereço RFC
1918. Usar as tecnologias NAT (network address translation) - por exemplo,
PAT (port address translation).
PCI DSS: Requisito do padrão de segurança de dados do PCI 1.3.8 e 2.1.1.
Requisito 6.2 - Proteger transmissões de dados do portador do cartão
em redes wireless.
Além do firewall, quando uma rede wireless é utilizada, devem-se utilizar as configurações
wireless compatíveis com PCI DSS, de acordo com o Requisito 4.1.1 do PCI DSS.
4.1.1 Certificar-se de que as redes sem fio estejam transmitindo dados do
portador do cartão ou estejam conectadas ao ambiente de dados do portador
do cartão, usar as melhores práticas do setor (por exemplo, IEEE 802.11i) para
implementar a criptografia robusta para a autenticação e a transmissão.
•
Para novas implementações sem fio, será proibido implementar o WEP
após 31 de março de 2009.
•
Para as implementações sem fio atuais, será proibido implementar o
WEP após 30 de junho de 2010.
PCI DSS: Requisito do padrão de segurança de dados do PCI 4.1.1.
Requisito 9 - Os dados do portador do cartão nunca devem ser
armazenados em servidores conectados à Internet
Requisito 9.1 - Armazenar dados do portador do cartão somente em
servidores não conectados à Internet.
As aplicações que por algum motivo armazenam dados do portador do cartão (exemplo: loja
virtual) não podem armazenar tais dados na mesma máquina que está conectada a Internet
(por exemplo, o servidor web e o servidor do banco de dados não deve estar no mesmo
servidor).
PCI DSS: Requisito do padrão de segurança de dados do PCI 1.3.2.
20
Itautec S.A.
Requisito 10 - Facilitar atualizações de software remotas
seguras
Atualmente não são feitas atualizações de software remotas do aplicativo SCOPE. Todo
update do SCOPE é entregue ao cliente, e este efetua manualmente a atualização. Para
maiores detalhes ver o tópico Autenticidade e integridade das atualizações.
PCI DSS: Requisito do padrão de segurança de dados do PCI 1.3.9 e 12.3
Requisito 11 - Facilitar o acesso remoto seguro ao aplicativo
de pagamento
Requisito 11.2 - Implementar autenticação de dois fatores para acesso
remoto ao aplicativo de pagamento.
Uma senha longa de mais de 10 caracteres (contendo letras, números e caracteres
especiais aleatórios) pode ser muito difícil de decifrar. Porém, nem sempre os
usuários conseguem se lembrar de senhas como essas, em parte por causa das
limitações humanas básicas.
Os sistemas de autenticação de dois fatores superam os problemas de
autenticação de segredo único, exigindo um segundo segredo. A autenticação de
dois fatores usa uma combinação dos seguintes itens:
•
Algo que o usuário tenha, como um token de hardware ou um cartão
inteligente.
•
Algo que seja de conhecimento do usuário, como um número de
identificação pessoal (PIN).
Os cartões inteligentes e seus respectivos PINs constituem um método de
autenticação de dois fatores cada vez mais conhecido, confiável e econômico. Com
os controles adequados em funcionamento, o usuário deve ter o cartão inteligente e
saber o PIN para obter acesso aos recursos de rede. O requisito de dois fatores
reduz consideravelmente a probabilidade de acesso não autorizado à rede de uma
organização.
Assim, caso o aplicativo esteja sendo acessado remotamente, deve-se utilizar
autenticação de dois fatores (ID de usuário e senha e um item de autenticação
adicional, como um token ou smart card).
PCI DSS: Requisito do padrão de segurança de dados do PCI 8.3
21
Itautec S.A.
Requisito 11.3 - Implementar com segurança o acesso remoto ao
software.
Se o software acessar remotamente o aplicativo de pagamento ou seu ambiente,
deve-se usar ou implementar recursos de segurança do software de acesso remoto.
O SCOPE possui o aplicativo ScopeSrvCon que permite a partir de um console
monitorar as atividades do ScopeSrv numa mesma rede privada. Nesse caso, é
importante para sua utilização que alguns recursos de segurança no ambiente de
rede e aplicativo sejam reforçados, tais como:
o
Alteração das configurações padrão no software de acesso remoto (por
exemplo, alteração de senhas padrão e uso de senhas exclusivas para
cada cliente).
o
Permitir conexões somente de endereço IP/MAC específicos (conhecidos).
o
Uso de autenticação potente e senhas complexas para logins, de acordo
com os Requisitos 8.1, 8.3 e 8.5.8–8.5.15 do PCI DSS.
o
Ativação de transmissão de dados criptografados de acordo com o
Requisito 4.1 do PCI DSS.
o
Ativação do bloqueio de conta após um determinado número de tentativas
de login sem sucesso, de acordo com o Requisito 8.5.13 do PCI DSS.
o
Configuração do sistema de modo que um usuário remoto estabeleça uma
conexão de rede virtual privada (“VPN”) por meio de um firewall antes que o
acesso seja permitido.
o
Ativação da função de registro em log.
o
Restrição do acesso a senhas do cliente à equipe do revendedor/integrador
autorizada.
o
Estabelecimento de senhas de cliente de acordo com os Requisitos 8.1,
8.2, 8.4 e 8.5 do PCI DSS.
O acesso do ScopeSrvCon deve ser limitado à porta em que o SCOPE Server
esteja executando. Além disso, é importante também que se estabeleçam
regras de firewall para as portas que o SCOPE utiliza. A tabela a seguir
enumera as possíveis portas que o aplicativo geralmente utiliza:
Porta
4
Protocolo
Server
Client
Parametrizável
2046
TCP
Scope Server
Scope Client
ScopeCnf e
scope.ini
2047
TCP
Scope Gateway
Scope Server
ScopeCnf
2051
TCP
Scope Server
Scope Server
Console
(ScopeSrvCon)
scope.ini
Roteador
Cyclades
Scope Gateway
ScopeCnf
32767, 32768, TCP
5
32769, etc.
Tabela 4 – Portas TCP Utilizadas pelo SCOPE
4
Não estão listadas na relação acima as portas utilizadas por outros componentes que não fazem parte do SCOPE como Antivírus,
Microsoft SQL Server, Oracle, etc. Estes dependem do ambiente do estabelecimento.
5
Uma porta associada a cada rede autorizadora, conforme configurado pelo estabelecimento através do SCOPECNF.
22
Itautec S.A.
PCI DSS: Requisito do padrão de segurança de dados do PCI 8.1-8.4 e 8.5.8–8.5.15
Requisito 12 - Criptografar tráfego sensível por redes públicas
Requisito 12.1 - Proteger transmissões de dados do portador do cartão
em redes públicas.
As informações confidenciais usadas no aplicativo devem ser criptografadas durante a
transmissão nas redes que são facilmente acessadas por indivíduos mal-intencionados.
Redes sem fio configuradas de forma incorreta, vulnerabilidades na criptografia legada e
protocolos de autenticação podem ser alvos contínuos de indivíduos mal-intencionados que
exploram essas vulnerabilidades para obter acesso privilegiado aos ambientes de dados do
portador do cartão.
Se o aplicativo de pagamento enviar, ou facilitar o envio, dos dados do portador do cartão
por redes públicas, verifique se a tecnologia de transmissão de criptografia segura (por
exemplo, IPSEC, VPN ou SSL/TLS) é fornecida, ou se seu uso é especificado. Deve-se
nesse caso implementar e usar o SSL para transmissão segura de dados do portador do
cartão, de acordo com o Requisito 4.1 do PCI DSS
4.1 Utilizar uma criptografia robusta e protocolos de segurança como SSL/TLS ou
IPSEC para proteger os dados confidenciais do portador do cartão durante a
transmissão em redes abertas e públicas. Os exemplos de redes abertas e públicas
que estão no escopo do PCI DSS são:
A Internet,
Tecnologias sem fio,
Global System for Mobile communications (GSM) e
General Packet Radio Service (GPRS).
Atualmente o SCOPE utiliza entre o SCOPE Client e o SCOPE Server um algoritmo de
criptografia AES com chaves de 128 bits para proteger as mensagens enviadas entre si de
potenciais interceptadores que pudessem capturá-las para uso indevido. Porém, se tais
dados forem transmitidos de um aplicativo de automação comercial para outra em uma rede
pública, deve-se tomar mais alguns cuidados adicionais, a saber:
4.1.a Verifique o uso da criptografia (por exemplo, SSL/TLS ou IPSEC) aonde quer
que os dados do portador do cartão sejam transmitidos ou recebidos em redes
abertas e públicas
•
Verifique se a criptografia robusta é usada durante a transmissão dos dados
•
Para implementações de SSL:
- Verifique se o servidor é compatível com as versões corrigidas mais recentes.
- Verifique se HTTPS é exibido como parte do Universal Record Locator (URL)
do navegador.
- Verifique se nenhum dado do portador do cartão é exigido quando HTTPS não
for exibido no URL.
23
Itautec S.A.
•
Selecione um exemplo de transações à medida que recebem e observam as
transações conforme elas ocorrem para verificar se os dados do portador do
cartão estão criptografados durante o trânsito.
•
Verifique se somente as chaves/certificados de SSL/TLS confiáveis são aceitas.
•
Verifique se a força da criptografia adequada é implementada para a
metodologia
de
criptografia
sendo
utilizada.
(Verifique
as
recomendações/melhores práticas do fornecedor.)
PCI DSS: Requisito do padrão de segurança de dados do PCI 4.1 e 4.1a
Requisito 12.2 - Criptografar dados do portador do cartão enviados por
meio de tecnologias de envio de mensagens de usuário final.
O aplicativo de pagamento nunca deve enviar PANs não criptografados usando
tecnologias de envio de mensagens de usuário final (por exemplo, e-mail, sistemas de
mensagens instantâneas, bate-papo). Portanto, para casos assim em que PANs
possam ser enviados com tecnologias de envio de mensagens de usuário final, deve-se
implementar e usar uma solução de criptografia robusta.
Essa regra também se aplica mesmo para o envio do PAN à Itautec para análise de
problemas. Nesse caso o PAN deverá ser truncado (mantendo-se somente os 6
primeiros e os 4 últimos dígitos) antes de ser enviado.
PCI DSS: Requisito do padrão de segurança de dados do PCI 4.1 e 4.2
Requisito 13 - Criptografar todos os acessos administrativos
não-console
Requisito 13.1 - Criptografar os acessos administrativos não-console.
•
Implementar e usar SSH, VPN ou SSL/TLS para criptografia de qualquer acesso
administrativo não-console ao aplicativo de pagamento ou servidores no ambiente
de dados do portador do cartão.
•
Nunca utilizar Telnet ou rlogin para acesso administrativo.
•
Verificar se o acesso do administrador às interfaces de gerenciamento baseadas na
Web é criptografado com uma criptografia robusta.
PCI DSS: Requisito do padrão de segurança de dados do PCI 2,3
24
Itautec S.A.
Configurações do sistema operacional
Este tópico visa descrever as configurações recomendadas para os sistemas operacionais
que precisam ser aplicadas pelo estabelecimento para atender o PCI-DSS.
Configuração comum
A comunicação entre os módulos do SCOPE utiliza TCP/IP. Todo e qualquer serviço não
utilizado no ambiente deve ser desabilitado para que o estabelecimento atenda os
requisitos do PCI-DSS. Protocolos inseguros ou não utilizados devem ser desabilitados.
São exemplos de tais itens:
•
NetBIOS
•
Spooler de impressão
•
Serviços de compartilhamento
•
Telnet
•
Samba
•
FTP
Para desabilitar o NetBIOS no Windows, basta seguir as seguintes instruções:
1. Abra a janela de Propriedade de Conexão Local, clicando com o botão direito no
ícone Conexão Local e clicando em Propriedades.
2. Selecionando o Protocolo TCP/IP, clique em Propriedades para abrir a janela
Propriedades do Protocolo TCP/IP.
3. Na aba Geral, clique no botão Avançado, fazendo com que abra a janela
Configurações TCP/IP avançadas.
4. Clique na aba WINS e selecione Desativar NetBios sobre TCP/IP.
Quanto aos demais serviços, podem ser desabilitados na janela Serviços, localizado em
Ferramentas administrativas.
O Windows fornece um recurso de recuperação de sistema, para que o usuário possa
colocar o ambiente de volta a certo ponto após um mal-funcionamento do computador,
devido à uma atualização de sistema ou instalação de software. Para este recurso
funcionar, o Windows guarda informações no disco. Embora possa parecer útil, ele deve ser
desabilitado, pois pode acontecer do Windows guardar inseguramente dados sensitivos da
aplicação no disco. A desativação é realizada selecionando a opção Desativar restauração
do sistema em todas as unidades, localizado na aba Restauração do sistema da janela
Propriedades do sistema.
O aplicativo de firewall deve permitir apenas as portas que estão realmente em uso.
Windows Server 2003
As configurações necessárias são as diretrizes de segurança locais para os usuários. Para
isto, abrir o aplicativo Configurações locais de segurança (localizado em Iniciar Ferramentas administrativas Diretiva de segurança local).
25
Itautec S.A.
Expandir a árvore Configurações de segurança, e configurar os atributos das Diretivas de
senha, localizado abaixo de Diretivas de conta, conforme o recomendado na tabela abaixo:
Atributo
A senha deve satisfazer a requisitos de
complexidade
Aplicar histórico de senhas
Armazena senhas usando criptografia
reversível para todos os usuários do domínio
Recomendado
Ativada
4 senhas memorizadas
Desativada
Comprimento mínimo da senha
7 caracteres
Tempo de vida máximo da senha
90 dias
Tempo de vida mínimo da senha
0 dia
Configurar os atributos de Diretiva de bloqueio de conta, localizado abaixo de Diretivas de
conta, conforme o recomendado na tabela abaixo:
Atributo
Recomendado
Duração do bloqueio de conta
30 minutos
Limite de bloqueio de conta
6 tentativas de logon inválidas
Zerar contador de bloqueios de conta após
30 minutos
Configurar a Diretiva de auditoria, localizado abaixo de Diretivas locais, conforme o
recomendado na tabela abaixo:
Atributo
Recomendado
Auditoria de acesso a objetos
Successo
Auditoria de acesso ao serviço de diretório
Sem auditoria (opcional)
Auditoria de alteração de diretivas
Successo
Auditoria de controle de processos
Auditoria de eventos de logon
Successo, falha
Auditoria de eventos de sistema
Successo
Auditoria de gerenciamento de contas
Successo, falha
Auditoria de uso de privilégios
Eventos de logon de conta de auditoria
Successo, falha
O terminal deve ser travado com senha após 15 de inatividade, configurando na aba de
proteção de tela da janela Propriedades de Vídeo do Windows.
Além dessas configurações, há outra configuração bastante importante a ser realizada. Esta
configuração é a limpeza do arquivo de paginação da memória virtual do Windows, que está
em Diretivas locais Opções de segurança. Isso garante que informações confidenciais da
memória do processo que poderiam ir para o arquivo de paginação não fiquem disponíveis
para um usuário não autorizado que consiga acessar diretamente o arquivo de paginação.
Quando esta diretiva está ativada, ela faz com que o arquivo de paginação do sistema seja
limpo em um desligamento sem problemas.
26
Itautec S.A.
IMPORTANTE: O SCOPE não possui mecanismos para tais controles atualmente, mas é
de fundamental importância que o estabelecimento siga estes exigências para que o
ambiente seja aderente ao PCI DSS.
27
Itautec S.A.
Conciliação
O SCOPE possui o módulo de conciliação utilizado para o extrato eletrônico do sistema.
Com este aplicativo é possível confrontar as informações sobre as transações existentes no
banco de dados do SCOPE com as informações enviadas pelas redes autorizadoras.
Este módulo merece um destaque porque os arquivos de conciliação recebidos de algumas
redes administradoras possuem todo o número do cartão aberto. Portanto, sugere-se adotar
o seguinte procedimento:
•
Salvar o arquivo num diretório conhecido apenas por pouquíssimas pessoas.
•
Importar o arquivo no SCOPE Conciliação
•
Se desejar manter o arquivo por algum tempo, compactar o arquivo utilizando uma
senha forte, segundo o padrão do PCI-DSS.
•
Utilizar o aplicativo de remoção segura de arquivos (Eraser, SDelete, etc.) para
apagar o arquivo de extrato aberto recebido pela rede.
•
Quando excluir o arquivo compactado, este também deverá ser apagado de forma
segura com o uso de aplicativo para tal finalidade.
No módulo de conciliação do SCOPE há uma opção para organizar automaticamente os
arquivos de extratos, conforme figura abaixo.
Figura 2 – Parâmetros para configuração do SCOPE Conciliação
Quando configurado, esta opção permite que os arquivos de extratos sejam mantidos
organizados numa estrutura de diretórios separados por rede e tipo de transação e por ano
e mês (ver Figura 3). A finalidade de manter este arquivo é para um possível
reprocessamento caso ocorra algum problema. Após isto, é recomendado que tais arquivos
sejam excluídos de maneira segura, ou excluindo toda a estrutura se não houver nenhum
arquivo que precise manter ou excluindo arquivo por arquivo não mais necessário. Para a
exclusão segura utilizar uma ferramenta apropriada.
28
Itautec S.A.
Figura 3 – Exemplo de estrutura de diretório organizada pelo SCOPE Conciliação
IMPORTANTE: Se mantiver os arquivos de extrato das redes compactados, é importante
existir um documento especificando um período de retenção e o procedimento para apagar.
CUIDADO: Não deve remover tais arquivos apenas deletando como é comumente feito
(com a tecla SHIFT+DELETE), pois, isto não garante que o arquivo seja removido
fisicamente do disco. Muito menos enviar para a lixeira.
29
Itautec S.A.
Atualização de versão
Antes de atualizar a versão leia o tópico Autenticidade e integridade das atualizações.
Preparando para atualização
Este tópico considera em linhas gerais o que deve ser feito antes de atualizar a versão do
SCOPE. O procedimento básico consiste em:
1. Limpar a base histórica.
2. Fazer backup do banco de dados.
3. Fazer backup dos módulos do SCOPE, copiando a pasta de instalação do SCOPE
existente.
4. Executar o software para limpar áreas livres do sistema utilizando ferramentas de
limpeza segura de disco (ver Apêndice A – Ferramentas adicionais).
5. Instalar a nova versão do módulo servidor, gateway e administrativos SCOPE através
do CD.
6. Executar estes módulos para verificar se está funcionando corretamente executando
a automação comercial com o SCOPE Client que já existia.
7. Fazer backup dos módulos do SCOPE Client da automação comercial.
8. Atualizar então o SCOPE Client da automação comercial.
IMPORTANTE: Como o SCOPE é uma aplicativo de natureza crítica, por se tratar de um
concentrador de TEF, é altamente recomendável que, antes de atualizar o ambiente de
produção, instalar o SCOPE num ambiente de teste e homologar a automação comercial
com a nova versão do SCOPE. Só então poderá fazer a atualização do ambiente de
produção, minimizando assim possíveis problemas básicos.
IMPORTANTE: A partir da versão 2.25.XX.XX o SCOPE passou a armazenar as chaves de
que se utiliza na Local Security Authority do MS-Windows®. Por isso, o SCOPE Server
passou a requerer privilégios administrativos ou que preferencialmente lhe deem permissão
de escrita e leitura ao LSA para sua execução.
Em caso de erro
Às vezes nem tudo que é planejado acaba bem sucedido. Ou por falta de alguma
configuração, ou algum módulo que ficou para trás. De qualquer forma, deve-se sempre
estar preparado para qualquer surpresa que surgir, pois o ambiente SCOPE deve estar
operacional quando necessário. Para colocar uma instalação antiga do SCOPE em
operação novamente, deve-se seguir o procedimento abaixo:
1. Copiar os módulos do SCOPE Client anteriores de backup.
2. Restaurar o backup do banco de dados.
3. Restaurar o módulo servidor, gateway e administrativos do SCOPE.
30
Itautec S.A.
NOTA: Atende os requisitos 5.3.4 da PA-DSS e 6.4 do PCI-DSS.
31
Itautec S.A.
Solicitando suporte
Ao entrar em contato com a Itautec para solicitar suporte, poderá ser necessário enviar
arquivos de log para a análise do problema por parte da Itautec.
Para o estabelecimento atender o PCI DSS, não deve enviar dados sensitivos do portador
do cartão abertos por e-mail.
É de responsabilidade do estabelecimento:
•
Separar os arquivos a ser enviados para a Itautec num diretório específico e
protegidos com senha e algoritmo fortes. Programas compactadores atuais
possuem tais recursos (ver Apêndice A – Ferramentas adicionais).
•
Enviar os arquivos para a Itautec, protegidos com senha e algoritmo fortes.
•
A senha deverá ser fornecida para a Itautec, preferencialmente, por outro canal de
comunicação. O mais prático é por telefone.
•
Após a conclusão da análise e resolução do problema, o(s) arquivo(s) deve(m) ser
apagado(s) de forma segura (ver Apêndice A – Ferramentas adicionais).
•
Nunca enviar dados do cartão por e-mail, limitando-se, se necessário, a enviar
apenas os 6 primeiros e os 4 últimos dígitos do cartão.
Da mesma forma, é de responsabilidade da Itautec:
•
Salvar os arquivos num diretório específico e sempre manter-los protegidos com
senha e algoritmo fortes.
•
Realizar a análise do problema.
•
Excluir de maneira segura todo e qualquer arquivo recebido que possa conter
dados de cartão.
32
Itautec S.A.
Autenticidade e integridade das atualizações
Ao receber uma atualização da Itautec, via e-mail ou Internet, é necessário verificar que o
software é da Itautec (autenticidade) e que ele não foi alterado (integridade) desde o
momento em que foi compilado pela Itautec.
O primeiro item é verificado pela assinatura digital dos módulos executáveis para a
plataforma Windows. Cada arquivo com extensão .EXE ou .DLL deve conter uma
assinatura informando que é proveniente da Itautec. Para verificar que o módulo está
assinado, basta clicar com o botão direito no ícone do módulo e na opção Propriedades.
Então, clique na aba Assinaturas Digitais. Nesta aba deve exibir o nome da empresa
signatária (Itautec) e o carimbo de data/hora de quando o arquivo foi assinado digitalmente.
A integridade dos arquivos, que nos referimos no segundo item, é verificada comparando o
hash dos arquivos. Todo arquivo compactado deve conter, além dos módulos do SCOPE,
um arquivo que contém o hash de todos os arquivos dentro daquele pacote. O cálculo do
hash segue o algoritmo SHA-1. Ele deve ser verificado utilizando um aplicativo específico
para este fim (ver Verificação de ). No aplicativo de verificação, abra o arquivo de hash
existente no pacote entregue e selecione a opção verificar. O arquivo possui a extensão
.SHA1. O aplicativo calculará o hash de todos os arquivos e comparará com o arquivo
aberto, validando que cada módulo não sofreu adulteração.
Essas verificações devem ser verificadas pelo estabelecimento antes de atualizar o SCOPE
e é importante para que o estabelecimento esteja aderente ao PCI-DSS.
Além destas medidas de segurança, os arquivos serão entregues compactados com senha
forte. A senha será divulgada por um meio diferente dos arquivos, por exemplo, via telefone.
NOTA: Esta prática vem para fortalecer o requisito 7.2 do PA-DSS para garantia da entrega
pela "cadeia de confiança conhecida".
33
Itautec S.A.
Considerações finais
Referências
•
American Express Data Security Operating Policy
(https://www209.americanexpress.com/merchant/singlevoice/dsw/FrontServlet?request_typ
e=dsw&pg_nm=home).
•
Eraser (http://eraser.heidi.ie/)
•
FileVerifier++ (http://www.programmingunlimited.net/siteexec/content.cgi?page=fv).
•
Microsoft Retail – Securing the Retail Store
(http://www.microsoft.com/industry/retail/businessvalue/securestoreabstract.mspx).
•
Open WEB Application Security Project (http://www.owasp.org).
•
Payment Card Industry Security Standards Council (https://www.pcisecuritystandards.org).
•
The Mastercard Site Data Protection Program (http://www.mastercard.com/us/sdp).
•
VISA Cardholder Information Security Program
(http://usa.visa.com/merchants/risk_management).
•
Windows Server 2003 Security Guide e Windows 2000 Security Hardening Guide:
(http://www.microsoft.com/downloads).
34
Itautec S.A.
Apêndice A – Ferramentas adicionais
Neste tópico é explicado de maneira rápida e simples como utilizar algumas ferramentas
importantes para que o estabelecimento seja aderente ao PCI-DSS.
Remoção segura de arquivo
Eraser
O Eraser é um aplicativo de segurança para limpeza de áreas livres do sistema e remoção
de arquivos seguro. Ele limpa áreas não utilizadas do disco e arquivos escrevendo sobre a
área do disco várias vezes para que ferramentas de recuperação de arquivo não encontrem
dados sensitivos. Esta ferramenta é importante, pois versões anteriores do SCOPE podem
ter gravados dados do cartão em aberto no disco e é importante para a aderência ao PCIDSS.
Este aplicativo roda em Windows e segue o padrão de interface do sistema operacional. É
um aplicativo gratuito e seu código fonte é liberado sobre a licença GNU General Public
License. O site para baixar-lo encontra-se listado no tópico Referências.
Para limpar áreas livres de sistema, clique no menu File New Task. Na janela Task
Properties que surge, selecione a opção Unused space on drive e escolha na lista de
combinação o disco que se deseja limpar. Clique em OK e, então a tarefa será colocada na
lista das tarefas. Finalmente, clique me Run para executar a tarefa criada.
A limpeza segura de arquivos ou diretórios se dá selecionando a opção Files in folder, para
apagar todos os arquivos e/ou subdiretórios, ou a opção File, para apagar um arquivo
específico, da janela Task Properties. Clique no botão que contém reticências e selecione o
diretório ou o arquivo a apagar e clique no botão OK. Então, clique na opção Run para
executar as tarefas.
Compactadores
Winrar
O Winrar é um programa amplamente utilizado para a compactação de arquivos e possui
uma versão gratuita. Ele é importante, pois permite compactar arquivos com senha. Embora
o formato ZIP 2.0 também permita senha, o algoritmo de criptografia do ZIP é proprietário,
enquanto o formato RAR utiliza o algoritmo AES-128, considerado como um algoritmo forte.
Versões mais recentes do ZIP já permitem a criptografia com o AES-128.
Verificação de integridade (hashes)
FileVerifier++
O FileVerifier++ (FV++) é um aplicativo para verificar a integridade de arquivos computando
os checksums de arquivos. Ele é útil para verificar o conteúdo de arquivos binários ou de
texto com o intuito de detector modificações como corrupção ou adulteração.
File Checksum Integrity Verifier
O FCIV (File Checksum Integrity Verifier) é um utilitário de prompt de comando que
computa e verifica os valores de hash criptográfico dos arquivos. O FCIV pode computar os
valores de hash criptográfico MD5 ou SHA-1. Estes valores podem ser exibidos na tela ou
35
Itautec S.A.
salvos em um banco de dados de arquivo XML para uso e verificação posterior. Para ver
como
utilizar
o
aplicativo,
acesse
http://support.microsoft.com/kb/841290/pt-br.
36
Itautec S.A.
Apêndice B - Referência rápida
A lista abaixo serve como uma referência rápida aos principais tópicos de segurança
abordados neste documento. Ela também aborda pontos presentes nas especificações e
PA DSS e PCI DSS e sua aplicativo específica ao ambiente de execução do SCOPE.
Esta referência rápida não substitui a leitura cuidadosa do conteúdo deste documento ou
das especificações PA DSS e PCI DSS, nem pretende ser uma referência completa. Ela
deve ser usada apenas como uma conveniência, após as documentações terem sido lidas e
claramente entendidas. Também pode ser usada como ponto de partida para que o
estabelecimento prepare a sua relação de pontos de controle.
•
Não utilizar usuários padrões, como por exemplo, Administrator (Windows), sa
(SQL Server), internal (Oracle), scope (ScopeCnf), etc. Se possível, remover ou
desativar estes usuários no sistema operacional, banco de dados ou SCOPE.
•
Não utilizar senhas padrões, que vêem ou são criadas com os usuários. No Scope,
procurar utilizar sempre senhas de complexidade alta.
•
Utilizar um usuário diferente no sistema para cada pessoa.
•
Habilitar auditoria do sistema operacional.
•
Não executar aplicações sob usuários com direitos de administrador. Ao contrário,
procurar executar as aplicações sob usuários que tenham apenas os direitos
estritamente necessários à execução. A exceção dessa dica vale para o aplicativo
SCOPE Server, pois precisará de privilégios elevados administrativos para
armazenar as chaves de criptografia.
•
O usuário de acesso ao banco de dados deve ter acesso limitado às tabelas
utilizadas pelo SCOPE.
•
Executar o SCOPE Gateway como serviço, sob usuários não privilegiados.
•
Utilizar nível de log de produção para o SCOPE. Os logs do produto não possuem
informações sensitivas, mas a utilização de níveis altos oferece oportunidade a
“hackers” de entender melhor o funcionamento do sistema.
•
Ao enviar arquivos de log por e-mail, sempre compactá-los utilizando utilitários que
®
suportem algoritmos e senhas fortes (ex: Winzip ).
•
Não utilizar sistemas descontinuados pelos fabricantes, ou que não possuam novas
atualizações de segurança. Exemplos de tais sistemas são Microsoft Windows NT,
Windows 95, MS-DOS, etc.
•
Manter os sistemas atualizados com as atualizações de segurança mais recentes.
•
Utilizar programas antivírus e instalar as últimas atualizações de segurança.
•
Criar procedimentos de mudanças e alterações, envolvendo documentação,
comunicação, aprovação e contingência.
•
Limitar o acesso aos computadores e sistemas de produção apenas às pessoas
que realmente precisam.
•
Bloquear consoles dos sistemas, e protegê-las através da utilização de senhas.
37
Itautec S.A.
•
Utilizar procedimentos de “hardening” recomendados pelos fabricantes.
•
Isolar o SCOPE e o banco de dados da Internet. Utilizar firewalls para isso.
•
Isolar o SCOPE e o banco de dados dos terminais de automação comercial. Utilizar
firewalls para isso.
38
Itautec S.A.
Apêndice C - Glossário
NOTA: Muitos termos do Glossário foram extraídos do documento Indústria de Cartões de
Pagamento (PCI) Padrão de Segurança de Dados – Glossário, Abreviações e Acrônimos. Este
documento pode ser obtido na página do Payment Card Industry Security Standards Council –
vide item Referências.
operação de pagamento. A autorização da transação é
A
efetuada transação pela Autorizadora.
Adquirente: Empresa que atua no credenciamento e
conexão dos estabelecimentos à autorizadora. No
mercado brasileiro, Redecard e Visanet são exemplos
de adquirentes das autorizadoras MasterCard e VISA
respectivamente.
adquirente
No
pode
contexto
ser
deste
considerado
documento,
sinônimo
de
Autorizadora: É a organização que gerencia e controla
operações
com
cartões
de
crédito,
passando
informações entre o adquirente e o banco emissor. No
contexto deste documento, este termo é utilizado como
sinônimo de bandeira (American Express, MasterCard,
VISA).
No
contexto
deste
documento
não
há
diferenciação entre autorizadora e adquirente.
autorizadora.
AES: Advanced Encryption Standard, ou Padrão
B
Avançado de Codificação. Algoritmo de cifragem de
bloco (block cipher) adotado pelo NIST em Novembro
Backup: Cópia de Reserva. Cópia duplicada de dados
de 2001. O algoritmo é o especificado em FIPS PUB
feita com o objetivo ou para a proteção contra dano ou
197.
perda.
Automação Comercial: Aplicativo de venda do
Banco de Dados: Formato estruturado para organizar
estabelecimento. A automação comercial pode residir
e manter informações facilmente recuperáveis. Um
em
diferentes
conforme
o
exemplo de banco de dados simples são as tabelas e
Através
de
planilhas. Sistemas maiores ou de missão crítica
funcionalidade exposta pelo SCOPE Client, a aplicativo
utilizam sistemas especializados na manipulação de
de automação comercial se integra ao SCOPE para
bancos de dados.
estabelecimento
equipamentos,
e
seu
negócio.
realizar transações de pagamento.
Aplicativo de Pagamento: Aplicativo que realiza
transações de pagamento eletrônico com cartões, e
para isso manipula dados do portador e dados
confidenciais de autenticação, como senhas e código
C
Console: Tela ou teclado que permite o acesso e
controle do computador servidor ou mainframe em um
ambiente de rede.
de validação. O SCOPE é exemplo de uma aplicativo
de pagamento.
Contas Padrão: Conta de login no sistema, prédefinida pelo fabricante de um sistema para permitir o
Autenticação: Processo de verificação da identidade
de um processo ou fato relacionado.
Autorização: Concessão de acesso ou outros direitos
a um usuário, programa ou processo.
acesso quando o sistema é colocado em serviço pela
primeira vez. Vide também Senha Padrão.
Controle de Acesso: Mecanismos que limitam o
acesso
às
informações
ou
aos
recursos
de
Autorização de Transação: No contexto de um
processamento da informação apenas às pessoas ou
pagamento eletrônico, é a aprovação ou recusa de uma
aplicativos autorizados.
39
Itautec S.A.
Criptografia: Disciplina de matemática e computação
Estabelecimento:
voltada para a segurança da informação e questões
comerciante que realiza transações de pagamento
relacionadas,
eletrônico. Para isso, o estabelecimento utiliza o
particularmente
a
codificação
e
autenticação e aplicativos tais como o controle de
acesso.
Em termos de computador e segurança de
rede, é uma ferramenta para o controle do acesso e
Empresa,
organização
ou
SCOPE.
F
confidencialidade da informação.
Firewall: Hardware, software ou ambos que protege os
D
recursos de uma rede contra invasores de outras
redes. Geralmente as empresas com uma intranet que
Dados do Portador do Cartão: Tarja magnética
permite que os funcionários tenham acesso à Internet
completa ou o PAN mais qualquer um dos seguintes
aberta devem ter um firewall para evitar que estranhos
dados: Nome do portador de cartão, ou Data de
tenham acesso aos seus recursos internos de dados
vencimento, ou Código de serviço.
privativos.
Dados
de
Autenticação Sensitivos:
Informação
relacionada com a segurança (Código de Validação do
Cartão
/
Valores,
dados
completos
de
acompanhamento, PINs e PIN Blocks) usada para
autenticar os portadores de cartão, aparecendo em
texto pleno ou de outra forma não protegida. A
divulgação,
modificação
ou
destruição
desta
informação pode comprometer a segurança de um
dispositivo
criptográfico,
sistema
de
I
IP: Protocolo da Internet (Internet protocol). Protocolo
da
camada
de
rede
contendo
informações
de
endereços e algumas informações de controle que
permite o endereçamento dos pacotes. IP é o principal
protocolo da camada de rede no conjunto de protocolos
na Internet. Vide também Endereço IP.
informação,
informação do portador de cartão ou pode ser usada
ISO 8583: Estabelece o padrão para a comunicação
em transações fraudulentas.
entre os sistemas financeiros. É o protocolo padrão
usado no mercado brasileiro para a comunicação dos
Bandeira:
FINANCIAL
AMERICAN
SERVICES,
EXPRESS,
JCB
DISCOVER
INTERNATIONAL,
sistemas de TEF – como o SCOPE – com as redes
adquirentes.
MASTERCARD WORLDWIDE e VISA são bandeiras
de pagamento eletrônico. Estas bandeiras fundaram e
L
patrocinam a organização responsável pelos padrões
de segurança PCI DSS e PA DSS.
LSA: Local Security Authority, ou Autoridade Local de
DMZ: Demilitarized Zone, ou Zona Desmilitarizada.
Segurança. Serviço do MS-Windows® utilizado para
Rede adicionada entre uma rede pública e privada para
autenticar e fazer logon de usuários, definir regras de
prover uma camada adicional de segurança.
acesso e armazenar segredos como senhas e chaves
criptográficas de aplicações.
DSS: Data Security Standard, ou Padrão de Segurança
de Dados.
LSA Secrets: Local Security Authority Secrets, ou
Segredos da Autoridade Local de Segurança. São
E
registros do LSA usados para armazenar informações
confidenciais como chaves criptográficas ou senhas de
Endereço IP: Protocolo da Internet (Internet protocol).
aplicações. A quantidade de segredos que podem ser
Protocolo da camada de rede contendo informações de
armazenados é limitada a até 4096 segredos (a partir
endereços e algumas informações de controle que
do Windows NT version 4.0 e Microsoft Windows
permite o endereçamento dos pacotes. IP é o principal
2000).
protocolo da camada de rede no conjunto de protocolos
na Internet. Vide também IP.
M
40
Itautec S.A.
MD5: Message-Digest algorithm 5, é um algoritmo de
Programa Antivírus: Programa capaz de detectar,
hash de 128 bits unidirecional desenvolvido pela RSA
remover e proteger contra as várias formas de códigos
Data Security, Inc., descrito na RFC 1321.
maliciosos ou malware, incluindo vírus, worms, Trojan
horses, spyware e adware.
P
PABP:
Portador do Cartão: Cliente a quem é emitido um
Payment
Application
Best
Practices,
ou
Melhores Práticas para Aplicações de Pagamento.
Programa da VISA para segurança das aplicações de
pagamento, que foi utilizado
pelo PCI
SSC e
cartão ou indivíduo autorizado a usar o cartão.
R
Rede autorizadora: ver Autorizadora.
padronizado como PA DSS, de forma a ser adotado
Registro de Auditoria: Arquivo cronológico das
também pelas outras bandeiras de pagamento.
atividades do sistema. Oferece um caminho suficiente
PA DSS: Payment Aplication Data Security Standard,
ou Padrão de Segurança de Dados para Aplicações de
Pagamento.
Padrão
de
segurança
adotado
e
gerenciado pelo PCI SSC, como uma evolução do
PABP.
PCI DSS: Payment Card Industry Data Security
Standard, ou Padrão de Segurança de Dados da
Indústria de Cartões de Pagamento. Padrão de
para permitir a reconstrução, revisão e exame da
seqüência de atividades e ambientes que cercam ou
conduzem a uma operação, procedimento ou evento
em uma transação desde o início até o resultado final.
Às vezes especificamente denominado como trilha de
auditoria de segurança.
S
Segurança gerenciado pelo PCI SSC.
Senha Padrão: É a senha da administração de sistema
PCI SSC: Payment Card Industry Security Standards
Council LLC, ou Conselho de Padrões de Segurança
da Indústria de Cartões de Pagamento. Reunião das
principais bandeiras, com o objetivo de melhorar e
ou contas de serviços quando o sistema é enviado pelo
fabricante; usualmente associadas com as contas
padrão. As contas e senhas padrão são publicadas e
bem conhecidas. Vide também Contas Padrão.
padronizar a segurança da indústria de cartões de
pagamento.
Sensitiva: Informação sensitiva neste documento se
refere aos dados do cartão de pagamento ou do
PAN: Primary Account Number, ou Número de Conta
Primária. Número do cartão de pagamento (crédito ou
débito) que identifica o emissor e a conta do portador
de cartão. Também chamado de Número da Conta do
portador que devem ser mantidos seguros, para não
dar margem a fraudes. Exemplos de dados sensitivos
são a trilha magnética, PAN, PIN e códigos de
verificação.
Titular.
Servidor: é o computador que administra e fornece
PAN Mascarado ou Truncado: Técnica para não
exibir ou imprimir o PAN completamente. Em geral o
programas e informações para os outros computadores
conectados em rede.
PAN Mascarado utiliza asteriscos nos primeiros dígitos,
exibindo apenas os 4 últimos. Já o PAN Truncado
T
exibe apenas os 6 primeiros e os 4 últimos dígitos do
cartão.
Trilha
PIN: Número de identificação pessoal (Personal
magnética usados para autorização durante transações
identification number).
com cartão presente.
Magnética:
Dados
codificados
na
tarja
41
Itautec S.A.

Scope - Guia de Implementacao PA-DSS

Transcrição

Documentos relacionados

Finais Alternativos - Final Fantasy Brasil

Catálogo Geral General Catalogue

(Microsoft PowerPoint - PauloFerreira

Transforme o processo de limpeza e desinfecção de

Transforme o seu Processo de Limpeza e Desinfecção

Instruções Instalação Software XCPPRO

Cartão de crédito: Visa, MasterCard, American Express, Diners

Apresentação do PowerPoint

como associar o cartão de estudante

Classificação de Sinais