|
Data Privacy im bargeldlosen Zahlungsverkehr
 Nachrichten
über Datendiebstahl erscheinen immer häufiger in den Medien.
Bei einer US-Kreditkartenabrechnungsfirma
sind rund 40 Millionen Karteninhaber von einem Datendiebstahl
betroffen, in Europa sind in jüngster Vergangenheit
bei einer Edelbekleidungsmarke 180.000 Kreditkartennummern
aufgrund von IT-Sicherheitslücken entwendet worden. Vorfälle
dieser Art häufen sich zunehmend, und Angriffe kommen nicht
nur von aussen.
Die Kreditkartengesellschaften
haben bereits mit verschärften Sicherheitsrichtlinien reagiert.
Master Card und VISA haben gemeinsam den "Payment Card Industry
Data Security Standard" (PCI) adaptiert. Ebenfalls hat American
Express einen ähnlichen "Data Security Standard" ins
Leben
gerufen. Wichtig bei allen Kartengesellschaften ist neben strengen Zugriffskontrollmechanismen die Verschlüsselung der Karteninformationen. Zudem ist eine
sichere und dokumentierte Schlüsselverwaltung eine wichtige Voraussetzung.
Ziel der Kreditkartenindustrie ist es, Kreditkartendaten gegen
alle Arten des internen und externen Diebstahls
zu sichern .
Absatz 3 des
PCI
Security Standards hat für die IT-Infrastruktur die grösste
Konsequenz. §3.4 besagt, dass sensible Karten- und
Inhaber-Daten durch Verschlüsselungs-Technologien wie SHA-1, Truncation, PAD's, Triple-DES oder AES
unleserlich gemacht werden müssen. Zudem
müssen die Daten nicht nur in der Datenbank verschlüsselt werden,
sondern sogar ebenfalls in allen Log-Dateien, Transport- und Sicherungsmedien.
In §3.5 und §3.6 werden hohe Anforderungen
an die Verwaltung von Schlüsseln gestellt. Unter anderem
müssen folgende
Massnahmen getroffen werden:
-
Eingeschränkter Zugriff auf
Schlüssel
-
Schlüssel sollen nur an wenigen
Orten gespeichert sein
-
Nutzung von "Strong Keys" (mindestens
128 bit)
-
Gesicherte Schlüsselverteilung
und Speicherung
-
Periodischer Austausch der Schlüssel
(Key rotation)
-
Zerstörung abgelaufener
Schlüssel
-
Verhinderung unerlaubten Austauschs
von Schlüsseln
Nach dem Motto "Wie sicher ist
ein Tresor, wenn man die Kombination direkt an die Tür schreibt?"
ist es verständlich, dass besondere Aufmerksamkeit auf der
sicheren Verwaltung von Schlüsseln liegt.
Für eine komplette
technologische Umsetzung der PCI Richtlinien bietet
DataSecure von Ingrian Networks
eine hocheffiziente Lösung, die genannten Verschlüsselungs- und Key Management Anforderungen mit
einem geringen Implementierungs-Aufwand auf
bereits bestehenden Systemen zu erfüllen.
Abb. 1: DataSecure i311 Plattform
|
Die DataSecure Appliance ist eine einbruchsichere dedizierte Verschlüsselungs-Hardwareplattform, die Kreditkarten Issuern, Acquirern, Prozessoren
und anderen kreditkartenverarbeitenden Unternehmen eine schnelle Implementierung der geforderten Verschlüsselung
ermöglicht.
Dies wird gezielt nur auf sensible Daten angewendet, und
die CPU-intensive Verschlüsselung wird auf die
DataSecure
Plattform
ausgelagert. Somit werden die oftmals notwendigen Anwendungs- und
Datenbankserver Hardware Upgrades überflüssig. Zudem finden Ver- und Entschlüsselungsvorgänge
ausschliesslich auf der DataSecure Plattform statt, die
über 12000 kryptografische Operationen
pro Sekunde durchführt. Integriertes Load Balancing und
Clustering kann hier den Durchsatz vervielfachen.
Um eine möglichst schnelle Implementierung
zu ermöglichen, bietet die DataSecure Plattform ein leicht bedienbares
Interface zur Schlüsselverwaltung, Datenbank-Feldverschlüsselung,
Schlüsselaustausch (Key Rotation) und Benutzerverwaltung.
Gesichert durch mehrstufige Authentifizierung, SSL und
Auditing wird ein Missbrauch verhindert.
Abb. 2: Database Tools Management Console |
Die flexible Architektur der
DataSecure
Plattform ermöglicht ebenfalls die Verschlüsselung
über einen JAVA oder .NET Applikationsserver. Die
Unterstützung
von JCE, MSCAPI und PKCS#11 Standards erlaubt eine
unkomplizierte Integration auf Web- und Applikations-Servern.
Zudem kann eine DataSecure Implementierung mehrere Anwendungen mit
unterschiedlichen Verschlüsselungsanforderungen problemlos
unterstützen.
Abb. 3: Unterstützung unterschiedlicher
Verschlüsselungsanforderungen |
DataSecure ist die ideale Lösung,
um den Verschlüsselungs- und Schlüsselverwaltungs- anforderungen
sicherheitsbewusster Unternehmen gerecht zu werden.
Umfangreiche Änderungen an bestehenden Soft- und
Hardwaresystemen sind nicht notwendig. Zudem garantiert die flexible Architektur,
intuitive
Administration und geprüfte Sicherheit eine standardskonforme
und kosteneffektive Implementierung.
Mehr Information über
Ingrian DataSecure können Sie
hier anfordern. | 
