Tokenisering , som tillämpas inom området informationssäkerhet , är processen att ersätta ett konfidentiellt dataelement med en icke-konfidentiell motsvarighet, kallad en token , som inte har någon oberoende betydelse/betydelse för extern eller intern användning. En token är en länk (det vill säga en identifierare ) som mappas till känslig data genom ett tokeniseringssystem. Mappning av rådata till en token använder metoder som gör det omöjligt att vända omvandlingen av tokens till rådata utanför tokeniseringssystemet, till exempel genom att använda tokens som genereras med slumptal . [3] Tokeniseringssystemet bör säkras och verifieras baserat på de mest effektiva säkerhetsåtgärderna [4] som tillämpas för konfidentiellt dataskydd, lagring, revision, autentisering och auktorisering. Tokeniseringssystemet förser dataapplikationer med auktoritet och gränssnitt för att begära tokens eller dekryptera känslig data från tokens.
Fördelarna med säkerhet och riskreducering av tokenisering kräver att tokeniseringssystemet är logiskt isolerat och segmenterat från databehandlingssystem och applikationer som tidigare hanterade eller lagrade den känsliga data som tokens ersätter. Endast tokeniseringssystemet låter dig få lämpliga tokens från konfidentiell data eller utföra den omvända transformationen. Det är obestridligt att tokengenereringsmetoden har egenskapen att det inte finns något lämpligt sätt att konvertera tokens till giltiga konfidentiella data genom direkta attacker, kryptoanalys , sidokanalanalys, exponering för tokenmappningstabeller eller brute force .
Tillgång till känslig data minimeras för applikationer, e-butiker, människor och processer där riktig data i system ersätts av tokens, vilket minskar risken för kompromisser, oavsiktlig exponering och obehörig åtkomst till känslig data. Applikationer kan arbeta med tokens snarare än riktiga data, förutom ett litet antal betrodda applikationer som uttryckligen tillåts konvertera tokens tillbaka till giltig data när det är absolut nödvändigt för godkända affärsändamål. Tokeniseringssystem kan också byggas inuti datacentret som ett isolerat segment som tillhandahåller säkerhet, och som en tilläggstjänst från en säkerhetstjänstleverantör.
Tokenisering kan användas för att skydda känsliga uppgifter som bankkonton , bokslut , journaler , kriminalregister , körkort , lån , aktietransaktioner , röstregistrering och annan personlig information . Tokenisering används ofta när man utfärdar kreditkort. PCI DSS Council definierar tokenisering som "processen genom vilken ett primärt kontonummer ( PAN-kod ) ersätts med ett surrogatvärde som kallas en token. Detokenisering är den omvända processen för att erhålla ett PAN-kodvärde från en måltoken. Säkerheten för en enskild token beror huvudsakligen på omöjligheten att bestämma den ursprungliga PAN-koden , endast med kännedom om surrogatvärdet. [5] Valet av tokenisering som ett alternativ till andra metoder, såsom kryptering , till exempel , beror på de specifika regulatoriska krav och standarder som antagits av de relevanta revisions- eller utvärderingsorganen. Det finns andra tekniska, arkitektoniska och operativa begränsningar som uppstår i den praktiska tillämpningen av tokenisering.
Alex Rofle "The Fall and Rise of Tokenization", 13 maj 2015 :
Konceptet med tokenisering, som antagits av industrin idag, har funnits sedan de första valutasystemen dök upp för århundraden sedan som ett sätt att minska risken för att hantera värdefulla finansiella instrument genom att ersätta dem med surrogatekvivalenter. I den fysiska världen har tokens (valuta) en lång historia av att användas som ett substitut för finansiella instrument som mynt och sedlar . I modern historia används metropolletter och kasinomarker på lämpliga platser för att eliminera fysiska valutarisker och risker för kontantcirkulation, såsom stöld.
I den digitala världen har liknande substitutionstekniker använts sedan 1970-talet som ett sätt att isolera verkliga dataelement från effekterna av andra datasystem. Till exempel har databaser använt surrogatnyckelvärden sedan 1976 för att isolera data associerade med interna databasmotorer och deras externa motsvarigheter för olika databehandlingsapplikationer. Nyligen har dessa koncept utökats för att tillhandahålla isoleringstaktik och säkerhetsåtgärder som tillämpas för att skydda data. [6]
Inom betalkortsbranschen är tokenisering ett av sätten att skydda känsliga kortinnehavares data för att följa branschstandarder och statliga föreskrifter.
År 2001 skapade TrustCommerce konceptet med tokenisering för att skydda känsliga betalningsdata från Classmates.com-kunder. [7] Företaget tog in TrustCommerce eftersom risken för att lagra kortinnehavarens data var för stor om deras system hackades. TrustCommerce utvecklade TC Citadel®-systemet, där köpare kunde hänvisa till token istället för kortinnehavarens data, och TrustCommerce behandlade betalningen på uppdrag av handlaren. [8] Detta säkerhetssystem gjorde det möjligt för kunder att göra återkommande betalningar säkert och säkert utan att behöva lagra kortinnehavarens betalningsinformation. Tokenisering ersätter huvudkontonumret ( PAN-kod ) med säkra, slumpmässigt genererade tokens. Om den avlyssnas innehåller informationen ingen information om kortinnehavare, vilket gör den värdelös för hackare. En PAN-kod kan inte hämtas även om token och de system den finns på har äventyrats och token inte kan konverteras tillbaka till en PAN-kod .
Tokenisering tillämpades på betalkortsdata av Shift4 Corporation [9] och offentliggjordes under Industry Security Summit i Las Vegas , Nevada 2005. [10] Tekniken är utformad för att förhindra stöld av kreditkortsinformation på en lagringsenhet . Shift4 definierar tokenisering som "konceptet att använda en bit data som är osårbar för dekryptering för att representera känslig eller hemlig data genom att referera till den. I samband med Payment Card Industry (PCI DSS) används tokens för att referera till kortinnehavarens data som hanteras i ett tokeniseringssystem, en applikation eller en säker fjärrserver." [elva]
För att säkerställa dataskydd under hela livscykeln kombineras tokenisering ofta med end-to- end-kryptering vid överföring av data till ett tokeniseringssystem eller tjänst, inklusive omvänd transformation av token till originaldata. Till exempel, för att undvika risken för stöld av skadlig programvara från system med låg förtroende som Point of Sale (POS), som i fallet med hacket 2013 , bör kryptering av kortinnehavarens data göras innan kortdata läggs in i POS, inte efter. Krypteringen sker i en säker och verifierad kortläsare och data förblir krypterad tills den tas emot av bearbetningsvärden. Ett tillvägagångssätt som tagits fram av Heartland Payment Systems [12] som ett sätt att skydda betalningsdata från avancerade hot används nu flitigt av teknik- och industriella betalningshanteringsföretag. [13] PCI DSS Council har också definierat end-to-end-krypteringskrav ( P2PE Certified Encryption) för olika applikationer i relevanta dokument .
Tokenisering och "klassisk" kryptering skyddar data effektivt om de implementeras på rätt sätt, och den idealiska säkerhetslösningen skulle använda båda dessa metoder. Även om de är lika i vissa avseenden, skiljer sig tokenisering och klassisk kryptering på några viktiga sätt. Båda dessa metoder ger kryptografiskt dataskydd och utför i huvudsak samma funktion, men de gör det på olika sätt och har olika effekter på den data de skyddar. [fjorton]
Tokenisering är ett icke-matematiskt tillvägagångssätt som ersätter känslig data med icke-känsliga substitut utan att ändra typen eller längden på data. Detta är en viktig skillnad mot kryptering eftersom att ändra längden och typen av data kan göra informationen oläsbar i mellanliggande system som databaser. Tokeniserad data är säker, men den kan fortfarande bearbetas av äldre system, vilket gör tokenisering mer flexibel än klassisk kryptering.
En annan skillnad är att tokenbehandling kräver betydligt mindre datorresurser. Med tokenisering förblir viss data helt eller delvis synlig för bearbetning och analys, medan konfidentiell information är dold. Detta möjliggör snabbare bearbetning av tokeniserade data och minskar belastningen på systemresurser. Detta kan vara en viktig fördel i system som fokuserar på hög prestanda och låg förbrukning. [femton]
Det finns många sätt att klassificera tokens: engångs- eller multi-purpose, kryptografiska eller icke-kryptografiska, reversibla eller irreversibla, autentiserade eller icke-autentiserade, och olika kombinationer av dessa.
I betalningssammanhang spelar skillnaden mellan stora och små tokens en viktig roll. [16]
Multi-bit tokens fungerar som surrogat för de faktiska PAN :erna i betalningstransaktioner och används som ett verktyg för att slutföra en betalningstransaktion. De måste se ut som riktiga PAN för att fungera . Flera av dessa tokens kan mappas till ett PAN och ett fysiskt kreditkort utan ägarens vetskap. [17]
Flerbitars tokens kan också begränsas till ett specifikt nätverk och/eller handlare, medan PAN-koder inte är det.
Multi-bit tokens kan också kopplas till specifika enheter, så att ovanliga kombinationer mellan den fysiska enheten som använder token och dess geografiska plats kan anses vara potentiellt bedrägliga.
Små tokens fungerar också som surrogat för de faktiska PAN :erna i betalningstransaktioner, men de tjänar ett annat syfte. Sådana tokens kan inte användas för att slutföra en betalningstransaktion. För att ett lågbit-token ska fungera måste det vara möjligt att mappa det till det faktiska PAN det representerar, men endast på ett strikt kontrollerat sätt. Att använda tokens för att skydda PAN-koder blir ineffektivt om tokeniseringssystemet är trasigt, så det är viktigt att säkerställa säkerheten för själva tokeniseringssystemet. [arton]
Första generationens tokeniseringssystem använder en databas för att kartlägga verkliga data till och från ersättningstokens. För att undvika dataförlust kräver detta lagring, hantering och kontinuerlig säkerhetskopiering för varje ny transaktion som läggs till tokendatabasen. En annan utmaning är att säkerställa konsekvens mellan datacenter, vilket kräver kontinuerlig synkronisering av tokendatabaser. Med detta tillvägagångssätt är betydande avvägningar mellan konsekvens, tillgänglighet och prestanda oundvikliga, i enlighet med CAP-teoremet . Denna overhead lägger till komplexitet till transaktionsbehandling i realtid för att undvika dataförlust och dataintegritet i datacenter, och begränsar skalan. Att hålla alla känsliga uppgifter på ett ställe skapar ett attraktivt mål för attacker och skador, och inför juridiska risker för att generalisera känsliga uppgifter online , särskilt i EU.
En annan begränsning av tokeniseringsteknologier är mätningen av säkerhetsnivån för en given lösning genom oberoende verifiering. Med bristen på standarder är det sistnämnda avgörande för att fastställa trovärdigheten för den tokenisering som erbjuds när tokens används för regelefterlevnad. PCI DSS Council rekommenderar att alla säkerhets- och efterlevnadskrav granskas och valideras oberoende: "Säljare som överväger användningen av tokenisering bör genomföra en grundlig riskbedömning och analys för att identifiera och dokumentera de unika egenskaperna hos deras specifika implementering, inklusive alla interaktioner med betalkort data och specifika system och processer. tokenisering". [5]
Metoden för att generera tokens kan också ha säkerhetsbegränsningar. När det gäller säkerhet och attacker mot slumptalsgeneratorer , som vanligtvis används för att generera tokens och tokenmappningstabeller, måste noggrann forskning göras för att säkerställa att en verkligt beprövad och tillförlitlig metod används. [19] Slumptalsgeneratorer har begränsningar när det gäller hastighet, entropi, urval och bias, och säkerhetsegenskaper måste noggrant analyseras och mätas för att undvika förutsägbarhet och kompromisser.
När tokenisering har blivit mer allmänt antagen har nya metoder för tekniken dykt upp för att hantera dessa operativa risker och komplexitet, och för att skala upp för att passa nya fall för användning av big data och högpresterande transaktionsbearbetning, särskilt inom finansiella tjänster och banktjänster. [20] Feltolerant tokenisering och tillståndslös tokenisering [21 ] har testats och validerats oberoende av varandra för att avsevärt begränsa antalet tillämpliga PCI DSS- datasäkerhetsstandardkontroller för att minska antalet utvärderingar. Statslös tokenisering låter dig godtyckligt kartlägga aktuella dataobjekt för att ersätta värden utan att använda en databas samtidigt som tokeniseringens isoleringsegenskaper bibehålls.
I november 2014 släppte American Express en tokentjänst som följer EMV -tokenstandarden . [22]
Skapandet av ett alternativt betalningssystem kräver samarbete mellan ett antal organisationer för att tillhandahålla närfältskommunikation (NFC) eller annan teknik baserad på betaltjänster till slutanvändare. Ett av problemen är kompatibiliteten mellan deltagarna. För att lösa detta problem föreslås en TSM-roll (trusted service manager) för att upprätta en teknisk länk mellan mobiloperatörer (CNO) och tjänsteleverantörer så att dessa enheter kan arbeta tillsammans. Tokenisering kan spela en förmedlande roll för sådana enheter.
Tokenisering som en säkerhetsstrategi består i möjligheten att ersätta det verkliga kortnumret med ett surrogatnummer (döljande av syftet) och att upprätta efterföljande restriktioner på surrogatkortnumret (riskminskning). Om surrogatnumret kan användas på ett obegränsat sätt, eller till och med i bred bemärkelse, som i Apple Pay , så får token samma betydelse som ett riktigt kreditkortsnummer. I dessa fall kan token skyddas av en andra dynamisk token, som är unik för varje transaktion och som också är kopplad till ett specifikt betalkort. Ett exempel på dynamiska transaktionsspecifika tokens inkluderar kryptogrammen som används i EMV-specifikationen.
Payment Card Industry Data Security Standard , en branschövergripande uppsättning krav som alla organisationer som lagrar, bearbetar eller överför kortinnehavardata måste följa, föreskriver att kreditkortsdata måste skyddas i vila. [23] Tokenisering som tillämpas på betalkortsdata implementeras ofta för att följa denna standard, och ersätter kreditkortsnummer och ACH:er i vissa system med ett slumpmässigt värde eller teckensträng. [24] Tokens kan formateras på olika sätt. Vissa tokenleverantörer eller tokeniseringssystem skapar surrogatvärden för att matcha formatet för den ursprungliga känsliga informationen. När det gäller betalkortsdata kan token ha samma längd som huvudkontonumret (bankkort) och innehålla sådana initiala dataelement som de fyra sista siffrorna i kortnumret. När man begär auktorisering av ett betalkort för att verifiera en transaktions legitimitet, kan en token returneras till handlaren istället för ett kortnummer, samt en transaktionsauktoriseringskod. Token lagras i det mottagande systemet, och den faktiska kortinnehavarens data matchas mot token i ett säkert tokeniseringssystem. Lagring av tokens och betalkortsdata måste följa tillämpliga PCI DSS-standarder, inklusive användning av stark kryptografi . [25]
Tokenisering är för närvarande i definitionen av standarder i ANSI X9 som X9.119 Part 2 . X9 är ansvarig för branschstandarder för finansiell kryptografi och dataskydd, inklusive hantering av PIN-koder för betalkort, kryptering av kredit- och betalkort samt relaterade teknologier och processer.
PCI DSS Council tillkännagav också stöd för tokenisering för att minska risken för dataläckage i kombination med andra teknologier som punkt-till-punkt-kryptering (P2PE) och PCI DSS-efterlevnadsbedömningar. [26]
Visa Inc. släppt Visa Tokenization Best Practices [27] för användning av tokenization i applikationer och tjänster för behandling av kredit- och betalkort.
I mars 2014 släppte EMVCo LLC sin första EMV- token-betalningsspecifikation . [28]
NIST standardiserade FF1- och FF3 -formatbevarande krypteringsalgoritmer i deras specialpublikation 800-38G. [29]
När den är korrekt validerad och föremål för lämplig oberoende utvärdering kan tokenisering göra det svårt för angripare att komma åt känslig data utanför tokeniseringssystemet eller tjänsten. Införandet av tokenisering kan förenkla PCI DSS -kraven , eftersom system som inte längre lagrar eller behandlar känslig data kan ha en minskning av de tillämpade kontrollerna som krävs av PCI DSS-riktlinjerna.
Som bästa säkerhetspraxis [30] bör all teknik som används för att skydda data, inklusive tokenisering, utvärderas och verifieras oberoende för att fastställa säkerheten och styrkan hos metoden och implementeringen innan några integritetsanspråk kan göras, regelefterlevnad och datasäkerhet. Denna verifiering är särskilt viktig för tokenisering, eftersom tokens delas för allmänt bruk och därför riskerar i miljöer med låg förtroende. Omöjligheten att komma åt ett token eller en uppsättning tokens till giltiga känsliga data måste fastställas med hjälp av branschaccepterade mätningar och bevis av lämpliga experter oberoende av tjänsteleverantören eller lösningen.