التشفير من نقطة إلى نقطة

التشفير من نقطة إلى نقطة ( P2PE ) هو معيارٌ وضعته هيئة معايير أمان بيانات بطاقات الدفع (PCI Security Standards Council ). أما حلول الدفع التي تُقدّم تشفيرًا مشابهًا ولكنها لا تُطابق معيار P2PE، فتُعرف بحلول التشفير من طرف إلى طرف (E2EE). يهدف كلٌ من P2PE وE2EE إلى توفير حلٍّ أمنيٍّ للدفع يُحوّل بيانات ومعلومات بطاقات الدفع (الائتمانية والخصم ) السرية إلى رمزٍ غير قابلٍ للقراءة فور تمرير البطاقة، وذلك لمنع الاختراق والاحتيال . وقد صُمّم هذا النظام لتعزيز أمان معاملات بطاقات الدفع إلى أقصى حدٍّ ممكن في ظلّ بيئة تنظيمية متزايدة التعقيد.

يُحدد معيار P2PE المتطلبات التي يجب أن يستوفيها "الحل" ليتم قبوله كحل P2PE معتمد من PCI. "الحل" هو مجموعة متكاملة من الأجهزة والبرامج والبوابات وفك التشفير ومعالجة الأجهزة، وما إلى ذلك. لا يمكن التحقق إلا من صحة "الحلول"؛ ولا يمكن التحقق من صحة قطع الأجهزة الفردية مثل قارئات البطاقات. ومن الأخطاء الشائعة أيضًا الإشارة إلى حلول P2PE المعتمدة بأنها "معتمدة"؛ إذ لا يوجد ما يُسمى بهذا الاعتماد.

تقع مسؤولية تحديد مدى استيفاء الحلول لمعيار P2PE على عاتق مُقيِّم أمني مؤهل لـ P2PE (P2PE-QSA). شركات P2PE-QSA هي شركات مستقلة تابعة لجهات خارجية، وتوظف مُقيِّمين استوفوا متطلبات مجلس معايير أمن بيانات بطاقات الدفع (PCI SSC) فيما يتعلق بالتعليم والخبرة، واجتازوا الاختبار المطلوب. ولا يقوم مجلس معايير أمن بيانات بطاقات الدفع (PCI SSC) بالتحقق من صحة الحلول.

عند تمرير بطاقة الدفع عبر جهاز قراءة البطاقات، المعروف بجهاز نقطة التفاعل (POI)، في موقع التاجر أو نقطة البيع ، يقوم الجهاز بتشفير بيانات البطاقة فورًا. يستخدم الجهاز، الذي يُعد جزءًا من حل P2PE معتمد من PCI، خوارزمية حسابية لتشفير بيانات بطاقة الدفع السرية. من نقطة التفاعل، تُرسل الرموز المشفرة، غير القابلة للفك، إلى بوابة الدفع أو معالج الدفع لفك تشفيرها. لا تتوفر مفاتيح التشفير وفك التشفير للتاجر مطلقًا، مما يجعل بيانات البطاقة غير مرئية له. بمجرد وصول الرموز المشفرة إلى منطقة البيانات الآمنة لمعالج الدفع، يتم فك تشفيرها إلى أرقام البطاقة الأصلية، ثم تُرسل إلى البنك المُصدر للموافقة. يقوم البنك إما بالموافقة على المعاملة أو رفضها، بناءً على حالة حساب الدفع الخاص بحامل البطاقة. بعد ذلك، يتم إخطار التاجر بقبول الدفع أو رفضه لإتمام العملية، بالإضافة إلى رمز مميز يمكنه تخزينه. هذا الرمز هو رقم مرجعي فريد للمعاملة الأصلية، يمكن للتاجر استخدامه عند الحاجة لإجراء بحث أو رد أموال العميل دون معرفة معلومات بطاقته ( الترميز ). كما توجد شركات تكامل وإعادة بيع مؤهلة (QIR)، وهي شركات مرخصة لتنفيذ تطبيقات الدفع PA-DSS المعتمدة، وتكوينها، و/أو دعمها، وإجراء عمليات تثبيت مؤهلة. ^{[ 1 ]}

وفقًا لمجلس معايير أمان بيانات بطاقات الدفع (PCI):

مُزوّد ​​حلول التشفير من نقطة إلى نقطة هو جهة خارجية (مثل جهة معالجة المدفوعات، أو جهة الاستحواذ، أو بوابة الدفع) تتحمل المسؤولية الكاملة عن تصميم وتنفيذ حلول التشفير من نقطة إلى نقطة، وتدير هذه الحلول لعملائها من التجار. كما يتحمل مُزوّد ​​الحلول المسؤولية الكاملة عن ضمان استيفاء جميع متطلبات التشفير من نقطة إلى نقطة، بما في ذلك أي متطلبات تُنفذها جهات خارجية نيابةً عنه (مثل هيئات التصديق ومرافق حقن المفاتيح). ^{[ 2 ]}

تشمل المتطلبات ما يلي:

1. تشفير آمن لبيانات بطاقة الدفع عند نقطة التفاعل (POI)،
2. تطبيق (تطبيقات) تم التحقق من صحتها بتقنية P2PE عند نقطة التفاعل،
3. إدارة آمنة لأجهزة التشفير وفك التشفير،
4. إدارة بيئة فك التشفير وجميع بيانات الحساب التي تم فك تشفيرها،
5. استخدام منهجيات التشفير الآمنة وعمليات مفاتيح التشفير، بما في ذلك توليد المفاتيح وتوزيعها وتحميلها/إدخالها وإدارتها واستخدامها.