Propuesta de diseño de un sistema de inyección de llaves criptográficas de manera remota en terminales de pago, para las empresas procesadoras de medios de pagos, utilizando el estándar PCI PIN v3.1

Abstract

Hoy en día, las transacciones con tarjeta constituyen una gran parte de los ingresos generados por empresas de procesamiento de pagos como Niubiz, Izipay, Culqui y Openpay. Estas empresas confían en este modelo de negocio para procesar los pagos y, para ampliar su red de terminales de pago por todo Perú, necesitan que los TPV estén equipados con claves criptográficas que permitan cifrar los datos sensibles de los titulares de las tarjetas.

Sin embargo, se ha evidenciado que las empresas procesadoras de pago actualmente utilizan el inyectado de llaves criptográficas de manera local para poner en producción sus terminales de pago. Este enfoque conlleva a tener un equipo inyector criptográfico donde se almacenan todas las llaves criptográficas de las empresas procesadoras de pago, lo que representa un riesgo significativo en caso de que dicho equipo caiga en manos de delincuentes. Además, los costos asociados para actualizar a nuevos algoritmos que exigen las marcas también son elevados.

En consecuencia, en un contexto marcado por la pandemia mundial a partir de 2020, que ha llevado a un proceso de transformación digital en Perú, presentamos el siguiente proyecto de tesis con el propósito de proponer un diseño de inyección de llaves criptográficas de manera remota. Esta propuesta busca reducir los riesgos y costos asociados a la implementación de un equipo local de inyección de llaves. Es fundamental demostrar que la inyección de llaves criptográficas de forma remota es completamente segura, cumpliendo con los estándares establecidos por PCI PIN 3.1.

Nowadays, card transactions make up a large portion of the revenue generated by payment processing companies like Niubiz, Izipay, Culqui, and Openpay. These companies rely on this business model to process payments, and in order to expand their network of payment terminals throughout Peru, they need the POS to be equipped with cryptographic keys that allow sensitive cardholder data to be encrypted.

However, it has become evident that payment processing companies currently use cryptographic key injection locally to put their payment terminals into production. This approach leads to having cryptographic injector equipment where all the cryptographic keys of the payment processing companies are stored, which represents a significant risk in case such equipment falls into the hands of criminals. In addition, the costs associated with upgrading to new algorithms required by the brands are also high.

Consequently, in a context marked by the global pandemic from 2020, which has led to a process of digital transformation in Peru, we present the following thesis project with the purpose of proposing a design for remote cryptographic key injection. This proposal seeks to reduce the risks and costs associated with the implementation of a local key injection equipment. It is essential to demonstrate that the injection of cryptographic keys remotely is completely secure, complying with the standards established by PCI PIN v3.1.