借助 MongoDB Atlas 加速 PCI DSS 合规

PCI DSS 的形式以及各层的划分

PCI 安全标准委员会维护 PCI DSS 并组织了一设立根据控制目标分组的要求：

在责任共担模型下，这些需求分割在这些层级中：

• 基础设施层（提供商的责任）：包括物理安全、网络控制、平台补丁和根本的存储的静态加密。 MongoDB Cloud 是经过 PCI DSS 认证的服务提供商，并经 QSA、Coalfire Systems 验证。对于MongoDB Cloud 中的 CHD 环境，QSA 可以依赖MongoDB Cloud AOC，可通过MongoDB信任中心请求。这个预先验证的层使客户无需重新审核根本的基础架构。

• 应用程序层（客户负责）：包括产品如何存储、保护、查询、屏蔽和审核 CHD，以及允许谁读取信息。此层仍由客户自行设计决定。

图 1。 PCI DSS 共担责任分层模型

点击放大

PSP项目填充了应用程序层。它包括一个参考架构和一设立最佳实践。它展示了如何使用MongoDB使应用程序层与 PCI DSS 控制目标保持一致，从而保护存储的数据、限制访问权限、监控数据以及缩小Atlas 审核范围。该项目是加速采用 PCI DSS 的点。

架构建议

PSP项目是符合 PCI DSS 的 PSP 平台。它在MongoDB Atlas上运行支付生命周期：卡结账和授权、自动欺诈评分以及多级分析师调查。它展示了分析师如何以清晰的设计理念搜索加密数据：

加密所有内容。查询任何内容。钥匙归您所有。

通过从Atlas继承基础架构层（参见图 1），剩余的工作将在应用程序层进行。 Atlas提供了多种功能来支持这项工作，其中最核心的功能就是Queryable Encryption 。 MongoDB功能部分列出了完整的功能。

Queryable Encryption焦点

使用传统方法时，字段要么以明文形式保存，以便进行搜索（任何具有数据库访问权限的人都可读），要么加密，以便受到保护（但不再可搜索）。Queryable Encryption为其支持的查询类型删除了“非此即彼”的操作。

图 2。 MongoDB加密架构： Queryable Encryption、密钥管理和数据保护层

点击放大

对于相等可搜索字段，流程如下进行：

• 驾驶员使用字段的 DEK 在客户端端加密搜索值。

• 服务器将该加密值与加密索引进行匹配。它将密文与密文进行比较，但不会解密字段。

• 当匹配的文档返回到应用程序进程进程时，驾驶员会对内存中的目标字段进行解密。 MongoDB Atlas仅存储和处理作为BSON二进制子类型 06 保存的密文；因此，具有完全集群访问权限的数据库管理员只能看到不透明字节。

PSP项目中的具体效果：欺诈分析师通过加密的电子邮件、电话或帐户引用搜索客户并取回记录，而明文值不会到达Atlas。此功能使敏感的 PII 保持静态加密并按值可用，而无需进行会扩大 CDE 的批量解密。

需要保护但不需要搜索的字段使用不可搜索模式，仅针对授权的升级请求进行解密。数据模型部分介绍了这两种模式及其保护的字段。

MongoDB应用程序层功能

PSP项目结合了MongoDB和Atlas 的多项功能。每个映射到 PCI DSS 应用程序层工作的特定部分：

相邻用例

该解决方案的核心原则（包括稳定的 API 边界、字段级 Queryable Encryption 和每个访问层级一个 DEK 模型）可以应用于其他使用案例：

• 开放金融：同意范围的数据访问，将第三方限制为客户授权的领域，例如 PSD2 和消费者数据权。

• 医疗保健：受 HIPAA 保护的健康信息。

• 保险和财富：根据一般数据保护法规 (GDPR)处理政府标识符和金融账户数据的平台。

架构组件

该架构使用以下组件：

• PSP仪表盘（前端）：表示层。它不直接与数据库通信。签出时，它会对 PAN 进行标记，以便 PSP 核心不会传输或存储完整的 PAN。

• PSP API网关（后端）：单一入口点和唯一可以解密受保护字段的组件。它持有Queryable Encryption客户端，解析调用者的角色，并为每个请求选择正确的密钥层级。所有调用者（包括用户界面、服务帐户和集成）都通过相同的API进行传递，并遵循相同的 RBAC 和密钥规则。

• MongoDB Atlas (M10 或更高版本) 结合 Queryable Encryption： 仅为每个受保护的字段存储密文 (二进制子类型 06)。 具有完整集群访问权限的数据库管理员会看到不透明的字节。 TLS 1.3 可保护传输中的所有数据。PSP 项目依赖于等值搜索，生产环境中支持此功能。

• AWS KMS ：保存封装和解封装数据加密密钥的集合扫描 。 集合扫描保留在KMS中， MongoDB无权访问权限它。本地密钥提供商程序可用作演示的离线后备方案。

查询类型以及项目如何应用它们

MongoDB Queryable Encryption 可以在客户端保持字段加密，同时仍允许服务器查询密文。PSP 项目使用以下查询类型：

• 相等（生产）：PCI DSS 范围的查找键的可搜索模式。该驾驶员会对查询值进行加密，并将其与加密索引进行匹配，因此服务器不会对该字段进行解密。此功能可让欺诈分析师通过电子邮件、电话或账户引用查找记录，而无需暴露明文。

• 无查询（仅检索）：这是针对最高敏感度字段的不可搜索模式，包括住宅地址、政府标识符和原始网关负载。授权客户端仅即时解密这些字段。

• 范围（生产）：用于值范围查找，例如按金额范围筛选。它会对金额加密。

• 前缀、后缀和子字符串（公开预览版）：演示如何对加密身份字段进行 KYC 样式的部分匹配查找。

对于以下 PCI DSS 范围的卡和 PII 字段，访问权限设计简化为以下类别：

尽可能将持卡人数据排除在范围之外的设计选择包括：

• PAN 令牌化：应用程序将完整的 PAN 替换为tok_<uuid> 代理令牌，并仅保留最后四位数字以供显示。

• 零 SAD 捕获：端点从不捕获 SAD，例如 CVV 或 PIN。

通过细分和标记化缩小范围

常见的 PCI DSS 做法会将持卡人数据排除在不需要这些数据的系统之外，因此大多数平台都不在 CDE 之内。这些技术应用分段（将 CDE 与系统的其他部分隔离）和标记化（用专用标记化保管库中保存的代理令牌替换主节点 (primary node in the replica set)帐号）。分段不是 PCI DSS 要求，但它将系统排除在范围之外并降低了评估费用；在使用时，必须对其进行记录、证明和验证。

PSP项目在数据层应用了这些技术：

• 完整的 PAN 永远不会驻留在 PSP 核心中：核心仅存储代理令牌、BIN 和最后四位数字。该平台的大部分内容不包含持卡人数据，因此不在讨论范围之内。完整的 PAN 属于发卡机构子系统，在生产环境中位于外部。在演示中，可替换的内置发行者模块会介入并将 PAN 存储在其自己的隔离保管库中，并使用 QE:equality加密。无需解密即可匹配该字段以进行精确查找和重复检测。

• PII 是集中式的：身份字段（例如电子邮件或电话）位于协议、卡和ACID 事务记录引用的单个 BIAN SD-13 方集合中。一个保护和进程数据主体删除请求的位置。

• 敏感字段位于单独的密钥层级后面： QE:none 字段使用与可搜索 QE:equality 字段不同的数据加密密钥层级，因此敏感数据和非敏感数据之间的边界由密钥强制执行。

这是参考模式，而不是认证。 CDE 定义及其验证仍然由客户负责，由评估人员确认。

访问控制实施密钥，而不是应用程序代码

单独的 DEK 支持加密层：

• 查找层级： QE:equality 密钥可供所有经过身份验证的分析师角色用于搜索。

• 敏感层级： QE:none 密钥仅适用于持有有效、短期升级令牌的 2 级调查员和只读安全审核员。

• 设计核心： 1级客户端的加密字段映射省略了敏感密钥，因此驾驶员无法解密这些字段，并将它们作为密文返回。此处的字段级访问权限控制是加密的，而不是应用程序代码中的投影，这降低了因查询错误而意外泄漏的风险。当分析师升级案例并经2 级调查员批准时，调查员会收到一个升级令牌，该令牌为该请求激活敏感层客户端端池。