PTS : PIN Transaction Security (PCI PTS)
Sécurité
PTS : PIN Transaction Security, programme d'évaluation du PCI SSC (Payment Card Industry Security Standards Council) pour les appareils qui manipulent des codes PIN. « La certification qui garantit qu'un terminal de paiement résiste à qui veut lire votre code, jusqu'à la date inscrite au bas du certificat », par analogie avec le contrôle technique, qui atteste l'état du véhicule un jour donné et ne promet rien pour la suite du voyage.
Ce qui est évalué : Les terminaux de paiement relèvent de PTS POI (Point of Interaction) : clavier protégé contre l'espionnage, détection d'ouverture du boîtier qui efface les clés, chiffrement du PIN dès la saisie. Les HSM de paiement relèvent de PTS HSM, qui couvre la protection physique et logique des clés manipulées par les banques et les processeurs de paiement.
Liste et expiration : Les appareils approuvés figurent sur une liste publique du PCI SSC, avec une date d'expiration de l'approbation. Passé cette date, l'appareil n'est plus proposé pour de nouveaux déploiements ; le sort des appareils déjà installés dépend des règles des réseaux de cartes, rarement écrites en faveur des économies.
À ne pas confondre : PCI DSS (Payment Card Industry Data Security Standard) protège les données de carte dans les systèmes d'un commerçant ou d'un prestataire ; PCI PTS évalue le matériel lui-même. Un commerce peut acheter un terminal certifié et rester non conforme, la certification ne s'étendant pas à la caisse posée à côté.
Ce qui arrive si on s'en passe
Un terminal de paiement non approuvé, ou un HSM hors programme, n'offre aucune garantie évaluée contre l'insertion d'un lecteur espion, le remplacement du clavier ou l'extraction des clés. Un terminal compromis capture codes PIN et données de carte jusqu'à ce qu'une banque remarque une série de fraudes, et le commerçant s'expose alors à supporter les pertes et à subir un audit approfondi. Vérifier le numéro d'approbation, la date d'expiration et l'intégrité physique des appareils relève de l'exploitation courante, pas d'un projet que l'on mène une fois et qu'on oublie.
Explication de la marmotte
Quand on tape le code secret de sa carte bancaire sur un terminal de paiement, ce code doit être protégé dès que la touche est enfoncée. PCI PTS est un programme de tests qui vérifie que les terminaux et les boîtiers de sécurité des banques résistent aux tentatives d'espionnage, par exemple si quelqu'un ouvre l'appareil pour y cacher un mouchard. Les appareils qui réussissent sont inscrits sur une liste officielle, avec une date de fin de validité. Commerçants et banques doivent choisir leurs appareils dans cette liste.
Où ce terme est utilisé
- Auditer un HSM pour la conformité PCI DSS dans les paiements (4 occurrences)
- Sécuriser une transaction bancaire contre rejeu et falsification (2 occurrences)