PayShield 9000 Présentation générale

1

www.thales-esecurity.com PayShield 9000 Présentation générale

3 Agenda Situation actuelle des produits HSM de Thales Fin de vie HSM8000 Migration vers PayShield9000 Le PayShield9000 Récentes améliorations Roadmap

CARD CONTACTS UP 4 Historique Expérience inégalée dans la sécurité des paiements 2009 2002 Introduction du HSM 9000 RG7000 HOST SECURITY MODULE FAULT ARMED POWER 1985 Introduction du Racal RG7000 range (POS transaction key support) Introduction du HSM 8000 (Haute performance) Visa Security Module. (Fonctions Basiques ATM and EFTPOS)

5 HSM8000 en fin de vie et fin de support Introduction en 2002 Mars 2011 : Annonce de la fin de vie Septembre 2011 : Dernières commandes Décembre 2012 : Fin des développement Décembre 2014 : Fin de support Aujourd hui, le HSM8000 n est plus sous support Thales Indisponible à la vente Remplacement matériel ne peut se faire que par des HSM9000 Plus de développements ou correctifs

CARD CONTACTS UP CARD CONTACTS UP 6 Retro-Compatibilité PayShield 9000 est compatible avec le HSM 8000 Transparent pour l applicatif monétique La migration se fait par remplacement du boitier RG7000 HOST SECURITY MODULE FAULT ARMED POWER Possibilité d avoir un cluster de 8000 et 9000 RG700 0 HOST SECURITY FAULT MODULE ARMED POWE R

7 Migration Période transitoire de 3 ans environ Les deux produits vivent simultanément Evolutions faites sur les deux produits Permet une migration facile 1.0x 1.2y 1.3 2.0 2.3 2002 2009 2012 3.1x 3.2y 3.3 *Les numéros de versions utilisés ici sont des exemples

8 payshield 9000 & HSM 8000 Différences Fonctions HSM 8000 v3.3 payshield9000 v2.x Préparation EMV Oui Oui Personalisation de carte Oui Oui DUKPT (Terminaux de paiements) Oui Oui Retour config usine Oui Oui Chargement de firmware Via application Via FTP AES Non Yes Partitions Jusqu à 10 Jusqu à 20 Reporting utilisation Non Oui Reporting état de santé Non Oui Communications TLS Non Oui Supervision SNMP Non Oui

9 payshield 9000 & HSM 8000 Différences Fonctions HSM 8000 v3.3 payshield9000 v2.x Connectique réseau 1 port 10/100 2 ports 10/100/1000 Connectique autre Série et Parralèle USB + Adapteurs Alimentation Simple Double Vitesse Max 800 TPS 1500 TPS RSA Booster Non Oui Communications chiffrées Non Oui Certifications FIPS FIPS + PCIHSM

10 Flexibilité de la gamme Performances modifiables via licence Fonctionnalités activables via licence Large gamme de performances Couvre les besoins en Autorisation Personnalisation Gestion de clé mpos, HCE, m-payment, e-payment PIN Mailer 1500 tps 800 tps 220 tps 150 tps 50 tps 20 tps

Face Avant Tough Tamper steel protection enclosure & - shields against reduced electro-magnetic EM radiation emissions Motion, voltage, and temperature Tamper protection sensors trigger erasure of master keys Crypto functions, strong random number Tamper protection generator, & and sensitive data held high-quality in tamper-resistant crypto from RNG hardware (TSPP (through Sub-System) secure key generation) certified to FIPS 140-2 Level 3 Emergency Erase erase Button Real-Time Time-stamped Clock audit log Multiple SmartCard authorizing for two-factor officers authentication for sensitive of operators actions Multiple Dual keys security to set HSM officers state for sensitive and lock unit actions into rack Internal microswitch detects Tamper removal of protection top panel and erases master keys Seals provide evidence Tamper protection of removal of top panel

Face Arrière Double Alimentation Double Ports Host Port Aux Erase button Port Management 4 x USB ports

Intérieur Secure crypto Sub-system (TSPP) Cover detector microswitches Main board Cooling fans Dual power supply units

Fonctions Monétiques Traitement des transactions Vérification du PIN Vérification des cryptogrames carte mpos Gestion et renouvellement des clés Sécurisation des données avec le terminal Emission de carte Préparation des données et personnalisation Génération du Pin et distribution Mobile Payment / HCE Gestion des éléments secrets pour applications mobiles Personnalisation des applications mobiles

Certifications FIPS 140-2 L3 Certification basée sur les tests d intrusion physique Qualité des algorithmes Certifié Level 3 Requis par VISA et MasterCard FIPS 186-2 Digital Signature Standard FIPS 800-22 Approved Random Number Generator PCI HSM Certification incluant la totalité du produit Le fabricant Le hardware et le software La configuration et la livraison Autres MEPS (certification française / CB) AS2805 (Australian Standard on EFT) RoHS

Standards ISO 8730/1 Message Authentication Code FIPS 198 Keyed-Hash Message Authentication Code PCI Data Security Standard FIPS 180-2 Secure Hash Signatures EMV SmartCard Specifications ANSI X9.19 Financial Institution Retail Message Authentication ANSI X9.24 Retail Financial Services Symetric Key Management ISO 9564 PIN Management & Security ANSI X9.17 Financial Institution Key Management ISO 9807 Financial Institution Retail Message Authentication ISO 9797 Message Authentication Codes (MACs) ANSI X9.9 Message Authentication Code ANSI X9.8 PIN Management & Security TR-31 Interoperable Secure Key Exchange Key Block Specification for Symetric Algorithms

www.thales-esecurity.com Les nouveautés

18 Nouveautés Partitions Nouveau type de LMK AES Communication TLS avec le HSM Nouveautés en monétique Remote manager Fonctions réseau et sécurité

19 Partitions 1/2 1 Partition = 1 LMK Séparer les environnements / PCIDSS Requiert une licence (1 à 20 LMKs) La LMK à utiliser doit être indiquée au HSM: Dans la commande Host Via le port de communication TCP/IP Compatible avec l existant

20 Partitions 2/2 POS Cartes privatives Mobile Payment

21 Avantages du multi-lmk Mutualisation des HSM Moins de HSM HSM mieux utilisés Gain de place Gain en énergie Réduction des coûts Ouvre de nouvelles possibilités: Projets en phase de démarrage Nouveaux projets dont l issue est encore inconnue Projets peu consommateurs en ressources

Conformité PCI : Principe du Keyblock LMK Variant Une clé chiffrée sous LMK sans information complémentaire Encypted Key data LMK Keyblock Une clé chiffrée sous LMK avec en-tête et motif de scellement Meilleur protection des clés Integrity Header Optional data Encrypted Key data Authenticator Header includes: Usage (e.g. key encryption) Algorithm (e.g. 3-DES) Mode of use (e.g. encrypt only) Exportability (e.g. exportable under a trusted key) OPTIONS : status, Expiry date Key encrypted by LMK Support des deux modes

AES Successeur 3DES Suivre les standards Disponible uniquement via LMK keyblock Keyblock = impact au niveau applicatif Permet de faciliter la conformité PCIDSS Permet de chiffrer des données applicatives Pour faire du chiffrement de données en base

RSA Booster Nouvelle TPS 18 Licence HSM9-LIC033 Boost 16les performances des opérations RSA Idéal 14 pour les émetteurs RSA Key Generation 12 Key length = 1024 bits TPS 18 16 14 12 10 8 6 4 2 0 10 8 Key length = 1024 bits 6 4 0 300 600 900 1200 1500 payshield 9000 TPS Rating (for CA command) Key generation 2 0 TPS 500 450 400 350 Key length = 1024 bits TPS 3000 300 250 2500 200 2000 Key length = 1024 bits 150 100 1500 50 0 1000 0 300 600 900 1200 1500 payshield 9000 TPS Rating (for CA command) 500 Signature generation Without RSA Booster License With RSA Booster License 0 0 300 600 900 1200 1500 payshield 9000 TPS Rating (for CA command) Signature verification 0 300 600 900 1200 1500 payshield 9000 TPS Rating (for CA command)

25 Communications Secure Host Communications sécurisées en TLS Host A Host B Host C TLSenabled Application Non-TLSenabled Application TLSenabled Application Non-TLSenabled Application Plusieurs connexions simultanées Authentification mutuelle Chiffrement Intégrité (Chapter 14) Connexion classique TCP / IP Pas de protection particulière

26 Nouveautés monétique Support des grands émetteurs VISA, MASTERCARD Amex Discover / ZIP CUP : Chine ZKA : Allemagne Contact et sans contact Support des nouveaux standards de paiement mpos HCE

27 Remote Management Gestion complète des HSM, à distance Exploitation Administration Mise à jour de firmware Mise à jour de licence Changer la configuration Audit Consultation des logs Vérifier l état de santé du HSM Contrôler le taux d utilisation

Remote Management Cartes à puce PC WAN Lecteur Port Management

29 Etat de santé et statistiques d utilisation Etat de sante Etat des services Reboot Tamper Fraudes Batterie Statistiques Cumulées Instantanées Gérer la performance des HSM Récupération des stats Console Remote manager Application

30 Fonctions réseau et sécurité DNS / DHCP Flexibilité d installation et d exploitation ACLs Contrôle des adresses IP accédant au HSM Amélioration de la sécurité SNMP Supervision des HSM

31 Roadmap Liste des candidats potentiels Suivis des standards ZKA UnionPay DUKPT EMV (AES?) Syslog Intégration avec une gestion centralisée des logs FPE Nouvelle technologie de chiffrement (PAN) Fonctions de chiffrement RSA (Données et PIN) Attente de publication des standards sur ce sujet Support RSA 4096-bit NTP Synchronisation du HSM sur une source de temps ECC

32 Conclusion Migration vers le Payshield 9000 Fin de vie du HSM8000 Fin de support par Thales Non conformité à PCI Meilleure sécurité Niveau de fiabilité élevé Technologie moderne Nouveaux mécanismes de keyblock Nouveaux algorithmes (AES) Avantages compétitifs et réduction des coûts Mutualisation des HSM / Multi LMK Système de licence flexible Réduction des risques de non conformité aux standards PCIHSM Gain de temps avec la gestion complète à distance

www.thales-esecurity.com QUESTIONS?