Producto en versión beta 🔐Estamos trabajando en nuestra versión beta para México 🇲🇽. Contacta a tu ejecutivo de cuenta para más información.
Acuerdos y condiciones iniciales#
Kushki y el comercio sostienen una sesión para revisar las condiciones del intercambio de llaves con terceros. Este proceso requiere que el proveedor de HSM del comercio acepte los términos de la ceremonia de intercambio de llaves. Si hay acuerdo, se establecen los mecanismos de trabajo y los canales seguros para intercambiar información sensible, y se definen al menos dos security officers (SOs) por parte del comercio.El comercio debe contar con un Hardware Security Module (HSM) debido al proceso de intercambio de llaves criptográficas.
Condiciones de terceros#
El comercio debe estar preparado para intercambiar componentes con el proveedor de HSM en representación de Kushki. Estos son los pasos a seguir:Firma el NDA del proveedor de HSM de Kushki y obtén acceso al portal.
Crea y mantén los SOs con datos de contacto y grupos correctos en el portal.
Prepárate para seguir el proceso de intercambio de llaves definido en esta documentación.
Solicitud y validación de la documentación requerida#
Kushki solicita la documentación necesaria para registrar al comercio en el servicio de HSM y en la Kushki Console. Una vez recibida, Kushki la valida y el proceso continúa.
Generación y envío de los componentes de la Key Encryption Key (KEK)#
Kushki genera y envía tres componentes de llave para la Key Encryption Key (KEK), junto con sus respectivos Key Check Values (KCV), por los canales seguros establecidos arriba, y los entrega a los security officers definidos previamente.Cuando se envían los componentes, los SOs reciben un correo con lo siguiente:Información de referencia de la llave
Datos de contacto (sin incluir la dirección) del SO remitente
Los detalles del envío y el número de serie de la bolsa tamper-evident
Un link al checklist del Portal que se debe completar tras la recepción
Según el ambiente, Kushki puede enviar los componentes de la KEK de forma electrónica (pruebas) o física (producción).
Requisitos para los SOs antes del intercambio de llaves#
Estar registrados en el portal del servicio de HSM de Kushki.
Cada SO que participa debe tener una cuenta activa.
Estar asignados a los grupos de SO correctos (1, 2 o 3).
Mantener actualizada la dirección de envío para la entrega de los componentes físicos.
Ambiente de pruebas#
Kushki puede enviar los componentes de la KEK por medios electrónicos seguros (correo, bóveda de seguridad, SFTP). El comercio recibe una tabla como la siguiente:| KEY ID | DESCRIPCIÓN | ALGORITMO | LONGITUD | LLAVE/COMPONENTE EN CLARO | KCV |
|---|
| ZMK | Componente 1 | 3DES | double | A2F2 9E20 4515 D531 6B2C 32BC 3E58 612F | EF0F99 |
| Double-len | Componente 2 | 3DES | double | BA1F 23CD 8529 2C7A 51EC 07A2 EA8A C11F | F23EFF |
| Componente 3 | 3DES | double | F70D 38D6 E557 A176 BC4F 1002 3D4C 01E9 | C41DBB |
Ambiente productivo#
Kushki envía tres sobres de seguridad — un componente de llave impreso en papel por sobre — a por lo menos dos custodios de seguridad que no reporten a la misma persona.El envío de los componentes físicos suele tomar aproximadamente dos semanas, según la ubicación de los SOs.
1.
Enviar un correo a seguridad@kushkipagos.com con el asunto "KEK component check successful - [MERCHANT_NAME]" y el mensaje "Check successful".
2.
Los SOs deben completar el checklist de confirmación de recepción a través del Portal del Proveedor del Servicio de HSM de Kushki (el link llega por correo).
Una vez que el componente se ha activado en el portal del servicio de HSM de Kushki, los SOs deben destruir el componente físico.
Generación y envío de las Base Derivation Keys (BDK)#
Kushki registra al comercio en la Kushki Console, donde el comercio obtiene:Private-Credential-Id (llave privada para transaccionar)
Otra configuración relevante
data y otra para pin (PIN block) — cifradas con la KEK en formato TR-31, y las intercambia por medios electrónicos seguros.Ejemplo de una BDK cifrada con la KEK en formato TR-31:RD0112B0TX00N00004FD842D565C0BDD9741A3EAB5106A78087A4D0729A56319F32AF9FBFC6FAE0A184DA40D08FA279FBB50E7598936AD18F
Las BDK del ambiente de producción se comparten por medios electrónicos seguros (por ejemplo, 1Password).
¿Tienes una sugerencia sobre esta documentación? Contáctanos.
