Tokenisation ou chiffrement : quelle méthode de sécurité?

Sécurité

Tokenisation ou chiffrement : quelle méthode de sécurité?

Lorsqu'il s'agit de sécuriser les données de carte de paiement, deux termes reviennent constamment : la tokenisation et le chiffrement. Les deux protègent des renseignements sensibles, mais ils fonctionnent de façon fondamentalement différente et servent des objectifs différents dans une architecture de sécurité des paiements. Utiliser la mauvaise approche dans le mauvais contexte peut laisser des failles dans votre posture de sécurité, et dans votre programme de conformité PCI.

Cet article offre une comparaison pratique des deux technologies, explique quand chacune est la plus appropriée, et montre comment les processeurs de paiement modernes comme TIB Finance les combinent pour offrir une sécurité en couches, en défense en profondeur.

Comment fonctionne le chiffrement

Le chiffrement transforme des données lisibles (texte clair) en un format brouillé illisible (texte chiffré) à l'aide d'un algorithme mathématique et d'une clé cryptographique. Les données d'origine peuvent être récupérées par quiconque possède la bonne clé de déchiffrement. Cette réversibilité est à la fois la force du chiffrement et sa limite fondamentale dans les contextes de sécurité des paiements.

Il existe deux principaux types de chiffrement pertinents pour la sécurité des paiements :

Chiffrement symétrique

Le chiffrement et le déchiffrement utilisent la même clé. La norme AES (Advanced Encryption Standard) avec des clés de 256 bits est la norme de l'industrie pour le chiffrement symétrique et est exigée par la norme PCI DSS pour protéger les données de titulaire de carte stockées. Elle est extrêmement rapide et efficace sur le plan du calcul, ce qui la rend adaptée au chiffrement de grands volumes de données.

Chiffrement asymétrique (TLS/SSL)

Utilise une clé publique pour le chiffrement et une clé privée pour le déchiffrement. C'est ainsi que fonctionne le HTTPS : votre navigateur utilise la clé publique du serveur Web pour chiffrer les données que vous envoyez, et seule la clé privée du serveur peut les déchiffrer. Le chiffrement TLS est le contrôle fondamental pour protéger les données de carte en transit sur Internet et est exigé par l'exigence 4 de la norme PCI DSS.

Chiffrement de bout en bout (P2PE)

Dans les environnements avec carte présente, le chiffrement de bout en bout (P2PE) chiffre les données de carte directement au terminal physique dès que la carte est glissée, insérée ou approchée. Les données demeurent chiffrées tout au long de leur trajet dans le réseau de paiement jusqu'à ce qu'elles atteignent l'environnement de déchiffrement sécurisé du processeur. Les solutions P2PE validées par le PCI SSC peuvent réduire considérablement la portée PCI des environnements de vente au détail physiques.

Comment fonctionne la tokenisation

La tokenisation adopte une approche entièrement différente. Plutôt que de brouiller mathématiquement les données, la tokenisation remplace les données sensibles par une valeur de substitution générée aléatoirement et sans signification, appelée un jeton. La relation entre le jeton et les données d'origine est conservée dans un coffre-fort de jetons sécurisé et isolé.

La distinction essentielle : il n'existe aucun algorithme mathématique permettant de reconvertir un jeton en numéro de carte d'origine. La seule façon de récupérer les données d'origine est d'interroger le coffre-fort de jetons, généralement exploité par le processeur de paiement. Cela signifie que même si un attaquant compromet entièrement votre application et votre base de données, il n'obtient rien d'utile, seulement des jetons inutilisables sans accès au coffre-fort sécurisé.

Jetons réseau contre jetons de processeur

Il vaut la peine de distinguer deux types de jetons utilisés dans les paiements modernes. Les jetons de réseau de paiement sont émis par les réseaux de cartes (Visa Token Service, Mastercard MDES) et remplacent le numéro de compte principal (NCP) par un jeton propre à l'appareil, utilisé dans les portefeuilles numériques comme Apple Pay et Google Pay. Les jetons de processeur (aussi appelés jetons de coffre-fort ou jetons de moyen de paiement) sont émis par des processeurs de paiement comme TIB Finance et permettent aux commerçants de conserver une référence au moyen de paiement d'un client pour des transactions récurrentes, sans stocker eux-mêmes les données de carte.

Différences clés

Caractéristique	Chiffrement	Tokenisation
Réversibilité	Réversible avec la clé de déchiffrement	Réversible uniquement par consultation du coffre-fort
Présence des données	Les données sensibles existent toujours (sous forme chiffrée)	Les données sensibles sont retirées du système; le jeton n'a aucune signification
Gestion des clés	Nécessite un stockage et une rotation sécurisés des clés	Aucune clé à gérer du côté du commerçant
Impact sur la portée PCI	Les données chiffrées demeurent dans la portée PCI	Les jetons sont hors de la portée PCI pour les données de carte
Cas d'usage	Données en transit (TLS), données au repos lorsqu'une récupération est nécessaire	Stockage des moyens de paiement pour usage récurrent
Impact d'une brèche	Les données chiffrées peuvent potentiellement être déchiffrées si la clé est compromise	Les jetons sont inutilisables pour un attaquant sans accès au coffre-fort

Quand utiliser chacune

Utilisez le chiffrement quand :

• Vous protégez des données lors de leur transmission sur un réseau (le TLS est toujours exigé pour les données de carte en transit)
• Vous devez récupérer la valeur d'origine des données à un moment ultérieur, par exemple une banque qui stocke des numéros de compte dont elle a besoin pour des virements ACH
• Vous protégez des données sur un support de stockage physique (chiffrement de disque)
• Vous êtes dans un environnement de terminal avec carte présente (le P2PE protège les données depuis le glissement ou l'insertion jusqu'au déchiffrement par le processeur)

Utilisez la tokenisation quand :

• Vous stockez les moyens de paiement des clients pour des charges récurrentes, des abonnements ou un paiement en un clic
• Vous avez besoin d'une référence à un moyen de paiement, mais n'avez jamais besoin de voir le numéro de carte réel
• Vous réduisez la portée PCI : les systèmes qui ne stockent que des jetons sont généralement hors de la portée des exigences relatives aux données de carte
• Vous partagez des références de paiement entre plusieurs services ou composants applicatifs sans propager les données de carte

Impact sur la conformité PCI

Comprendre les implications de chaque technologie sur la portée PCI est essentiel pour la planification de la conformité.

Chiffrement et portée PCI : les données de titulaire de carte chiffrées sont toujours considérées comme des données de titulaire de carte au sens de la norme PCI DSS. Les systèmes qui stockent des NCP chiffrés demeurent dans la portée des exigences PCI DSS. Les contrôles de chiffrement que ces systèmes doivent mettre en place sont moins stricts que si les données étaient en texte clair, mais les systèmes ne sont pas entièrement retirés de la portée. Vous devez tout de même gérer les clés de chiffrement, restreindre l'accès et surveiller ces systèmes.

Tokenisation et portée PCI : les systèmes qui ne stockent que des jetons et n'ont aucune capacité de récupérer les données de titulaire de carte d'origine (c'est-à-dire qu'ils n'ont pas accès au coffre-fort de jetons) peuvent potentiellement être entièrement retirés de la portée PCI pour les données de carte. Le PCI SSC a publié des lignes directrices confirmant que les jetons sont hors de la portée si le système de tokenisation répond à des critères précis. Cet avantage de réduction de la portée est l'une des principales raisons pour lesquelles la tokenisation est devenue l'approche standard pour le stockage des moyens de paiement.

Pour un aperçu complet des exigences de conformité PCI, consultez notre guide sur la conformité PCI DSS 4.0 ou notre guide PCI en langage simple pour propriétaires d'entreprise.

Comment TIB Finance utilise les deux

L'architecture de sécurité des paiements de TIB Finance met en œuvre à la fois la tokenisation et le chiffrement comme des contrôles complémentaires et en couches :

• TLS 1.2/1.3 en transit : toutes les données transmises entre votre application, les navigateurs de vos clients et l'infrastructure de TIB Finance sont protégées par les normes TLS actuelles, satisfaisant l'exigence 4 de la norme PCI DSS.
• Champs de paiement hébergés : les champs de paiement JavaScript de TIB Finance capturent les données de carte directement dans l'environnement conforme PCI de TIB Finance à l'aide de champs chiffrés. Le numéro de carte brut n'est jamais transmis à vos serveurs ni stocké sur ceux-ci.
• P2PE pour carte présente : pour les paiements en personne, TIB Finance prend en charge les terminaux compatibles P2PE qui chiffrent les données de carte au point d'interaction, gardant votre environnement de point de vente hors de portée.
• Tokenisation des paiements : après le traitement, TIB Finance retourne un jeton de paiement réutilisable. Vous stockez ce jeton dans votre base de données et l'utilisez pour de futures transactions. Votre base de données ne contient que des jetons : elle est hors de la portée des exigences PCI relatives aux données de carte.
• AES-256 au repos : dans le coffre-fort sécurisé de TIB Finance, les données de titulaire de carte sont stockées avec un chiffrement AES-256 et des contrôles de gestion des clés stricts, répondant aux exigences de l'exigence 3 de la norme PCI DSS.

Cette approche en couches signifie que même une compromission totale de la base de données de votre application n'expose aucune donnée de carte utilisable, seulement des jetons qui ne peuvent être rachetés sans accès au coffre-fort sécurisé de TIB Finance. Découvrez les solutions de paiement de TIB Finance pour en savoir plus, ou lisez nos meilleures pratiques de sécurité des paiements pour votre plateforme.