Ödeme kartı tokenizasyonu, gerçek kart numarasının (PAN) yerine, kendi başına hiçbir anlamı olmayan bir vekil değeri, yani token’ı koyma tekniğidir. Token, asıl kart numarasıyla yalnızca güvenli bir kasada tutulan eşleştirme tablosu üzerinden ilişkilidir; kasanın dışında ele geçirilen bir token, saldırgan için işe yaramaz bir dizedir.

Tokenizasyon, kart numarasını sistemin içinden çekip yerine kendi başına değersiz bir vekil bırakma yöntemidir.

Şifrelemeden Farkı Nedir?

Tokenizasyon sık sık şifreleme ile karıştırılır ama ikisi farklı çalışır. Simetrik şifreleme veriyi bir anahtarla dönüştürür; anahtara sahip olan onu tekrar açık metne çevirebilir, dolayısıyla korumanın gücü anahtarın gizliliğine bağlıdır. Token ise matematiksel bir dönüşüm değildir; asıl veriyle arasında hesaplanabilir bir bağ yoktur, yalnızca kasadaki tablo bu bağı bilir. Token çalınırsa geri çözülecek bir anahtar da yoktur.

Pratikte iki yöntem birbirini tamamlar: kart verisi kasaya girerken şifreli kanaldan taşınır, kasada saklanan asıl PAN şifrelenir, dışarıda dolaşan değer ise token olur. Böylece hassas veri en aza indirgenmiş bir alana hapsedilir.

PCI DSS ve Kapsam Daralması

Tokenizasyonun en somut kurumsal faydası, kart verisinin dokunduğu sistem sayısını azaltmasıdır. Kart numarasını hiç saklamayan, yalnızca token tutan bir uygulama, kart verisi güvenlik standartlarının denetim kapsamından büyük ölçüde çıkar. Bu, hem denetim yükünü hem de bir ihlal durumunda ifşa olacak veri miktarını düşürür.

Token’ın üretilip asıl kartla eşleştirildiği kasa genellikle ödeme altyapısının merkezinde yer alır; bu nedenle sanal POS ve ödeme ağ geçidi güvenliği ile tokenizasyon iç içe tasarlanır. Ödeme ağ geçidi, kartı bir kez alıp yerine token döndürerek arkadaki tüm sistemleri kart verisinden yalıtır.

Hangi Tehdide Karşı Koruma Sağlar?

Tokenizasyon özellikle veri sızıntısı senaryolarında etkilidir. Bir saldırgan uygulama veritabanını ele geçirse bile eline yalnızca token’lar geçer. Buna karşılık kartın fiziksel okunduğu noktada, örneğin POS zararlısı ve kart kopyalama saldırılarında, kart henüz token’a çevrilmeden yakalanabileceği için tokenizasyon tek başına yetmez; kartın alındığı anı uçtan uca şifreleme ile korumak gerekir.

Tokenizasyonun sağladığı korumanın gerçek olması, kasanın izolasyonuna ve token ile asıl PAN arasındaki sınırın sağlamlığına bağlıdır. Altyapı ve mimari gözden geçirme hizmetimiz ile token kasasının konumunu, erişim yetkilerini ve kart verisinin sistemde nerede durduğunu inceleyerek kapsam daralmasının kağıt üzerinde değil gerçekte sağlandığını doğruluyoruz.