First Data公司和EMC公司的安全部门RSA在本周二宣布一项新的服务，宣称这是它们第一次将加密和令牌技术结合起来运用到安全支付的业务中。

　　作为First Data安全交易管理，这一服务使用RSA的安全代理服务器的令牌技术来将信用卡的数据从商业系统中提取出来。它从点上销售系统（POS）往处理器中添加了端对端的加密，同时将信用卡数据取代为RSA标识。一旦某个交易被授予了一个标识，将会有一段随机生成的数据被分配来代替这一信用卡数据。

　　First Data的CEO兼董事长Michael Capellas说，这一服务是被设计来降低用于保持遵循PCI数据安全标准（PCI DSS）而带来的成本消耗和复杂性。First Data是世界上最大的信用卡处理公司，它在2008年处理了超过1.4万亿美元的交易。

　　Capellas说，这一服务使用First Data的基础设施，存储信用卡数据在First Data安全服务器中，从而在商户将来需要的时候进行数据恢复，同时将那些标志反馈给商户在其系统中使用。

　　Capellas 说，“保护支付的安全已成为大多数商户最优先考虑的事情，到现在为止，商户们被迫使依靠与各种第三方建立合同来寻找安全解决方案，通常是在他们的应用软件上加上一些安全防护以及对他们的点上销售进行特别的调整。”

　　令牌技术是由Shift4公司发明出来的，它被一些商户用来遵循PCI数据安全标准（PCI DSS），这一技术要求信用卡数据不能够被存放在零售商的POS系统中。专家说令牌技术对商户来说，要比全加密部署便宜些，因为只需要在POS设备中安装驱动。

　　Burton 组的分析家Ramon Krikken 说，First Data-RSA服务不同之处在于，令牌技术将会应用在处理器一方，这表示在POS上只需要进行微小的改动。

　　Krikken 说，“和那些需要在PoS上重新进行加密的技术相比，这种解决方案似乎看起来更容易实施。”

　　Krikken说，在初始阶段，通过处理器上的令牌应用面临的挑战是潜在的。令牌过程所消耗的时间将会加到交易时间里去。First Data进行了性能方面的测试，会保证令牌时间不会使交易时间超过他们所设置的界限。

　　Krikken说，其他的支付处理器可能会跟随这种做法。其他的方法将会与First Data-RSA的这项服务相竞争。VeriFone销售VeriShield保护，它采用的形式是保存加密技术安装到支付终端并且同样需要一个解密装置安装到主机处理器或者商户转换器中。与此同时，Voltage安全正与Heartland支付系统合作来使用它的端到端的加密（E3）软件形式，以此来保留加密从而保护支付过程。

　　Kirkken说，移动加密和令牌标记技术（token technology）与格式秘密保留是解决同样的问题，但它是种细微不同的方法。在决定采用哪种方式之前，商户将会需要评估由他们的处理器提供的结构和方式。他说，以零售商的角度来看，有效的安全应该是相似的。

　　RSA的全球客户运营高级副总裁Thomas Heiser说，RSA令牌标记技术为移动、存储和使用中的交易数据提供了公开密匙加密。

　　Heiser 说“他们不再需要保存信用卡数字在网站里，事实上，在周期的每一个点上，它都使用加密和令牌技术，从这一点来说它是独一无二的。”

　　First Data计划开始在北美启动这一服务。在商户这里不需要再安装新的硬件部署或者是数据服务器。First Data说，它将会协同商户对其数据库中现存的交易数据进行令牌处理并从那一环境中移走。RSA和First Data没有公开这项新服务的花费，但是说将不会对存储另行收费。

　　Gartner 公司的分析师John Pescatore在其最近的技术博客上表示，虽然令牌技术的确帮助了商户遵从PCI，但是它并不是这一遵从的保证。

　　“令牌技术并不是取代加密技术，在很多情况下它能够减少卡数据（或者任何其他类型的敏感数据）存放的地方的数量——这总归是件好事”，Pescatore写道。