P2PE (Point-to-Point Encryption) – Przewodnik po bezpiecznych rozwiązaniach płatniczych dla branży retail

Geneza i potrzeba rozwiązań P2PE w branży retail 

Wyzwania tradycyjnych systemów płatniczych 

Współczesna branża retail stoi przed bezprecedensowymi wyzwaniami związanymi z bezpieczeństwem danych płatniczych. Tradycyjne systemy płatnicze, w których dane kartowe były przesyłane i przetwarzane w postaci niezaszyfrowanej przez infrastrukturę sklepu, stwarzały znaczące zagrożenia bezpieczeństwa. Dane kart płatniczych, przechodząc przez różne komponenty systemu – od terminala POS przez sieć sklepu aż do procesora płatności – były narażone na przechwycenie w każdym punkcie tej ścieżki.  

Problem ten nabiera szczególnego znaczenia w kontekście rosnącej liczby ataków na systemy płatnicze. Według statystyk, branża retail doświadczyła 629 incydentów w 2022 roku, z czego 241 zostało potwierdzonych jako naruszenia danych. Głównym motywem tych ataków było właśnie zdobycie danych klientów w celach finansowych. 

Przypadki naruszeń bezpieczeństwa danych płatniczych

Historia branży retail dostarcza nam dwóch szczególnie wymownych przykładów, które pokazują konsekwencje braku odpowiednich zabezpieczeń typu P2PE. 

Atak na Target (2013) stanowi jeden z najbardziej spektakularnych przypadków naruszenia bezpieczeństwa danych w historii retail. Między listopadem a grudniem 2013 roku hakerzy uzyskali dostęp do 40 milionów numerów kart kredytowych i debetowych oraz danych osobowych 70 milionów klientów. Atakujący wykorzystali słabe zabezpieczenia dostawcy systemów HVAC (Fazio Mechanical Services), aby dostać się do sieci Target. Kluczowym elementem ataku było zainstalowanie złośliwego oprogramowania na terminalach POS, które przechwytywało dane z pamięci systemów podczas przetwarzania transakcji. 

Naruszenie bezpieczeństwa Home Depot (2014) miało miejsce między kwietniem a wrześniem 2014 roku i dotknęło 56 milionów kart płatniczych oraz 53 miliony adresów e-mail. Podobnie jak w przypadku Target, atakujący wykorzystali skompromitowane dane logowania dostawcy zewnętrznego, aby uzyskać dostęp do sieci korporacyjnej. Następnie zainstalowali specjalne złośliwe oprogramowanie na ponad 7500 terminalach POS, które gromadziło dane kart płatniczych bezpośrednio z pamięci systemów. 

Kluczową kwestią w obu przypadkach było to, że dane kart płatniczych były dostępne w postaci niezaszyfrowanej w pamięci terminali POS. Rozwiązanie P2PE mogłoby skutecznie zapobiec tym atakom, ponieważ dane byłyby zaszyfrowane już w momencie odczytu karty, czyniąc je bezużytecznymi dla złośliwego oprogramowania działającego w pamięci systemu. 

Te przypadki doprowadziły do znaczących zmian w podejściu branży do bezpieczeństwa płatności i przyspieszyły adopcję technologii P2PE jako standardu branżowego. 

Czym jest P2PE i jak różni się od rozwiązań tradycyjnych oraz E2EE 

Definicja i zasady działania P2PE 

Point-to-Point Encryption (P2PE) to standard szyfrowania ustanowiony przez PCI Security Standards Council, który chroni dane posiadaczy kart od momentu ich przechwycenia na terminalu płatniczym do bezpiecznego punktu deszyfrowania. W przeciwieństwie do tradycyjnych rozwiązań, gdzie dane mogą być czasowo dostępne w postaci niezaszyfrowanej, P2PE zapewnia, że informacje o kartach pozostają nieczytelne przez cały proces transakcji. 

Porównanie rozwiązań płatniczych 

Aspekt	Rozwiązanie tradycyjne	E2EE (End-to-End Encryption)	P2PE (Point-to-Point Encryption)
Punkt szyfrowania	Brak lub późne szyfrowanie	Szyfrowanie na terminalu	Szyfrowanie na certyfikowanym terminalu PCI
Walidacja	Brak zewnętrznej walidacji	Samodzielna	Niezależna walidacja przez QSA (P2PE)
Zarządzanie kluczami	Podstawowe	Różne standardy, nie zawsze ujawnione.	Rygorystyczne wymogi PCI opisane w standardzie
Compliance PCI DSS	Pełny zakres	Potencjalne ograniczone zmniejszenie zakresu.	Znaczące zmniejszenie zakresu
Bezpieczeństwo	Niskie-średnie	Średnie-wysokie	Bardzo wysokie

Korzyści i wady poszczególnych rozwiązań 

Rozwiązania tradycyjne: 

• Korzyści: Niski koszt wdrożenia, prostota implementacji, elastyczność w wyborze dostawców 

• Wady: Wysokie ryzyko bezpieczeństwa, pełny zakres compliance PCI DSS, podatność na ataki typu memory scraping, brak gwarancji szyfrowania end-to-end, zwiększone koszty audytów bezpieczeństwa 

E2EE (End-to-End Encryption): 

• Korzyści: Szyfrowanie danych na terminalu, pewna redukcja ryzyka, większa elastyczność niż P2PE 

• Wady: Brak zewnętrznej walidacji (self-assessment), niejednorodne standardy bezpieczeństwa, złudne poczucie bezpieczeństwa – nikt nie może zweryfikować rzeczywistego poziomu ochrony, potencjalne luki w implementacji, ograniczone korzyści Compliance 

P2PE (Point-to-Point Encryption): 

• Korzyści: Najwyższy poziom bezpieczeństwa, niezależna walidacja, znaczące zmniejszenie zakresu PCI DSS 

• Wady: Wyższe koszty per terminal (średnio 5-15 PLN miesięcznie per terminal), ograniczona elastyczność, ograniczony multiacquiring na polskim rynku, przyklejenie do konkretnego vendora, zarządzane i kontrolowane środowisko zmian – wszystkie modyfikacje muszą przejść przez proces certyfikacji 

Kluczową różnicą jest to, że P2PE jako rozwiązanie zamknięte i w pełni zarządzane zapewnia kontrolę nad każdą zmianą w systemie. Wdrożenie jakichkolwiek modyfikacji odbywa się w sposób zarządzany i kontrolowany, co czyni rozwiązanie znacznie bezpieczniejszym niż E2EE. 

W przypadku E2EE, dostawca rozwiązania przeprowadza self-assessment, co oznacza, że nie ma zewnętrznej weryfikacji bezpieczeństwa i tak naprawdę nie wiadomo jakie środki ochrony zostały przyjęte. Może to prowadzić do złudnego poczucia bezpieczeństwa, gdzie teoretycznie dane są szyfrowane, ale rzeczywista implementacja może zawierać luki bezpieczeństwa, których nikt nie zweryfikował. Z kolei rozwiązania P2PE podlegają regularnym, niezależnym audytom przeprowadzanym przez wyspecjalizowanych assessorów (P2PE QSA), co gwarantuje rzeczywisty poziom ochrony. 

Elementy składowe rozwiązania P2PE 

Struktura rozwiązania P2PE 

Zgodnie z PCI P2PE Program Guide v3.2, kompletny ekosystem P2PE składa się z trzech kluczowych elementów: 

P2PE Solution (Rozwiązanie P2PE) to kompletny, zwalidowany przez PCI zestaw urządzeń, aplikacji i procesów, który szyfruje dane posiadaczy kart od certyfikowanego terminala POI (Point of Interaction) do bezpiecznego środowiska deszyfrowania. Rozwiązanie może być dostarczane przez jednego dostawcę lub składać się z walidowanych komponentów różnych dostawców. 

P2PE Component (Komponent P2PE) to zwalidowana usługa, która spełnia określone wymogi P2PE w ramach większego rozwiązania. Standard P2PE v3.2 wprowadził możliwość certyfikacji poszczególnych komponentów, co znacznie zwiększyło elastyczność rynku. 

P2PE Application (Aplikacja P2PE) to specjalistyczne oprogramowanie działające na certyfikowanych terminalach POI, które ma dostęp do danych w postaci niezaszyfrowanej wyłącznie w celu ich natychmiastowego szyfrowania. 

Rodzaje komponentów P2PE 

Standard PCI P2PE v3.2 definiuje kilka typów komponentów, każdy z określonymi funkcjami^[17]: 

• Encryption Management Entity Component – zarządza procesami szyfrowania 

• Decryption Management Entity Component – odpowiada za bezpieczne deszyfrowanie 

• Key Injection Facility (KIF) – facility do bezpiecznego ładowania kluczy kryptograficznych 

• Certificate Authority/Registration Authority – dla procesów remote key injection 

Nowe możliwości dla dostawców rozwiązań płatniczych 

• Rewolucja w certyfikacji aplikacji płatniczych: Standard P2PE otwiera nowe możliwości dla dostawców oprogramowania POS oraz integratorów. Dostawca aplikacji kasowej może teraz uzyskać certyfikację wyłącznie dla swojej aplikacji P2PE (P2PE Application), bez konieczności certyfikowania całego rozwiązania. Oznacza to, że producent oprogramowania może skupić się na swojej specjalizacji – aplikacji – podczas gdy terminal i procesy deszyfrowania są zapewniane przez innych certyfikowanych dostawców. 

• Modularność i specjalizacja: Ta modułowość pozwala na tworzenie wyspecjalizowanych rozwiązań, gdzie każdy dostawca może skoncentrować się na swojej głównej kompetencji. Na przykład, firma specjalizująca się w systemach kasowych może certyfikować swoją aplikację P2PE, współpracując z certyfikowanym dostawcą terminali i usług deszyfrowania^[13][20]. 

• Korzyści dla integratorów: Integrator POS może wykorzystać certyfikowaną aplikację P2PE do budowy kompletnego rozwiązania dla merchant, znacznie upraszczając proces compliance i zwiększając bezpieczeństwo oferowanych systemów. 

Korzyści P2PE z perspektywy merchanta 

Rozwiązania P2PE są przygotowane przede wszystkim dla sektora retail i niosą za sobą szereg korzyści:  

• Znaczące zmniejszenie zakresu PCI DSS: Największą korzyścią dla merchantów jest drastyczne ograniczenie zakresu compliance PCI DSS. Rozwiązania P2PE mogą zmniejszyć liczbę pytań w self-assessment z 329 do zaledwie 33, co oznacza redukcję o około 90%. To przekłada się na znaczne oszczędności czasu i kosztów związanych z procesami oceny zgodności. 

• Ochrona przed atakami typu memory scraping: P2PE chroni przed najczęstszymi metodami ataków na systemy POS, które polegają na przechwytywaniu danych z pamięci systemów podczas przetwarzania transakcji. Nawet jeśli złośliwe oprogramowanie dostanie się do systemu merchanta, zaszyfrowane dane pozostają bezużyteczne. 

• Redukcja kosztów bezpieczeństwa: Firmy korzystające z certyfikowanych rozwiązań P2PE mogą uzyskać wymierne oszczędności związane z niższymi kosztami zapewnienia bezpieczeństwa transakcji i utrzymania zgodności ze standardem PCI DSS. 

Kluczowe aspekty przed wyborem dostawcy P2PE 

Wybór dostawcy rozwiązania Point-to-Point Encryption (P2PE) to decyzja, która bezpośrednio wpływa na bezpieczeństwo danych kartowych oraz zgodność organizacji ze standardami PCI. Przed podpisaniem umowy warto dokładnie przeanalizować nie tylko ofertę funkcjonalną i kosztową, ale również doświadczenie dostawcy w certyfikacji P2PE, stabilność jego rozwiązań oraz model wsparcia technicznego. Poniżej przedstawiamy najważniejsze elementy z punktu widzenia akceptanta. 

• Weryfikacja certyfikacji PCI P2PE: Merchant powinien zawsze sprawdzić, czy rozwiązanie znajduje się na oficjalnej liście PCI SSC (https://listings.pcisecuritystandards.org/assessors_and_solutions/point_to_point_encryption_solutions ). Tylko rozwiązania znajdujące się na tej liście gwarantują rzeczywiste korzyści compliance i bezpieczeństwa. 

• Ocena P2PE Instruction Manual (PIM): Każde certyfikowane rozwiązanie P2PE musi posiadać PIM – dokument zawierający szczegółowe instrukcje dla merchantów dotyczące bezpiecznej instalacji, eksploatacji i monitorowania urządzeń^[17][18]. Merchant powinien zapoznać się z tym dokumentem przed podjęciem decyzji. 

• Analiza wsparcia technicznego: Ważne jest sprawdzenie dostępności wsparcia 24/7, możliwości szybkiej wymiany urządzeń oraz procedur incident response. Dostawca P2PE powinien zapewnić kompleksowe wsparcie techniczne. 

• Kompatybilność z istniejącą infrastrukturą: Merchant musi upewnić się, że rozwiązanie P2PE będzie kompatybilne z jego obecnym systemem POS, procesami biznesowymi oraz wymogami różnych typów kart (płatnicze, flotowe, lokalne). 

Samodzielna weryfikacja rozwiązania P2PE 

Merchant może samodzielnie zweryfikować autentyczność rozwiązania P2PE przez: 

• Sprawdzenie listingu PCI SSC: Oficjalna strona zawiera wszystkie walidowane rozwiązania z numerami referencyjnymi 

• Weryfikację dat ważności: Każde rozwiązanie ma określony okres ważności i wymaga corocznej rewalidacji 

• Potwierdzenie P2PE QSA: Sprawdzenie, czy rozwiązanie było oceniane przez akredytowanego assessora 

• Analiza zakresu certyfikacji: Upewnienie się, że certyfikacja obejmuje wszystkie używane terminale i aplikacje 

Rozwiązania P2PE na polskim rynku – analiza i porównanie

eService – lider polskiego rynku P2PE 

eService, jako pierwszy agent rozliczeniowy w Polsce, uzyskał certyfikat P2PE już w marcu 2021 roku. Po ponownej certyfikacji w wrześniu 2024 roku, firma może się poszczycić największym w Polsce portfelem certyfikowanych urządzeń P2PE – 35 modeli terminali. Rozwiązanie obejmuje: 

• 26 modeli terminali Ingenico 

• 1 model terminali Verifone 

• 8 modeli terminali PAX 

Exorigo-Upos 

Exorigo-Upos może się poszczycić certyfikatem P2PE Solution dla rozwiązania „Eurokarta P2PE Solution” uzyskanym w grudniu 2023 roku. Oferuje rozwiązanie współpracujące z 9 modelami terminali z rodziny Ingenico. 

Polskie ePłatności 

Polskie ePłatności uzyskały certyfikację „PeP P2PE Solution” w lipcu 2025 roku, realizując projekt w rekordowo krótkim czasie, co czyni go jednym z najszybciej wdrożonych rozwiązań P2PE w Polsce. Jako acquirer i drugi co do liczby terminali dostawca usług płatniczych w kraju, PeP umocnił swoją pozycję rynkową, oferując klientom rozwiązanie spełniające najwyższe standardy bezpieczeństwa PCI. System współpracuje z terminalami firmy Ingenico i zapewnia wsparcie dla 7 różnych modeli urządzeń, co pozwala na szerokie zastosowanie w różnych środowiskach biznesowych. 

Na rynku polskim rozwiązanie P2PE oferuje również firma Elavon. Ze względu na fakt, że jest to rozwiązanie nieopracowane lokalnie w Polsce, nie zostało uwzględnione w niniejszym zestawieniu. Doceniamy obecność Elavon na rynku i ich wkład w rozwój rozwiązań bezpieczeństwa płatności. 

Porównanie z rozwiązaniami globalnymi 

• Worldpay Total P2PE to jedno z najbardziej rozpoznawalnych rozwiązań globalnych, posiadające 42% udziału w rynku brytyjskim. Firma oferuje rozwiązanie omnichannel z szeroką gamą terminali i aplikacji płatniczych. 

• Fiserv Clover reprezentuje amerykańskie podejście do P2PE z naciskiem na integrację z systemami POS i szeroką funkcjonalność biznesową. Rozwiązanie jest szczególnie popularne wśród małych i średnich przedsiębiorstw. 

• Ingenico jako producent terminali współpracuje z wieloma dostawcami rozwiązań P2PE na całym świecie, w tym ze wszystkimi polskimi dostawcami. 

Analiza możliwości technologicznych – Limitacje polskiego rynku vs. możliwości globalne: 

Porównując polskich dostawców z globalnymi konkurentami, widoczne są pewne ograniczenia a także możliwości do ulepszeń w polskiej przestrzeni rozwiazań płątniczych: 

• Brak implementacji Remote Key Injection (RKI) – RKI to obecnie pewnego rodzaju standard, pozwalający na zdalne, bezpieczne ładowanie kluczy kryptograficznych bez konieczności transportu urządzeń do siedziby dostawcy rozwiązania. Z analizy wynika, że żadne rozwiązanie oferowane na polskim rynku nie wspiera RKI.  

• Ograniczony multiacquiring – polskie rozwiązania zazwyczaj współpracują z jednym agentem rozliczeniowym. Poza EuroKartą, która jest w stanie obsłużyć wielu acquirerów – zarówno eService i PeP tworzą rozwiązania single acquirer – ma to uzasadnienie – sami są agentami rozliczeniowymi.  

• Ograniczona obsługa kart flotowych, podarunkowych lub członkowskich w porównaniu do rozwiązań globalnych.  

Główne wymogi standardu PCI P2PE 

Pięć głównych obszarów zarządzania kluczami kryptograficznymi 

1. Bezpieczne generowanie kluczy– Standard P2PE wymaga, aby wszystkie klucze kryptograficzne były generowane w certyfikowanych modułach HSM (Hardware Security Module) spełniających wymogi FIPS 140-2 poziom 3 lub wyższy, albo posiadających certyfikat PCI HSM. Klucze muszą być generowane z wykorzystaniem zatwierdzonych algorytmów kryptograficznych i wystarczającej entropii. 

2. Zarządzanie cyklem życia kluczy– Każdy klucz musi mieć określony cykl życia obejmujący generowanie, dystrybucję, użytkowanie, archiwizację i bezpieczne zniszczenie. Standard wymaga implementacji procedur rotacji kluczy oraz mechanizmów monitorowania i logowania wszystkich operacji na kluczach. 

3. Implementacja dual control – Krytyczne operacje na kluczach kryptograficznych muszą wymagać autoryzacji co najmniej dwóch upoważnionych osób. Oznacza to, że żadna pojedyncza osoba nie może mieć pełnego dostępu do kluczy kryptograficznych lub możliwości wykonywania krytycznych operacji bez nadzoru. 

4. Bezpieczne przechowywanie w HSM – Wszystkie klucze muszą być przechowywane w certyfikowanych modułach HSM, które zapewniają ochronę przed fizyczną i logiczną kompromitacją. HSM musi być skonfigurowany zgodnie z wymogami PCI i podlegać regularnym audytom bezpieczeństwa oraz posiadac klucz LMK zapewniający co najmniej 128 bitów security. . 

5. Kontrola dostępu i segregacja obowiązków (split knowledge) – System musi zapewniać ścisłą kontrolę dostępu do kluczy kryptograficznych z podziałem ról i odpowiedzialności. Różni użytkownicy mogą mieć dostęp tylko do określonych operacji – jedni mogą zarządzać konfiguracją, inni używać konkretnych zestawów kluczy, ale nikt nie może mieć pełnego dostępu do wszystkich funkcji. 

Wymogi dotyczące środowiska deszyfrowania 

• Zgodność z PCI DSS: Środowisko deszyfrowania musi w pełni spełniać wymogi PCI DSS. Oznacza to implementację wszystkich 12 wymogów PCI DSS, w tym ochrony sieci, zarządzania podatnościami, kontroli dostępu i regularnego monitorowania. 

• Monitoring i ncydent response: Standard wymaga implementacji systemów monitorowania w czasie rzeczywistym oraz procedur reagowania na incydenty^[17][37]. Wszystkie próby dostępu do środowiska deszyfrowania muszą być logowane i analizowane. 

Wymogi dotyczące aplikacji płatniczych 

• Ochrona danych PAN i SAD: Aplikacje P2PE muszą zapewniać ochronę Primary Account Number (PAN) oraz Sensitive Authentication Data (SAD) zgodnie z najwyższymi standardami kryptograficznymi. 

• Bezpieczny rozwój aplikacji: Proces tworzenia aplikacji musi następować zgodnie z secure development lifecycle, obejmującym analizę bezpieczeństwa, testy penetracyjne i regularne audyty kodu^[17][39]. 

Kluczowe decyzje dla dostawców rozwiązań P2PE 

Pięć strategicznych pytań dla dostawców P2PE 

1. Jaki model biznesowy P2PE wybrać? 
Dostawca musi zdecydować, czy chce oferować kompletne rozwiązanie P2PE, czy specjalizować się w konkretnych komponentach (aplikacja, terminal, usługi deszyfrowania). Każdy model ma różne wymagania certyfikacyjne i implikacje biznesowe. 

2. Która architektura kryptograficzna będzie optymalna? 
Wybór między DUKPT (Derived Unique Key Per Transaction) a innymi metodami zarządzania kluczami wpływa na bezpieczeństwo, wydajność i koszty rozwiązania. Decyzja ta determinuje również wybór partnerów technologicznych i procesorów HSM. 

3. Jak zarządzać relacjami z dostawcami komponentów? 
Standard P2PE wymaga ścisłej współpracy z dostawcami terminali, HSM i innych komponentów. Dostawca musi określić strategię partnerstw i mechanizmy zapewnienia zgodności wszystkich elementów łańcucha. 

4. Jakie rynki geograficzne i segmenty klientów priorytetyzować? 
Różne rynki mają odmienne wymagania regulacyjne i preferencje technologiczne. Dostawca musi zdecydować, czy koncentrować się na rynku lokalnym, czy dążyć do ekspansji międzynarodowej, co wpływa na wybór certyfikacji i strategię produktową. 

5. Jak zapewnić ciągłość biznesową i incident response? 
Standard P2PE wymaga zaawansowanych procedur incident response i planów ciągłości biznesowej. Dostawca musi opracować strategie backup, disaster recovery oraz procedury komunikacji z klientami w sytuacjach kryzysowych. 

Wsparcie przy certyfikacji P2PE 

Jeśli rozważasz, myślisz lub zastanawiasz się nad procesem certyfikacji PCI P2PE, zapraszamy do współpracy z Patronusec. Posiadamy szerokie, praktyczne doświadczenie we wspieraniu organizacji oraz merchantów korzystających z rozwiązań P2PE, pomagając im skutecznie przejść przez certyfikację. Nasza dogłębna wiedza zarówno techniczna, jak i dotycząca wymagań zgodności pozwala nam przewidywać wyzwania i usprawniać cały proces. Wybierając Patronusec, zyskujesz partnera, który łączy najlepsze globalne praktyki z doskonałą znajomością rynku lokalnego, zapewniając sprawną, bezpieczną i w pełni zgodną realizację Twojego projektu.