Desativação de hardware HSM legado adotando o AWS KMS para transações recorrentes com cartão de crédito aprovado por PCI

A Bemobi é uma empresa de tecnologia que se destaca na distribuição e monetização de soluções digitais. Oferecendo serviços que vão desde assinaturas de aplicativos e jogos, recados de voz, soluções de anti-spam, até microcréditos, a Bemobi contribui diretamente para o crescimento de grandes corporações. Fundada em 2009 no Brasil, a empresa expandiu rapidamente sua presença global, integrando seus serviços a 100 operadoras de telefonia móvel e formando parcerias com fintechs, marketplaces e wallets, além de operar em um modelo B2B2C e white-label que garante a identidade visual das marcas de seus clientes finais.

Atualmente, a Bemobi atua em mais de 50 países, impactando mais de 80 milhões de clientes através de parcerias com empresas dos setores de telecomunicações, energia, educação e finanças. A empresa mantém uma média de 21,9 milhões de assinaturas pagas e 7,5 milhões de licenças ativas em SaaS, além de realizar cerca de 320 milhões de transações de microfinanças e R$ 6,1 bilhões em pagamentos digitais anualmente.

Desafio

Anteriormente, a Bemobi utilizava um hardware HSM (Hardware Security Module) dedicado para criptografia de transações com cartão de crédito, mantido em dois data centers diferentes no formato de co-location. Cada data center possuía dois HSMs para garantir redundância, totalizando quatro equipamentos. Esses HSMs eram essenciais para criptografar e proteger os dados sensíveis dos cartões de crédito, mas apresentavam uma série de desafios.

A utilização média de cada hardware de HSM ficava em torno de 10% com picos de 20%, impactando diretamente a eficiência operacional. Além disso, a Bemobi precisava manter os HSMs continuamente disponíveis para garantir que não houvesse interrupções no serviço, aumentando ainda mais os custos sem proporcionar benefícios proporcionais.

Os custos operacionais associados ao HSM eram altos, incluindo não apenas a compra inicial dos equipamentos, mas também a manutenção contínua e o suporte técnico necessário para manter o funcionamento. Esses custos podiam chegar a cerca de R$ 500 mil reais anuais, considerando todas as despesas associadas, como atualizações de firmware, suporte técnico especializado, e os contratos de co-location para hospedar os dispositivos. Além do custo direto dos equipamentos e do suporte, havia também um custo significativo associado à infraestrutura necessária para manter os HSMs em operação. Isso incluía a necessidade de espaço físico nos data centers, energia elétrica, refrigeração e outros recursos de suporte, que aumentavam o custo total de propriedade dos HSMs.

A Bemobi também enfrentava dificuldades devido à falta de pessoal especializado para manter esses dispositivos, criando um risco operacional significativo. O HSM utilizado exigia conhecimentos técnicos específicos que não estavam amplamente disponíveis entre a equipe interna. Além disso, o treinamento e a retenção de profissionais capacitados para operar e manter esses sistemas eram desafios constantes. Esse déficit de habilidades tornava a Bemobi dependente de um pequeno número de funcionários especializados, aumentando o risco de interrupções em caso de ausência ou saída desses profissionais. A necessidade constante de atualização e manutenção do hardware adicionava uma camada extra de complexidade. Essas atividades eram críticas para manter a conformidade com as exigências do PCI DSS, que impõe rigorosos padrões de segurança e práticas de gerenciamento de chaves criptográficas.

Como a Bemobi superou esta dificuldade

A Bemobi está ampliando as formas de pagamento, incluindo tecnologias como PIX, mas ainda é dependente significativamente dos pagamentos com cartão de crédito, que representam cerca de 75% de suas operações de pagamento. Este volume expressivo demonstra a importância crítica da gestão eficaz e segura dos dados dos cartões de crédito para a empresa.

Esses altos custos operacionais, combinados com a subutilização dos equipamentos e a complexidade de manutenção, tornavam a solução de HSMs dedicada uma opção ineficiente e economicamente insustentável para a Bemobi. A busca por uma solução mais simples, econômica e principalmente segura, como o AWS Key Management Service (KMS), tornou-se uma prioridade estratégica para a empresa, permitindo a redução de custos, a simplificação da infraestrutura e a melhoria da eficiência operacional.

Fluxo Antigo ainda utilizando o harware de HSM:

1. Cliente insere os dados do cartão em uma interface segura.
2. Dados são transmitidos via HTTPS para uma aplicação PCI.
3. A aplicação utiliza o HSM para criptografar os dados do cartão e armazena o cartão criptografado no banco de dados.
4. Um token é gerado para identificar o cartão criptografado.
5. Durante uma transação, o token é usado para decriptografar os dados do cartão via HSM antes de enviar ao adquirente.

Na nova arquitetura, a camada de entrada começa quando o cliente digita os dados do cartão, incluindo PAN, CVV e data de expiração, em uma interface segura. Esses dados são então transmitidos via HTTPS para uma aplicação PCI da Bemobi.

Ao invés de utilizar diretamente o HSM para criptografar esses dados, a aplicação PCI encaminha-os para uma nova aplicação que interage com o AWS KMS.

Durante uma transação, a aplicação responsável pela integração com o adquirente solicita a descriptografia do cartão à nova aplicação.

Novo Fluxo com AWS KMS:

1. Cliente insere os dados do cartão em uma interface segura.
2. Dados são transmitidos via HTTPS para uma aplicação PCI.
3. A aplicação PCI chama uma nova aplicação que interage com o AWS KMS para gerar uma data k
4. Dados do cartão são criptografados com a data key gerada pelo KMS e armazenados no banco de dados.
5. A data key criptografada também é armazenada no banco de dados.
6. Um token é gerado para identificar o cartão criptografado.
7. Durante uma transação, a nova aplicação usa o token para recuperar a data key criptografada e decriptar os dados do cartão via AWS KMS antes de enviar ao adquirente

A arquitetura tornou-se mais simples, com menos componentes de software, resultando em menos hops (saltos) e latência, por consequência mais simples para manter e evoluir. Além disso, do ponto de vista de governança e manutenibilidade, ela agora está 100% sob controle e domínio técnico e funcional do time da Bemobi.

Resultados

A migração para o AWS KMS trouxe vários benefícios significativos para a Bemobi. Em termos de redução de custos, o custo operacional foi drasticamente reduzido de aproximadamente R$ 500 mil reais anuais com o HSM para cerca de US $60 dólares mensais utilizando o AWS KMS. Além da economia, eliminar a dependência do HSM reduziu o risco de indisponibilidade e os desafios de manutenção associados a hardware especializado. Antes da migração, a Bemobi estava exposta ao risco de indisponibilidade caso o HSM falhasse, o que poderia impactar severamente as operações.

O AWS KMS também trouxe vantagens significativas em termos de flexibilidade e escalabilidade. Com o AWS KMS, a Bemobi pode facilmente ajustar a capacidade de criptografia conforme necessário, sem se preocupar com a limitação física do hardware. A integração com outros serviços AWS, como o Amazon RDS para armazenamento de dados, facilita ainda mais a gestão e segurança das operações de pagamento.

A facilidade de manutenção e conformidade também melhorou significativamente. A rotação de chaves no AWS KMS é automática e gerida pela AWS, facilitando a conformidade com requisitos de segurança e PCI DSS. A migração eliminou a necessidade de atualizações críticas de hardware, que eram complexas e arriscadas devido à falta de expertise interna. Em termos de eficiência operacional, a nova arquitetura permite um processo de criptografia e decriptografia mais ágil e com menor dependência de infraestrutura física. A equipe de infraestrutura da Bemobi não precisa mais se preocupar com a manutenção do HSM, permitindo-lhes focar em outras áreas críticas do negócio.

Além disso, o AWS KMS oferece uma maior visibilidade e controle sobre as operações de criptografia. A Bemobi pode monitorar e auditar todas as atividades de criptografia e decriptografia, garantindo maior segurança e conformidade. A facilidade de integração com outras ferramentas de monitoramento e gerenciamento da AWS permite que a empresa mantenha um alto nível de segurança e eficiência em todas as suas operações.

Considerações Finais

A migração da Bemobi para o AWS KMS exemplifica como a modernização de sistemas críticos pode resultar em economia significativa de custos e melhorias operacionais. A abordagem proativa da Bemobi em identificar e mitigar riscos, além de otimizar processos, assegurou que a empresa continuasse a fornecer serviços de pagamento seguros e eficientes, mesmo com a expansão para novos mercados e áreas de atuação.

A experiência da Bemobi também destaca a importância de uma estratégia de migração bem planejada e a escolha de tecnologias adequadas para suportar o crescimento e a inovação contínuos. Com a nova solução implementada, a Bemobi agora está melhor posicionada para responder às exigências do mercado e continuar sua trajetória de expansão em diversos setores, garantindo segurança e eficiência em todas as suas operações de pagamento.

Biografia do Autor

Daniel Abib é Senior Solution Architect na AWS, com mais de 25 anos trabalhando com gerenciamento de projetos, arquiteturas de soluções escaláveis, desenvolvimento de sistemas e CI/CD, microsserviços, arquitetura Serverless & Containers e segurança. Ele trabalha apoiando clientes corporativos, ajudando-os em sua jornada para a nuvem. https://www.linkedin.com/in/danielabib/