Устройство хранения данных кредитной карты онлайн? [закрытый]
Я собираюсь наследоваться и работать над веб-сайтом розничной продажи малого бизнеса, который очень плохо разработан. Среди прочего самое большое беспокойство с текущей обработкой кредитной карты.
В настоящее время владелец получает данные кредитной карты (имя, число, CVV2 и дата истечения срока) от онлайн-заказа формируются, и сохраняет всю ту информацию в простом тексте в базе данных MySQL. Уведомление затем отправляется в его электронную почту, которую кто-то заказал. После этого у него есть административная страница бэкенда, что он просматривает заказы и данные кредитной карты, которые он использует для обработки офлайн с его собственным продавцом.
После получения информации от страницы бэкенда, номера кредитной карты и CVV2 сразу удален (Сценарий PHP, автоматически названный). Информация также удалена, если к той странице не получают доступ в течение 7 дней. Так, существует потенциал для всей информации, чтобы быть в базе данных в простом тексте в течение семи дней перед обработкой транзакций.
Это не походит на хороший дизайн и может быть недопустимо. Если это недопустимо, я оказываюсь перед необходимостью повреждать это ему, потому что он еще не понимает это.
Мой вопрос: Помимо того, чтобы быть небезопасным, это недопустимо или нарушение условий использования (PCI DSS)? И, если так, как я могу доказать его ему так, чтобы он позволил мне изменять свои пути (очевидно, я не хочу помещать руки во что-то, что недопустимо. Кроме того, иногда формулировка условий использования может казаться субъективной)? Наконец, каковы наилучшие варианты для того, чтобы устранить эту проблему (третья сторона продавец онлайн, становясь PCI совместимый DSS, или что-то еще)?
6 ответов
Это нарушение PCI DSS. Вы не только храните информацию, которую не должны хранить (CVV), но и не шифруете номер кредитной карты (тоже нарушение).
Что еще хуже, он нарушает правила Visa и MasterCard, которые гласят, что все онлайн-транзакции должны обрабатываться с помощью устройства или программного обеспечения, соответствующего стандарту ECI и интернет-заказы должны иметь отдельный торговый счет. Их терминал для кредитных карт определенно не соответствует требованиям ECI, поскольку ни один из них не соответствует. Им нужно получить новый торговый счет и использовать платежный шлюз, такой как Authorize.Net, для обработки этих заказов.
Редактировать
Поскольку я сомневаюсь, что владелец веб-сайта действительно потрудится завести новый торговый счет или внедрить платежный шлюз, лучше всего использовать двухстороннее шифрование для хранения этой информации. Затем убедитесь, что страница, которую они используют для получения информации о кредитной карте, зашифрована (SSL-сертификат), чтобы информация была безопасной из конца в конец.
Я настоятельно рекомендую завести торговый счет в Интернете и использовать такой платежный шлюз, как Authorize.Net. Помимо того, что это соответствует стандартам PCI и ECI и является разумным решением, потенциал для бизнеса не только потерять свой торговый счет, но и попасть в черный список и лишиться возможности когда-либо снова иметь настоящий торговый счет, очень высок. Достаточно одного возвратного платежа, чтобы поставщик торгового счета понял, что он делает, и начались проблемы.
Использование стороннего шлюза обработки кредитных карт устраняет необходимость хранения кредитной информации на сервере клиента - POST'ed cc информация передается шлюзу обработки, который возвращает идентификатор транзакции, который может быть использован для ведения учета вашим клиентом.
Шлюз для оплаты кредитными картами предоставляется такими компаниями, как Authorize.net, LinkPoint Central - даже PayPal вступает в игру. Все основные шлюзы имеют существующий код для интеграции корзины с большинством популярных платформ веб-программирования (.NET, PHP, Java и т.д.). Кроме того, большинство основных корзин поддерживают основные шлюзы из коробки или, по крайней мере, имеют устанавливаемые модули для большинства шлюзов.
Итак, вашему клиенту следует установить платежный интернет-шлюз, а вам следует интегрировать его существующий код со шлюзом.
Надлежащая защита платежных данных - сложная тема. Даже у очень крупных компаний иногда происходит кража большого количества кредитных карт из их систем.
Как минимум, вот шаги, которые следует учитывать:
- Убедитесь, что онлайн-форма заказа использует HTTPS для сбора данных.
- Если БД и веб-сервер - это разные устройства, убедитесь, что между ними безопасный путь.
- Зашифровать платежные данные в БД. Ссылка на MySQL .
- Обеспечьте строгий контроль доступа к серверной веб-странице (физически ли она доступна для внешнего мира? Требуется ли надежный пароль? Это HTTPS?)
- Убедитесь, что нет журналов (например, журнала отладки), которые в конечном итоге записывают информацию о платеже в файловую систему.
Это определенно является нарушением правил PCI. Однако добавить шифрование к хранимым данным не должно быть так уж сложно, особенно если человеку редко приходится на них смотреть.
Работая в сторонней компании по обработке транзакций кредитных карт, я настоятельно рекомендую это сделать, если их система настолько плоха. Однако вам все равно придется зашифровать эту информацию или вообще не хранить ее после отправки в TPP. TPP действительно работает на продавца, поэтому они могут помочь вам в решении любых вопросов, связанных с соблюдением нормативных требований, и помочь вам получить лучшие коэффициенты взаимообмена.
Это серьезное нарушение правил PCI. Вы можете получить документы здесь: https://www.pcisecuritystandards.org/security_standards/pci_dss.shtml Было бы разумно обратиться к третьей стороне, например Google Checkout или подобному. Становление совместимости с PCI - большая головная боль и включает ежегодные обзоры (могут проводиться самооценкой), которые могут включать тестирование на проникновение и т.д. ID транзакции. Вам нужно не только зашифровать данные, у вас должна быть продуманная схема защиты ключей шифрования. Это намного больше, чем то, чем хочет заниматься малый бизнес. Некоторые из приведенных выше советов звучат хорошо, но они не соответствуют спецификации PCI. Прочтите документы, и вы быстро поймете, что это крупное мероприятие. В настоящее время я поддерживаю внутреннюю систему, совместимую с PCI, и мне пришлось приложить значительные усилия, чтобы привести ее в соответствие со стандартами. Нам также пришлось внести ряд изменений в сеть. Для бизнеса будет дешевле конвертировать в сторонний сервис.
Для вас есть множество сторонних поставщиков платежей, которые решат все вопросы безопасности и соответствия.
Для любого малого и среднего бизнеса это одна из функций, которую определенно следует передать на аутсорсинг тем, у кого есть опыт.