Làm thế nào để Appstore được lưu trữ CVV2?

Question

Làm cách nào để Appstore có thể vượt qua giới hạn này? Chi tiết CVV2 có thể được lưu cục bộ trên thiết bị iOS và vẫn tuân thủ PCI không? Mã hóa chi tiết CVV2 cục bộ và chỉ người dùng có khóa? Trong khi phần còn lại của chi tiết thẻ tín dụng như PAN được lưu trữ ở phía máy chủ?

Answer 1

trả lời ngắn gọn:

ngân hàng phát hành của bạn không yêu cầu xác nhận mã bảo vệ với tất cả các giao dịch.

LONG TRẢ LỜI:

Mã bảo mật thẻ và dữ liệu dải từ không được phép lưu trữ bởi PCI DSS. Hơn nữa, VISA (và các mạng có thể khác) Nghiêm cấm lưu trữ của họ:

http://usa.visa.com/merchants/risk_management/cisp_payment_applications.html

Merchants lưu trữ dữ liệu này có thể được rèn với tiền phạt khổng lồ và giảm xử lý. Điều này xảy ra với một khách hàng của tôi.

Hệ thống thương mại điện tử của Apple yêu cầu mã bảo mật khi tài khoản được tạo hoặc bất cứ khi nào thiết bị mới truy cập vào tài khoản hiện có. Trong cả hai trường hợp, nền tảng của họ khởi tạo một giao dịch zero-đô la với mạng lưới chế biến để xác minh danh tính của khách hàng (username + mật khẩu + mã bảo vệ):

https://discussions.apple.com/thread/2594628?start=0&tstart=0

Một số ngân hàng phát hành yêu cầu mã bảo mật được sử dụng với mỗi giao dịch. Trong những trường hợp đó, cửa hàng iTunes sẽ nhắc bạn nhập mã.

xixonia là chính xác rằng dữ liệu cá nhân được mã hóa trong cơ sở hạ tầng của Apple. Hầu hết các máy chủ của họ không bao giờ chạm vào dữ liệu an toàn, vì tất cả thông tin đăng nhập và dữ liệu tài chính được chuyển mã hóa tới mạng bên trong của các hệ thống được giám sát và bảo vệ cao.

Ngoài ra, các nhà bán lẻ lớn như Apple và Amazon sử dụng các công nghệ ngăn chặn và phát hiện gian lận của bên thứ ba tìm kiếm các mẫu lạm dụng.

"Đó là cho phép đối với tổ chức phát hành và các công ty có hỗ trợ phát hành dịch vụ để lưu trữ dữ liệu xác thực nhạy cảm nếu có một doanh nghiệp biện minh và dữ liệu được lưu trữ an toàn"

mua dễ dàng hơn và giao dịch tiếp theo là NOT biện minh kinh doanh.

Trường hợp sử dụng thích hợp sẽ là các giao dịch theo lô. Trong quá trình mua thẻ, thẻ được ủy quyền để xác nhận thẻ đang hoạt động và tiền có sẵn. Ngân hàng phát hành thường bao gồm, nhưng không rút tiền, số tiền giao dịch từ tài khoản của chủ thẻ. Trong giao dịch chụp tiếp theo, người bán thanh toán với bộ xử lý và tiền được chuyển. Điều này có thể xảy ra vì:

• Ngân hàng phát hành yêu cầu nó (ví dụ: ủy quyền thoại).
• Mạng thanh toán yêu cầu nó (ví dụ: American Express đã từng sử dụng).
• Người bán không biết số tiền giao dịch đầy đủ (ví dụ: mẹo nhà hàng).
• Người bán không có kết nối liên tục với mạng thanh toán (ví dụ: toán tử di động).

Đi tuyến đường này kích hoạt MUCH giám sát cao hơn theo PCI DSS. Người bán sử dụng hệ thống thanh toán của bên thứ ba như Google Checkout và PayPal sẽ được xử lý tối thiểu (SAQ A). Thương người thích lưu trữ BẤT CỨ dữ liệu chủ thẻ có gánh nặng của SAQ D.

Các điều khiển bù để giữ mã an ninh & dữ liệu dải từ thậm chí còn nghiêm ngặt hơn:

• dữ liệu phải được lưu trữ sử dụng thực hành tốt nhất (muối ngẫu nhiên + mật mã mã hóa mạnh + phím bị hạn chế + điều khiển truy cập bắt buộc + truy cập được kiểm tra).
• Dữ liệu phải được xóa tự động sau một khoảng thời gian gia hạn được thiết lập (thường là một hoặc hai ngày).
• Dữ liệu phải được ghi đè một cách an toàn và trên môi trường cho phép (hầu hết các cơ chế chống mài mòn của các trạng thái rắn đều ngăn chặn điều này).