데이터베이스에 신용 카드 비밀번호를 저장할 수 있습니까?

Question

서버의 자동 작업을 위해 데이터베이스에있는 사용자의 신용 카드 번호와 비밀 코드를 일반 텍스트 (분명히 뒤에 합의)로 저장해야합니다.

몇 가지 문제가 있습니까?

알아 두어야 할 사항은 무엇입니까?

Answer 1

내가 본 대부분의 신용 카드 처리 계약에서는 카드 뒷면에서 코드를 저장할 수 없습니다.

일반 텍스트 신용 카드 번호를 저장하는 것과 관련된 다른 보안 관련 사항이 있지만 일반적으로 계약서에 코드를 저장하는 것은 특히 허용되지 않습니다. 당신이 그것을 할 수 있는지 확인하기 위해 당신의 것을 읽을 필요가있을 것입니다.

신용 카드 번호 저장에 관해서는 대개 매우 나쁜 생각입니다. 데이터베이스가 손상된 경우 책임을 져야하며 많은 비용이 발생할 수 있습니다.

신용 카드 번호를 저장하고 보안 팀에서 일하는 아주 좋은 이유가 없다면 신용 카드 데이터를 저장하지 않는 것이 좋습니다.

Answer 2

짧은 답변, 아니요, 나쁜 생각입니다. 당신은 그저 좋은 생각이 아닌 많은 고려 사항을 가져야 할 것입니다. 대부분의 계약이 당신을 어쨌든 허용하지 않을 것이라는 점을 명심하십시오.

Authorize.net (한 예로)은 신용 카드 정보를 저장하므로 리빌레이션을 수행 할 수 있습니다. 그것은 매우 잘 작동하고 스토리지 관련 문제를 해결할 수있는 간단한 시스템입니다.

Answer 3

CVV 코드는 원래 거래 당시 카드 소지자가 카드를 가지고 있는지 확인하는 데 사용됩니다. 확인한 후에는 다시 필요하지 않으므로 저장하지 마십시오.

내가 아는 모든 상인 계좌 계약서에는 CVV를 저장해서는 안된다는 내용이 명시되어 있습니다. 보안상의 이유로

모든 자동화 된 거래에 CVV 코드를 사용하는 것은 자동화 된 시스템에 거래 당시 소지하고있는 카드가 있다고 말하는 것과 같습니다.

처음 확인한 후에는 필요하지 않습니다. 확실히 저장하지 마십시오.

일반 텍스트로 신용 카드 번호를 저장할 수 없습니다.

Answer 4

@Jeff하려면 반드시 들어야합니다. 신용 카드를 처리하려면 Payment Card Industry Data Security Standard을 준수해야합니다 (IANAL은 필수 사항이지만 IANAL은 준수해야 함).

Answer 5

PCI-DSS (지불 카드 산업 데이터 보안 표준)은 카드 세부 사항을 일반 텍스트로 디스크에 보관하는 것을 절대 금지합니다. 또한 3 자리 숫자 카드 보안 코드 (Amex의 4 자리 숫자)는 사후 승인에 저장할 수 없으며 승인이 완료 될 때까지만 메모리에 보관하는 것이 이상적입니다.

PCI 상태의 경우 을 많아야 일반 텍스트의 처음 6 자리와 마지막 4 자리로 저장할 수 있습니다. 인쇄 된 영수증에 대한 요구 사항이 다르므로 대부분 마지막 4 자리 만 인쇄 할 수 있습니다.

세부 정보를 유지하기 전에 세부 정보를 암호화하려는 경우 PCI가 훨씬 쉽게 작동하지 않습니다. key management, key rotation, split keys을 고려해야합니다.또한 내부 네트워크 보안을 통해 yearly onsite audits을 받고 공용 네트워크는 quarterly audits이어야합니다. 순 비용은 쉽게 1,000 달러로 돌아갑니다.

요약하면. 생각조차하지 마라.