使用 ssh 密钥是否符合 PCI 标准？

Question

从 PCI-DSS 的角度来看，使用 SSH 密钥进行无密码身份验证是否足够安全？

TIA, 维塔利

Answer 1

如果您的 ssh 服务对 Internet 开放，那么您需要双因素身份验证 (8.3)。此要求适用于可访问任何存在持卡人数据的系统的任何帐户（仅处理交易且只能访问当时正在处理的数据的帐户除外）。您还应该在内部网络 (8.2)上进行双因素身份验证。

即使 ssh 密钥有自己的密码短语，它也只算作一个因素（您知道的事情）。

由于无法对其进行测试，因此外部扫描将忽略此要求。但是现场拜访您的审核员应该寻找它。