Appstore如何存储CVV2？

Question

Appstore如何绕过这个限制？CVV2详细信息可以在iOS设备上本地保存,并且仍然符合PCI标准吗？在本地加密CVV2详细信息,只有用户拥有密钥？而其他信用卡详细信息如PAN存储在服务器端？

Answer 1

简短的回答:

您的发卡行不需要对每笔交易进行安全代码验证.

长期回答:

PCI DSS不允许存储卡安全代码和磁条数据.此外,VISA(可能还有其他网络)严格禁止其存储:

http://usa.visa.com/merchants/risk_management/cisp_payment_applications.html

存储这些数据的商家可能会遭受巨额罚款并被处理者甩掉.这发生在我的一个客户身上.

Apple的电子商务系统在创建帐户时或新设备访问现有帐户时要求提供安全代码.在这两种情况下,他们的平台启动与处理网络的零美元交易,以验证客户的身份(用户名+密码+安全代码):

https://discussions.apple.com/thread/2594628?start=0&tstart=0

一些发卡银行要求在每笔交易中使用安全码.在这些情况下,iTunes商店会提示您输入代码.

xixonia是正确的,个人数据在Apple的基础设施中被标记化.他们的大多数服务器从不接触安全数据,因为所有凭据和财务数据都被加密传递到受高度保护和监控的系统的内部网络.

此外,Apple和亚马逊等大型零售商使用第三方欺诈检测和预防技术来寻找滥用模式.

"如果有商业理由并且数据安全存储,那么支持发行服务的发行人和公司可以存储敏感的认证数据"

更容易购买和后续交易不是商业理由.

相关用例是批量交易.在购买过程中,卡被授权确认卡已激活且资金可用.开证行通常会从持卡人的账户中扣除但不提取交易金额.在随后的捕获交易期间,商家与处理器结算并转移资金.这可能是因为:

• 开证行要求它(例如,语音授权).
• 支付网络需要它(例如,美国运通常用).
• 商家不知道全部交易金额(例如,餐馆小费).
• 商家没有与支付网络(例如,移动运营商)的持久连接.

走这条路触发MUCH下PCI DSS更高的审查.使用Google Checkout和PayPal等第三方结账系统的商家可获得最低限度的待遇(SAQ A).存储任何持卡人数据的商家都有SAQ D的沉重负担.

用于保存安全码和磁条数据的补偿控制更加严格:

• 必须使用最佳实践(随机盐+强加密密码+受限密钥+强制访问控制+审计访问)存储数据.
• 必须在设定的宽限期(通常为一天或两天)后自动删除数据.
• 必须安全地覆盖数据并在允许它的介质上(大多数固态驱动器的磨损均衡机制可以防止这种情况).