相关疑难解决方法(0)

有没有人获得实践经验或参考实施符合PCI DSS安全标准的密钥管理方案的方案？

鉴于符合PCI DSS的公司数量,但显然有很多实现,但试图找到它们的细节是很困难的.当它归结为存储私有数据时,讨论通常会停止使用哪种加密算法.在此之后,通常会有关于正确存储私钥的声明,但没有讨论实际的方法,或者定期更改密钥或为应用程序提供密钥等.

具体而言,我对PCI DSS标准第3.5和3.6节的要求感兴趣.

3.5.2以尽可能少的位置和形式安全地存储加密密钥.

3.6.a验证用于加密持卡人数据的密钥是否存在密钥管理程序.注意:密钥管理的众多行业标准可从包括NIST在内的各种资源获得,可在http://csrc.nist.gov上找到.

3.6.4确认密钥管理程序的实施至少每年要求定期更改密钥.

我已经看过NIST Cryptographic出版物,正如PCI DSS要求文件所暗示的那样,但除了最近的加密密钥管理研讨会的注释之外,似乎没有太多真正可实现的方案或标准.

至于我想要做的事情不是:

1. 将密码+盐存储为单向哈希进行身份验证,
2. 选择强大的symmteric算法进行数据加密,
3. 首先避免需要存储私人数据.
4. 避免使用其他机制进行密钥管理:物理安全性,数据库安全性,龙和向导等.

所有这些都是有效的问题,但在这种情况下不是答案.我的要求的细节是一个不同的SO问题.Net设计模式,用于存储和检索敏感的每个用户数据,但这一切都归结为密钥管理,因此这个更精确的问题.

我正在寻找一个(最好是纯粹的)python库来进行AES 256加密和解密.

该库应该支持CBC密码模式,并根据我之前的问题的答案使用PKCS7填充.

该库至少应该适用于Mac OS X(10.4)和Windows XP.理想情况下,只需将其放入我的项目的源目录中.我已经看过Josh Davis的这个,但我不确定它有多好,如果它做了所需的CBC密码模式......扫描源表明它没有

我正在寻找一家支付网关公司,因此我们可以避免繁琐的PCI-DSS认证及其相关费用.我现在就把它拿出来,我不想要贝宝.它做我想要的,但它真的不是一个我想用任何金钱信任的公司.

它需要支持以下流程:

• 用户在我们的网站上执行操作,生成需要支付的金额.
• 我们的服务器异步联系网关(没有隐藏的输入)并告诉用户他们需要付多少钱.网关返回一个URL,也许还有一个暂定的事务ID.
• 我们的服务器存储事务ID,并将用户重定向到网关提供的URL.
• 用户在远程服务器上填写他们的付款详细信息.
• 完成后,网关会以结果,事务ID等异步联系我们的服务器,并将它们转发给我们(在预定的URL处).
• 我们可以向用户显示他们的订单是完整/失败/等.鳍.

如果可能的话,英国或欧盟和开发商友好.

我们不需要购物篮的任何概念,因为我们已经在我们的代码中处理了所有这些概念.

我们(或至少会通过推出)有一个合适的商业银行账户 - 因此不需要像Paypay这样的保险服务.

如果他们的API明确地涵盖了Python(我们正在使用Django),那就更好了,但我认为我有足够的能力破译任何其他示例并自己将它们转码为Python.