php - 在 php/mysql 应用程序中收集和存储银行帐户详细信息时的安全注意事项

Question

我们被要求研究应用程序收集银行帐号和分类代码并将它们临时存储以通过无纸化直接借记系统进行离线处理的可行性。

数据将通过 256 位 SSL 连接从网站访问者那里收集，并存储在 mySQL 数据库中，供我们的客户以后收集。这些数据将暂时保存，直到下载后才会从数据库中删除。

详细信息：我们在此特定服务器上托管其他一些网站 没有人对服务器具有 shell 访问权限或 FTP 访问权限 服务器符合 PCI 标准 Mod_security 和其他在机器上运行的软件

我知道这与这个问题非常相似，将银行信息存储在数据库中的最佳实践，并感谢大部分回复要避开。

我了解安全注意事项列表可能非常大。

我们应该关注哪些特定的安全领域？

Answer 1

使用非对称加密，以便在插入数据库之前对数据进行加密，但您不会在服务器上存储解密数据所需的密钥。

此密钥应仅存储在客户端，因此他们可以在从您的服务器检索它后对其进行解密。

仍然有这种保护，您需要为他们创建各种隧道以安全地连接到您的服务器。如果你打算让他们直接连接到 MySQL，我应该提一下，不加选择地接受外部连接到 MySQL 侦听端口是不可取的。如果他们有静态 IP，如果创建 VPN 不适合您，您可以使用软件或硬件防火墙以这种方式限制它。

这个答案openssl_*提供了一些关于使用PHP中的内置函数进行非对称加密的信息。

如有必要，请要求对此进行澄清/扩展。