问题标签 [pci-dss]

我正在做的是开发一个财务软件并将其连接到符合 pci 的第三方信用卡公司。我们公司是一家加拿大公司。我们不符合 pci，也不打算符合 pci。但我们想保存 PAN 的最后 4 位数字，以帮助一线员工识别。

如果我只保存 PAN、客户名称、到期日期和 PRN 的最后 4 位数字，我是否必须符合 PCI 标准？如果必须，如果我只用 PRN 保存 PAN 的最后 4 位数字，我是否必须符合 PCI 标准？

我阅读了 PCI DSS 文档。它只说如果我保存 PAN，我必须符合 pci，但没有说我是否只保存最后 4 位数字。

谢谢你。

我有一个专门在桌面上运行的支付处理客户端。操作员输入支付数据并单击一个按钮，我的应用程序通过安全通道将数据发送到支付网关。我的应用从不存储敏感的支付数据，尽管它会加密并保存商家的网关登录信息。

我在范围内吗？如果我是，当以相同的方式执行完全相同的功能时，为什么网络浏览器超出范围？

我工作的公司将接收表格的扫描图像，我们将从这些表格中收集数据（放入 XML 文件） 信用卡号码将被写入表格，但我们不会收集该数据或处理付款。

在这种情况下，是否适用 PCI 标准？没有包含该号码的实际数据文件，但任何查看图像的人都可以轻松获得信用卡号码。持卡人姓名将出现，没有安全代码。不知道是否包括到期日。

我认为我们属于服务提供商的定义，对我来说，SAQ-D 似乎最有可能适用。所讨论的环境不能满足 SAQ-D 中的所有要求。

从我所读到的内容中，我的观点是这些要求适用，但即使它们不适用，我们为什么不尝试遵循它们呢？我上面的人认为只要我们定期删除图像就可以了。

我将不胜感激任何输入、链接、PCI-DSS 文档的相关部分等，无论是支持还是反对在这种情况下遵循标准。

我读过几篇文章，说要拥有符合 PCI 的云解决方案，您需要拥有私有云环境并且不能使用谷歌应用引擎。是否可以创建一个符合 PCI 标准的网站，专门在谷歌应用引擎应用程序中存储信用卡信息和个人用户数据。请列出事实的、非深奥的原因为什么这可能是不可能的，或者列出需要并且可以由应用引擎开发人员完成的高级任务指令。

PCI-DSS 下的源代码存储库管理存在哪些限制（如果有）？

我工作的公司希望为托管在我们网络下的客户开发信用卡处理服务。目前我们正在使用 SVN 进行版本控制。它是安全的，因此只有需要结帐/提交访问权限的开发人员才能拥有它。与此同时，我正计划从 SVN 转移到 HG。然而，由于缺乏对远程克隆的访问控制，安全团队对使用分布式 SCM 工具表示保留。具体来说，他们声称这将违反 PCI-DSS 合规性。可以？

我有几个客户想在他们的网站上获取信用卡详细信息，然后他们可以在未来计费（一个运行课程，如果他们没有取消，用户只需在课程开始前 4 周计费，一个运行慈善机构和每个筹款人都必须筹集至少 3,000 美元，低于此金额的款项将从他们的信用卡中扣除）。我非常感谢他们不能/不应该在自己的网站上获取和存储 cc 数据，但我想查看您对最佳解决方案的看法。显然，如果用户立即在线支付，那么就可以了，任何支付网关都可以使用，但是他们不需要立即向他们收费，而是在未来不确定的时间内向卡收费（通常是几个月后）只能在付款前确定。

我是否认为最好的方法是使用某种可变的定期支付系统（例如 WorldPay 的 FuturePay、PayPal 的自动计费 或Authorize.net 的 CIM 服务）。这些（和其他类似的服务）允许可变支付（尽管 WorldPay/PayPal 似乎设置为定期支付而不是一次性支付）。

似乎还可以选择使用像http://www.braintreepayments.com/credit-card-storage这样的公司来存储信息。如果有人能确认您通常如何处理这种情况以及您是否使用我上面列出的选项或者是否有任何更好/更合适的替代方案，我将不胜感激？

我试图找出一个解决方案来解决我在一个新项目中遇到的“鸡和蛋”问题。

有问题的系统正在处理信用卡数据，因此卡号等需要加密存储在数据库中。为了符合 PCI 要求，我们为每个“商户”使用唯一的密钥对加密了数字，因此如果一个商户受到威胁，则应该无法访问另一个商户的持卡人数据。

当涉及到人类与系统的交互时，这很好，因为人类可以输入密码来解锁私钥，然后解密数据，但是当涉及需要访问数据的自动化服务时（即处理交易在以后的日期）如何最好地向服务/守护进程提供凭据存在问题。

系统的一些背景知识：

• 卡号使用非对称密钥对加密
• 私钥受密码保护
• 然后使用“主”密钥对加密此密码
• 然后，获得许可的操作员知道解锁主私钥的密码（实际上，他们使用自己的密钥对加密了它的副本，他们只知道密码）。
• 守护进程将作为自己的用户和组在 linux 系统上运行。

为了使守护程序能够解密数据，我正在考虑以下内容：

• 设置一个类似于.pgpass工作方式的密码短语文件
• 将文件存储在守护程序用户的主目录中
• 将文件的权限设置为 0600
• 设置文件完整性监控系统，例如 Tripwire，以通知安全组（或类似的）文件或权限的任何更改。
• 禁用守护程序用户的登录，因为它仅用于进程。

鉴于上述情况，我想知道这是否足够。显然，弱点在于系统管理员 - 在安全系统上受信任的这些（即 2 个）很少 - 因为他们可以提升他们的权限（即 root），然后更改文件的所有权或能够读取的权限密码 - 然而，这很可能再次通过监视文件的校验和更改、FIM 校验和等来缓解。

那么我是以错误的方式解决这个问题，还是有其他关于如何处理这个问题的建议？

我从事我公司的 PCI DSS 合规性工作。经过一番研究，我发现存储任何信用卡数据根本不是一个好主意，因为这会使事情变得更加复杂。

我找到了一家支付提供商，它结合了令牌化解决方案提供了一个安全的数据保险库。因为我不想审核大型解决方案的所有子模块，所以我想写一个透明的代理服务器来替换信用卡（通过正则表达式找到它）并用令牌替换它，只要我想发送信用卡卡给第三方，我通过代理发送它，代理将令牌更改回信用卡。这应该会减少安全编码要求，包括对代理的代码审计，因为所有其他代码都只是被令牌击中。

我使用 ASP.NET MVC / Webforms 和 WCF。完成这样的事情的最佳方法是什么？我想写一个 HttpFilter / ISAPI 来完成这项工作。

也许已经有这样的产品了？这个想法有意义吗？

PCI DSS 标准是否适用于仅使用电话检查的提供商？

即收集

1) 帐号 2) 路由号码 3) 支票号码

换句话说 - 没有信用卡

谢谢

我希望有人可以帮我解决一些问题。我一直在为 WordPress 开发一个购物车插件已经有一段时间了。我在 2008 年底开始编写它（它是那些“有时间就开始工作”的项目之一，所以进展非常缓慢，很明显！）并且已经走了很远。甚至有一些测试人员接受我并给我反馈。（请注意，这个插件也是收费下载的——我无意让它成为一个高级插件。）

无论如何，在 2010 年，当所有 PCI/DSS 的东西都成为标准时，我把它搁置了，因为插件是为了在数据库中保留某些信息，我不能 100% 确定什么是“敏感数据”，我没有不想把任何可能危及任何人的东西放在那里，并可能回到我身上。

在过去的几周里，我和一些同事一直在讨论 PCI/DSS 合规性，这引发了对最终完成这个插件的重新兴趣。我将删除信用卡号和任何此类性质的数据的存储，但我确实喜欢存储自愿可能希望在可能使用此插件的网站上创建帐户的人的姓名和送货地址的想法因此，如果他们再次在那里购物，则会保留此类信息。请记住，存储的数据将是公共信息- 你会在电话簿中找到的那种东西，或者在法院的记录室里偷看。所以没有什么比存储 SS#、病史或信用卡号码更重要的了。只是可能会让某人看到过去购买的东西，并保留一些信息以使将来的结帐过程更容易一些。

我的一位同事建议我仍然做一些事情来增强安全性，因为名称和送货地址可能会传递到网站所有者选择使用的任何支付网关。他们建议我使用“单向加密”。现在，我不是一个巨大的安全怪胎，但我很确定这涉及（无论如何都是一方面）诸如带有盐的 MD5 哈希之类的东西。所以这让我很困惑，因为我根本不知道在哪里查看如何在我的代码中使用这种东西，和/或在将这种数据传递给 PayPal 或 Google Checkout 时它是否可以工作，或者马尔的，或者你有什么。

所以我想这不是“我需要代码示例”之类的问题，而更像是“请赐教，因为我有点笨”之类的问题。（我敢肯定，这让人们对我正在编写购物车插件 LOL 感觉好多了）