Dlaczego Appstore przechowuje CVV2?

Question

W jaki sposób Appstore może przeglądać to ograniczenie? Czy dane CVV2 mogą być przechowywane lokalnie na urządzeniu z systemem iOS i zachowywać zgodność ze standardem PCI? Szyfruj dane CVV2 lokalnie i tylko użytkownik ma klucz? Podczas gdy pozostałe dane karty kredytowej, takie jak PAN, są przechowywane po stronie serwera?

Answer 1

Krótka odpowiedź:

Twój bank wydający nie wymagają sprawdzania poprawności kodu zabezpieczającego przy każdej transakcji.

długa odpowiedź:

kody zabezpieczeń kart z paskiem magnetycznym i dane nie mogą być przechowywane przez PCI DSS. Ponadto, VISA (i ewentualnie innych sieci) zabraniamy ich składu:

http://usa.visa.com/merchants/risk_management/cisp_payment_applications.html

kupcy przechowywania tych danych może być wybity z ogromnych grzywny i spadły procesorów. Stało się to z moim klientem.

System e-commerce firmy Apple prosi o kod zabezpieczający, gdy konto jest tworzone lub gdy nowe urządzenie uzyskuje dostęp do istniejącego konta. W obu przypadkach, ich platforma inicjuje transakcję zero dolarów z siecią przetwarzania w celu zweryfikowania tożsamości klientów (login + hasło + kod zabezpieczający):

https://discussions.apple.com/thread/2594628?start=0&tstart=0

Niektóre banki wydające wymaga kody bezpieczeństwa należy stosować każda transakcja. W takich przypadkach sklep iTunes poprosi o kod.

xixonia ma rację, że dane osobowe są przetwarzane w token infrastruktury Apple. Większość serwerów nigdy nie korzysta z bezpiecznych danych, ponieważ wszystkie dane uwierzytelniające i dane finansowe są przekazywane zaszyfrowane do wewnętrznej sieci wysoce chronionych i monitorowanych systemów.

Ponadto, duże sklepy detaliczne, takie jak Apple i Amazon, wykorzystują zewnętrzne technologie wykrywania i zapobiegania oszustwom, które wyszukują wzorce nadużyć.

„Dopuszczalne jest dla emitentów i firm, które obsługują wydawania usługi do przechowywania poufnych danych uwierzytelniających czy istnieje firma uzasadnienie i dane są przechowywane bezpiecznie”

Łatwiejszy zakup i późniejsze transakcje są NOT uzasadnienie biznesowe.

Stosownym przypadkiem użycia byłyby transakcje wsadowe. Podczas zakupu karta jest upoważniona do potwierdzenia, że ​​karta jest aktywna, a środki są dostępne. Bank emitujący zazwyczaj obciąża, ale nie wypłaca, kwotę transakcji z rachunku posiadacza karty. Podczas następnej transakcji przechwytywania akceptant rozlicza się z procesorem, a środki są przekazywane. Może się tak zdarzyć, ponieważ:

• Wymagany jest bank emitujący (np. Autoryzacja głosowa).
• Sieć płatnicza go wymaga (np. American Express).
• Sprzedawca nie zna pełnej kwoty transakcji (np. Wskazówka restauracji).
• Sprzedawca nie ma stałego połączenia z siecią płatności (np. Operator komórkowy).

Idąc tą trasą wyzwala się DUŻA wyższa kontrola w ramach PCI DSS. Kupcy, którzy korzystają z systemów płatności innych firm, takich jak Google Checkout i PayPal, otrzymują minimalne traktowanie (SAQ A). Kupcy, którzy przechowują ANY dane posiadacza karty mają ciężkie brzemię SAQ D.

kompensacyjnych kontroli do przechowywania danych kodów zabezpieczających & pasków magnetycznych są jeszcze bardziej rygorystyczne:

• Dane muszą być przechowywane z wykorzystaniem najlepszych praktyk (losowa sól + silny szyfr szyfrujący + ograniczone klucze + obowiązkowe kontrole dostępu + dostęp kontrolowany).
• Dane muszą zostać automatycznie usunięte po określonym okresie karencji (zazwyczaj dzień lub dwa).
• Dane muszą być bezpiecznie nadpisywane i na nośniku, który na to pozwala (zapobiega to większość mechanizmów wyrównywania zużycia dysków SSD).