javascript - 信用卡支付可以用JS加密代替SSL吗？

Question

我有一个 HTML 表单，人们可以在我的网站上付款。我想知道我是否可以使用 JS 库来加密信用卡信息并以明文但加密的方式将其发送到服务器，而不是服务器解密它，而不是使用 SSL。我发现了几个这样做的库，它们基本上从服务器请求一个 key 对，对其进行加密并将其发送到加密的服务器。这些是我找到的:

http://www.jcryption.org/

http://www.hanewin.net/encrypt/

http://www.vincentcheung.ca/jsencryption/

信用卡支付是否足够安全？我知道 session 未加密，但唯一真正重要的是信用卡信息，对吧？

Answer 1

这在任何方面、形状或形式上都不安全。

中间人可以用自己的替换公钥。您使用“referer”或除 SSL 之外的任何其他东西设计的任何拼凑都不会恢复这种残暴方案的安全性。

当您可以免费获得边际证书，或者几乎可以免费获得像样的证书时，您为什么要乱用别人的信用卡号码？如果在传输过程中未能确保信用卡号码的安全，您就违反了 PCI，并可能使自己承担比获取和使用证书的成本高很多倍的责任。或者，也许您只是认为这是持卡人的问题？

您不能完全在带内引导安全通道。您需要一些安全介质来交换 key Material 。这可能是认证机构公钥的分发。或者面对面会面以共享 key 。

无论采用何种方案，您都不能因不安全而建立安全。