iOS - 从 iOS 应用程序以加密形式在服务器上存储信用卡/借记卡，然后再次从应用程序解密。我怎样才能最安全地管理它？

Question

我的 iOS 应用程序中有静态 key 。通过使用该 key ，我正在加密信用卡/借记卡并将其发送到服务器以供将来使用。我使用相同的 key 来解密卡。

现在我无法通过任何 key 生成算法使用动态 key ，因为我想稍后解密我的卡。所以，每次我都需要相同的 key 。

所以，我的问题是我应该如何存储我的 key ，或者我应该将我的 key 存储在什么地方，因为它是最安全的？或者我可以通过每次生成动态 key 来管理这些东西吗？如果是那么怎么办？

许多 iOS 应用程序，如 Amazon、Uber 等，都将银行卡信息存储在他们的服务器中!他们如何管理这些东西？

任何帮助将不胜感激!谢谢!

Answer 1

如果您需要问这个问题，那么您已经违反了 PCI 合规性。您的客户信用卡信息绝不能接触您的服务器，无论是加密的还是其他方式。大多数支付网关都会为您处理。您没有理由自己这样做。

如果您确实需要自己处理，而且您这样做的情况很少，那么简单地对称加密应用中的卡信息并不是解决问题的方法。从字面上看，任何可以下载您的应用程序的人都可以解密其他客户的信用卡信息。

正确的方法是将卡信息传输到使用 TLS 保护的服务器，然后将 key 信息加密并存储在 HSM 服务器端。如果您无法做到这一点，那么您就不符合 PCI 标准，将承担法律责任。

如果您的企业在欧盟运营或向欧盟客户提供服务，那么您可能会因消费者信用卡信息处理不当而遭受非常的重罚。