c# - 拥有信用卡模型安全吗？

Question

我们现在正在我们的 .net MVC 应用程序上构建支付选项。到目前为止，我们已经成功地将 paymant 与 Paypal 选项相关联，但现在我们正处于引入和测试信用卡选项的阶段。

所以我们想知道托管和使用信用卡信息是否安全，即使是暂时的安全？

我正在构建一个如下所示的 viewModel:

public class CreditCardViewModel
{
    public int CardNumber { get; set; }

    public int ExpireMonth { get; set; }

    public int ExpireYear { get; set; }

    public string FirstName { get; set; }

    public string LastName { get; set; }
}

将在获取 View 中生成一个新的，然后回发，一旦信息被验证，使用PayPal Integration ，我们计划采取付款方式。但我想保护用户免受垃圾邮件、黑客攻击或盗窃，因此我想知道这是否是一种安全/好的方法，或者 StackOverflow 社区是否会建议我采取另一条路线......

编辑我稍微编辑了我的 View 模型，它看起来像这样:

public class CreditCardViewModel
{
    [Required]
    public SecureString CardNumber { get; set; }

    [Required]
    [Range(1, 12, ErrorMessage = "Invalid Month Number")]
    public int ExpireMonth { get; set; }

    [Required]
    public int ExpireYear { get; set; }

    [Required]
    public string FirstName { get; set; }

    [Required]
    public string LastName { get; set; }
}

而且，如前所述，使用的数据不会保存在数据库中。它将在 POST 方法中使用一次。

编辑 根据 Juliano 和 Chris Pratt 的出色解释，我决定从网站上删除该模型并探索不同的途径(主要探索 Merchant SDK 集成)。但感谢大家的精彩解释，因为我不知道存在这种合规性。

Answer 1

任何接受 Visa 和 MasterCard 的支付应用程序都应符合 PA-DSS(支付应用程序数据安全标准)，这是一项针对支付应用程序的全局安全标准。该规范的最新版本为 3.0，可在 PCI site 下载。 .

本文档中有一个名为“开发安全支付应用程序”的要求，它讨论了如何根据市场上的最佳实践开发安全的支付应用程序。关于你的具体问题，5.1.6.1说敏感数据(卡号、密码、安全码)应该如何在内存中处理:

攻击者使用恶意软件工具从内存中捕获敏感数据。最大限度地减少内存中 PAN/SAD 的暴露将有助于降低它被恶意用户捕获或在不知不觉中保存到内存文件中的磁盘并且不 protected 可能性。此要求旨在确保考虑到如何在内存中处理 PAN 和 SAD。了解敏感数据何时以及多长时间以及以何种格式存在于内存中，将有助于应用程序供应商识别其应用程序中潜在的不安全因素，并确定是否需要额外的保护。此事件是否产生任何编码技术将取决于正在开发的特定软件和使用的技术。