payment - 存储部分信用卡号

Question

可能的重复:

Best practices for taking and storing credit card information with PHP

Storing credit card details

Storing Credit Card Information

我需要在电子商务网站中存储信用卡号。我不打算存储整个信用卡号，因为这将是非常危险的。我想至少存储前五位数字，以便以后识别发卡的金融机构。理想情况下，我想尽可能安全地存储信用号，以帮助将来进行交叉引用等。

我可以安全地存储多少位数字以及哪些特定数字？

例如，我想这不够安全:

5555 5555 555* 4444

因为你可以计算出丢失的数字。

同样，这将是安全的，但没有那么有用:

5555 5*** **** ****

是否有一种公认的模式来存储部分信用号码？

Answer 1

2013 年 3 月编辑:
一个非常相关的资源是 PCI Security Standards Council ，一个由五个全局最大的信用卡品牌(AmEx、Visa、MasterCard、JCB International 和 Discovery)于 2006 年成立的组织，是支付卡行业 (PCI) 安全事务的事实上的权威机构。
该组织特别发布了 PCI Data Security Standard ，目前在其 2.0 版中，涵盖诸如管理完整或部分信用卡号等问题。该文档如果免费提供，但需要简单的注册和许可条款的确认。

以下为原文，c． 2009 年的答案，大部分是正确的，但都是杜撰的。
一个常见的做法(我不知道是否合法)是 存储最后 4 位 ，因为这可用于帮助客户确认他/她的哪些信用卡用于特定交易。

在不显着提高恶意人员猜测完整数字的几率的情况下，可以 存储前 4 位 如问题中所述，它们是发卡金融机构的代表。

不要，保存比这 8 个数字更多的数字，否则，给定 LUHN-10 checksum ，您可以提供足够的信息以使猜测完整数字更加合理(如果仍然相对困难，即使从给定发行人在给定时间段内使用的系列中获得洞察力，但应该小心......)

为了让整个事情在技术上和法律上更安全，您可以考虑 仅在客户明确允许时才存储此类信息 .您还应该考虑使用 屏蔽此信息用于存储在数据库中的简单哈希 .

此外，在特定交易之后您可以/应该存储的内容是 交易 ID 由信用卡处理器在提交交易时提供。此 ID 是允许定位您甚至需要的大部分(全部？)信息的关键，特定交易是否存在任何问题。此类信息通常可以从处理公司维护的安全网站查询，以及一些汇总报告，其中可能包括按卡类型(Amex、Visa ......)分组，如果这就是您考虑存储的原因前四个。