app-store - Appstore 是如何存储 CVV2 的？

Question

关闭。这个问题是off-topic .它目前不接受答案。












想改善这个问题吗？ Update the question所以它是 on-topic对于堆栈溢出。

8年前关闭。




Improve this question




Appstore 如何绕过这个限制？ CVV2 详细信息是否可以在 iOS 设备本地保存并且仍然符合 PCI 标准？在本地加密 CVV2 详细信息，只有用户拥有 key ？而其余的信用卡详细信息(如 PAN)则存储在服务器端？

Answer 1

简短回答:

您的发卡行不需要对每笔交易进行安全代码验证。

长答案:

PCI DSS 不允许存储卡安全代码和磁条数据。此外，VISA(可能还有其他网络)严格禁止存储它们:

http://usa.visa.com/merchants/risk_management/cisp_payment_applications.html

存储这些数据的商家可能会被处以巨额罚款并被处理商丢弃。这发生在我的一个客户身上。

Apple 的电子商务系统会在创建帐户或新设备访问现有帐户时要求提供安全代码。在这两种情况下，他们的平台都会与处理网络发起零美元交易以验证客户的身份(用户名 + 密码 + 安全码):

https://discussions.apple.com/thread/2594628?start=0&tstart=0

一些发卡银行要求每笔交易都使用安全代码。在这些情况下，iTunes 商店会提示您输入代码。

xixonia 是正确的，个人数据在 Apple 的基础设施中被标记。他们的大多数服务器从不接触安全数据，因为所有凭据和财务数据都经过加密传递到高度保护和受监控系统的内部网络。

此外，Apple 和 Amazon 等大型零售商使用第三方欺诈检测和预防技术来寻找滥用模式。

"It is permissible for issuers and companies that support issuing services to store sensitive authentication data if there is a business justification and the data is stored securely"

更轻松的采购和后续交易 不是 商业理由。

一个相关的用例是批处理事务。在购买期间，该卡被授权确认该卡处于事件状态并且资金可用。发卡银行通常会从持卡人的账户中扣押但不提取交易金额。在随后的捕获交易中，商家与处理器结算并转移资金。这可能是因为:

开证行要求(例如，语音授权)。

支付网络需要它(例如，美国运通曾经需要)。

商家不知道完整的交易金额(例如，餐厅小费)。

商家没有与支付网络(例如，移动运营商)的持久连接。

走这条路会触发 多 PCI DSS 下的更严格审查。使用第三方结账系统(如 Google Checkout 和 PayPal)的商家获得的待遇最低 (SAQ A)。商户们 任何 持卡人数据具有 SAQ D 的沉重负担。

对保存安全代码和磁条数据的补偿控制更加严格:

必须使用最佳实践(随机盐 + 强加密密码 + 受限 key + 强制访问控制 + 审计访问)存储数据。

必须在设定的宽限期(通常为一两天)后自动删除数据。

数据必须被安全地覆盖并在允许它的介质上(大多数固态驱动器的磨损平衡机制阻止了这种情况)。