Что такое PCI DSS и как происходит проверка на соответствие стандарту?

[grossws]

Offtopic для "хранения данных" и "инфраструктуры", поправьте список хабов.

[PayOnline]

Да, спасибо, убрали их

[akubintsev]

Да, сертификация PCI DSS — титанический труд, как не помнить такое :)

Вот тут в конце упомянули про библиотеку под Android. Как-то то ли на Тостере, то ли у знакомого всплывал вопрос на тему её использования. Ничего толкового нагуглить не удалось. В лучшем случае были отсылки на экзотические способы установки node.js на рутованые девайсы. Так как же на самом деле обстоят дела?

[mihmig]

>>или PIN-код (последний обычно поступает из POS-терминалов супермаркетов)
Эмм, а пин-код точно уходит дальше терминала?

[artemy_m]

онлайн-пин уходит конечно же

[Sleuthhound]

Не порите чушь, пин-код никогда не покидает пределы пинпада терминала (если пинпад идет к терминалу внешним устройством) или пин-пада в банкомате. Наружу уходит свёртка пин-кода и она даже шифруется приватным ключом, по ней нельзя восстановить сам пинкод.

Да есть конечно варианты настроек терминалов где все гуляет чуть ли не а открытом виде или используется DES вместо 3DES, но это все от людской глупости и лени сотрудников банков и т.п.

[tbicr]

Как известно, согласно PCI-DSS, платёжная система не должна хранить у себя так называемые Критичные аутентификационные данные (КАД), к которым относят, к примеру, CVV или PIN-код (последний обычно поступает из POS-терминалов супермаркетов).

Интересно как работают рекурентные платежи, если CVV не должен храниться?

[isden]

Либо через механизм токенизации, либо через встроенную фичу платежки (емнип, в PayPal/Payflow такое было).

[realcnbs]

Обычно шлюзы их не требуют для повторных платежей, но тут конечно, всё индивидуально.

[Belya-Dj]

Ну если со стороны API — то как-то вот так developer.authorize.net/api/reference/features/customer_profiles.html

[hamsterr]

читаю ваш блог и в процессе появилось несколько вопросов: что собственно представляет процесс токенизации, если платежная система (учитывая PCI DSS) имеет право хранить только номер карты в зашифрованном виде, то как происходит сборка данных о карте при связке с банком-эквайром?

[akubintsev]

Токен выдает банк-эквайр.

[hamsterr]

выходит, что если человек согласен привязать карту, то при повторном платеже, в банк нужно будет отправлять зашифрованный номер карты + токен и этого достаточно для проведения платежа (+3D secure)?

[akubintsev]

Обычно отправляется токен, сумма для списания. Дальше при необходимости уже 3D secure дергается со стороны банка эквайера. Номер карты передавать уже не нужно.

[tstyopin]

О самой сертификации ни слова :)
Труд не титанический, проходим в шестой раз.
Из пунктов приёма карт — 90+ гипермаркетов и 100+ супермаркетов двух торговых сетей, сайт, скоро будет мобильное приложение.
Расскажите лучше большой обзорной статьёй об инновационных методах платежа, которые используете.
Стандарты хорошо применимы и БЕЗ платежей, в обычной сети, т.к. вводят нормальные точки контроля
Ну и да, www.pcidss.ru (Обратите внимание, не httpS) — все актуальные документы.