¿Está bien desde el punto de vista de PCI DSS enviar información de la tarjeta de crédito a mi propio servidor, que luego la envía directamente a PayPal?

Question

¿Está bien desde el punto de vista de PCI DSS enviar información de la tarjeta de crédito a mi propio servidor, que luego la envía directamente a PayPal?

#1 de pr- (1 votos)

3

Actualmente estoy desarrollando una aplicación iOS que tiene la opción de pagar un pedido (limpieza de ropa) a través del escaneo de la información de la tarjeta de crédito usando la cámara del dispositivo. No puedo usar Apple In-App Purchases (IAP) para esto, porque es un bien físico y no virtual:

11.3 Las aplicaciones que usan IAP para comprar bienes físicos o bienes y servicios utilizados fuera de la aplicación serán rechazadas

Estos pagos son future payments en la terminología de PayPal, por lo que no puedo cargar la tarjeta del usuario inmediatamente. Desafortunadamente, la versión actual de PayPal Mobile SDK no tiene una opción para usar una tarjeta de crédito para esto:

Cuando integras tu aplicación móvil con PayPal Mobile SDK 2.0, tus clientes pueden dar permiso para que se facturen varias veces en el futuro sin iniciar sesión en su cuenta de PayPal. Los pagos de PayPal ( no tarjetas de crédito ) son compatibles.

Así que implementé el siguiente enfoque: una aplicación escanea la tarjeta del usuario y luego envío el PAN / ccv / nombre de usuario / fecha de vencimiento escaneados a través de HTTPS (SSL) a mi servidor, que, a su vez, los envía directamente a PayPal a obtener un token OAuth para pagos futuros. No almaceno esta información en cualquier lugar. En los párrafos 4.1 y 4.2 de la especificación de PCI DSS vi:

"Nunca envíe PAN desprotegidos por tecnologías de mensajería del usuario final "

Pero en mi caso, no es una tecnología de mensajería para el usuario final. PCI DSS dice que si el navegador usa SSL, está bien enviar datos a través de él:

Requisito 4: cifrar la transmisión de datos de titulares de tarjetas a través de redes abiertas y públicas

Como entendí, no hay diferencia en el cliente que uso: navegador o aplicación móvil si cifro mis datos, ¿verdad?

¿Mi pregunta es si este proceso es válido o mi aplicación infringe algunas reglas de PCI DSS?

credit-card pci-dss ios payment-gateway paypal

pregunta 23.10.2015 - 17:46

fuente

1 respuesta

Lea otras preguntas en las etiquetas credit-card pci-dss ios payment-gateway paypal

¿Qué formulario SAQ debo usar para el cumplimiento de PCI DSS? Vulnerabilidad de cadena de formato no controlada en JavaScript

score 1 · Accepted Answer

Sus datos PAN están encriptados en HTTPS y cumplen con el requisito siempre que su API se envíe a través de HTTPS y use TLS. SSL ya no es compatible a partir de PCI 3.1. En junio de 2016, TLSv1.0 (y posiblemente TLSv1.1) tampoco serán compatibles. Dicho esto, su servidor es el área de preocupación para la mayoría de los auditores de PCI. El servidor tiene la capacidad de leer y descifrar los datos para su procesamiento. Deberá revisar la gran lista de requisitos para los sistemas donde se almacenan los datos del titular de la tarjeta. Una de las áreas que definitivamente deberá abordar es la siguiente:

Directrices técnicas para proteger datos de tarjetas de pago almacenadas en un   como mínimo, las PCI DSS requieren que PAN sea ilegible en cualquier lugar donde esté   almacenado, incluidos medios digitales portátiles, medios de copia de seguridad y registros.   Las soluciones de software para este requisito pueden incluir uno de los   siguiente:


Funciones hash unidireccionales basadas en criptografía fuerte -   también llamado índice hash, que muestra solo los datos de índice que apuntan a   registros en la base de datos donde residen los datos confidenciales.

Truncamiento: eliminar un segmento de datos, como mostrar solo el último   cuatro dígitos.

Tokens de índice y almohadillas almacenadas de forma segura - cifrado   algoritmo que combina datos confidenciales de texto plano con una clave aleatoria o   "Pad" que funciona solo una vez.

Criptografía fuerte - con asociado   Procesos y procedimientos clave de gestión. Consulte el PCI DSS y   PA-DSS Glosario de términos, abreviaturas y acrónimos para el   definición de "criptografía fuerte".

Consulte: enlace