Вопросы безопасности при сборе и хранении данных банковского счета в приложении php / mysql - PullRequest
5 голосов
/ 09 августа 2011

Нас попросили рассмотреть возможность применения приложения для сбора номеров банковских счетов, сортировки кодов и временного хранения их для автономной обработки через безбумажную систему прямого дебетования.

Данные будут собираться от посетителей сайтачерез 256-битное соединение SSL и хранится в базе данных mySQL для последующего сбора нашим клиентом.Эти данные будут временно храниться до тех пор, пока они не будут загружены, и в этот момент они будут удалены из базы данных.

Детали: Мы размещаем несколько других веб-сайтов на этом конкретном сервере. Ни у кого нет доступа к оболочке или FTP-доступа к серверу. Серверсовместим ли PCI Mod_security и другое программное обеспечение, работающее на компьютере

Я знаю, что это очень похоже на этот вопрос Лучшие практики для хранения банковской информации в базе данных , и я понимаю, что большая часть ответов должна направлятьясно.

Я понимаю, что список соображений безопасности потенциально очень велик.

На каких конкретных областях безопасности нам следует сосредоточиться?

1 Ответ

5 голосов
/ 09 августа 2011

Используйте асимметричное шифрование, чтобы данные были зашифрованы перед вставкой в ​​базу данных, но вы не сохраните необходимый ключ для расшифровки данных на сервере.

Этот ключдолжны храниться только на стороне клиента, чтобы они могли расшифровать его после извлечения его с вашего сервера.

Тем не менее, с этой защитой вы захотите создать для них своего рода туннельдля безопасного подключения к вашему серверу (-ам).Если вы намереваетесь разрешить им подключаться к MySQL напрямую, я должен упомянуть, что нежелательно принимать внешние подключения к порту прослушивания MySQL без разбора.Если у них статический IP-адрес, вы можете использовать программный или аппаратный брандмауэр, чтобы ограничить его таким образом, если создание VPN вам не подходит.

Этот ответ предоставляет некоторыеинформация о выполнении асимметричного шифрования со встроенными функциями openssl_* в PHP.

Пожалуйста, при необходимости попросите разъяснения / расширения по любому из этих вопросов.

...