счетов передачи пароля и соответствие PCI DSS

-1

я занимаюсь разработкой андроида приложения, которое должно быть PCI PA-DSS совместимым, мой вопрос об этом требовании в документе PA-DSS_v3-1счетов передачи пароля и соответствие PCI DSS

3.3.1 Использование сильная криптография, чтобы все пароли приложений для платежей не читались во время передачи.

Предположим, у меня есть функция «изменить свой пароль» в моем приложении, которое передает пароль учетной записи пользователя через зашифрованное соединение ssl/tls с сервером. Является ли это шифрование достаточным для выполнения требования? мне нужно реализовать какое-то шифрование перед отправкой его через ssl?

спасибо.

источник

2016-05-30 Leonardo Perez

Маленькая птичка говорит мне, что требуется дополнительное шифрование, но не видели ее в документах. Но я могу остаться советом PCI в [временах взлома пароля] (https://www.pcisecuritystandards.org/pdfs/its_time_to_change_your_password_infographic.pdf?agreement=true&time=1467522615644) - это чистая BS, кажется, что они не знают о [списках паролей] (https://github.com/danielmiessler/SecLists/tree/master/Passwords) или [cracking tools] (http://resources.infosecinstitute.com/10-popular-password-cracking-tools/). – zaph

Стандарт PCI может быть неопределенным время от времени и немного «открытым концом», но из нашего опыта это вполне нормально, как у вас есть.

SSL/TLS Это шифрование, просто используйте его для вашей забытой функции пароля, и все будет в порядке.

источник

2016-07-03 01:16:55

Кажется, что фраза «во время передачи», по-видимому, разрешает защищенные среды передачи SSL/TLS. Но необходима безопасная аутентификация, которая не гарантирует атаки MITM. Если атака MITM не может быть гарантирована, SSL/TLS небезопасен. Обычно эта проверка подлинности может выполняться с помощью фиксации сертификата, которая проверяет правильные сертификаты каждой стороны. – zaph

счетов передачи пароля и соответствие PCI DSS

ответ

Смежные вопросы