帐户密码传输和PCI DSS合规

-1

我开发一个Android应用程序必须是PCI PA-DSS合规，我的问题是关于PA-DSS_v3-1文件帐户密码传输和PCI DSS合规

3.3.1使用在此要求强大的加密功能可以在传输过程中使所有支付应用密码无法读取。

比方说，我在我的应用程序中有一个“更改您的密码”功能，该功能通过ssl/tls加密连接将服务器的用户帐户密码发送出去。这种加密是否足以符合要求？在通过SSL发送之前是否需要实施某种加密？

谢谢。

2016-05-30 Leonardo Perez

一只小鸟告诉我需要额外的加密，但在文档中没有看到它。但我可以在[密码破解时间]（https://www.pcisecuritystandards.org/pdfs/its_time_to_change_your_password_infographic.pdf?agreement=true&time=1467522615644）上保留PCI建议是纯BS，似乎他们不知道[密码列表] （https://github.com/danielmiessler/SecLists/tree/master/Passwords）或[破解工具]（http://resources.infosecinstitute.com/10-popular-password-cracking-tools/）。 – zaph

PCI标准有时可能会模糊不清，有点“开放式”，但从我们的经验来看，它的确如你所愿。

SSL/TLS是加密，只是将它用于您的遗忘密码功能，你会没事的。

来源

2016-07-03 01:16:55

似乎“传输期间”这个短语似乎允许SSL/TLS安全传输媒体。但是安全认证是必要的，也就是确保没有MITM攻击。如果无法保证MITM攻击，则SSL/TLS不安全。通常，这种身份验证可以通过证书锁定来完成，即验证每个方的正确证书。 – zaph

帐户密码传输和PCI DSS合规

回答

相关问题