Question

我已经确保了我和roid的申请与提供财务交易服务的拖拉服务器之间的沟通,目前正在开发之中。

安全证书储存在安乐施会的一家主要仓库。关键仓库的密码可见于申请来源的明文:

keyStore.load(is, "passwd".toCharArray());

令我关切的是,如果有人要推翻工程设计,就会冒充另一个用户,损害服务的安全。

我想知道,我执行过程中是否存在过错,是否有其他人对此感到关切,确保这种可能性的最佳方法是什么。

Answer 1

I believe that Diffie-Hellman Key Exchange is what I was looking for. I d rather not have to re-implement my own version of DH using a complicated process which involves the user.

Answer 2

每当你储存客户的安全数据时,就会因反向工程而受损。你可能会试图在法典中掩盖这一点,但确定黑客会看到这一点。因此,使其更加安全的唯一途径是不要在法典中公开密码。在申请开始时,你可以要求用户使用某些关键代码,并利用它来加密密码?

Answer 3

是否在您的附录中储存了每个用户独一无二的证书,即每个用户都拥有独一无二的证书。如果你只有一位有同样全权证书的袖子,那就好像没有安全。更糟糕的是,它带来了虚假的安全感。

你(雇主)应当真正雇用一名安全专家,从安全角度设计你的系统。

这里我做的是:

App comes without security credentials.
Every user is generated security credentials on server.
Every user gets secret activation code which is generated in secure environment and delivered via alternative channel. Preferably via snail mail. Activation codes are time-limited and can be used only one time.
On first use user types into app the activation code which enables a one-time download of credentials over a secure (https) channel.
User provides password to encrypt the credentials while stored on device.
Every time the app is used user must provide this paswword. If app is not used for some time the app must timeout the session and ask for password again when user wants access.

但是,我并没有说什么是理所当然的。如果涉及金融交易,你仍然需要一名安全专家。

Answer 4

目前,一家处理公司正在拟定方案

它们是一套交易申请的规则和条例——OR- POS App(销售申请中点)

这些规则在网上列为注册公司,必须签发一定数量的担保,或者由签证、inc或许多其他公司提起诉讼。

您问题不像安全问题一样,它没有遵守《规则》。

请读到PCI公司遵守规定的情况,以便它们完全了解安全情况,而不是损害卡片持有人的数据。

:

友情链接