Šifrování dat ve webové aplikaci

Zdravím. Jak máte ve svých webových aplikací řešeno šifrování obsahu (např. číslo kreditní karty), který musí být rozšifrovatelný, tedy nějaký hash nelze použít. Zatím jsem to nikdy nepotřeboval a zjišťuji možnosti, jak to řešit co nejlépe. Díky Martin

Ideální je takové věci vůbec neukládat - viz. https://www.pcisecuritystandards.org/pdfs/pci_fs_data_storage.pdf. Pro uložení kreditní karty brány často API, kdy se o to postará brána a na aplikaci je identifikace zákazníka.Obecně citlivá data používám RSA - zašifrování veřejným klíčem a dešifrování privátním, ke kterému nemá hlavní aplikace přístup. Lze použít třeba GnuPG nebo OpenSSL. Při ukládání do DB lze také využít https://dev.mysql.com/doc/refman/5.5/en/encryption-functions.html#function_aes-encrypt do blobu, ale to je symetrická šifra, takže i samotná aplikace musí mít přístup ke klíči, kterým to jde zase rozšifrovat...

Myslel jsem si to, že to asi nebude jen tak. Já potřebuju konkrétně ukládat API klíč k přístupu na bankovní účet uživatele.

A má to pracovat automaticky bez uživatele, nebo je k tomu uživatel potřeba - že by bylo možné nechat fyzicky šifrovaný klíč u uživatele a na serveru mít jen klíč k dešifrování.

Na to aby si mohol uchovavat informacie o platobnych kartach musis mat PCI certifikat, co je dost hardcore zalezitost. Preto sa to riesi tak ze na brane ktora to podporuje si cez JS vytvoris resource a uchovavas si iba jeho idcko a cez api brany potom robis na to idcko transakcie. To sa tyka pripadu ze mas branu u seba a nerobis presmerovanie. Ak presmeruvas, neriesis nic co sa tyka uchovania informacii, len validujes token ked usera presmeruje brana ku sebe po platbe cez ich api, pripadne to ide cez webhooky.Co sa tyka ineho siforvania tak s tym nemam ziadnu skusenost, nakolko si to ani neviem realne predstavit ako by som riesil odsifrovanie pri query na db a podobne.PS: uchovavat info o karte bez PCI certifikatu je bud nezakonne alebo minimalne asociacia platobnych kariet(ci jak sa to vola ?D) by ti blokli ucty a vypovedali zmluvy.

Napsal smitka;1409058

A má to pracovat automaticky bez uživatele, nebo je k tomu uživatel potřeba - že by bylo možné nechat fyzicky šifrovaný klíč u uživatele a na serveru mít jen klíč k dešifrování.

Původní plán byl automatika. Je to prostě aplikace na evidenci příspěvků v neziskové organizaci. Platby by kontroloval jen admin. Ale je pravda, že bych to mohl nechat tak, že by musel data z banky stáhnout "ručně" a vždycky by zadal API klíč. Ten by se použil pro dotaz a nikam neukládal. To by asi mohlo být ok, ne? Sice by to snížilo komfort, ale o se dá dělat.

API klíč bych důležitostí nesrovnával s uložením kreditní karty, samozřejmě je to také citlivý údaj. Často jde vygenerovat API klíč jen pro čtení, takže jsou dopady zase o něco menší. Já podobné věci řeším tak, že mám extra server, který nemá žádné porty otevřené (a ani vlastně nemusí mít veřejnou IP), kromě SSH omezené na mé IP adresy. Na tomto serveru mi běží skript s API klíčem, který s bankou komunikuje - získá potřebná data, anonymizuje je (v mám případě mi stačí zachovat variabilní symbol, částka a datum) a výsledek "exportuje" na veřejný server.---------- Příspěvek doplněn 04.09.2017 v 19:12 ----------Nicméně API klíče vídám často v konfigurácích webové aplikace. Záleží proti čemu se chceš vlastně bránit, při plné kompromitaci filesystému pomůže jen mít klíče mimo samotný systém - pevné disky serverů například dešifruji tak, že klíč stahuji z externího serveru přes SSH (ano, používám SSH na spoustu věcí). Pokud dojde ke kompromitaci celého systému, tak je často únik API klíče ten menší problém, co se musí řešit. Zvážil bych několik řešení:a) dát API klíč do konfiguráku mimo hlavní složku webu a doufat, že to bude okb) API klíč v konfiguráku ještě zašifrovat (AES, RSA,...) a klíč dát na další místo (třeba do DB - pak útočník musí získat jak filesystém, tak DB)c) postupem s uzavřeným strojem, jak jsem psal předtímd) udělat to interaktivní a klíč k rozšifrování (nebo jeho část) mít uložen u uživatele v cookie, nebo ho nějak přepočítat z jeho hesla

Díky za rady. Udělám to jak říkáš.