將信用卡號碼從iOS發送到REST API時的最佳安全做法

我的應用必須與API通信，我們可以輕鬆地發送和獲取數據。將信用卡號碼從iOS發送到REST API時的最佳安全做法

現在，我們將所有內容作爲純文本發送爲URL的參數。

我絕不是一名安全專家，但常識告訴我，信用卡號碼應在傳輸過程中加密。

服務器可以擔心存儲，我唯一關心的是數據的實際傳輸。

從我的閱讀中我發現我需要一個私鑰加密算法，因爲它需要被服務器取消以獲取實際數據。

在CommonCrypto框架上已經實現了很好的一個嗎？

您的建議是？

我期待着使用iOS來做到這一點，我相信安全框架有工具來完成這個挑戰，我只是不知道在哪裏尋找或尋找什麼。

謝謝！

2011-09-15 Zebs

令人驚訝的是，今天有兩個關於信用卡安全性的問題。人們希望這樣的安全工作將由具有豐富安全經驗的開發人員完成，然後由專家進行安全審查。 – zaph

您絕對不應該使用網址參數作爲信用卡信息。網絡上的其他客戶端訪問的URL可以很容易地被網絡上的其他計算機嗅探和記錄（當然有某些限制）。

您應該使用POST參數提交信息，以便它們包含在消息的正文中，而不是URL本身。然後，只要您提交到HTTPS頁面，數據就應該安全無需先加密（在這種情況下，郵件本身使用SSL進行加密）。

2011-09-15 01:01:33

實際上，在https上，所有URL參數都被加密。但這仍然是不好的做法;因爲通常會記錄參數或以明文形式顯示參數。 –

對於閱讀我答案的人，我可以證實尼古拉斯C是正確的。雖然重申，正如尼古拉斯所說，雖然參數被加密，但它們可能會被記錄在您的機器（或路由器？）上，因此您仍然應該使用POST進行此操作。 –

回答