5

Суть такая: в приложении AliExpress есть возможность добавить данные банковской карточки и дальше с него автоматически производить оплату.

Каким образом реализуется сам алгоритм?

Каким образом мы можем сохранить данные карты в приложении, или это не в приложении сохраняется, а отправляется на сервер?

Если отправляется на сервер, то наверное, с шифрованием? То есть сам алгоритм работы при вот таком действии, с кодом сам уже попробую реализовать.

Приложении AliExpress взял, как пример, так как с этим в нём и сталкивался

9
  • хранить данные карты на сайте плохая практика. хранится обычно только маска карты, а при помощи банка в дальнейшем идет списание по авторизованной карте.
    – Alex
    15 дек 2016 в 8:43
  • Я бы возложил хранение карты на платежную систему. во многих есть такая возможность.
    – eri
    15 дек 2016 в 8:51
  • @eri, значит мне нужно подключать библиотеку платёжной системы? Они при этом хотят большие проценты от суммы
    – zayn1991
    15 дек 2016 в 8:56
  • 2
    Почитайте про PCI DSS.
    – user181100
    15 дек 2016 в 9:26
  • @zayn1991 а бывает экваринг без процентов?
    – eri
    15 дек 2016 в 16:44

5 ответов 5

12
+50

Хранить данные банковских карт в приложении Вы не имеете права по закону. Хранить эти данные на сервере Вы можете если имеете сертификат PCI DSS (для начала ссылка в википедии), получить который очень не просто и стоит это не малых денег. Единственный, простой, вариант - это использовать платежный системы к примеру Яндекс.Касса и тому подобные (ссылка на рейтинг). Большинство этих систем поддерживает рекуррентные платежи, т.е. данные карты хранит сама система и дальнейшие платежи (к примеру по подписке), делает автоматически по вашему запросу, без дополнительных действий со стороны пользователя.

10
  • Нет, не единственный. При малом числе (до 20 000) транзакций сертифицироваться по PCI DSS может быть не так уж сложно, т. к. все обязательные проверки делегируются банку-эквайеру.
    – user181100
    12 апр 2017 в 16:19
  • @D-side что-то вы путаете, почитайте 3. Для кого требования стандарта PCI DSS являются обязательными?
    – mit
    12 апр 2017 в 16:44
  • Ничего я не путаю. Вы другие пункты посмотрите, например 13. Процедура сертификации по PCI DSS варьируется в зависимости от числа обрабатываемых транзакций за единицу времени. И при малом числе транзакций процедура не катастрофически сложная/затратная и кроме самоконтроля зависит только от банка-эквайера.
    – user181100
    12 апр 2017 в 16:47
  • @D-side понятия "сложная/затратная" для всех разные. Не понимаю, к чему все ваши комментарии? Ответ на вопрос дан, даны ссылки, топикастер сам примет решение проходить сертификацию или воспользоваться платежной системой. В 99% случаев, проще и дешевле - платежная система, если вы конечно не владелец AliExpress.
    – mit
    12 апр 2017 в 17:05
  • 1
    а можно ссылку на закон о запрете хранения данных банковских карт в приложении?
    – Murad
    13 апр 2017 в 10:12
3

За хранение карточек без прохождение PCI DSS с вами совершат действия сексуального-насильственного характера.

Пока я видел 2 метода - оба хранят данные в компании эквайринге. (aliexpress использует эквайринг alipay):

  1. Виртуальные счета - вы создаете виртуального пользователя в платежной системе. Связываете его со своим аккаунтом и выставляете ему счета. Например так делает monetka.ru (она же payanyway ). Пример документации https://payanyway.ru/info/p/ru/public/merchants/SDKphp.pdf стр 16 "Создание нового пользователя"
  2. Хранение виртуальных карт - по сути то же самое. Встречал у альфабанка. Но вы видите конкретную карту, часть информации скрыта. Пользователь через сервис привязывает карточку, вы видите "виртульную" карту или список карт и привязываете к его аккаунту. Потом при оплате даете ему выбор карты и подтверждение оплаты.

Это называется подписки, рекурентные платежи или регулярные платежи. Можете пройти по платежным система и посмотреть как у них реализовано.

2

Не знаю кейса с отправкой инфы о карте на сервер - это как-то совсем не секьюрно и получается какой-то сбор карт.

Все строго шифровать!

Тут либо карту шифровать по пину/паролю - очень хорошая статья по этой теме.

Либо использовать SQLCipher - читать тут.

И будьте предельно внимательны и ответственны при разработке хранения этих важных данных.

1
  • мне бы алгоритм общий знать
    – zayn1991
    16 дек 2016 в 6:39
2

Хранить такие данные на телефоне небезопасно. Если все таки есть желание хранить, то можно использовать 3D шифрование(TripleDES)

Вот пример:

 public class TripleDESHelper {
private Context mContext;

public TripleDESHelper(Context context) {
    mContext = context;
}

public String encrypt(String message) throws Exception {
    final MessageDigest md = MessageDigest.getInstance("md5");
    final byte[] digestOfPassword = md.digest("H3423G583424232CR9"
            .getBytes("utf-8"));
    final byte[] keyBytes = Arrays.copyOf(digestOfPassword, 24);
    for (int j = 0, k = 16; j < 8; ) {
        keyBytes[k++] = keyBytes[j++];
    }

    final SecretKey key = new SecretKeySpec(keyBytes, getString(mContext.getContentResolver(),
            Secure.ANDROID_ID));
    final IvParameterSpec iv = new IvParameterSpec(new byte[8]);
    final Cipher cipher = Cipher.getInstance("DESede/CBC/PKCS5Padding");
    cipher.init(Cipher.ENCRYPT_MODE, key, iv);

    final byte[] plainTextBytes = message.getBytes("utf-8");
    final byte[] cipherText = cipher.doFinal(plainTextBytes);

    return Base64.encodeToString(cipherText, Base64.NO_WRAP);
}

public String decrypt(String message) throws Exception {

    final MessageDigest md = MessageDigest.getInstance("md5");
    final byte[] digestOfPassword = md.digest("H3423G583424232CR9"
            .getBytes("utf-8"));
    final byte[] keyBytes = Arrays.copyOf(digestOfPassword, 24);
    for (int j = 0, k = 16; j < 8; ) {
        keyBytes[k++] = keyBytes[j++];
    }

    final SecretKey key = new SecretKeySpec(keyBytes, getString(mContext.getContentResolver(),
            Secure.ANDROID_ID));
    final IvParameterSpec iv = new IvParameterSpec(new byte[8]);
    final Cipher decipher = Cipher.getInstance("DESede/CBC/PKCS5Padding");
    decipher.init(Cipher.DECRYPT_MODE, key, iv);

    final byte[] encData = Base64.decode(message, Base64.NO_WRAP);
    final byte[] plainText = decipher.doFinal(encData);
    Log.d(getClass().getSimpleName(),new String(plainText, "UTF-8"));
    return new String(plainText, "UTF-8");

}
}

Лучше всего передавать данные на сервер по HTTPS и при этом еще и шифровать алгоритмом 4-х рукопожатий. Асимметричные алгоритмы (RSA, El-Gamal)

1

Я бы действовал так:

  1. По https на сервер бы отправлял все данные карты(номер, срок действия, CVC).
  2. На сервере использовал бы Stripe, чтобы привязять карту к конкретному юзеру. Stripe сам берет на себя вс нагрузку по защищенному хранению и использованию карты.
  3. На сервере бы хранил только идентификаторы карт, которые сформировал Stripe.
  4. Локально бы хранил только мета информацию(последние 4 цыфры и тд.)

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.