PCI标准端到端封装

Question

为了遵守所有的尽责要求，在存储和传输时，需要对所有敏感数据进行加密，如卡片、地址、性别、姓名等。

我知道TLS 1.3加密所有数据。但标准上写着：加密所有机密和个人信息的电子传输。我所理解的是，该标准要求在客户端添加额外的安全层；这一额外层将使用RSA算法从客户端手动加密到服务器，而在任何敏感数据交换方面则是另一种方式。

您可以在这里找到带有要求的官方PDF。

https://www.pcisecuritystandards.org/documents/SSF-Qualification-Requirements-for-Assessors-V1.pdf?agreement=true&time=1580914534790

Answer 1

TLS 1.3在HTTPS上考虑在传输时加密数据。如果站点正在使用这些协议，目前还没有必要为PCI标准加密客户端的数据，因为TLS已经实现了。

更多信息:在客户端加密并不是真正有用的，通常公司不会使用它。不过，在发送数据之前，安全区域中的一些站点正在对客户端的数据进行加密。此选项将被保护以防止TLS的任何中断，并在不影响任何数据的情况下给出额外的时间来修补和更新最新版本。然而，一旦使用TLS，这个额外的步骤就可以被看作是不必要的。