信用卡令牌化算法

Question

只是好奇，用来标记用户信用卡的通用算法是什么？我知道很多服务使用PRNG (随机数)。当有冲突时，它仅仅是重新生成一个随机数吗？如何使用UUID作为令牌呢？优点和缺点是什么？

Answer 1

令牌化只是使用随机数生成器生成一个特定的ID，并将该ID链接到一张卡片上，您无法从卡号反向工程令牌，反之亦然。

有时，将最后4位数字作为令牌的一部分保存，以显示给用户。这对于一定的商店很有用，比如Amazon，用户可能已经配置了几个信用卡。

通常，标记化的发生方式是:随机性和密钥空间太大，以致于碰撞令牌非常不链接。如果一个令牌已经存在，它只需要在进入数据库之前重新生成随机数(通常数据库对令牌有唯一的约束，并且它们被用作辅助或主键)。

优点是您可以显着地缩小PCI范围。例如，用于分析个人支出的数据库不一定是PCI区域的一部分，因为没有PAN数据。

没有坏处。你可能会遇到的一些骗局是给那些不想让他们的服务台接触到他们客户的信用卡号码的收购者。因此，购房者可能需要在客户的卡上打印一个额外的身份号码，这样他才能被识别出来。