支付系统安全主要包括交易数据安全和网络安全,其安全手段是全方位、多层次的。在服务器端、客户端和数据传输等各个环节采取不同的安全措施,如对系统架构划分安全区域,采用安全设备,进行交易签名,使用动态令牌等。通过使用各种安全措施,可有效确保支付系统安全,从而为客户提供安全、快捷的网上支付服务。
具体罗列以下几种:
1、支付对接外部渠道的时候一般都需要自己公司的对外IP给渠道,让他们配置白名单;渠道还需要回掉我们,也需要他们提供IP,我们配置白名单
2、渠道证书,密钥做安全管理,具体方案见文章:
渠道证书,密钥如何管理
3、内部系统之间交互的密钥最好区分到某个业务,或者某个系统,粒度尽量小,密钥也需要安全存储,不要放在代码里
4、支付网关安全设计,支持IP黑白名单,使用https访问,接口加签,注意时间戳的使用
当前API网关支持的特性有
- 支持HTTPS
- 路由鉴权
- 路由灰度发布
- IP黑白名单
- 请求限流
5、支付系统打印的日志信息如有敏感信息,例如银行卡号,身份证号,CVV2,必须要进行脱敏打印
6、涉及敏感数据,存储到db中也需要进行加密存储