Najbezpieczniejszy zapis o karcie to ten najmniejszy. Większości osób do identyfikacji i zgłoszenia karty wystarczą nazwa wydawcy, jego kontakt do obsługi klienta i cztery ostatnie cyfry. Trzymaj je w szyfrowanym skarbcu, nigdy nie zapisuj kodu PIN ani kodu bezpieczeństwa, a do płatności używaj aplikacji banku lub portfela płatniczego.
Jakie dane karty warto przechowywać?
Nazwa wydawcy, jego numer telefonu do obsługi klienta, cztery ostatnie cyfry i zamaskowane wyciągi. Zwykle to wystarczy, by zidentyfikować kartę i zgłosić jej zaginięcie. Przed zapisaniem wyciągów zamaskuj na nich zbędne numery.
Czego nigdy nie zapisywać?
Kodu PIN. Kodu bezpieczeństwa (CVV/CVC) razem z numerem karty. Pełnego, niezamaskowanego zdjęcia przodu i tyłu karty jednocześnie.
Zgodnie z PCI DSS sprzedawcy nie mogą przechowywać kodów weryfikacyjnych po autoryzacji. Prywatny zapis również nie ma powodu, by je przechowywać.
Dlaczego zdjęcie karty jest ryzykowne?
Przód i tył razem ujawniają na jednym zdjęciu pełny numer, datę ważności i kod bezpieczeństwa. W galerii taki obraz jest narażony tak samo jak każde inne zdjęcie: pojawia się podczas przewijania, może zostać przesłany przez automatyczną kopię zapasową zdjęć, mogą go odczytać aplikacje z dostępem do biblioteki zdjęć i zostaje w folderze „Ostatnio usunięte”.
Szyfrowanie chroni zapisany plik; zapisując mniej, ograniczasz to, co mogłoby wyciec.
Krok po kroku: jak bezpiecznie przechowywać dane karty?
1. Ustal najmniejszy przydatny zakres zapisu.
2. Zamaskuj numery na wyciągach przed ich zaimportowaniem.
3. Zaimportuj je do folderu w skarbcu, na przykład „Karty”. Nazwa folderu jest szyfrowana.
4. Zapisz klucz odzyskiwania osobno i miej zaszyfrowaną kopię zapasową.
5. Usuń oryginalne zdjęcia i zrzuty ekranu. Importowanie ich nie usuwa.
Do czego służy skarbiec, a do czego bank?
Skarbiec służy do przechowywania zapisów. Bank lub portfel służy do płatności i ochrony przed oszustwami. Revault nie tokenizuje kart, nie realizuje płatności ani nie zastępuje zabezpieczeń antyfraudowych wydawcy.
Co zrobić, jeśli zgubię telefon lub portfel?
Najpierw skontaktuj się z wydawcą karty. Właśnie po to zapisałeś numer do obsługi klienta w skarbcu. Na nowym urządzeniu przywróć skarbiec za pomocą klucza odzyskiwania i zaszyfrowanej kopii w chmurze lub kopii zapasowej. Jeśli podejrzewasz, że klucze skarbca wyciekły, przenieś zapisy do nowego skarbca.
Jak Revault chroni te zapisy i czego nie potrafi?
Zapisy są szyfrowane na Twoim urządzeniu, zanim zostaną zapisane. Skarbiec ma losowy 256-bitowy klucz główny AES-GCM. Chronią go Twój wzór i losowy sekret urządzenia, przetworzone przez PBKDF2-HMAC-SHA-256 z 600 000 iteracji. Pliki, nazwy plików i miniatury są w całości szyfrowane. Natywne aplikacje na iOS i Androida przechowują skarbce na urządzeniu, chyba że włączysz prywatną synchronizację z iCloud lub Google Drive, utworzysz udostępnienie albo wyeksportujesz dane. Aplikacja internetowa korzysta z konta z kluczem dostępu i chmury Revault.
Czego nie może ukryć: usługa widzi, że istnieje obiekt o określonym rozmiarze i kiedy został zapisany. Przejęte urządzenie może odczytać odblokowany skarbiec. Revault nie przeszedł niezależnego audytu bezpieczeństwa.
Częste pytania
Czy Revault jest zgodny z PCI? To prywatny skarbiec, a nie operator płatności, i nie deklaruje zgodności z PCI.
Czy mogę płacić kartami zapisanymi w Revault? Nie. Użyj aplikacji banku lub obsługiwanego portfela płatniczego.
Czy można bezpiecznie trzymać kod CVV w aplikacji do notatek? Najlepiej w ogóle go nie zapisywać.