Bản ghi thẻ an toàn nhất là bản ghi ít thông tin nhất. Với hầu hết mọi người, tên tổ chức phát hành, thông tin liên hệ hỗ trợ và bốn chữ số cuối là đủ để nhận diện thẻ và báo mất. Hãy lưu những thông tin đó trong một vault được mã hóa, không bao giờ lưu mã PIN hay mã bảo mật, và dùng ứng dụng ngân hàng hoặc ví thanh toán để thực hiện thanh toán.
Nên lưu những thông tin thẻ nào?
Tên tổ chức phát hành, số điện thoại hỗ trợ, bốn chữ số cuối và sao kê đã che thông tin. Thông thường như vậy là đủ để nhận diện thẻ và báo mất nếu thẻ bị thất lạc. Hãy che các con số không cần thiết trên sao kê trước khi lưu.
Những gì tuyệt đối không nên lưu?
Mã PIN. Mã bảo mật (CVV/CVC) đi kèm với số thẻ. Ảnh chụp đầy đủ, không che, của cả mặt trước và mặt sau.
Theo PCI DSS, người bán bị hạn chế lưu giữ mã xác minh sau khi giao dịch được cấp phép. Một bản ghi cá nhân cũng chẳng có lý do gì để lưu mã đó.
Vì sao ảnh chụp thẻ lại rủi ro?
Mặt trước và mặt sau cùng nhau để lộ toàn bộ số thẻ, ngày hết hạn và mã bảo mật trong một hình ảnh. Trong thư viện ảnh, hình ảnh đó chịu mức rủi ro như mọi bức ảnh khác: nó xuất hiện khi bạn cuộn, có thể bị tải lên bởi dịch vụ sao lưu ảnh tự động, có thể bị các ứng dụng có quyền truy cập thư viện ảnh đọc được, và vẫn còn sót lại trong mục đã xóa gần đây.
Mã hóa bảo vệ tệp đã lưu; lưu ít hơn sẽ giảm những gì có thể bị lộ.
Từng bước: làm cách nào để lưu thông tin thẻ an toàn?
1. Xác định bản ghi hữu ích ở mức tối thiểu.
2. Che các con số trên sao kê trước khi nhập.
3. Nhập vào một thư mục trong vault, ví dụ “Thẻ”. Tên thư mục được mã hóa.
4. Lưu khóa khôi phục riêng và giữ một bản sao lưu được mã hóa.
5. Xóa ảnh chụp và ảnh chụp màn hình gốc. Việc nhập không xóa chúng.
Vai trò của vault và vai trò của ngân hàng là gì?
Vault dùng để lưu hồ sơ. Ngân hàng hoặc ví của bạn dùng để thanh toán và bảo vệ chống gian lận. Revault không mã hóa thẻ bằng token, không thực hiện thanh toán và không thay thế các biện pháp chống gian lận của tổ chức phát hành thẻ.
Tôi nên làm gì nếu mất điện thoại hoặc ví?
Trước tiên, hãy liên hệ tổ chức phát hành thẻ. Số hỗ trợ trong vault chính là lý do bạn lưu nó. Trên thiết bị mới, hãy khôi phục vault bằng khóa khôi phục và bản sao đám mây được mã hóa hoặc bản sao lưu. Nếu bạn nghĩ các khóa của vault đã bị lộ, hãy chuyển các bản ghi sang một vault mới.
Revault bảo vệ các bản ghi này như thế nào, và có những gì nó không làm được?
Các bản ghi được mã hóa trên thiết bị của bạn trước khi lưu trữ. Vault có một khóa chính AES-GCM 256 bit ngẫu nhiên. Mẫu hình của bạn và một bí mật thiết bị ngẫu nhiên, được xử lý qua PBKDF2-HMAC-SHA-256 với 600.000 vòng lặp, bảo vệ khóa đó. Tệp, tên tệp và hình thu nhỏ đều được mã hóa. Ứng dụng gốc iOS và Android giữ vault trên thiết bị, trừ khi bạn bật đồng bộ iCloud hoặc Google Drive riêng tư, tạo lượt chia sẻ hoặc xuất dữ liệu. Ứng dụng web dùng tài khoản khóa truy cập và đám mây của Revault.
Những gì không thể che giấu: dịch vụ có thể thấy rằng có một đối tượng với kích thước nhất định và thời điểm nó được lưu trữ. Thiết bị bị xâm nhập có thể đọc vault đang mở khóa. Revault chưa trải qua kiểm tra bảo mật độc lập.
Câu hỏi thường gặp
Revault có tuân thủ PCI không? Đây là vault cá nhân, không phải bộ xử lý thanh toán, và không tuyên bố tuân thủ PCI.
Tôi có thể thanh toán bằng thẻ đã lưu trong Revault không? Không. Hãy dùng ứng dụng ngân hàng hoặc ví thanh toán được hỗ trợ.
Lưu CVV trong ứng dụng ghi chú có an toàn không? Tốt nhất là đừng lưu mã này.