接受表单中的银行帐户信息

Question

通过使用SSL的页面上的表单接受用户的银行帐户信息（帐号和路由号码）并将其发回服务器然后卷起要发送的HTTPS请求时，会出现哪些安全问题？通过他们的API将这些信息提供给ACH服务，如First ACH或ACH Direct？

我们不会在我们的数据库中保存银行帐户信息。我知道另一种选择是使用Paypal's Mass Pay API，但他们认为要求客户使用paypal帐户获得报酬是不专业的（至少对他们的业务而言）。

思想？

Answer 1

这里有很多安全问题。即使您不受监管法规的约束（取决于您的业务），我也可以想到很多。我会打字，直到我厌倦了它。

• 您的服务器安全吗？锁定在网箱，安全站点，双人访问，修补，审核和扫描入侵检测，等等。这是你最担心的事情。如果你认为他们是，那他们可能不是。
• 网络一直安全吗？即使愚蠢这样的事情，比如确保您的域名不会过期的计划也很重要。在入侵的情况下，您是否有自动控制来关闭站点？
• 您的软件安全吗？必须由第三方审核安全问题。不要吝啬这个。从前端（CSS攻击）到后端，一切都需要锁定。
• 您的开发周期是否安全？软件上的双人控件。不要让开发人员修补服务器，也不要在没有代码审查的情况下部署代码。管理员也需要监控。
• 一切都需要加密。最好不要存储帐号。如果你确实存储它们，加密它们并将密钥保存在别处。

......好吧，我累了。

这次游行不要下雨，但如果你不得不在SO上询问这类事情，你真的不准备这样做。购买解决方案，聘请专业人员，或花费很多时间来研究这个问题并让某人审核您正在做的事情。

Answer 2

您在两个流上都使用SSL而您没有存储。我会说没有顾虑， 只需保持服务器的安全，并使用强大的加密。

如果有人设法在您的服务器上获得访问权限 陷入困境，但这对于各种在线都是如此 金融交易。

Answer 3

Lyons提供“帐户验证”API，可能有效：http://www.lyonsreg.com/products/account-verification.asp

Answer 4

您的设计听起来相对合理。主要问题是您的Web应用程序必须在安全的环境中运行，我猜您在托管时没有很多控制权。

如果他们符合PCI-DSS，请询问托管公司。如果他们能够达到那个标准，那么你可能掌握得很好。