רשומת הכרטיס הבטוחה ביותר היא הקטנה ביותר. לרוב האנשים, שם המנפיק, פרטי התמיכה שלו וארבע הספרות האחרונות מספיקים כדי לזהות כרטיס ולדווח עליו. שמרו אותם בכספת מוצפנת, לעולם אל תשמרו קוד PIN או קוד אבטחה, והשתמשו באפליקציית הבנק או בארנק תשלומים לתשלומים בפועל.
אילו פרטי כרטיס סביר לשמור?
שם המנפיק, מספר הטלפון של התמיכה שלו, ארבע הספרות האחרונות ודפי חשבון מושחרים. בדרך כלל זה מספיק כדי לזהות כרטיס ולדווח עליו אם הוא נעלם. השחירו מספרים מיותרים בדפי החשבון לפני ששומרים אותם.
מה לעולם לא כדאי לשמור?
קוד ה-PIN. קוד האבטחה (CVV/CVC) יחד עם מספר הכרטיס. תמונה מלאה ולא מושחרת של החזית והגב יחד.
לפי PCI DSS, בתי עסק מוגבלים בשמירת קודי אימות אחרי אישור העסקה. גם לרשומה אישית אין סיבה לשמור קוד כזה.
למה תמונה של הכרטיס מסוכנת?
החזית והגב יחד חושפים בתמונה אחת את המספר המלא, את תוקף הכרטיס ואת קוד האבטחה. בגלריית התמונות לתמונה הזו אותה חשיפה כמו לכל תמונה אחרת: היא מופיעה כשגוללים, גיבוי תמונות אוטומטי יכול להעלות אותה, אפליקציות עם גישה לספריית התמונות יכולות לקרוא אותה, והיא נשארת ב"נמחקו לאחרונה".
הצפנה מגינה על קובץ שמור, ושמירת פחות מצמצמת את מה שעלול להיחשף.
צעד אחר צעד: איך שומרים פרטי כרטיס בבטחה?
1. מחליטים על הרשומה הקטנה ביותר שעדיין שימושית.
2. משחירים מספרים בדפי חשבון לפני הייבוא.
3. מייבאים לתיקייה בכספת, למשל "כרטיסים". שם התיקייה מוצפן.
4. שומרים את מפתח השחזור בנפרד ושומרים גיבוי מוצפן.
5. מוחקים את התמונות וצילומי המסך המקוריים. הייבוא אינו מסיר אותם.
איפה הכספת מתאימה, ואיפה הבנק מתאים?
כספת מיועדת לרשומות. הבנק או הארנק שלכם מיועדים לתשלומים ולהגנה מפני הונאה. Revault אינה מבצעת טוקניזציה של כרטיסים, אינה מבצעת תשלומים ואינה מחליפה את בקרות ההונאה של המנפיק.
מה לעשות אם הטלפון או הארנק אבדו?
פנו קודם למנפיק הכרטיס. מספר התמיכה שבכספת הוא הסיבה ששמרתם אותו. במכשיר חדש, שחזרו את הכספת עם מפתח השחזור ועם העותק המוצפן בענן או הגיבוי. אם אתם חושבים שמפתחות הכספת נחשפו, העבירו את הרשומות לכספת חדשה.
איך Revault מגינה על הרשומות האלה, ומה היא לא יכולה לעשות?
הרשומות מוצפנות במכשיר שלכם לפני האחסון. לכספת יש מפתח אב אקראי של 256 סיביות מסוג AES-GCM. התבנית שלכם וסוד מכשיר אקראי, שעוברים דרך PBKDF2-HMAC-SHA-256 עם 600,000 איטרציות, מגנים על המפתח הזה. קבצים, שמות קבצים ותמונות ממוזערות מוצפנים כולם. אפליקציות iOS ו-Android המקוריות שומרות כספות במכשיר, אלא אם תפעילו סנכרון פרטי דרך iCloud או Google Drive, תיצרו שיתוף או תייצאו. אפליקציית האינטרנט משתמשת בחשבון עם מפתח גישה (passkey) ובענן של Revault.
מה אי אפשר להסתיר: השירות יכול לראות שקיים אובייקט בגודל מסוים ומתי הוא נשמר. מכשיר שנפרץ יכול לקרוא כספת פתוחה. Revault טרם עברה ביקורת אבטחה עצמאית.
שאלות נפוצות
האם Revault תואמת PCI? זו כספת אישית ולא מעבד תשלומים, והיא אינה טוענת לעמידה בתקן PCI.
האם אפשר לשלם בכרטיסים ששמורים ב-Revault? לא. השתמשו באפליקציית הבנק או בארנק תשלומים נתמך.
האם בטוח לשמור CVV באפליקציית הערות? הימנעו משמירה שלו בכלל.