支付卡行业（PCI）数据安全标准

  支付卡行业（PCI）数据安全标准 

 
术语和缩略语 
    
 
术语                          定义
 
 
AAA  认证、授权和计费协议
 
Accounting  计费：用户的网络资源追查
 
Access control  访问控制 - 限制授权人或应用程序访问信息或信息处理资源的措施。
 
Account
harvesting
 
 
 
帐户获得  -
基于反复试验的方法，确定现有的用户账户。[备注：用错误消息方式发出很
多信息可以泄露信息，使进攻者更易穿透或危及系统。
 
Account number  账号 -
证明发行人和特定持卡人账户的支付卡数据（信用或借记）。也称为主账
号（PAN）
 
Acquirer  收单行 -
指银行卡协会会员，可用作发起和维护与接受支付卡的商户间关系。
 
AES  高级加密标准-NIST于 2001年11月开始采用的块加密标准。
FIPS PUB197定义了其算法。
 
ANSI  美国国家标准学会 -
负责管理和协调美国自愿性标准和合格评定系统的民间非盈利性组织
 
Anti-Virus Program  反病毒程序 –
能够检测、清除和预防受到各种形式的恶意代码或恶意软件（包括病毒、蠕虫、
特洛伊木马、间谍软件和广告软件）侵害的程序
 
Application  应用 –
包括所有购买和自行开发的软件程序或为终端用户设计的程序集，它包括内部
或外部（Web）应用程序
 
Approved
Standards
 
 
 
 
认可标准 – 它们是标准化的算法（如 ISO 和 ANSI
标准算法）和一些著名的可购买获得的标准（如
Blowfish），能够满足极高的加密要求。认可标准的例子包括 AES（128
位和更多位）、
TDES（两个或三个独立密钥）、RSA（1024 位）和ElGamal（1024 位）
 
 
Asset  资产 –  组织的信息或信息处理资源
 
Audit Log  审查日志 –
系统活动的历史记录。可按顺序对环境及活动进行重组、回顾和检查，伴随或
导向一项操作、过程或事件记录在交易过程中自始至终的结果。特殊情况下，
有时用作安全审查追踪。
 
Authentication  认证 - 检验某个项目或过程的身份的程序。
 
Authorization  授权 – 为用户、程序或过程的准许授予访问或其他权利。
 
Backup  备份 - 一种数据复制，用以存档或保护以防破坏或丢失。
 
Cardholder  持卡人 - 持有已发行的卡或授权使用该卡的客户。
 
 
 
 
 
 
 
术语和缩略语  2 
 
 
 
术语                          定义
 
 
Cardholder data  持卡人数据 – 全磁条或PAN及以下信息：
持卡人姓名
有效日期
服务代码
 
 
Cardholder data
environment
 
 
 
 
 
Card Validation
Value or Code
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Compensating
controls
 
 
 
 
 
 
 
 
 
 
持卡人数据环境 –
处理持卡人数据或机密认证数据的计算系统网络区域和直接连接或支持卡人数据
处理、存储或传输的系统和部分。通过适当的网络隔离，将存储、处理或传输持
卡人数据的系统与其他系统分离，或许能缩小持卡人数据环境的范围和PCI评估
的范围。
 
卡片验证值/码 -
卡磁条上的数据元素，它使用安全加密过程保护磁条上的数据完整和揭示任何
数据修改或伪造。指 CAV、CVC、CVV 或
CSC，具体视卡品牌而定。下面列出了各个卡品牌使用的术语：
•  CAV 卡认证值（JCB支付卡）
•  CVC 卡认证码（MasterCard 支付卡）
•  CVV 卡验证值（Visa和Discover支付卡）
•  CSC 卡安全码（美国运通卡）
 
注：第二种类型的卡验证值或验证码是一个三位数的值，印刷在卡背面的签名条
中信用卡号的右方。对于美国运通卡，安全码是四位数字的非突版数字，印刷在
所有支付卡正面的卡号上方。该安全码与每个塑料印刷卡片之间唯一关联，并且
卡号与塑料印刷卡片相关联。下面是各验证值/码的概述：
 
 
•  CID 卡识别号（美国运通和Discover支付卡）
•  CAV2 卡认证值2（JCB支付卡）
•  CVC2 卡认证码2（MasterCard支付卡）
•  CVV2 卡验证值2（Visa支付卡）
 
 
补偿控制 -
当一个组织无法满足某项要求的技术规范时，通常可以考虑补偿措施。对于标准
中的大多数要求，补偿措施能充分地缓解相应的风险。补偿控制必须
1)满足最初设定的PCI DSS要求的目标和严格条件；
2)以相差无几的效力击退泄露企图；
3)“超标准地”满足其他PCI DSS要求（而不是仅仅符合其他PCI DSS要求）；
4）能够有效防范因为不符合PCI DSS要求而产生的其他风险。
 
CIS  互联网安全中心 -
一家非盈利性企业，致力于帮助组织降低业务和电子商中断风险，这些风险通常
是由技术安全措施不够充分而造成的。
 
Compromise  泄露 -
入侵计算机系统，即发生未授权情况下泄露、修改或破坏持卡人数据的情况。
 
 
 
 
术语和缩略语  3 
 
 
 
术语                          定义
 
Console  控制台 -
某个屏幕或键盘，可允许在网络环境下，访问或控制服务器/主机。
 
Consumer  消费者 - 购买产品和/或服务的个体。
 
Cookies  记录资料夹 -
在网络服务器和网络浏览器之间转换数据字符串以维持某个进程。记录资料夹包
括用户性能和个人信息。
 
Cryptography  密码学 –
一门研究算法、信息安全和相关问题的计算机科学，重点研究加密、认证和访问
控制等应用。在计算机和网络安全，它是指用于访问和信息保密的工具。
 
Database  数据库 -
一种结构格式，使得容易重新找回组织和维持的信息。比如一个简单的数据
库就是一份表格或一份电子数据表。
 
Data Base
Administrator
(DBA)
 
DBA (Doing
Business As)
 
 
数据库管理员 -负责管理和维护数据库的人员。
 
 
 
象做业务 - 建立在DBA
或连锁店（不是拥有一些连锁的公司）的交易量上的符合确认级别。
 
Default accounts  默认帐户 -
指已在生产系统中预定义的系统登陆账户，可在系统初次使用时允许初始登
陆。
 
Default password  默认口令 -
当系统从生产商运出时的系统管理或服务账户的口令，并通常与默认账户相
  关联。账户和口令是公开的和广而告之的。
 
DES  数据加密标准（DES）-1976
年，分组加密被选为正式的美国联邦信息处理标准（FIPS）。其继任者是高
级加密标准（AES）。
 
DMZ  隔离区 -
在网络内部和外部公共网络（例如，Internet）之间的缓冲带，一般用于对外
提供公开信息。
 
DNS  域名系统或域名服务器 –
  在网络（如 Internet）上的分布式数据库中存储与域名相关的信息。
 
DSS  数据安全标准
 
Dual Control  双重控制 –
使用两个或更多单独的实体（通常是人员）操作以保护敏感的功能或信息。
  两个实体都负有同等的责任，为簿弱的交易环节所使用的材料提供物理保护。
任何负责人员都不能单独查看或使用这些材料（例如，加密密钥）。对于手动
密钥生成、传送、加载、存储和检索，双重控制要求各个实体分持一部分密钥
信息。另请参阅“知识分割”。
 
ECC  椭圆曲线密码 -一种基于有限区域椭圆曲线的公用密钥加密方法
 
Egress  流出 - 从网络输出并经过通信链路进入客户网络的流量
 
 
 
 
术语和缩略语  4 
 
 
 
术语                          定义
 
Encryption  加密 -
将信息转化为除特定密匙持有者外，对其他任何人均无法破解的格式的过程。
使用加密，可以保证在加密和解密(加密的反过程)过程中的信息，在未授权情况
下不会泄露。
 
FIPS  联邦信息处理标准
 
Firewall  防火墙 –
保护网络资源避免被其他网络入侵的硬件和／或软件。典型的情况是，拥有
企业内部互联网的企业允许自己的员工访问宽带互联网必须使用防火墙，
来防止外来者用其私人数据资源进行访问。
 
FTP  文件传输协议
 
GPRS  通用分组无线业务 -一种为 GSM
移动电话用户提供的无线数据服务。它能够有效地利用有限的带宽。GPRS
尤其适合接收和发送突发流量较小的数据，如电子邮件和网页浏览。
 
GSM  全球移动通信系统 -应用广泛的移动电话标准。GSM 标准的通用性使移动
  电话运营商之间的漫游变得极为普遍，从而使用户能够在世界任何地方使用
  他们的移动电话。
 
Host  主机 - 承载软件的主要硬件。
 
Hosting Provider  主机服务商 –
为客户和其他服务提供商提供各种服务。这些服务范围十分广泛：从简单到
复杂、从共享服务器空间到“购物”系统；从支付应用到连接支付网关和处理程
序；以及为每个客户提供一个专用服务器等。
 
 
HTTP  超文本传输协议 -
一种开放式互联网协议，用于在万维网上传输或转发信息。
 
ID  身份
 
IDS/IPS
入侵侦测系统/入侵防护系统。用于发现和告警网络或系统入侵企图。它包括多
个侦测器、一个控制台和一个中央引擎，其中，侦测器生成安全事件；控制台监
控事件和告警并且控制侦测器；中央引擎将侦测器记录的事件保存到数据库
  之中。IDS/IPS 使用规则机制生成警报，以响应侦测到的安全事件。
  IPS还采用附加的步骤阻止企图进行的入侵。
 
IETF
互联网工程工作组。一个大型的开放性国际团体，它的成员包括网络设计师、运
营商、供应商和研究人员，负责互联网体系结构升级和互联网的平稳运作。这个
团体对任何有兴趣的个人开放。
 
Information
Security
 
Information
System
 
信息安全 - 保护信息的机密性、完整性和可用性
 
 
信息系统 –
专门为信息的收集、处理、维护、使用、共享、传播或销毁而组织的缜密结构
化数据资源集
 
 
 
 
 
术语和缩略语  5 
 
 
 
术语                          定义
 
Ingress  流入 - 进入网络的流量。
 
Intrusion detection
Systems
 
入侵侦测系统 – 请参阅IDS
 
 
IP  互联网协议 -
一种网络层协议，它包含地址信息和部分控制信息，数据包根据这些信息被
路由。IP 是互联网协议集中最重要的网络层协议。
 
IP address  IP 地址 - 一个IP地址就是一个数字代码，可以唯一确定互联网上的某台特定的
  计算机。
 
IP Spoofing  虚假 IP – 入侵者通过虚假IP技术获得计算机的授权访问。
  入侵者通过发送消息给某台计算机，其 IP地址表明其来自可信赖的主机，
  在未授权情况下获得访问计算机的技术。
 
IPSEC  互联网协议安全（IPSEC）-IPSEC 标准通过对所有 IP
数据包进行加密和认证以确保 IP 通信安全。IPSEC 提供网络层的安全性。
 
ISO  国际标准化组织 -一个非政府性组织，它是一个包括 150
多个国家的国家标准机构的网络，每个国家就是一个会员，秘书中心设在瑞士
日内瓦，协调整个系统的运行。
 
ISO 8583  ISO 8583 - 用在金融系统之间，作为通信使用所制定的一套标准。
 
Key  密钥 - 加密过程中，
一个密匙可当一个数值来用；使用某个运算法则从一个未加密的文本产生一个加
密文本。在得到的消息解密出文本的难度，通常由密匙长度决定。
 
L2TP  第二层隧道协议 -用于支持虚拟专用网（VPN）的协议
 
LAN  局域网 - 覆盖小型区域（通常是一栋建筑物或一组建筑物）的计算机网络
 
LPAR  逻辑分区 -与主分区不相的磁盘区域。LPAR
定义在指向扩展分区的数据块之中。
 
MAC  消息认证码
 
Magnetic Stripe
Data (Track Data)
 
 
 
 
 
 
 
磁条数据（磁道数据）-
在磁条中编码的数据，用以卡片出现的交易进行授权。公司在交易授权后不可
保留全部的磁条数据。特别情况下，
授权后必须清除服务代码、任意数据／CVV，以及VISA
保留的数值,但可以提取保留帐号、有效期和姓名。
 
Malware  恶意软件 -
意图在未获得所有人的信息或同意的情况下入侵或破坏计算机系统的软件
 
Monitoring  监控 –
使用计算机网络监视系统不间断地查看系统变慢或故障情况，并向用户通知系
统中断或其他告警。
 
MPLS  多协议标签到交换
 
 
 
 
 
 
术语和缩略语  6 
 
 
 
术语                          定义
 
NAT  网络地址转换 -也称为网络伪装或 IP 伪装。将网络内使用的 IP
地址更改为另一个网络内的已知IP地址、
 
Network  网络 - 网络是两台或更多计算机相互连接，并可以共享资源。
 
 
Network
Components
 
Network Security
Scan
 
 
 
 
 
 
 
包括但不限于防火墙、交换机、路由器、无线接入点、网络设备和其他安
全设备。
 
网络安全扫描 –
一种自动化扫描工具，它远程检查商家或服务提供商的系统，以发现弱点。
非入侵测试涉及外部接口系统调查，调查使用外部接口IP地址，报告可通过外
部网访问的服务（即可通过互联网访问的服务）。扫描发现操作系统、服务器
和设备中的弱点，攻击者可以使用这些弱点攻击公司的专用网络。
 
NIST  国家标准和技术学会 -
一家非监管性联邦机构，隶属美国商务部技术管理局。它的任务是通过推进测
量科学、标准和技术的发展，促进美国的技术和行业竞争、以提高经济安全性
和改善生活质量。
 
Non consumer
users
 
非消费者用户 -
指任何访问系统的个人，包括但不限于雇员、管理员和第三方的所有用
户，消费者用户外除外。
 
NTP  网络时间协议 –
一种通过分组交换可变延迟数据网络对计算机系统的时间进行同步的协
议
 
OWASP  开放Web应用安全项目（请访问 http://www.owasp.org）
 
Payment
Cardholder
Environment
 
支付持卡人数据环境 – 存储持卡人数据或敏感认证数据的网络部分
 
 
PAN  主账号 –
它是标识发卡商和特定持卡人账户的支付卡卡号（借或贷）。也称为账号。
 
Password  口令 - 一个字符串，用于用户认证。
 
Pad
数据包组装/分拆器。一种通信机制，它设定输出数据的帧格式并从输出数据包
中获取数据。在加密学中，单次 PAD 是一种加密算法，在这种算法中，
  文本与一个随机密钥或一个与纯文本的长度相同而且只使用一次的“pad”
  相结合。此外，如果密钥是真正的随机密钥，绝不重复使用而且经过了加密，
那么单次pad加密将不可破解。
 
PAT  端口地址转换 -
网络地址转换（NAT）的一项功能，它将目标为外部网络上的主机和端口的 TCP
或 UDP 连接转换成目标为内部网络上的主机和端口的连接。
 
 
Patch  补丁 – 对部分程序进行快速修复。软件产品的 beta 测试或试用期间和
  产品正式发布之后，发现了问题。软件商将立即为用户提供补丁。
 
 
 
 
 
术语和缩略语  7 
 
 
 
术语                          定义
 
 
PCI  支付卡行业
 
Penetration  渗透 – 穿过系统安全机制的成功行为。
 
Penetration Test  渗透测试 –
指为了安全，而查探计算机或网络的弱点和攻击者可能利用的安全漏洞。这种
测试包括找出所有的存在问题的安全特征。测试完毕后，渗透测试者提交一份
系统弱点的报告以及如何提高系统安全性的建议。 
 
PIN  个人识别码
 
Policy  策略 –
在使用计算机资源、安全行为和操作过程的指引开发上可接受的组织级别的
管理规则。
 
POS  销售点
 
Procedure  程序 –
程序提供有关策略如何应用的描述性方式，即策略如何实施。程序告诉公司
一个政策怎么执行。
 
Protocol  协议 –
网络使用的受认可通信方法。它是一个规约，说明计算机产品在网络上运行，
  必须遵守哪些规则和程序。
 
Public Network  公用网络 –
由电信服务商或著名私营公司建设和运营的网络，专门为公众提供数据传输
  服务。 
 
PVV  PIN 验证值 - 支付卡磁条中编码的验证值
 
RADIUS  远程认证和拨号用户服务 -一种认证和计费系统。它检查传送到RADIUS
服务器的用户名和口令等信息是否正确，只有正确，才允许进入系统。
 
RFC  请求注解
 
Re-keying  密钥更换 – 密钥更换流程，以限制能够利用相同密钥进行加密的数据量。
 
Risk Analysis  风险分析 –
它是指系统性地发现有价值的系统资源和威胁；根据估算的频率定量分析损失
风险（即损失可能性）和风险代价，并建议如何分配资源以最大限度降低
  风险。也称为风险评估。
 
Router  路由器 –
连接两个或多个网络的硬件或软件。它查找地址并将信息发送到正确的目标
  地址，其作用相当于排序器和解释器。软件路由器有时也称为网关。
 
RSA  1977 年由麻省理工学院（MIT）的 Ron Rivest、Adi Shamir 和 Len
Adleman共同提出的一种公用密钥加密方法，RSA是这三个人的姓的首字母
  合写。
 
 
 
 
 
术语和缩略语  8 
 
 
 
术语                          定义
 
Sanitization  清除 -
删除文件、设备或系统中的机密数据，或修改数据，以致攻击数据
  无效。
 
SANS  系统管理、审计、网络、安全机构（请访问www.sans.org）
 
Security Officer  安全员 - 组织中对安全相关事务负主要责任的人员。
 
Security policy  安全策略 -
组织所采取的一系列法规、规则和手段来管理、保护和分发机密信息。 
 
Sensitive
Authentication
Data
 
Separation of
duties
 
敏感认证数据 – 与安全相关的信息（卡认证码/值、完整的追查数据和 PIN
码），用于认证持卡人，以纯文本或其他未受保护的形式显示。 
 
 
 
职责分离 -
将某一系统功能分成几个步骤让不同人员参与的一种手段，以防止过程遭受
单个人员破坏。
 
Server  服务器  -
提供类似通讯处理、文件储存或打印工具等服务给其它计算机的计算机。服务器
包括（但不限于）网络、数据库、认证、DNS、电子邮件、代理和 NTP 等
  服务器。
 
Service Code  服务代码 - 磁条上的三位或四位数字，表示受理要求和磁条读处理的限制。
 
Service Provider  服务提供商 –
它是一个业务实体，既不是支付卡品牌成员，也不是直接参与处理、存储、传输
和交换业务数据和持卡人信息或两者的商家。它还包括为商家、服务提供商或控
制或影响持卡人数据安全性的成员提供服务的公司。例如，提供托管防火墙、
  IDS和其他服务的托管服务提供商、主机服务商和其他实体。仅提供通信链路而
不能访问通信链路的应用层的电信公司除外。
 
SHA  安全散列算法 - 一组相关的加密散列算法。最常用的算法是SHA-1。
在散列函数中使用唯一的salt值可以降低散列值冲突的概率。
  SNMP  简单网络管理协议 -支持网络-
连接设备监控，确保向管理员提醒应引起注意的情况。
 
Split knowledge  知识分割 –
两个或更多个实体各自掌握部分密钥，使单个实体无法获知加密密钥的内容。
 
SQL  结构化（英语）查询语言 -
一种计算机语言，用于创建、修改和从关系数据库管理系统检索数据
 
SQL injection  SQL入侵 -
一种针对数据库驱动的网站而采取的攻击方法。攻击者通过利用连接到互联网的
系统存在的不安全代码来执行非法的SQL命令。SQL入侵攻击被用于从一般来说
  不被访问到的数据库中盗窃信息，并且／或者通过数据库所在计算机访问到组织
的主计算机。
 
 
 
 
 
 
术语和缩略语  9 
 
 
 
术语                          定义
 
SSH  安全 shell -
为网络服务（如远程登录或远程文件传输）提供加密的协议集
SSID  服务集标识符。为无线WiFi或IEEE 802.11网络分配的名称
SSL  安全散列算法 - 加密套接字协议层 - SSL作为已经建立的工业标准，对网页  
  浏览器和网站服务器之间的通道进行信息加密，确保通过此通道传递的数据的
  保密性及可靠性。
 
 
Strong
Cryptography
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
System
Components
 
强壮加密 –
一个通用术语，表示极难被破译的加密算法。也就是说，使用这种加密方法（
算法或协议），将不会暴露加密密钥或受保护的数据。加密的强壮性取决于所
使用的加密密钥。密钥的有效长度应不低于可比较的强度建议所要求的最低密
钥长度。请参阅最低可比较强度备注参考材料 - NIST Special Publication
800-57800-57,August, 2005 (http://csrc.nist.gov/publications/)
或其他符合以下最低可比较密钥位安全性的加密强度：
 
 
•  对于基于密钥的系统（例如 TDES），应不低于 80 位。
 
•  对于基于因子的公用密钥算法（例如 RSA），应不低于 1024 位。
 
 
•  对于使用最低 160 位大次组（large subgroup）的离散对数据（例如
Diffe-Hellman）的加密算法（例如 DSA），就不低于 1024 位。
 
•  对于椭圆曲线加密方法（例如 ECDSA），应不低于 160 位。
 
 
系统组件 –
包括在持卡人数据环境中或连接到数据环境的任何网络组件、服务器或应用。
 
TACACS  终端访问控制器访问控制系统。它是一种认证协议。
 
Tamper-resistance  硬体抗侵入 -
一种难以被修改或破坏的系统，即使对系统进行物理访问也是如此。
 
TCP  传输控制协议
 
TDES  三重数据加密标准，也称为3DES。  
 
TELNET  TELNET -
一种电话网络协议通常用于提供面向用户的命令行登录会话，用于通过互联网
登录主机。它最初用于模拟连接到其他计算机的终端。
 
Threat  威胁 –
可能造成信息处理资源被蓄意地或意外地丢失、修改、暴露、不可访问或使组织
受到损害的状况。
 
TLS  传输层安全 -
其目的是为了保障两个互相通信的应用之间的数据机密性和数据完整性。TLS是S
SL是的继任者。
 
Token  令牌 - 执行动态验证的一种设备。
 
Transaction data  交易数据 – 与电子支付相关的数据
 
Truncation  截断 –
删除数据段的一种方法一般来说，在账号被截断时，前12位数字被删除，仅
保留最末4位数。
 
 
术语和缩略语  10 
 
 
 
术语                          定义
 
Two-factor
authentication
 
 
 
双因子验证 –
一种要求用户出示两种证明措施的验证方法：一是用户持有（例如智能卡或个人
持证），二是用户知道（例如密码）。为了访问系统，用户必须持有两者。 
 
UDP  用户数据报协议
 
UserID  用户ID - 用作区分系统中每个用户的唯一标识字串。
 
Virus  病素 - 能修改或破坏软件或数据的一种程序、代码串，并能够自我复制。
 
VPN  虚拟专用网 -通过公用网络建立的专用网络
 
Vulnerability  弱点 -
系统的安全程序、系统设计、系统执行或内部控制上存在的弱点，攻击者可
利用这些弱点进行侵犯系统安全策略的行为。
 
Vulnerability Scan  弱点扫描 -
用于自动检测商户或服务供应商系统漏洞的工具，基于外部界面的互联网协议
地址，可对使用公网 IP 地址的网络和网站应用程序进行远程检测。
  操作系统、服务及设备的漏洞（可被黑客用来攻击公司局域网）可用扫描工具
识别。
 
WEP  有线等效保密 - WEP
协议可以防止意外窃听，旨在提供与传统有线网络不相上下的机密性。它不
能提供防御有意窃听（例如破译）的足够安全性。
 
WPA  WiFi保护访问（WPA和WPA2）-
无线（WiFi）网络的安全协议。其作用是弥补WEP协议的若干严重弱点。
 
XSS  跨站脚本攻击 - 通常存在于 Web
应用中的安全弱点。攻击者可以使用XSS获得较高的权限，以访问机密页面
  内容、会话cookie和其他各种内容。
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
术语和缩略语  11