我找不到任何有关此问题的信息和直接答案。我可能一直在谷歌搜索错误的东西。
我们有多个 IVR，其中 2 个接受电话信用卡付款。这两个 IVR 都使用 RTP 而不是 SRTP 或某些安全/加密层。从安全角度来看，这有多令人担忧？对于通过 VOIP 接受 CC 付款的人来说，最低 PCI 合规性要求是什么？
我们目前使用基于 UDP 的 SIP，而不是 SIPS。对于 dtmf 输入，我们使用 rfc2833 over RTP。
将问题分为两部分：
从安全角度来看，这有多令人担忧？ 这是令人担忧的，它不会通过 PCI 审核，测试可以获取或拦截使用 RTP 连接传输的一些数据，可以使用一系列频率（一对正弦音调）轻松地使用 DTMF 解码器进行解码在不使用加密的情况下审核您的云/私有云解决方案的人将确定用户按下的每个频率音：
通过 VoIP 接受 CC 付款的最低 PCI 合规性要求是什么？ 最低限度是访问控制，例如 EntraID 或 Active Directory 或您自己的访问控制，在这种情况下，IVR 必须做到这一点，尽管我们主要不是将用户作为身份进行管理，或者也许您会这样做，数据加密来自工作经验Microsoft，您可以创建中间件模块或其他东西来加密传输中的数据，我们使用的方式是使用 Stripe 和一些 .Net 包，因为我们将 SRTP 与 Microsoft Teams Phone 一起使用，它已经包含了它（https://learn.microsoft.com/en-us/dotnet/overview/msteams-client），但如果交易数量较低，它可能不具有成本效益，请将其与安全计划结合起来或网络安全事件，使用自我外部漏洞扫描，例如雇用一家也对 PCI 进行审计的公司。许多其他要求：https://stripe.com/en-us/guides/pci-compliance，但正如 Stripe 所总结的那样，拥有所有这些对于用户来说仍然不够，但对于审计来说已经足够了，在审核期间，请确保您制定了内部审核计划，因为他们也可能会要求这样做（定期安全测试），您的解决方案的源代码还必须使用加密，例如 libffi、BCrypt 或证书基于，任何可以轻松地将真正的双音对更改为其加密版本的东西（您可以使用此示例，但需要在处理信息之前进行更改以加密信息https://github.com/hfeeki/dtmf/blob /master/dtmf-decoder.py 因为这个本身不会通过审核）在审核期间他们可能会要求查看解决方案的源代码以确保它符合 PCI 合规性，我会要求他们签署一份 NDA 。或者在审核后也更改加密模块。