Account Information API

Account Information API には各顧客の詳細情報が含まれています。テンプレートサイトでは、シングルサインオン (SSO) プロトコルの一部としてこの情報を使用してユーザーのアカウントを検証します。購入やロイヤルティの利用などに使用されます。

ユーザーアカウントの詳細を取得するリクエストの一環として、エクスペディアエージェントが旅行者の一意の識別子 (たとえば、クレジットカード番号) を検証するためにこの API を使用することもできます。受け取った詳細は、旅行者のショッピングや予約を進める前に、電話で旅行者の本人確認を行うために使用されます。

追加情報については、一般的なデータとレスポンスに関するページをご覧ください。

クレジットカードの暗号化と復号化

エクスペディアでは、クレジットカード情報の暗号化と復号化に業界標準の JWE (JSON Web 暗号化) 技術を使用しています (公開鍵と秘密鍵のペアを使用した非対称暗号化)。

暗号化のユースケース

以下で暗号化を行う必要があります。

• リクエスト : cardNumber
• レスポンス : cardDetails

リクエストパラメーターでは、貴社が 2048 ビットの CA (認証局) 署名 RSA (Rivest Shamir Adleman) 秘密鍵証明書を設定し、エクスペディアと共有する必要があります。次に、エクスペディアでは貴社の公開鍵を使って、JWE と RSA で cardNumber フィールドを暗号化します。

レスポンスパラメーターでは、エクスペディアが 2048 ビットの CA 署名 RSA 秘密鍵を設定し、対応する公開鍵証明書を共有し、貴社と共有します。その後、貴社でエクスペディアの公開鍵を使用して、JWE と RSA で cardDetails の各要素を暗号化します。

暗号化プロセスの手順は以下のとおりです。

暗号化 (ステップ別)

ステップ 1 : 公開証明書を取得して RSA 2048 公開鍵を取得します。

1. 256 ビット長のランダムな対象鍵 (RSK) を生成します。
2. RSA-OAEP-256 アルゴリズムを使用し、RSA 2048 公開鍵で RSK を暗号化します。

ステップ 2 : 96 ビット長のランダム初期化ベクトル (IV) を生成します。

ステップ 3 : RSK、IV、アルゴリズム A256GCM を使用して平文データを暗号化し、暗号文と認証タグデータを作成します。

ステップ 4 : 暗号文を Base64URL でエンコードして Base64URL (JWE 暗号文) を生成します。

ステップ 5 : 認証タグ、IV、RSK、JWE ヘッダー JSON を Base64URL でエンコードして以下を生成します。

• 認証タグデータ : Base64URL (JWE 認証タグ)
• IV : Base64URL (JWE 初期化ベクトル)
• RSK : Base64URL (JWE の暗号化された鍵)
• JWE ヘッダー JSON : Base64URL (UTF8 (JWE ヘッダー))

次に、ピリオド ('.') で区切られた、Base64URL でエンコードされたパーツから成るコンパクトなフォーマットに JWE オブジェクトをシリアル化して以下を生成します。

Base64URL (UTF8) (JWE ヘッダー) || '.' || Base64URL (JWE の暗号化された鍵) || '.' || Base64URL (JWE 初期化ベクトル) || '.' || Base64URL (JWE 暗号文) || '.' || Base64URL (JWE 認証タグ）

public String encryptWithJWE(String plainText){
    X509Certificate publicCertificate = <fetch public cert>
    //get RSA public key
    final X509EncodedKeySpec publicKeySpec = new 
    X509EncodedKeySpec(publicCertificate.getPublicKey().getEncoded());
    final KeyFactory keyFactory = KeyFactory.getInstance("RSA");
    RSAPublicKey rsaPublicKey = (RSAPublicKey) keyFactory.generatePublic(publicKeySpec);
    //get keyID
    String keyID = certificateManager.getKid(publicCertificate);
    // Create JWE Header containing the needed metadata for encryption and decryption
    JWEHeader jweHeader = new JWEHeader.Builder(JWEAlgorithm.RSA_OAEP_256, EncryptionMethod.A256GCM)
        .type(JOSEObjectType.JWT)
        .customParam(IAT, System.currentTimeMillis())
        .keyID(keyID)
        .build();
/*

{
"alg":"RSA-OAEP-256",
"typ":"JWT",
"enc":"A256GCM",
"iat":<Time (in UTC) when JWE was issued, expressed in UNIX epoch time (seconds since 1 January, 1970)>,
"kid":<Key ID or subject key Identifier from the public key certificate>
}
*/
    JWEObject jweObject = new JWEObject(jweHeader, new Payload(plainText));
    RSAEncrypter encrypter = new RSAEncrypter(rsaPublicKey);
    jweObject.encrypt(encrypter);
    return jweObject.serialize();
    }

リクエスト内のカード番号の復号化

エクスペディアがリクエスト内の cardNumber を暗号化します。復号化パスは暗号化パスを逆さまにしたものです。

1. 暗号化された JWE を受信したら、JWE の最初のセクションである JOSE ヘッダをデコードして、アルゴリズム、暗号化、keyId (alg、enc、kid) を特定する必要があります。
2. その後、iat (issued-at : JWT が発行された時刻) を検証し、現在の時刻と 5 分以上ずれていないことを確認します (トークンは 5 分後に失効します)。
3. 次に、秘密鍵を取得して JWE 暗号鍵を復号化します。
4. その後、復号化された RSK、JWE 初期化ベクトル、JWE 認証タグを使用して、JWE 暗号文パラメーターを復号化し、それを検証できます。

public String decryptJWE(String jweString) {
    PrivateKey privateKey = <fetch private key>;
    RSAPrivateKey rsaPrivateKey = (RSAPrivateKey) privateKey;
    JWEObject jweObject = JWEObject.parse(jweString);
    JWEHeader jweHeader = jweObject.getHeader();validateJweHeader(jweHeader);
    RSADecrypter rsaDecrypter = new RSADecrypter(rsaPrivateKey);
    jweObject.decrypt(rsaDecrypter);
    return jweObject.getPayload().toString();
}

アカウント情報の取得

POST /user/v1/account でロイヤルティ会員やカード名義人のアカウント情報を取得するために、次のフィールドを使用します。

ヘッダー

リクエスト

レスポンス

ProgramAccount

ユーザー情報

注 : cardDetails フィールドのいずれかが入力されている場合、* 印のついたフィールドは必須です。これらのフィールドのデータはすべて暗号化されます。

API の詳細

クレジットカード情報なし

クレジットカード情報あり