계정 정보 API

계정 정보를 사용하여 사이트를 이용하는 여행자 확인

계정 정보 API에는 각 여행자에 대한 세부 정보가 포함되어 있습니다. 익스피디아 직원은 이를 사용하여 구매, 로열티 사용, 취소 등을 위해 여행자의 고유 식별자를 확인합니다. 이 고유 식별자는 요구 사항 또는 보안 표준에 따라 신용카드 번호(결제 카드 업계(PCI) 식별자) 또는 이메일 주소 또는 로열티 계정 번호와 같은 non-PCI 식별자 중 하나 일 수 있습니다.

자세한 내용은 공통 데이터 및 응답 을 참조하세요.

계정 정보 가져오기

이 필드 세트로 POST /user/v1/account를 사용하여 로열티 회원 또는 카드 소유자의 계정 정보를 가져올 수 있습니다.

헤더

요청

membershipId, loyaltyAccountNumber, cardNumber, 또는 email을 필수 매개변수로 설정해야 합니다. 계정 관리자가 고객과 협력하여 고객의 요구사항에 따라 가장 적합한 방법을 정의합니다.

참고:cardNumber 을 식별자로 사용하는 경우 아래의 cardDetails및 billingAddress표도 검토해야 합니다. 다른 매개변수에는 이 데이터가 필요하지 않습니다.

응답

programAccount

cardDetails

billingAddress

사용자

신용카드 암호화 및 암호 해독

인증 시 cardNumber을 여행자 식별자로 사용하는 경우 일부 정보를 암호화해야 합니다. Expedia는 신용카드 정보 암호화 및 복호화를 위해 industry-standard JWE(JSON 웹 암호화) 기술인 공개 및 개인 키 쌍을 사용한 비대칭 암호화를 사용하여 PCI 정보를 안전하게 처리해야 합니다.

암호화 사용 사례

암호화가 수행되어야 하는 부분은 다음과 같습니다.

• 요청: cardNumber
• 응답: cardDetails

요청 매개변수에서 2048비트 CA(인증 기관) 서명 RSA(Rivest Shamir Adleman) 개인 키 인증서를 설정하고 이를 Expedia와 공유해야 합니다. 그런 다음 공개 키로 JWE 및 RSA를 사용하여 cardNumber 필드를 암호화합니다.

응답 매개변수에서 2048비트 CA 서명 RSA 개인 키를 설정하고 해당 공개 키 인증서를 공유하여 파트너사와 공유합니다. 그런 다음 Expedia 공개 키로 JWE 및 RSA를 사용하여 cardDetails의 각 요소를 암호화합니다.

암호화 프로세스의 단계는 아래와 같습니다.

단계별 암호화

1단계: 공개 인증서를 가져와서 RSA 2048 공개 키를 받습니다.

1. 256비트 길이의 RSK(무작위 대칭 키)를 생성합니다.
2. RSA-OAEP-256 알고리즘으로 RSA 2048 공개 키를 사용하여 RSK를 암호화합니다.

2단계: 96비트 길이의 무작위 IV(초기화 벡터)를 생성합니다.

3단계: RSK, IV, 알고리즘 A256GCM으로 일반 텍스트 데이터를 암호화하여 암호 텍스트와 인증 태그 데이터를 구성합니다.

4단계: 암호 텍스트를 Base64URL 인코딩하여 Base64URL(JWE 암호 텍스트)을 생성합니다.

5단계: 인증 태그, IV, RSK 및 JWE 헤더 JSON을 Base64URL 인코딩하여 다음을 생성합니다.

• 인증 태그 데이터: Base64URL(JWE 인증 태그)
• IV: Base64URL(JWE 초기화 벡터)
• RSK: Base64URL(JWE 암호화 키)
• JWE 헤더 JSON: Base64URL(UTF8(JWE 헤더))

그런 다음 마침표('.')로 구분된 Base64URL 인코딩 부분으로 구성된 컴팩트 형식으로 JWE 객체를 직렬화하여 다음을 생성합니다.

Base64URL (UTF8)(JWE 헤더) || '.' || Base64URL(JWE 암호화 키) || '.' || Base64URL(JWE 초기화 벡터) || '.' || Base64URL(JWE 암호 텍스트) || '.' || Base64URL(JWE 인증 태그)

public String encryptWithJWE(String plainText){
    X509Certificate publicCertificate = <fetch public cert>
    //get RSA public key
    final X509EncodedKeySpec publicKeySpec = new 
    X509EncodedKeySpec(publicCertificate.getPublicKey().getEncoded());
    final KeyFactory keyFactory = KeyFactory.getInstance("RSA");
    RSAPublicKey rsaPublicKey = (RSAPublicKey) keyFactory.generatePublic(publicKeySpec);
    //get keyID
    String keyID = certificateManager.getKid(publicCertificate);
    // Create JWE Header containing the needed metadata for encryption and decryption
    JWEHeader jweHeader = new JWEHeader.Builder(JWEAlgorithm.RSA_OAEP_256, EncryptionMethod.A256GCM)
        .type(JOSEObjectType.JWT)
        .customParam(IAT, System.currentTimeMillis())
        .keyID(keyID)
        .build();
/*

{
"alg":"RSA-OAEP-256",
"typ":"JWT",
"enc":"A256GCM",
"iat":<Time (in UTC) when JWE was issued, expressed in UNIX epoch time (seconds since 1 January, 1970)>,
"kid":<Key ID or subject key Identifier from the public key certificate>
}
*/
    JWEObject jweObject = new JWEObject(jweHeader, new Payload(plainText));
    RSAEncrypter encrypter = new RSAEncrypter(rsaPublicKey);
    jweObject.encrypt(encrypter);
    return jweObject.serialize();
    }

요청 시 카드 번호 암호 해독

익스피디아는 요청 시 cardNumber을 암호화합니다. 암호 해독 경로는 암호화 경로의 반대입니다.

1. 암호화된 JWE를 받으면 JWE의 첫 번째 섹션인 JOSE 헤더를 디코딩하여 알고리즘, 암호화 및 keyId (alg, enc, kid)를 확인해야 합니다.
2. 그런 다음 iat (issued-at: JWT 발급 시간)의 유효성을 검사하여 현재 시간과 5분 이상 차이가 나지 않는지 확인합니다. (토큰은 5분 후 만료됩니다.)
3. 다음으로, 개인 키를 가져와 JWE 암호화 키를 암호 해독합니다.
4. 그런 다음, 암호 해독된 RSK, JWE 초기화 벡터, JWE 인증 태그를 사용하여 JWE 암호 텍스트 매개변수를 암호 해독하고 검증할 수 있습니다.

public String decryptJWE(String jweString) {
    PrivateKey privateKey = <fetch private key>;
    RSAPrivateKey rsaPrivateKey = (RSAPrivateKey) privateKey;
    JWEObject jweObject = JWEObject.parse(jweString);
    JWEHeader jweHeader = jweObject.getHeader();validateJweHeader(jweHeader);
    RSADecrypter rsaDecrypter = new RSADecrypter(rsaPrivateKey);
    jweObject.decrypt(rsaDecrypter);
    return jweObject.getPayload().toString();
}

API 세부 정보

신용카드 정보가 없는 경우

신용카드 정보가 있는 경우