계정 정보 API

사이트를 이용하는 여행객의 계정 정보를 통해 신원을 확인하세요

계정 정보 API에는 각 여행자에 대한 세부 정보가 포함되어 있습니다. 익스피디아 담당자는 이를 통해 구매, 로열티 포인트 사용, 취소 등 다양한 절차에서 여행객의 고유 식별 정보를 확인하게 됩니다. 이 고유 식별자는 사용자의 요구 사항이나 보안 표준에 따라 신용카드 번호(지불 카드 산업(PCI) 식별자)이거나, 이메일 주소나 로열티 계정 번호와 같은 전자 신원 식별자( non-PCI )일 수 있습니다.

자세한 내용은 및 ‘일반적인 데이터 및 대응 조치’ 를 참조하십시오.

계정 정보 가져오기

이 필드 세트로 POST /user/v1/account를 사용하여 로열티 회원 또는 카드 소유자의 계정 정보를 가져올 수 있습니다.

헤더

요청

membershipId, loyaltyAccountNumber, cardNumber또는 email중 하나를 필수 매개변수로 설정해야 합니다. 담당 계정 관리자가 귀하와 협력하여 귀하의 요구 사항에 따라 어떤 방안이 가장 적합한지 결정해 드릴 것입니다.

참고: 식별자로 cardNumber을 사용하는 경우, 아래의 cardDetails및 billingAddress테이블도 함께 확인해야 합니다. 이 데이터가 필요한 다른 매개변수는 없습니다.

응답

programAccount

cardDetails

billingAddress

사용자

신용카드 암호화 및 암호 해독

검증을 위해 cardNumber을 여행자 식별자로 사용하는 경우, 일부 정보는 암호화해야 합니다. 익스피디아는 신용카드 정보를 암호화 및 복호화하기 위해 ‘ industry-standard ’ JWE(JSON 웹 암호화) 기술을 사용하여 PCI 정보를 안전하게 처리할 것을 요구합니다. 이는 공개 키와 개인 키 쌍을 사용하는 비대칭 암호화 방식입니다.

암호화 사용 사례

암호화가 수행되어야 하는 부분은 다음과 같습니다.

• 요청: cardNumber
• 답변: cardDetails

요청 매개변수에서 2048비트 CA(인증 기관) 서명 RSA(Rivest Shamir Adleman) 개인 키 인증서를 설정하고 이를 Expedia와 공유해야 합니다. 그런 다음 공개 키로 JWE 및 RSA를 사용하여 cardNumber 필드를 암호화합니다.

응답 매개변수에서 2048비트 CA 서명 RSA 개인 키를 설정하고 해당 공개 키 인증서를 공유하여 파트너사와 공유합니다. 그런 다음 Expedia 공개 키로 JWE 및 RSA를 사용하여 cardDetails의 각 요소를 암호화합니다.

암호화 프로세스의 단계는 아래와 같습니다.

단계별 암호화

1단계: 공개 인증서를 가져와서 RSA 2048 공개 키를 받습니다.

1. 256비트 길이의 RSK(무작위 대칭 키)를 생성합니다.
2. RSA-OAEP-256 알고리즘으로 RSA 2048 공개 키를 사용하여 RSK를 암호화합니다.

2단계: 96비트 길이의 무작위 IV(초기화 벡터)를 생성합니다.

3단계: RSK, IV, 알고리즘 A256GCM으로 일반 텍스트 데이터를 암호화하여 암호 텍스트와 인증 태그 데이터를 구성합니다.

4단계: 암호 텍스트를 Base64URL 인코딩하여 Base64URL(JWE 암호 텍스트)을 생성합니다.

5단계: 인증 태그, IV, RSK 및 JWE 헤더 JSON을 Base64URL 인코딩하여 다음을 생성합니다.

• 인증 태그 데이터: Base64URL(JWE 인증 태그)
• IV: Base64URL(JWE 초기화 벡터)
• RSK: Base64URL(JWE 암호화 키)
• JWE 헤더 JSON: Base64URL(UTF8(JWE 헤더))

그런 다음 마침표('.')로 구분된 Base64URL 인코딩 부분으로 구성된 컴팩트 형식으로 JWE 객체를 직렬화하여 다음을 생성합니다.

Base64URL (UTF8)(JWE 헤더) || '.' || Base64URL(JWE 암호화 키) || '.' || Base64URL(JWE 초기화 벡터) || '.' || Base64URL(JWE 암호 텍스트) || '.' || Base64URL(JWE 인증 태그)

public String encryptWithJWE(String plainText){
    X509Certificate publicCertificate = <fetch public cert>
    //get RSA public key
    final X509EncodedKeySpec publicKeySpec = new 
    X509EncodedKeySpec(publicCertificate.getPublicKey().getEncoded());
    final KeyFactory keyFactory = KeyFactory.getInstance("RSA");
    RSAPublicKey rsaPublicKey = (RSAPublicKey) keyFactory.generatePublic(publicKeySpec);
    //get keyID
    String keyID = certificateManager.getKid(publicCertificate);
    // Create JWE Header containing the needed metadata for encryption and decryption
    JWEHeader jweHeader = new JWEHeader.Builder(JWEAlgorithm.RSA_OAEP_256, EncryptionMethod.A256GCM)
        .type(JOSEObjectType.JWT)
        .customParam(IAT, System.currentTimeMillis())
        .keyID(keyID)
        .build();
/*

{
"alg":"RSA-OAEP-256",
"typ":"JWT",
"enc":"A256GCM",
"iat":<Time (in UTC) when JWE was issued, expressed in UNIX epoch time (seconds since 1 January, 1970)>,
"kid":<Key ID or subject key Identifier from the public key certificate>
}
*/
    JWEObject jweObject = new JWEObject(jweHeader, new Payload(plainText));
    RSAEncrypter encrypter = new RSAEncrypter(rsaPublicKey);
    jweObject.encrypt(encrypter);
    return jweObject.serialize();
    }

요청 시 카드 번호 암호 해독

익스피디아는 요청에 포함된 cardNumber을 암호화할 것입니다. 암호 해독 경로는 암호화 경로의 반대입니다.

1. 암호화된 JWE를 수신하면, JWE의 첫 번째 섹션인 JOSE 헤더를 해독하여 알고리즘, 암호화 방식 및 키 아이디( keyId, alg, enc, kid)를 확인해야 합니다.
2. 그런 다음 iat (JWT가 발급된 시점:issued-at: )을 확인하여 현재 시간과 5분 이내의 차이가 있는지 확인합니다. (토큰은 5분 후 만료됩니다.)
3. 다음으로, 개인 키를 가져와 JWE 암호화 키를 암호 해독합니다.
4. 그런 다음, 암호 해독된 RSK, JWE 초기화 벡터, JWE 인증 태그를 사용하여 JWE 암호 텍스트 매개변수를 암호 해독하고 검증할 수 있습니다.

public String decryptJWE(String jweString) {
    PrivateKey privateKey = <fetch private key>;
    RSAPrivateKey rsaPrivateKey = (RSAPrivateKey) privateKey;
    JWEObject jweObject = JWEObject.parse(jweString);
    JWEHeader jweHeader = jweObject.getHeader();validateJweHeader(jweHeader);
    RSADecrypter rsaDecrypter = new RSADecrypter(rsaPrivateKey);
    jweObject.decrypt(rsaDecrypter);
    return jweObject.getPayload().toString();
}

API 세부 정보

신용카드 정보가 없는 경우

신용카드 정보가 있는 경우