The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Более 5900 интернет-магазинов поражены вредоносным ПО для пе..., opennews (??), 15-Окт-16, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


14. "Более 5900 интернет-магазинов поражены вредоносным ПО для пе..."  +3 +/
Сообщение от Sabakwaka (ok), 15-Окт-16, 15:21 
>> нормальных сысадминов денег не хватило...

А ссысадмин-то тут при чтом?
Это вопрос организации путей данных при аквайринге.
Архитектурка-с.

Это проблема выбора аквайрера.
Нормальный аквайрер никогда не позволит вбивать циферки на стороне "магазина".

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

17. "Более 5900 интернет-магазинов поражены вредоносным ПО для пе..."  –4 +/
Сообщение от Аноним (-), 15-Окт-16, 16:18 
Magento - опенсорс. Стандартный набор - php+mysql, так что баги в геноме - это нормально в данном случае. :)
Ответить | Правка | Наверх | Cообщить модератору

35. "Более 5900 интернет-магазинов поражены вредоносным ПО для пе..."  +/
Сообщение от Sabakwaka (ok), 15-Окт-16, 22:44 
>> php+mysql, так что баги в геноме

пхп-мхп тут не при чтом.

Страница с формой платежа на сайте магазина — НЕ должна предлагать юзеру впечатывать данные карты.
Нормальный подход — подсоленная электронная подпись метаданных платежа.
Типа сумма, номер заказа, дата, солёное время.
С этой хернёй, валидной в течение 60 сек, на шлюз аквайрера.
Со шлюза аквайрер пустит на страничку для ввода данных карты.

Прибыль. Все сосут.

Ответить | Правка | Наверх | Cообщить модератору

49. "Более 5900 интернет-магазинов поражены вредоносным ПО для пе..."  +5 +/
Сообщение от Аноним (-), 16-Окт-16, 01:35 
> Страница с формой платежа на сайте магазина — НЕ должна предлагать юзеру
> впечатывать данные карты.

А вот еще одна вебмакака. Вопрос: что помешает хакерам на поломаном сайте показывать такую форму, забив на ламерские рассусоливания о том кто и что "должен"? С чего вебмакаки решили что хакеры ведут себя так как удобно вебмакакам?

> Нормальный подход — подсоленная электронная подпись метаданных платежа.

Если хакер поломал сайт, он может показывать на сайте что угодно. В том числе и свою форму для ввода параметров креды, отправляющую данные хзкуда. Какое хакеру при этом дело до каких-то там подписей каких-то там метаданных?

Ответить | Правка | Наверх | Cообщить модератору

61. "Более 5900 интернет-магазинов поражены вредоносным ПО для пе..."  +/
Сообщение от Аноним (-), 16-Окт-16, 11:54 
> Если хакер поломал сайт, он может показывать на сайте что угодно. В
> том числе и свою форму для ввода параметров креды, отправляющую данные
> хзкуда. Какое хакеру при этом дело до каких-то там подписей каких-то
> там метаданных?

Если бы это не была общепринятая практика попорукства, то пользователь в этом случае сразу бы насторожился, типа " а чегой-то это я должен вводить свои данные ЗДЕСЬ?"
И хоть десять форм показывай и перенаправляй ...

Ответить | Правка | Наверх | Cообщить модератору

72. "Более 5900 интернет-магазинов поражены вредоносным ПО для пе..."  +/
Сообщение от Kodir (ok), 16-Окт-16, 15:41 
> Если бы это не была общепринятая практика попорукства, то пользователь в этом
> случае сразу бы насторожился, типа " а чегой-то это я должен
> вводить свои данные ЗДЕСЬ?"

Ты слишком оптимистично оцениваешь интеллект юзеров :) Кроме того, никто вообще не смотрит на адресную строку: можно показать попап якобы платёжной системы, а это фэйк с текущего сайта.


Ответить | Правка | Наверх | Cообщить модератору

74. "Более 5900 интернет-магазинов поражены вредоносным ПО для пе..."  +4 +/
Сообщение от Аноним (-), 16-Окт-16, 16:21 
> Если бы это не была общепринятая практика попорукства,

1) Бы - не считается.
2) Пользователь ни разу не эксперт в процессинге кредитных карт.
3) Пользователь не знает и не может знать все платежные гейты и как это выглядит.
4) С другой стороны, хакер может вывесить любую форму на поломанном сайте. Даже очень похожую на некий гейт, если целью был убедительный абибос даже постоянных покупателей.

В общем если хакер поломал сайт - наиболее реалистичное допущение что юзер при этом взаимодействует с хакерским кодом и тот делает так как ему удобнее, тыря данные куда ему нравится. Плевать хотев на то как процессинг и прочий кваквайринг был задуман в оригинале. Например хакер может совсем не проводить платежи. Или проводить их со второй попытки, когда разутый лох отправится на правильную страницу. Юзеры конечно будут иногда бухтеть в саппорт, но как видим саппорты как максимум скажут что у них все безопасно, потому что HTTPS.

Ответить | Правка | К родителю #61 | Наверх | Cообщить модератору

117. "Более 5900 интернет-магазинов поражены вредоносным ПО для пе..."  –1 +/
Сообщение от Crazy Alex (ok), 18-Окт-16, 22:40 
Я вообще не пойму, в чём проблема. Есть СМС-подтверждения, есть возврат, который нормальный банк делает по любому чиху, и огребает от этого тот, кому картой расплатились, а не хозяин карты.
Ответить | Правка | Наверх | Cообщить модератору

62. "Более 5900 интернет-магазинов поражены вредоносным ПО для пе..."  +1 +/
Сообщение от YetAnotherOnanym (ok), 16-Окт-16, 12:16 
> Страница с формой платежа на сайте магазина — НЕ должна предлагать юзеру
> впечатывать данные карты.
> Нормальный подход — подсоленная электронная подпись метаданных платежа.
> Типа сумма, номер заказа, дата, солёное время.
> С этой хернёй, валидной в течение 60 сек, на шлюз аквайрера.
> Со шлюза аквайрер пустит на страничку для ввода данных карты.

Хомячёк нажал "оформить заказ", выскочила форма ввода номера карты, хомячёк ввёл номер и нажал "оплатить". Что там внутри - его не интересует, какой URL в этот момент в строке адреса - он не смотрит. Это хозяин магазина должен контролировать, какой код отгружается с его сервера в броузер покупателя. А для хозяина сайт его магазина - это инструмент, который он когда-то купил и добросовестно пользуется, не заглядывая в его нутро. Вот и выходит, что НИКТО не следит за тем, какой код выполняется на сервере и в броузере, и куда он на самом деле отправляет полученный от покупателя номер карты.

Ответить | Правка | К родителю #35 | Наверх | Cообщить модератору

64. "Более 5900 интернет-магазинов поражены вредоносным ПО для пе..."  +4 +/
Сообщение от КО (?), 16-Окт-16, 12:34 
> какой URL в этот момент в строке адреса - он не смотрит.

Учитывая, что "модные стильные молодежные" браузеры прячут эту самую строку и даже если и показывают, то не совсем то, откуда собираются качать контент, то смотри не смотри...

Ответить | Правка | Наверх | Cообщить модератору

96. "Более 5900 интернет-магазинов поражены вредоносным ПО для пе..."  –2 +/
Сообщение от Sabakwaka (ok), 17-Окт-16, 01:15 
> Хомячёк нажал "оформить заказ", выскочила форма...

ХомячОк нажал "оформить заказ", — НЕ выскочила форма, хомячок.
В этом смысл, хомячок.
НЕ выскакивает форма, хоть бы ты, хомячок, коню отдался :)
НЕ выскакивает :)

Ответить | Правка | К родителю #62 | Наверх | Cообщить модератору

101. "Более 5900 интернет-магазинов поражены вредоносным ПО для пе..."  +1 +/
Сообщение от Анонимный Алкоголик (??), 17-Окт-16, 05:16 
> Хомячёк нажал "оформить заказ", выскочила форма ввода номера карты, хомячёк ввёл номер
> и нажал "оплатить". Что там внутри - его не интересует, какой
> URL в этот момент в строке адреса - он не смотрит.

Ну раз не интересует, то всё в порядке. Хоть там и шиш (без масла).

Ответить | Правка | К родителю #62 | Наверх | Cообщить модератору

118. "Более 5900 интернет-магазинов поражены вредоносным ПО для пе..."  +/
Сообщение от Crazy Alex (ok), 18-Окт-16, 22:44 
Собственно, если ты штатовский хомячок - то это самый правильный подход. А дальше - заявление, и пусть банк с визой возятся, они это умеют прекрасно. Тут проблема ровно в том, что в некорых диких местностях некоторые банки платежи реализовали, а защиту владельца - ни хрена. А кто хотел - у того Visa 3d-secure, явное открыти лимита на платежи в интернете и т.д.
Ответить | Правка | К родителю #62 | Наверх | Cообщить модератору

65. "Более 5900 интернет-магазинов поражены вредоносным ПО для пе..."  +1 +/
Сообщение от pkdr (ok), 16-Окт-16, 12:53 
> Нормальный аквайрер никогда не позволит вбивать циферки на стороне "магазина".

Вообще-то позволяют. Но те, кому такое позволяют должны проводить через себя достаточно много платежей, соблюдать все требования PCI DSS и регулярно проходить аудит своей системы на соответствие этим требованиям и регулярно проводить тесты на взломоустойчивость.

И это даже более-менее работает, несмотря на то, что и сам PCI DSS штука довольно странная, иногда нелогичная и некоторые требования устарели. Да и реализуют его частенько спустя рукава, лишь бы бумажка была о соответствии. Ну а уж "тесты на взломоустойчивость" - по факту вообще ерунда - запускают готовый набор для скрипткиддисов, пытающийся перебрать известные дыры всяких джумловордпрессодрупалов.

Ответить | Правка | К родителю #14 | Наверх | Cообщить модератору

97. "Более 5900 интернет-магазинов поражены вредоносным ПО для пе..."  +/
Сообщение от Sabakwaka (ok), 17-Окт-16, 01:39 
>>сам PCI DSS и реализуют его частенько спустя рукава...

Нормально реализуют.
Клиент в полной безопасности.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру