Loading....
Loading....

    Posted by 2fingers in Romanian News

    Posted on June 14th, 2009

    Am citit aici un articol despre situatia magazinelor online din Romania. Mi-a atras atentia urmatorul rand:

    nici un magazin din Romania nu stocheaza datele despre cartile de debit/credit pentru ca nu are de ce – procesarea platilor se face extern iar datele pot fi decat introduse de cumparator.

    Eczista o problema. Daca procesarea platilor se face printr-un sistem extern dar formularul se afla pe paginile shop-ului, o vulnerabilitate ce ofera posibilitatea de modificare a datelor de pe serverul unde este shop-ul hostat ii poate permite unui atacator sa introduca inca un form in acel formular care ii va trimite si lui datele completate de catre clienti. Chiar si un SQL Injection permite in destule cazuri acces mare pe server asa ca nu e de glumit cu vulnerabilitatile antice dar intalnite la tot pasul.

    Deci folosirea procesarii externe nu garanteaza neaparat securitatea datelor de pe card.

    Related Posts

    10 Responses to “Scurt si la obiect”

    1. Ovidiu Says:

      Gresit. Formularul exista doar pe paginile procesatorului, peste o conexiune SSL. La procesator se trimit intr-un POST doar datele despre produsele din comanda, restul detaliilor despre plata se introduc doar la procesator.

    2. 2fingers Says:

      Nu-i gresit deloc. Situatia poate sa difere de la caz la caz si tocmai din cauza asta exista la inceputul frazei mele cuvantul “daca”. In situatia data de tine intr-adevar devine mai greu sa capeti acces la datele clientului dar nu e imposibil. Iti pot exemplifica foarte usor.

      1. Se da site-ul X care e shop online.
      2. Procesarea se face prin site-ul Y.
      3. Capeti acces la site-ul X
      4.1. Schimbi linkul care duce catre pagina de procesare a site-ului Y, cu un link care duce catre o pagina de-a ta, unde este formularul tau. Asta va scurta foarte mult durata de viata a accesului tau pe site-ul X dar iti poate aduce cateva conturi ale clientilor.

      Sau

      4.2. Introduci chiar in formularul site-ului X campurile necesare pe care lumea le va completa cu voiosie. Pentru ca se afla pe paginile site-ului in care au deja destula incredere incat sa dea o comanda.

      Pentru o veridicitate mai mare poti face ca la clickul pe submit sa ii apara un mic pop-up in care sa i se spuna ceva de genul “Va rugam sa completati si campul data expirarii”, dupa care va fi redirectionat catre pagina reala de procesare de pe site-ul Y. Majoritatea cumparatorilor vor considera ca au uitat sa completeze respectivul camp sau ca scriptul de pe site a avut o mica eroare.

      Metoda asta va fi sesizata ceva mai greu de administratorul site-ului pentru ca oamenii vor introduce datele si pe pagina procesatorului iar vanzarile nu vor scadea.
      5. Stai linistit in pat si astepti sa iti vina datele in mail pana cand cineva isi va da seama de problema.

      Nu trebuie sa omitem nici ca sunt multe procesatoare externe (cam toate), care iti permit sa introduci tot formularul la tine pe site contra unei mici sume de bani. E o chestiune de timp pana Romania va folosi foarte mult serviciile de procesare din afara.

    3. dblackshell Says:

      dar vedeti voi pentru procesare de carduri e nevoie de acel tert care sa o faca… nu se accepta ca fiecare site sa faca procesarea datelor. Si nu e doar la noi asa, e la toate siteurile straine.

      Exemplu pe afara e authorize.net, iar la noi romcard.ro

    4. dblackshell Says:

      uitasem sa precizez, ca la noi nu cred* ca exista impunere de standars, cum e PCI in America.

      *zic cred deoarece nu am auzit nici unde de asa ceva.

    5. 2fingers Says:

      @dblackshell – sunt site-uri din afara care isi proceseaza singuri comenzile si/sau pastreaza datele clientilor pe propriile servere. Or sa fie si la noi odata si odata.

    6. Ovidiu U Says:

      Legislatia romana nu permite procesarea de carduri pe situl tau. De asta tranzactia se face pe situri dedicate.
      Este frauda, nu e vorba daca se poate sau nu face.
      Cati dintre voi ati implementat plati cu cardul pe situri romanesti ? Nici un serviciu nu te lasa sa faci o tranzactie de card direct de pe situl tau.

    7. boogie Says:

      va rog, hackuiti garsonieraluimaruta.ro/forum. apoi, puneti baza de date la liber. :)

    8. tex Says:

      ontopic:

      @ovidiu:
      1. Eu am implementat plata directa cu cardul direct pe site-ul firmei. Vezi paypal do-direct-payment. si conditiile in care se poate face acest lucru.
      2. Nu este nici o frauda, este un simplu script care face “POST” la ei, iar in sistem la noi nu raman decat datele despre client (asta nu inseamna ca nu pot opri mai multe date sau nu se poate face ce a spus 2fingers.)
      3. Ca idee, sunt multe posibilitati de a face 2fingers.

      offtopic:
      @boogie: Site-ul ala arata ca unul de curve la cate culori are. Mai bine pune mana pe carte.

    9. tex Says:

      ( 3. Ca idee, sunt multe posibilitati de a face ce a spus 2fingers. )

      Scuze, am scris incomplet.

    10. Ovidiu Says:

      PayPal nu este procesator de plati romanesc.

    Leave a Reply