<![CDATA[מה הדרישות אבטחה לסליקת אשראי באתר?]]>אני בונה אתר שבו יהיה אופציה לשלם בכרטיס אשראי
אני לא מתכנן לשמור את הנתוני אשראי במסד נתונים
אבל אם מישהו פורץ הוא יוכל להאזין לתעבורה ולראות מה נשלח
השאלה מה צריך להתקין להגדיר כדי להגן על השרת לפחות מפריצות קלאסיות?
נ.ב. מדובר בשרת VPS אם זה משנה

]]>https://tchumim.com/topic/5890/מה-הדרישות-אבטחה-לסליקת-אשראי-באתרRSS for NodeWed, 16 Sep 2026 00:57:21 GMTTue, 09 Jul 2019 09:23:37 GMT60<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Sun, 22 Sep 2019 13:07:03 GMT]]>@dovid
איזה בושות😕
לא השתמשתי בHTTPS
כמובן שעכשיו שיניתי לPOST ולHTTPS
אני מקווה שלא נוצר שום נזק מהטעות הזאת

]]>https://tchumim.com/post/76685https://tchumim.com/post/76685Sun, 22 Sep 2019 13:07:03 GMT<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Sun, 22 Sep 2019 11:14:08 GMT]]>@nigun זה לא קשור. פעם הבאה תשתדל שיהיה נושא לכל נושא - זה מאוד טוב בשביל מי שקורא/מחפש.
ההשלכות שעולות לי בראש בשימוש בGET הם מטמון לאורך הרשת (לא רלוונטי במקרה שלך בגלל שאני מקוה שאתה עובד עם SSL-https), הגבלת גודל הURL (הפרמטרים מוגבלים באורכם), פגיעות להתקפה ע"י שתילת הכתובת בצד לקוח במגוון דרכים.
בכל מקרה מוסכמה צריך לכבד גם בלי השלכות כי יכולות להיוולד השלכות בעתיד, והסיבה היחידה להשתמש בGET זו עצלות.

]]>https://tchumim.com/post/76673https://tchumim.com/post/76673Sun, 22 Sep 2019 11:14:08 GMT<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Sun, 22 Sep 2019 10:22:25 GMT]]>@dovid
אצלי זה קשור אחד לשני כי פתחתי את האשכול הזה
בגלל אותו פרוייקט וזה עדיין ממשיך את השאלה של "איך מאבטחים סליקת אשראי"
אבל אם זה לא קשור אין לי בעיה לפתוח את זה בנושא חדש

לעניינו השאלה היא מה ההשלכות של השימוש בGET חוץ מזה שזה נרשם בלוג (האמת היא שגם POST ירשם אצלי בלוג של ימות כי אני מחזיר את ההקשה לימות כדי שיקריא ללקוח את הפרטים שהוא הקיש)

]]>https://tchumim.com/post/76669https://tchumim.com/post/76669Sun, 22 Sep 2019 10:22:25 GMT<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Sun, 22 Sep 2019 09:10:49 GMT]]>@nigun מה זה קשור לנושא הקיים?
בטח שצריך בפוסט. get מיועד לגשת למידע, שאין לה השפעה של ממש על מקבל הבקשה.
בקשה שמטרתה שהמקבל "יעשה משהו" צריכה להיעשות בpost, ולמוסכמה הזו יש לזה כמה וכמה השלכות מעשיות (כמו זו שהזכרת).

]]>https://tchumim.com/post/76668https://tchumim.com/post/76668Sun, 22 Sep 2019 09:10:49 GMT<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Sun, 22 Sep 2019 05:30:36 GMT]]>אני משתמש בסליקת אשראי של יעד שריג
וכיוון שאין להם הגדרה בימות המשיח בניתי API בעצמי
הבעיה היא שהנתונים נשמרים בלוג של ההקשות בימות וכן נשמרים בלוג של הHTTP בשרת שלי
האם זה בעיה? האם יש מעלה בשימוש בPOST במקום GET?

]]>https://tchumim.com/post/76666https://tchumim.com/post/76666Sun, 22 Sep 2019 05:30:36 GMT<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Wed, 10 Jul 2019 10:49:25 GMT]]>@clickone אמר במה הדרישות אבטחה לסליקת אשראי באתר?:

בפלאכארד למשל הם יכולים לעדכן לך את הטוקן אצלם מהכספת אוטומטית.

איך?
זה מאד יעזור לי!

]]>https://tchumim.com/post/66908https://tchumim.com/post/66908Wed, 10 Jul 2019 10:49:25 GMT<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Wed, 10 Jul 2019 10:27:00 GMT]]>@WWW אמר במה הדרישות אבטחה לסליקת אשראי באתר?:

כיום ברוב הכרטיסים מוחלף גם המספר נראה לי.

לפי ידיעתי לא מוחלף המספר במקרה של תוקף חדש.
וכדי לעדכן טוקן בתוקף, אתה צריך לתת גם את המספר כרטיס. א"א לעדכן תוקף בלבד. (ברוב החברות...)

וכמובן יש כאלו שיש להם עידכונים מהכספתת ששם מקבלים את התוקף החדש או את מספר הכרטיס החדש במקרה גניבה/אובדן, ובזה זה תלוי איזה תוכנה יש להם ואיזה סולק.
בפלאכארד למשל הם יכולים לעדכן לך את הטוקן אצלם מהכספת אוטומטית.

@WWW אמר במה הדרישות אבטחה לסליקת אשראי באתר?:

או כדי לעשות חיוב מיידי וכשלא רוצים להשתמש בתוקף.

לא הבנתי.

סליחה, התכוונתי ללא שימוש בטוקן (כתבתי בטעות בתוקף)

]]>https://tchumim.com/post/66907https://tchumim.com/post/66907Wed, 10 Jul 2019 10:27:00 GMT<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Wed, 10 Jul 2019 10:08:54 GMT]]>@clickone אמר במה הדרישות אבטחה לסליקת אשראי באתר?:

בפרקטיקה משתמשים בפונקצייה הזו, לפעמים כדי לעדכן תוקף חדש וכו'

כיום ברוב הכרטיסים מוחלף גם המספר נראה לי.
וגם אם לא, התוקף הוא לא + 3 שנים...

איך באמת מתמודדים עם זה.

או כדי לעשות חיוב מיידי וכשלא רוצים להשתמש בתוקף.

לא הבנתי.

]]>https://tchumim.com/post/66905https://tchumim.com/post/66905Wed, 10 Jul 2019 10:08:54 GMT<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Tue, 09 Jul 2019 22:22:30 GMT]]>@dovid אמר במה הדרישות אבטחה לסליקת אשראי באתר?:

אולי אסור לאחסן את השם והסיסמה בכלל בשרת?

בפרקטיקה אין מצב לזה....
נניח שיש לך תוכנה (שכתובה כאתר / אקסס / WPF מה שתרצה....) שמקבלת אשראי כתרומות
עכשיו, בכל פעם שמתקבלת תרומה, הנציג לא יודע מה באמת קורה מאחורי הקלעים. הוא פשוט מזין את הפרטים וזה מעביר. (ז"א, גם אם זה בתצורת רידיירקט שהיא הכי בטוחה, מישהו פונה לפני לשרת כדי לקבל כתובת לבקשת כרטיס)
השם משתמש והסיסמא חייב להיות שמור איפשהוא, גם מבחינה פרקטית, וגם מבחינת אבטחה, א"א שהסיסמא של הטוקנים תהיה אצל כל פקיד / מזכירה 😮
זה גם ישגע אותם, וגם מסוכן.

ובמקסימום, תוכל במצב כזה על המחשב לראות פתק שעליו כתוב : הסיסמא של האשראי היא XXXXX 😮
ראיתי בעבר משהו כזה אצל אחד הלקוחות שלי על הסיסמא של מנב"ס.
צחקתי המון כשראיתי את זה. אבל זה עצוב 😞

]]>https://tchumim.com/post/66894https://tchumim.com/post/66894Tue, 09 Jul 2019 22:22:30 GMT<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Tue, 09 Jul 2019 22:17:38 GMT]]>@clickone אהה פספסתי. זה פשוט הזוי, אם יש פונקציה לקבל את המספר כולו זה באמת ממש בדיחה.
אולי אסור לאחסן את השם והסיסמה בכלל בשרת?

]]>https://tchumim.com/post/66893https://tchumim.com/post/66893Tue, 09 Jul 2019 22:17:38 GMT<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Tue, 09 Jul 2019 22:12:17 GMT]]>@dovid צודק.
ולכן לכאורה יש עדיפות לטוקן.
מצד שני, אם אני שם את עצמי במקום של תוקף, והצלחתי לשים את היד על DB כזה
עד שישימו לב שיש דליפה, יש לי את כל מספרי האשראי שלו....
ואז לא יעזור שיבטלו את הטוקנים
אגב לכאורת בעת דליפה לא צריך לבטל את הטוקנים, רק להחליף סיסמא......

]]>https://tchumim.com/post/66892https://tchumim.com/post/66892Tue, 09 Jul 2019 22:12:17 GMT<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Tue, 09 Jul 2019 22:10:10 GMT]]>@clickone אני לא מבין בזה כלום אבל מהתיאור שלך עדיין עולה שטוקן + שם וסיסמה, זה עדיין לא אשראי.
החברה מבטלת אחרי שמתבררת הדליפה את כל הטוקנים של העסק המודלף וזהו.

]]>https://tchumim.com/post/66888https://tchumim.com/post/66888Tue, 09 Jul 2019 22:10:10 GMT<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Tue, 09 Jul 2019 21:59:24 GMT]]>@WWW החברות סליקה חייבים לתת אותה בשביל לקוחות הקצה של הבתי תוכנה (שזה אומר הסולקים בפועל)
בפרקטיקה משתמשים בפונקצייה הזו, לפעמים כדי לעדכן תוקף חדש וכו'
או כדי לעשות חיוב מיידי וכשלא רוצים להשתמש בתוקף.

והחברות סליקה חייבות לתת את זה, אחרת יהיה מאד קשה להתנהל מול הטוקן

]]>https://tchumim.com/post/66884https://tchumim.com/post/66884Tue, 09 Jul 2019 21:59:24 GMT<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Tue, 09 Jul 2019 20:19:17 GMT]]>@clickone אמר במה הדרישות אבטחה לסליקת אשראי באתר?:

ומכאן הדרך זריזה לקבל את מספר האשראי ע"י פונקציית convertTokenToCc
בעבר אמר לי מישהו מתוך אחת חברות הסליקה, שהפונקצייה הזו היא הפרת התקן בצורה הכי גסה שיש, אבל אין ברירה וחייבים את הפונקצייה הזו, ולכן היא נמצאת.

למה חייבים אותה?

]]>https://tchumim.com/post/66840https://tchumim.com/post/66840Tue, 09 Jul 2019 20:19:17 GMT<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Tue, 09 Jul 2019 19:24:25 GMT]]>@מנצפך
השאלה איך עקצת את הטוקן.
אם זה בדגימת הבקשה, אז יש את השם משתמש והסיסמא שם.
אם זה דליפת DB, אז ברוב המוחלט של המקרים יש את שם המשתמש והסיסמא בטבלה אחרת.

@מנצפך אמר במה הדרישות אבטחה לסליקת אשראי באתר?:

(ולדעתי לא צריך להאמין לכל מילה שאדם מכל תחום אומר, לפעמים יש הגזמות או אי הבנות).

מי שאמר לי את זה מכהן כיום כסמנכ"ל באחת מחברות הסליקה, ובעבר היה יועץ לוועדות הכנסת בנושא אבטחת סליקת אשראי.
כך שאני נוטה כן לקבל את דבריו, ולפחות להתייחס להם באמינות.

יש לך מקור למה שכתבת?

עריכה:
הנה מקור באתר פלאכארד - שם רואים שרק במקרה של דליפה יש חשיפה לקנסות
https://www.pelecard.com/homesites/pageGen.asp?Page=21605
Screenshot of שאלות ותשובת על תקן PCI _ פלאקארד ותקן PCI.jpg

]]>https://tchumim.com/post/66834https://tchumim.com/post/66834Tue, 09 Jul 2019 19:24:25 GMT<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Tue, 09 Jul 2019 18:48:41 GMT]]>@clickone
לא מחייב שאם הצלחת לעקוץ את הטוקן, יהיה לך גם שם וסיסמה. כמובן שזה לא מושלם, אבל וודאי שמועיל הרבה.

(ולדעתי לא צריך להאמין לכל מילה שאדם מכל תחום אומר, לפעמים יש הגזמות או אי הבנות).

]]>https://tchumim.com/post/66831https://tchumim.com/post/66831Tue, 09 Jul 2019 18:48:41 GMT<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Tue, 09 Jul 2019 18:34:50 GMT]]>@upsilon01
זה מידיעה?
אני זוכר בבירור אחרת.
שזה לא פלילי ואי אפשר לקנוס רק אם הייתה דליפה.
אא"כ נאמר ששינו את התקנות.

בסוף התהליך כולם בסוף משתמשים בAPI ישיר בחיובי ריטיינר, רק ששולחים טוקן במקום מספר אשראי, ובזה ממש לא הבנתי מה הועילו חכמים בתקנתם, הרי אם יש דליפה של הבקשה, יש להם את הטוקן + שם משתמש וסיסמא שלי, ומכאן הדרך זריזה לקבל את מספר האשראי ע"י פונקציית convertTokenToCc
בעבר אמר לי מישהו מתוך אחת חברות הסליקה, שהפונקצייה הזו היא הפרת התקן בצורה הכי גסה שיש, אבל אין ברירה וחייבים את הפונקצייה הזו, ולכן היא נמצאת.

]]>https://tchumim.com/post/66828https://tchumim.com/post/66828Tue, 09 Jul 2019 18:34:50 GMT<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Tue, 09 Jul 2019 16:03:40 GMT]]>@upsilon01 כתבתי בשם @clickone כך שאין לי מה לומר,
אבל אם אתה רוצה לתרום לדיון אתה צריך לומר מנין לך או לסייג שרק ככה זכור לך.

]]>https://tchumim.com/post/66789https://tchumim.com/post/66789Tue, 09 Jul 2019 16:03:40 GMT<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Tue, 09 Jul 2019 15:35:51 GMT]]>@dovid
חברות האשראי יכולים לקנוס אותך בסכום מסוים על כל יום
שלא היה לך תקן PCI , לא משנה אם דלף המידע או לא
זה בחירה שלהם האם לעשות זאת או לא
ומן הסתם הם לא יקנסו אם לא הייתה דליפה של מידע

עדיף להשתמש ב iframe או redirect
ששם אין לך צורך ב PCI
להבדיל מ API רגיל שחייב ב PCI אפילו אם לא תשמור את הנתונים

]]>https://tchumim.com/post/66787https://tchumim.com/post/66787Tue, 09 Jul 2019 15:35:51 GMT<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Tue, 09 Jul 2019 14:33:19 GMT]]>@nigun
תעשה עם IFRAME או redirect ותשכח מהצרות.
אין שום סיבה לעבוד אחרת, גם אם אתה משרד ממשלתי או ארגון ענק שמכניס הרבה באשראי.
זה אמור לעבוד מעולה, ואתה לא צריך להתעסק עם תקנים שהם מאוד יקרים!
אני אישית לא התנסיתי, אבל זה אמור להיות עניין פשוט.

]]>https://tchumim.com/post/66780https://tchumim.com/post/66780Tue, 09 Jul 2019 14:33:19 GMT<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Tue, 09 Jul 2019 10:43:56 GMT]]>@אבי-203 בד"כ כשזה באייפרם אתה לא מקבל שום פרטים (רק טוקן וספרות אחרונות)
את הפרטים מקבלת החברה הסולקת והיא חייבת באחריות (בד"כ היא עובדת עם התקן המחמיר)
אם אתה מקבל כן פרטים, אתה חייב באחריותם בדיוק כמו שמימשת לבד.

]]>https://tchumim.com/post/66747https://tchumim.com/post/66747Tue, 09 Jul 2019 10:43:56 GMT<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Tue, 09 Jul 2019 10:41:10 GMT]]>ואם אני מקבל את פרטי האשראי באייפרם מאובטח של חברת סליקה יש בזהה איזה חשש?

]]>https://tchumim.com/post/66745https://tchumim.com/post/66745Tue, 09 Jul 2019 10:41:10 GMT<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Tue, 09 Jul 2019 10:34:54 GMT]]>@ש-ב-ח
@clickone פעם כתב פה שהחוק הוא שאתה יכול לשמור איך שבא לך אבל במקרה דליפה אתה תהיה אחראי ותישא בנזק (העצום).
משא"כ זה בתקן של השמירה שאז אתה יכול לטעון טענת אונס.

]]>https://tchumim.com/post/66744https://tchumim.com/post/66744Tue, 09 Jul 2019 10:34:54 GMT<![CDATA[Reply to מה הדרישות אבטחה לסליקת אשראי באתר? on Tue, 09 Jul 2019 10:19:11 GMT]]>@nigun אמר במה הדרישות אבטחה לסליקת אשראי באתר?:

אני לא מתכנן לשמור את הנתוני אשראי במסד נתונים

ואם כן?
האם מותר? אם כן מה הקרטיריונים?

]]>https://tchumim.com/post/66742https://tchumim.com/post/66742Tue, 09 Jul 2019 10:19:11 GMT