Обработка транзакции с использованием кредитной карты в облачных сервисах

Когда дело доходит до списания денег с кредитной карты, сервис системы электронной коммерции отправляет запрос на процессор кредитных карт, чтобы снять с карточного счета конкретную денежную сумму. Система электронной коммерции ссылается на кредитную карту на процессоре кредитных карт, используя уникальный идентификатор, который был сгенерирован при первом вводе кредитной карты. Он передает пароль кредитной карты, секретный код и сумму, подлежащую списанию. Процессор кредитных карт затем расшифровывает номер кредитной карты, используя указанный пароль. Незашифрованный номер кредитной карты, секретный код и сумма, подлежащая списанию, передаются в банк для завершения транзакции.

1  В криптографии SALT состоит из случайных битов, которые используются в качестве одного из элементов ввода для функции генерации ключа. Вторым элементом ввода обычно является пароль (password) или парольная фраза (passphrase). Вывод функции генерации ключа сохраняется как зашифрованная    версия    пароля.    Подробнее    см.    http://en.wikipedia.org/wiki/Salt_(cryptography), http://faqs.org.ru/progr/common/crypt_faq2.htm, http://www.cybersecurity.ru/manuals/crypto/ssl/2088.html. — Прим. перев.

Что происходит при компрометации системы электронной коммерции

Если приложение, реализующее систему электронной коммерции, будет скомпрометировано, атакующий получит доступ только к неконфиденциальной контактной информации клиента. Механизма, который позволил бы ему скачать эту базу данных и получить с ее помощью доступ к информации о кредитных картах или как-либо иначе использовать ее для хищения персональной информации (identity theft), не существует. Чтобы добиться этой цели, злоумышленнику потребуется отдельно взломать процессор кредитных карт.

С учетом всего сказанного следует отметить, что если ваше приложение, реализующее систему электронной коммерции, небезопасно, атакующий все же может вычислить идентификационную информацию существующих пользователей и размещать заказы от их имени, но с доставкой на свой адрес. Иными словами, вам все равно в любом случае следует серьезно задуматься о планировании архитектуры каждого из компонентов вашей системы.

ПРИМЕЧАНИЕ

Очевидно, что вам также захочется предотвратить доступ злоумышленников и к контактным данным ваших клиентов. В контексте этого раздела ссылка на контактную информацию о клиентах как "не являющуюся конфиденциальной" тоже является весьма относительной. Ваша цель должна заключаться в том, чтобы злоумышленник не мог получить из вашей системы ни одного бита данных.

Что происходит при компрометации процессора кредитных карт

Компрометация процессора кредитных карт еще бесполезнее, чем компрометация приложения, реализующего систему электронной коммерции. Если атакующий получит доступ к базе данных кредитных карт, все, что он получит, будет представлять собой набор данных, состоящий из случайным образом сгенерированных уникальных идентификаторов и номеров кредитных карт, зашифрованных сильным криптографическим алгоритмом (потому что каждая из записей зашифрована с использованием уникального ключа шифрования). В результате атакующий сможет скопировать базу данных и в автономном (offline) режиме предпринять на нее атаку по методу грубой силы (brute-force), чтобы расшифровать номера кредитных карт. Во-первых, расшифровка каждого номера потребует длительного времени, а во-вторых, даже в случае успеха ее нельзя будет использовать для хищения конфиденциальной информации, естественно, при условии, что хакер, раздобывший номер кредитной карты, не имеет никакой индивидуальной информации клиента, которую можно было бы использовать для размещения заказа.

Еще один вектор атаки заключается в том, чтобы догадаться, как встроить приложение типа "троянский конь" (Trojan application) на скомпрометированный сервер с тем, чтобы прослушивать расшифровку паролей. Однако если у вас применя-

ется система обнаружения вторжений (см. главу 5), то и этот вектор атаки сможет быть обезврежен.

Источник: Риз Дж., Облачные вычисления: Пер. с англ. — СПб.: БХВ-Петербург, 2011. — 288 с.: ил.

Вы можете следить за любыми ответами на эту запись через RSS 2.0 ленту. Вы можете промотать до конца и оставить ответ. Pinging в настоящее время не допускается.

Оставьте отзыв

XHTML: Вы можете использовать следующие теги: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>

 
Rambler's Top100