Hjælp til salg (Ikke internet)

Brist i e-butikker åbner for betalings-svindel

Dennis Moellegaard Pedersen — Tue, 19 Sep 2006 13:39:00 GMT

Jeg er uenig med at I er uenig med mig :)

Hvis det er en sikkerhedsbrist i webshoppen, der kan ændre prisen/dato etc, så er det sjusk.

At de fleste gateways bruger skjulte felter, for at vide hvad kunden skal betale vil jeg ikke se som en brist. Ja, kunden kan så betale 50,- istedet for 100. Men det er jo ikke en sikkerhedsbrist. Ligesom kunden kan få banken/PBS til at tilbageføre betalingen heller ikke er en sikkerhedsbrist.

Ligesom i det virkelige liv: Jeg tror næppe politiet gider at se på mig hvis jeg fisker 50,- frem i Netto når han spørger efter 100 kr. Mon ikke bare jeg får besked på at betale de sidste 50 eller finde ud af hvilke vare jeg kan betale for og droppe resten.

Som en sidebemærkning: Nogle gateways tilbyder også et API, så man undgår at sende beløbet/ordreid etc via en GET/POST. "Post" giver bare mulighed for at betale uden serverside programmering.

Brist i e-butikker åbner for betalings-svindel

Anonymous — Tue, 19 Sep 2006 12:56:00 GMT

Dato: 18-09-2006 00:52:46
Forfatter: Peter F. Poulsen
Jeg er ikke helt enig med dig Dennis.

De fleste af de betalingsgateways jeg kender til kræver at man har prisen liggende i et hidden field når man sender sin POST afsted til gateway''ets server...

Det kan jeg bekræfte. De betalingssystemer jeg kender til, har også denne funktion. Vigtigt at bemærke er dog, at betalingssystemerne ikke KRÆVER at man medsender informationerne i et hidden field via POST, men at dette gøres for at kunne give brugeren en "kvittering" på købet på ens egen server, når man returnerer fra betalingen, og ikke gennem gateway''en.

Brist i e-butikker åbner for betalings-svindel

Peter Lindholm — Sun, 17 Sep 2006 22:53:00 GMT

Jeg er ikke helt enig med dig Dennis.

De fleste af de betalingsgateways jeg kender til kræver at man har prisen liggende i et hidden field når man sender sin POST afsted til gateway''ets server...

Brist i e-butikker åbner for betalings-svindel

Dennis Moellegaard Pedersen — Sun, 17 Sep 2006 11:37:00 GMT

Man undgår situationen - fjern felterne.

Pris, dato, rabat ordninger etc er jo alt sammen noget der i forvejen kendes af systemet (sandsynligvis indtastet i en database) - der er slet ikke nogen grund til at sende de oplysninger via skjulte felter. Og slet ikke at bruge dem, når de kommer retur. Kunden bør kun indtaste; produkt, antal, betalings- og leveringsoplysninger.

Hvorfor folk gør det alligevel, aner jeg ikke.

Og desværre, er en "professionel" ikke bedre nogle gange. Der er mange der ikke burde lave websider - men de er billige. Mange har den indstilling at "man skal kende koden for at vide det" - men det ses jo gang på gang, at med lidt fantasi, så er det ikke så svært at regne ud hvordan man kan misbruge et givent system.

Brist i e-butikker åbner for betalings-svindel

Dimitri — Sun, 17 Sep 2006 11:14:00 GMT

Skræmmende! Det må være en af grundene til enten at lade en professionel lave sit site, eller kigge det efter.

Et spm. til de kloge herinde, hvordan "lukker" man de åbne felter?

Brist i e-butikker åbner for betalings-svindel

Jens Johnsen — Sun, 17 Sep 2006 10:02:00 GMT

Scary

http://www.computerworld.dk/art/35612?a=newsletter&i=655