Мы сейчас работаем над таким устройством, через месяц-полтора представим его широкой общественности, если удастся вырастить что-то :) Опытный образец пока собрали.
При этом ваши ДДК не хранятся у агрегатора, а хранятся в банке эквайере. У агрегатора хранится только хеш, который, собственно, для мошенников бесполезен.
Передача и обработка ДДК должны быть защищены и одним из таких методов является iframe, как гарантия того, что все происходит у платежного агрегатора и доступа у посторонних нет. При этом, данная мера не спасает от подмены скриптов, что автор и продемонстрировал в видео. Допускается ввод данных и на сайте мерчанта, но только если эти данные будут переданы агрегатору по защищенному каналу. Аудиторы оценивают риски всесторонне, поэтому то, что они что-то разрешают, а что-то нет и наоборот, мне кажется нормальным. Были бы аргументы.
И да, после того письма в МТС мы уточнили у них и, убедившись, что аналитика им больше не нужна, сразу удалили ее, чтобы всем спалось хорошо ;)
Я понимаю, что у вас все хорошо и, может быть, даже javascript отключен, от греха подальше :) Я про 99.99% остальных пользователей ;)
Подменить-то можно и по-умному, дописав в конце или в начале файла нужный код. Так и работоспособность не нарушится, и данные будут вам поступать в лог. Тут очень сложно защититься, если не невозможно совсем.
Дело в том, что платежные формы, как правило, открываются в iframe, куда у метрики доступа уже нет. То же самое касается большинства сайтов с платежными формами компаний, которые прошли сертификацию PCI DSS. Мы как раз на прошлой неделе эту сертификацию проходили и я задавал вопрос аудитору про метрики. Ответ выше — никакой проблемы это не представляет. Ну либо действительно так, либо у нас аудиторы в стране хреновые, либо одно из пяти :)
А ничего, что вы в операционной системе, которую Майкрософт контролирует, сидите? Тоже данные все сливаются, как уже неоднократно писали. А браузер от гугла, думаете, тоже без греха? Все эти метрики давно автоматизированы и вряд ли человек так просто сможет разобрать, что собирается и вычленить из этого данные держателей карт. На мой взгляд, проблема не стоит выеденного яйца. Кстати, то же самое сказал представитель Digital Security, когда я ему задал этот вопрос. Подменить можно все, что угодно, если ты пользователь компьютера, администратор домена, провайдера, и так далее. Если нужно будет — подменят и сопрут данные.
@Kekovsky,а с помощью какого prompt-a рисунок ручкой превратился в ровный макет? Пробую, но получаю только псевдодизайн из своих каракулей.
И да, после того письма в МТС мы уточнили у них и, убедившись, что аналитика им больше не нужна, сразу удалили ее, чтобы всем спалось хорошо ;)
Подменить-то можно и по-умному, дописав в конце или в начале файла нужный код. Так и работоспособность не нарушится, и данные будут вам поступать в лог. Тут очень сложно защититься, если не невозможно совсем.