Newsgroup: it.lavoro.professioni.webmaster
Titolo: dati sensibili su hosting/housing

Per un cliente dovrei implementare il pagamento con CC su un sito di
e-commerce...
Il tutto però, non appoggiandomi ai gateway delle solite banche (che ho
fatto altre volte), ma usando una pagina protetta con SSL e salvando i dati
della carta sul server su cui risiede il sito. (il cliente ha gia' un
terminale POS cartasi su cui poi digitera' i dati dei pagamenti).
Ora, a parte le problematiche tecniche di questa implementazione che non mi
preoccupano, i miei dubbi riguardano la fattibilita' in termini di legge.
Il protocollo è HTTPS e quindi la trasmissione è + o - sicura.
Per quanto riguarda invece il deposito dei dati sul server, ci sono
particolari garanzie che deve offrire la server farm? cioè, se qualcuno si
copia i dati dalle carte di credito perche ha accesso alla sala macchine
della server farm ... di chi è la colpa? del gestore del sito o della server
farm?
ciao e grazie
Claudio Barba


Tutto e' ovviamente fortemente condizionato dal contratto che lega le
due parti.
Pero' c'e' una legge speficica in merito, quella riguardante la 675/96 e
provvedimenti connessi, che non esonerano NESSUNo dall'attuare le misure
MINIME contro accessi illeciti, perdite di dati ecc.
Quindi a prescindere dal contratto specifico fra le parti, se tu sei il
fornitore del servizio, non puoi sentirti esonerato da alcuna
responsabilita' nemmeno se a tua volta hai affittato l'hosting (o peggio
l'housing) presso terzi (a loro volta coinvolti nell'eventuale
contestazione)
Claudio

 contestazione)
Mi sa che bisogna vedere bene quali sono le policy di sicurezza di chi ha le
macchine e chiarire le cose sul contratto!
... e mi faro' una bella iniezione profonda di 675/96 ... ;-)))
grazie


Mi sa anche a me che ti tocca :-D
Claudio

 Ovviamente i dati sarebbero memorizzati in maniera criptata nel DB ...
Voglio capire come il fornitore li possa vedere in chiaro per poi 
digitarlo nel POS, se i dati son criptati.
La proposta dal tuo cliente č l'Idea piů malsana che abbia mai sentito, 
non comprerei mai su un sito gestito cosě e segnalerei immediatamente il 
sito alle associazioni di consumatori ...
Cla
-- 
www.claudioerba.com
 - Consulenza web per l'azienda
www.spaghettibrain.com
 - PHPNUke Italian Mirror
www.spaghettilearning.com
 - Piattaforma open Source per l'E-Learning
My ICQ: 14187053

 sito alle associazioni di consumatori ...
Concordo anche io che usare un gateway bancario sia la cosa ... migliore
nonche' standard:) ... e che ho fatto finora.
Effettivamente sto vagliando questa nuova possibilita' che mi č stata
richiesta. Ma non c'č veramente nessuno che usa questo metodo? tutti usano
le banca sella  ( o consorzio triveneto o telepay o shopla o  ....
compagnia)?
.... mi sa di aver visto qualche volta siti che usavano soluzioni del
genere... ma non mi ricordo piu dove:((
ciao
Claudio

 dei dati criptati.
Rischiosissimo. Se la chiave viene intercettata o comunque succede
qualcosa di non previsto/regolare? Chi sapeva la chiave? il
webmaster...eccolo il primo indiziato! 
Fallo appoggiare ad un servizio collaudato che almeno toglie qualche
responsabilità...non che siano sicuri al 100% (visto che di numeri di cc
ne girano parecchi...) però aiuta.
Ciao

 webmaster...eccolo il primo indiziato! 
Guarda che il problema non è il fantascientifico "intercettazione della 
chiave" ma la segretaria, lo sbarbatello in formazione lavoro che lavora 
in ufficio ecc ...
Con una banca i rischi di questo tipo sono limitati, o comunque la Banca 
piuttosto che farlo sapere rifonde le truffe ... una impresa singola 
invece è molto molto molto più esposta. Un solo fatto di quelli può 
farti saltare ..
Ciao


 salvando i dati della carta sul server su cui risiede il sito. (il
l'idea non e' nuova... :-)) ci sono tanti siti che utilizzano questi
sistemi, soprattutto in USA, ma per farlo ci vogliono una serie di richieste
burocratiche al garante e sistemi di protezione del server, dei dati e
autorizzazioni a vari dipendenti dell'azienda...
ma il problema non e' lato tecnico o giuridico... ma marketing... secondo te
quanta gente e' disposta ad inviare il proprio n di cc, al titolare
dell'azienda? penso vermante pochi... quindi perche' implementare un mostro
per poi di fatto non utilizzarlo? meglio rivolgersi ad un gateway
bancario... che offre all'utente maggiori garanzie di sicurezza e
soprattutto *fiducia*... che e' la prima cosa da tenere in considerazione
quando si parla di e-commerce...
--
Lino Mari [mod - it.economia.e-commerce]
http://www.ebow.it
 - e-business on web!
http://www.dev2dev.it
 - La rete ha connesso nuove particelle - d2D004
Internet permette delle conversazioni tra esseri umani che erano
semplicemente impossibili nell'era dei mass media.

La proposta dal tuo cliente è l'Idea più malsana che abbia mai sentito, 
dai cla, non esagerare...  pensala così: dal browser del cliente al
server c'è l'https e vabbè.  del resto è pure il sistema che usano i
gw bancari, no?
i dati arrivano sul server, sono ancora in variabili di ambiente
https, per così dire.  li cripti con una bella chiave asimmetrica
(chiave doppia pubblica-privata), ci sono diverse librerie che lo
fanno.  la chiave pubblica la scolpisci (scrivi) a mano sullo script,
meglio se offuscato.  ossia la chiave pubblica la generi una volta
ogni tot giorni, la riscrivi nello script e lo riuploadi.
sempre in https fai un form al cliente dove gli chiedi di inserire la
chiave privata che è stata usata per generare la pubblica.
(chiaro che devi essere in quotidiano contatto col cliente per
generargli una chiave e scolpirla nello script che poi gli uploadi).
quotidianamente gli fai scaricare i dati adeguatamente formattati e
glieli fai importare in una applicazione offline.  contestualmente li
cancelli dal server.  in questo modo i dati oltre ad essere criptati
stanno sul server max 24 ore.
be', meglio di così io non saprei davvero che chiedere!  molto meglio
del cassetto del benzinaio, no?
in fondo anche i gw bancari un qualche sistema lo devono pur usare, e
non credo sia il caso di farci venire troppi complessi di inferiorità
o paranoie.
-- 
mangia_fornitori_di_hosting ufficiale di questo newsgroup

webmaster...eccolo il primo indiziato! 
ma su, non esageriamo!  la mia cc la sanno tutti i benzinai di roma,
tutti i supermercati di zona, parecchi club sadomasolesbotransex
^H^H^H^H^H^H^H volevo dire circoli di golf e non è mai successo
niente!
se succedesse qualcosa che faccio, denuncio il benzinaio alla polizia?
e volendo, adesso che faccio mente locale, c'è anche il modo di far
generare e scrivere la chiave pubblica al cliente senza che il
webmaster, o meglio, lo svuiluppatore di applicazioni web la debba
conoscere.
fai un'applicazioncina che genera la chiave pubblica a partire da
quella privata.  poi fai una bella mascherina che crea un file di
testo di una sola riga, che conterrà la chiave pubblica.  nel file che
cripta i dati fai un bell'include a quel file e il gioco è fatto.


dell'azienda? penso vermante pochi... quindi perche' implementare un mostro
ci sono aziende che o glielo mandi di persona o non ti vendono...
cambierà a breve ma per due po tre anni è andata così, e problemi
zero... :-)


in ufficio ecc ...
aaah, ecco...  no, perché lo volevo ben dire che in tutti i casi di
fuga di dati c'era di mezzo una talpa...  rottura di criptazioni non
se ne è mai sentita...
ma comunque anche quelli che lavorano in banca, mica li uccidono ogni
24 ore per non farli parlare, eh?



L'uso del CTRL-H in questo intervento lo trovo sublime :-D
Lbo sei un mito
Claudio
P.s.: mi ci porti anche a me in quei circoli del golf? :-P

>P.s.: mi ci porti anche a me in quei circoli del golf? :-P
come no...  ce l'hai la carta di credito?  :-)


 P.s.: mi ci porti anche a me in quei circoli del golf? :-P
allora... Roma GRA uscita prenestina... ci vediamo li...


 come no...  ce l'hai la carta di credito?  :-)
io ci ho anche quella di kataweb... va bene?


 zero... :-)
mettiamola cosi'... e' semplicemente un problema di fiducia...che per vari
eventi e disinformazione ha generato questa situazione... quindi l'utente si
fida di meno se non vede il logo di una banca... (per me e' la stessa
cosa...) anche perche' sarei tutelato al'linverosimile... ma vallo a
spiegare a quelli che devono usare la cc on-line...:-)))


>io ci ho anche quella di kataweb... va bene?
con quella ti fanno lo sconto!  :-)
