Newsgroup: it.comp.www.asp
Titolo: [Molto OT] Banca Sella

Ciao a tutti, vi allego un mio dubbio che come precisato nell'oggetto è
[Molto OT] in quanto poco o nulla ha a che fare con ASP.
Ve lo inoltro però perchè si è parlato spesso di Banca Sella in questo
newsgroup e quindi mi sembra opportuno postare anche dei dubbi che posso
avere su questo sistema di pagamento.
Senza che mi dilungo ulteriormente vi inoltro il problema così come l'ho
presentato alla Banca stessa:
"Salve,
ho ricevuto da pochi giorni i codici di prova della procedura per il
commercio elettronico.
Ho però alcuni dubbi sulla effettiva sicurezza del pagamento.
Nel momento in cui il cliente del mio negozio arriva alla pagina di
pagamento, ha tranquillamente a disposizione i tutti i dati che vuole per
manipolare il pagamento nel senso del "ritoccare" la cifra dovuta.
Ossia leggendo il sorgente html della pagina del riepilogo degli acquisto
da cui partirà la chiamata alla pagina residente sul Vostro server), il
cliente può tirar fuori:
A) Codice esercente
B) Importo X Terminal ID
C) Numero Ordine
D) OTP RIC
e naturalmente l'indirizzo della Vostra pagina "pagam.asp".
Ora il cliente dal campo (B) può tranquillamente tirar fuori il Terminal ID
e quindi modificarsi il sorgente html affinchè paghi una cifra inferiore a
quello che è l'importo effettivamente dovuto; a questo punto non deve fare
niente altro che inviare i dati "corretti" e compilare i campi della Vostra
pagina con i dati della Sua carta di credito.
Il mio negozio avrà comunque come risposta che il debito è stato saldato
interamente e quindi farà partire eventuali spedizioni di merci al furbo
cliente, per poi magari accorgersi in un futuro che il cliente in questione
ha pagato un 10° o meno della cifra pattuita!!!
Non è ovviamente pensabile che per ogni ordine io mi vada a controllare se
l'importo coincide con ciò che è stato pagato, altrimenti altro che
automatismi!!!
Spero che i miei calcoli siano errati, ed attendo una cortese risposta in
merito.
Cordiali Saluti"
Che mi dite voi?
Sono ragionevoli i miei dubbi?
Ancora non mi è arrivata risposta dalla banca dal 23/11/99.
Spero comunque che mi smentiate quanto prima in modo da poter utilizzare
tranquillamente tale procedura!
Ciao a tutti,
Simone

 Sono ragionevoli i miei dubbi?
Poco, a meno che tu abbia violato le regole di sicurezza dalla tua parte.
Saluti.
Stefano.

Poco, a meno che tu abbia violato le regole di sicurezza dalla tua parte.
Pensa che la banca stessa la pensa diversamente da te!!!
Ti riporto la risposta:
"
Gentile Sig. Simone,
con la presente le comunchiamo che le indicazioni da lei fornite sono
corrette e siamo a conoscenza di questo piccolo difetto. Per questo c'è in
progetto una soluzione che permetterà di poter fare dei controlli automatici
sull'importo della transazione, non sappiamo però ancora definire una data
certa.
Non siamo molto d'accordo sul fatto che "Non è ovviamente pensabile che per
ogni ordine io mi vada a controllare se l'importo coincide con ciò che è
stato pagato, altrimenti altro che automatismi!!!" perchè è sempre
consigliabile controllare tutte le transazioni a causa del rischio di
ripudio della transazione.
Visto che nel momento in cui viene fatto il controllo sulla validità della
carta non viene fatto il controllo sul titolare (non possiamo sapere se la
persona che sta effettuando l'acquisto è effettivamente il titolare della
carta oppure una persona che sta utilizzando un numero di carta non suo),
perciò il titolare, nel momento in cui riceverà l'estratto conto, può dire
che la transazione non l'ha effettuata lui. A questo punto c'è la
possibilità che venga addebitato l'importo di quella transazione.
Per prevenire alcune contestazioni per transazioni effettuate in maniera
fraudolenta oppure per transazioni multiple effettuate dalla stessa persona
è possibile utilizzare la procedura descritta nel documento in allegato che
le permette di poter annullare alcune transazioni multiple oppure
transazioni con dati che per lei possono essere sospetti.
Effettuando tali controlli è possibile da parte sua verificare anche che gli
importi non siano stati eventualmente modificati.
Sperando di esserle stata abbastanza chiara resto a sua disposizione per
eventuali chiarimenti.
Cordiali saluti
"
Ti saluto,
Simone
P.S.: Se mi dici come si può  fare un redirect con il method post mi fai un
grosso piacere perchè mi serve anche per un altro script.

 grosso piacere perchè mi serve anche per un altro script.
Io uso il method get, ma se in una pagina ASP metti un
<% response.redirect("url?campo=valore") %> questo compare nel browser
assieme alla pagina. Per maggiori info guarda lo script che ho postato sul
gruppo in luglio (lo trovi con 
deja.com
)
Saluti.
Stefano.

Scusate l'intromissione super OT.
Chiedo gentilmente al Sig. Simone delucidazioni sul bombardero delle
transazioni che ha messo in moto in quanto la cosa
mi interessa;devo pure io iniziare un progetto simile e non sò ove iniziare.
Se potessi avere una risposta privata, per non appesantire l'NG con info OT.
Grazie anticipate
Berardi Paolo
vc...@nt.kjws.com

 sportello.
vabbè, il fatto che lo sappiano e non si muovano a trovare qualcosa di
migliore per certi versi è inquietante.
voglio dire, tu gli dai una percentuale quando un tuo utente acquista e paga
tramite il loro sistema.
certo, è sempre buona cosa attivare una qualche procedura che verifichi la
bonta dell'ordine, ma questo non implica che il sistema vada bene com'è.
ho messo come follow-up: it.lavoro.professioni.webmaster, in attesa che
parta it.economia.e-commerce.
credo che la cosa vada approfondita: cosa ne pensate?
--
CIAO!.db
Daniele "The Night Surfer" Bochicchio <webmaster(at)ASPItalia.com>
----------- H T T P : / /  W W W . A S P I T A L I A . C O M -----------
Moderatore di it.comp.www.asp
Materiale: 
http://www.ASPItalia.com/newsgroup/icwa.asp
Tutto su NT: 
http://www.ASPItalia.com/
----------- H T T P : / /  W W W . A S P I T A L I A . C O M -----------
Ogni giovedì un nuovo articolo. Clicca qui per quello di questa
settimana: 'Word, ASP e gli out-of-process components'
http://www.ASPItalia.com/articoli/articoli.asp?settimana
----------- H T T P : / /  W W W . A S P I T A L I A . C O M -----------
Scopri in anteprima per l'Italia il nuovo Professional Active Server Pages
3.0. Collegati al nostro sito e leggi on-line, gratuitamente, un capitolo.
http://www.ASPItalia.com/shop/libri/ProASP3/
----------- H T T P : / /  W W W . A S P I T A L I A . C O M -----------