من باید اطلاعات کارت اعتباری را روی کاغذ بنویسید و آن را ارسال کنید. چگونه می توانم خطرم را کم کنم؟

من یک فرم برای راه اندازی یک پرداخت تکراری با یک ساختمان دولتی پر می کنم. فرم درخواست می کند که شماره کارت اعتباری، تاریخ انقضا و شماره CVV را که من آن را کمی تردید می کنم قرار داده ام.

چگونه می توانم خطر من را از اطلاعات سرقت رفته / سوء استفاده کنم؟


طرح من :

  • به من شخصا را به صورت فوری ارسال کردم ، به من فکس فرستاده شد ، یا ارسال ایمیل . من تصویری از فرم را می گیرم و یک ایمیل ارسال می کنم
  • درخواست خواهم کرد که فرم را چاپ نکنید و آن را در جایی ذخیره کنید.
  • اگر او باید آن را چاپ کند، خواهان درخواست مجدد CVV و انقضا خواهم شد پس از تأیید اعتبار کارت

ممنوعیت تنظیم پرداخت های تکراری، این است که بهترین کاری که می توانم انجام دهم؟

(با توجه به اینکه یک پورتال آنلاین وجود ندارد که بتوانم این اطلاعات را با خیال راحت وارد کنم، فرض می کنم که درخواست که او اطلاعات را رمزگذاری می کند و آن را در یک پایگاه داده ذخیره می کند گزینه نخواهد بود)

رمزگذاری – فرمت متداول برای ارسال داده های رمز شده + نمک؟

برنامه ای دارم که از پرونده های مختلف از شخص ثالث دریافت می کند: MQTT، HTTP، AMQP، …
برخی از مشتریان نمی توانند از TLS استفاده کنند (دستگاه iot بدون پشتیبانی TLS)، بنابراین ما باید یک کامپایلر و راه آسان برای دریافت داده های رمز شده.

ایده من این است که از یک الگوریتم متقارن (AES256 یا مشابه) استفاده کنم، اما چگونه می توانم فرموله کنم چگونه داده ها ارسال شوند؟

همراه با داده های رمز شده، ما باید یک نمک و یک بروزرسانی اولیه . یک فرمت معمولی "container" وجود دارد که توضیح میدهد که چگونه باید بسته encryptedData + نمک + IV

، شاید با استفاده از ASN.1 و یا برخی از فرمت سریال سازی دیگر، اما اگر چیزی وجود دارد، آن را آسان تر برای توضیح به تمام توسعه دهندگان.

رمزگذاری – چگونه رمزگذاری / رمزگشایی اطلاعات در برنامه سرور، و ارسال آن به پایگاه داده رمزگذاری شده است؟

من فقط یک کد به سرور برنامه اضافه کردم تا اطلاعات شخصی را قبل از اینکه در پایگاه داده ذخیره شود رمزگذاری کنید. این به طور عمده برای دلایل تطبیق انجام شده است، اما چقدر از یک پیروزی واقعی امنیتی است؟

من در مورد زمانبندی پایگاه داده ها می شنوم، اما مشخص نیست که چگونه مهاجمان معمولا پایگاه داده را دریافت می کنند. اگر با رسیدن به پوسته و قادر به اجرای کد دلخواه، به نظر می رسد نسبتا ساده برای رفتن به سرور برنامه برای پیدا کردن کلید رمز استفاده شده است.

من از این سوال می خواهم زیرا اگر آن را یک برنده امنیتی واقعی است، پس ما احتمالا قبل از رسیدن به پایگاه داده، داده های بیشتری را رمزگذاری می کند. از سوی دیگر، اگر این فقط تئاتر باشد، من ترجیح می دهم زمان خود را به منظور بهبود امنیت به شیوه ای معقول صرف کنیم.

(این فرض است که پشتیبان گیری برای پایگاه داده خودشان رمزگذاری می شوند).

مدیریت کلید – یک کلید API مخفی با یک نمک تصادفی به جای ارسال آن به تنهایی در REST API

بگو، من یک نقطه پایانی API HTTPS دارم که تنها توسط مدیر من استفاده می شود.
در هر یک از درخواستها یک کلید API مخفی برای احراز هویت ارسال می کنم. و من با این راه حل خوب هستم

   curl -x PUT .......
  - Header "X-My-Secret-Api-Key $ my_secret_key"
  .....

در بدن من شناسه کاربر و ایمیل را به عنوان بارنامه ارسال می کنم.

آیا آن را امن تر خواهد بود اگر من hash $ my_secret_key با ایمیل کاربر؟

   curl -x PUT .......
  - Header "X-My-Secret-Api-Key SHA-256 ($ {user_email} $ {my_secret_key}}"
  .....

این ایده این است که حتی اگر "X-My-Secret-Api-Key" متوقف شود، یک مهاجم تنها تنها کلید را برای آن کاربر خاص دریافت می کند.
و قادر خواهد بود درخواست های مهمی را فقط از طرف این کاربر ارسال کند و هیچ کس دیگری.

و برای اینکه قادر به ارسال درخواست از طرف کاربر دیگری باشد، مهاجم باید سعی کند "X-My-Secret-Api-Key" را برای آن کاربر نیز دستگیر کند. و غیره.

آیا این بهبود امنیتی مناسب است؟ هر کدوم آیا این روش شناخته شده است؟

چگونه می توانم ایمیل را که توسط نرم افزارهای مخرب بر روی ویندوز ارسال می شود به صندوق پستی خود یا مقصد دریافت کنم؟

من می خواهم نظارت بر ایمیل را توسط نرم افزارهای مخرب به صندوق پستی مقصد ارسال کنم.

من فکر می کنم که این بدافزار از API مربوط به MAPI استفاده می کند اما مطمئن نیست که چگونه چنین فعالیتی را نظارت کند.