Безопасность Flex для оплаты сайта - PullRequest
0 голосов
/ 26 апреля 2010

Итак, прошло около 3 лет с тех пор, как я написал и начал работать с основным интернет-сайтом моей компании. Первоначально написанный на php, я с тех пор просто вносил небольшие изменения здесь и там, чтобы продвигать сайт так, как нам нужно.

Я хотел переписать его с нуля в прошлом году или около того, и теперь мы хотим добавить некоторые основные функции, так что это идеальное время.

Данный веб-сайт настолько близок к банковскому веб-сайту, насколько это возможно (не будучи банком; извините за неясность, но чем меньше информации я могу дать, тем лучше).

Для переписывания я хочу отделить уровень представления от уровня обработки, насколько это возможно. Я хочу, чтобы конечный пользователь застрял в коробке и не мог выйти, так сказать,

(это все из-за самоуспокоенности PCI, проверки PEN каждые 3 месяца и т. Д ...)

Итак, каждые 3 месяца, когда меня обследуют, я все больше нервничаю. Мы еще не потерпели неудачу, и еще не было нарушения, но я хочу удостовериться, что я продолжаю проходить (столько, сколько я могу в любом случае)

Итак, я подумываю переписать слой представления в Adobe Flex и выполнить всю обработку в PHP (фактически IMO, отделяя презентацию от обработки) - я бы сделал всю свою обычную проверку формы в flex (в отличие от javascript или php ) и делаю мои чтения и записи в БД через php.

Мои вопросы: Я знаю, что у Flash есть что-то вроде 99% проникновения на рынок - люди считают, что это правда? Кто-нибудь видел на своих сайтах флеш-память, что кто-то не может получить к ней доступ?

Flash в целом подвергся множеству атак на безопасность и тому подобное - я знаю это. Я бы использовал SWF-шифратор - отключил отладку (которую я однажды зацепил в другом приложении), продолжал использовать https и любые другие способы, которые я могу придумать.

В конце концов, все знают, что если кто-то хочет получить достаточно плохие данные, он найдет выход; я просто хочу, чтобы им было так трудно, как я могу.

Любые мысли приветствуются.

-Mario

Ответы [ 2 ]

2 голосов
/ 26 апреля 2010

Всегда есть люди, которые по тем или иным причинам не устанавливают плагин Flash. Имейте в виду, что они явно в меньшинстве. Поймите также, что некоторые люди все еще отказываются включать Javascript. Вопрос, который вы должны задать себе: достаточно ли этой небольшой группы, чтобы заставить вас отказаться от некоторых более новых технологий.

Если ответ на этот вопрос положительный, вам придется прибегнуть к обычной обработке HTML-форм, отправить все на сервер для проверки и т. Д.

Если ответ отрицательный, не бойтесь использовать Flex. Он отлично работает с протоколом https и настолько безопасен, насколько вы хотите. Тем не менее, я не буду использовать его для проверки имени пользователя / пароля на клиенте; эта информация должна всегда быть зашифрована и отправлена ​​на защищенный сервер. Но проверка других типов полей (номер телефона и т. Д.) Не должна быть проблемой.

1 голос
/ 26 апреля 2010

Определенно есть люди, у которых не установлен Flash, и да, есть люди, у которых отключен JavaScript. Но независимо от того, разрабатываете ли вы общий знаменатель, который представляет собой простые формы HTML, или если вы переходите на более высокий уровень, например Flex или AJAX, никогда не полагайтесь на клиента для проверки входных данных. Это хороший первый шаг, но все, что исходит от клиента, будь то Flash, Ajax, Silverlight или что-то еще, может быть подделано.

...