Sobre seguridad

vec · #1 (**permalink**) 14/09/2006, 20:36

Amigos y amigas... deseo saber su opinion sobre lo siguiente...

Estoy implementando un sitio, donde mi cliente me pide que haga un formulario para que sus clientes lo completen online de los productos que quieren encargar y que llegue a su email.. hasta ahi no hay problema... la cuestion es que mi cliente pretende qeu sus clientes pongan el numero de tarjeta de credito, ya que lo usa simplemente como seguridad de que le van a pagar, ya que la tarjeta de credito solo sera procesada cuando el trabajo se termine y sea entregado en manos del cliente no antes. Seria como un dato mas tal como nombre y apellido, etc. Mi pregunta es... es eso seguro? Me da la leve impresion que si permito que se agregue esa info.. alguein la puede extraer... que dicen ustedes??? Desde ya muchas gracias por las opiniones...

luisvasquez · #2 (**permalink**) 14/09/2006, 21:19

En mi opinión es arriesgado usando HTTP.

Lo minimo que debe instalar tu cliente es un certificado de seguridad SSL o que el proveedor de hosting le permita usar uno ya instalado en el servidor. Estos certificados son algo costosos y creo que no vale la pena instalar uno solo para recibir la tarjeta como "garantía" de pago.

visita www.Verisign.com y www.GeoTrust.com para que veas los detalles.

Sino me equivoco, cuando tienes instalado este certificado, es cuando ves las conexiones seguras que comienzan con https.

En mi opinión le diría a tu cliente que esto no es recomendable porque si al usuario le extraen la tarjeta afectará notablemente la reputación de tu cliente.

Saludos, Luis Vásquez

atheus · #3 (**permalink**) 15/09/2006, 11:09

aja eso lo dices si usas htp? pero si por ejemplo lo colocas todo en flash y que se te envie al correo? la seguridad no dependeria del correo mas no del servidor?.. por ejemplo en una web que hice los datos se envian mediante un formilario flash mediante un php a mi correo electronico... en ese caso no seria mas segurO???

luisvasquez · #4 (**permalink**) 15/09/2006, 13:15

Cita:

Iniciado por atheus

aja eso lo dices si usas htp? pero si por ejemplo lo colocas todo en flash y que se te envie al correo? la seguridad no dependeria del correo mas no del servidor?.

Lo que supongo es que el riesgo es el mismo. Al fin y al cabo el componente para hacer envío de correos está en el servidor y el flash también. El SSL encripta la data que viaja desde el pc del cliente hasta el servidor, asi, cuando llena la forma, los datos llegan seguros hasta el servidor para almacenarlos en la base de datos o enviarlos por correo.

Sino tienes SSL, ese "viaje" se hace vulnerable a los intrusos (claro..intrusos expertos, porque yo ni idea como lo hacen).

Ahora, viendolo bien, hacer un trabajo de encriptar la data en javascript (del lado del cliente) para que haga el viaje "encriptado" y desencriptarlo con ASP o PHP antes de guardarlo en la base de datos podría ser una solución. El asunto es que el Hacker puede ver el código javascript en la página y conocer el mecanismo que se usó para encriptarlo. Asi podrá también hacer la inversa y descifrar la tarjeta de crédito.

Sinceramente lo veo dificil sin SSL.

Saludos, Luis

vec · #5 (**permalink**) 17/09/2006, 19:29

Gracias chicos.. es lo que mas o menos pensaba yo.. pero me queria asegurar.. porque uno no siempre las sabe toda.. muchas caezas piensan mejor que una.. Graciasssss