Ja jums kādreiz ir bijis jāraksta lietotne, lai apstrādātu kartes maksājumus, ne kā integrēt PayPal, bet kā būt PayPal. 
 
 Maksājumu karšu nozares datu drošības standarts (PCI DSS) ir informācijas drošības standarts organizācijām, kas apstrādā zīmola kredītkartes no lielākajām karšu shēmām. Maksājumu karšu nozares datu drošības standarts (PCI DSS) ir informācijas drošības standarts organizācijām, kas apstrādā zīmola kredītkartes no lielākajām karšu shēmām. Citiem vārdiem sakot, tas ir milzīgs pārbaudes saraksts, kas saka: "Hej, ja jūs gatavojaties uzglabāt vai apstrādāt cilvēku naudu, varbūt neatstājiet savu datubāzi atvērtu pasaulei." Why Am I Even Writing This? Kāpēc es pat to rakstu? Pēc tam, kad strādāju pie PCI DSS atbilstīgas lietotnes, man bija nedaudz eksistenciāla krīze un jautāju sev: "Kāpēc ne visām lietotnēm vajadzētu sekot PCI DSS drošas kodēšanas praksēm?" Ticiet man, PCI DSS nav tik biedējoši, kā tas izklausās. Atbilstība un privātums cilvēkiem ir veids, kā padarīt katru vienkāršu procesu skaņu milzīgs, lai justies labi par sevi.Vēlaties, lai būtu stresa diena? Klausieties viņus runāt par PIA, DPIA, DSAR vai ROPA. Lai nepārspīlētu lietas, atbilstība var būt sāpīga. bet, ja tas palīdz aizsargāt jūsu datus un neļauj jums nonākt pie “Es esmu noķerts”. Tips, lai nodrošinātu kodēšanu Ja jūs veidojat maksājumu sistēmu vai vienkārši mēģināt labāk gulēt naktī, šeit ir daži viegli veidi, kā nodrošināt kodēšanu, kas jūs tuvinās PCI DSS atbilstībai. Subnets, NAT Gateways, and the Drama of Networking Ja jūsu lietojumprogrammas datubāze ir publiskā apakštīklā, man būs nepieciešams, lai jūs pārtrauktu lasīšanu un to labotu. Pārliecinieties, ka izmantojat privātos apakšsistēmas kaut kam sensitīvam, pēc tam novirziet to datplūsmu caur NAT vārtiņu, lai viņi varētu piekļūt internetam (patches, atjauninājumus, memes utt.) bez tiešas pakļaušanas. “Matrix” mīļotājiem “Matrix” pasaule ir privāts apakšsistēma, reālā pasaule ir publiskais apakšsistēma, un drošais tālrunis, ko Neo un viņa draugi izmanto, lai ceļotu starp pasaulēm, ir NAT vārti. Man ļoti patika šī grāmata, ceru, ka arī tu to darīsi. Encrypt All the Things Jūs to esat dzirdējuši agrāk, jūs to dzirdēsiet vēlreiz. 
 
 
 
 Šifrēšana atpūtai. Šifrēšana tranzīta laikā. Šifrējiet žurnālus, dublējumus un pat vides mainīgos, ja jūtaties pikants. Attiecībā uz mākoņpakalpojumiem šifrēšanas pārvaldība ir vienkārša. Un lūdzu, Base64 nav šifrēšana. Tas ir cilvēkiem, kas melo sev. Jūs zināt, kas jūs esat. Protams, tam ir tā lietojumi, bet drošība nav viena no tām. Security Headers Drošības virsraksti ir HTTP atbildes virsraksti, kas informē pārlūkprogrammu par to, kā rīkoties ar tīmekļa vietnes drošības aspektiem. Tie palīdz novērst uzbrukumus, piemēram, Cross-Site Scripting (XSS), clickjacking un man-in-the-middle uzbrukumus. Vismaz jāpievieno: 
 
 
 
 
 Stingra transporta drošība X satura veida opcijas Satura drošības politika X-Frame opcijas Tos ir viegli konfigurēt lielākajā daļā sistēmu un mākoņpakalpojumu. Firewalls? Definitely Firewalls Pārsūtīt publiskos pieprasījumus uz jūsu lietojumprogrammu, izmantojot ugunsmūri.Tas ir tāpat kā ievietot atriebību jūsu lietojumprogrammas priekšā. Atšķirībā no bumeru dienām, kur ugunsmūra konfigurēšana ir tāda pati kā mēbeļu montāža ar Asgard norādījumiem.Varbūt jūs to varat veikt, bet par kādu cenu?Mūsdienu lietojumprogrammas padara šo procesu daudz vieglāku.Labāk, ja esat mākonī. Tādi mākoņpakalpojumi kā AWS WAF un Azure Firewall jau ir aprīkoti ar iepriekš konfigurētiem noteikumiem par kopīgiem draudiem; jums vienkārši jāieslēdz tie, un tie sāk darboties. Ugunsmūri ar minimālām pūlēm palīdzēs jums apturēt zināmus uzbrukuma veidus, filtrēt sliktos IP un bloķēt to, ka viens puisis joprojām mēģina SQL injekciju no 2008. gada. Access Control Jūsu lietotne nav publiska bibliotēka.Nedodiet katram pakalpojumam pilnīgu piekļuvi visam tikai tāpēc, ka tas ir vieglāk.Jūs neesat Oprah Winfrey: “Jūs saņemat administratoru!Jūs saņemat administratoru! Sekojiet “mazākās privilēģijas principam”, kas nozīmē, ka katrs lietotājs saņem tikai to, kas viņam absolūti nepieciešams. Mēģiniet regulāri rotēt sertifikātus un atslēgas un izmantot lomas pār statiskajām atslēgām, ja iespējams. pat mākoņpakalpojumi dod priekšroku šim. Staging Is Not Production Jūsu uzstāšanās videi vajadzētu atspoguļot ražošanu struktūrā, nevis noslēpumos. 
 
 
 
 Šifrējiet arī stažēšanās datus. uzbrucējiem nav svarīgi, no kurienes viņi iegūst datus. Nekopējiet ražošanas noslēpumus uz skatuves. Izmantojiet monitoringu un WAF noteikumus arī šeit. Hakeri mīl uzstāšanās vidi ar mazāk trauksmju.Kura ir labākā vieta, kur pārbaudīt savus skriptus? Change Management PCI DSS prasa, lai jums būtu procedūras, lai izsekotu izmaiņām kodā, infrastruktūrā un drošības politikā. Vienkārši runājot, izmantojiet Git, izmantojiet Infrastructure-as-code (Serverless Framework, Terraform, AWS CDK utt.), un izveidojiet brīdinājumus. Logging Saves Lives Logi ir svarīgi. Jūs cerat, ka viņiem nekad nebūs vajadzīgi, bet, ja jūs to darāt, jums tie patiešām ir vajadzīgi. Saglabājiet drošus un centrālus logus visam, kas ir svarīgi: 
 
 
 
 
 Lietojumprogrammu žurnāli: ierakstiet kļūdas no lietojumprogrammām un citu svarīgu informāciju, lai palīdzētu jums labot. Piekļuves žurnāli: ierakstiet, kas darīja ko un kad. Datu bāzes žurnāli: notver lēnas vaicājumus, dīvainus piekļuves modeļus un iespējamos pārkāpumus. Audita žurnāli: ierakstiet izmaiņas atļaujās, ugunsmūra noteikumos un koda izvietošanā.Tīkls, piemēram, AWS CloudTrail, GuardDuty un Config, var jums palīdzēt. Prefer ORMs Šī ir jūsu pirmā aizsardzības līnija (un saprāts). Aizmirstiet par neapstrādātu SQL, ja vien neesat datu bāzes vednis ar nāves vēlmi.Izmantojiet ORM. Jā, jūs varat parametrizēt neapstrādātu SQL un uzlabot drošību; tomēr joprojām ir liela iespēja, ka nākotnē jūs vai jūsu kolēģis aizmirsīs pareizi parametrizēt vaicājumu, un tieši tā, jūs esat pagatavots. ORM apstrādā jūsu datu bāzes mijiedarbību, padarot kodu vieglāk uzturēt un mazāk pakļautu injekcijas uzbrukumiem.Lielākā daļa mūsdienu ORM parametrizē vaicājumus no kastes. Vakarā pēc kompromisa. DROP TABLE users; In Conclusion Noslēgumā Tagad, nopietni, vai tas bija tik dziļi? Tas ir garš saraksts, bet es esmu pārliecināts, ka tas ir piepildīts ar lietām, ko jūs jau darāt. Atbilstība ir kaitinoša, bet tas ir arī datu pārkāpums. PCI DSS var justies kā milzīgs saraksts ar “Nē, jūs nevarat”, bet tas tikai cenšas saglabāt jūs un jūsu klientus drošu. Uz mākoņa platformām, piemēram, AWS, Azure un GCP, nav attaisnojuma, lai neievērotu šīs labākās prakses. Palieciet droši. palieciet atbilstīgi. Un visu labu mīlestības dēļ neuzglabājiet nešifrētus karšu numurus datu bāzes kolonnā, ko sauc par . card_number

Software and DevOps engineer. I write about my software development experiences.

2021 - HackerNoon Contributor of the Year - CODING

2022 - HackerNoon Contributor of the Year - Amazon

2022 - HackerNoon Contributor of the Year - Aws

2022 - HackerNoon Contributor of the Year - Coding Skills

2022 - No No No Nodejs

Portfolio

2021 - HackerNoon Contributor of the Year - NODEJS

2021 - HackerNoon Contributor of the Year - TESTING

Nominated for 2022 - HackerNoon Contributor of the Year - Coding Skills

Nominated for 2022 - HackerNoon Contributor of the Year - Aws

Nominated for 2022 - HackerNoon Contributor of the Year - Amazon

Nominated for 2022 - No No No Nodejs

Šis audio ir izveidots stāsta oriģinālvalodā!

Pārāk ilgi; Lasīt

CTA: Download the FREE AI Productivity Shift report

Ja PCI-DSS atbilstība padara lietotnes drošākas, kāpēc mēs visi to nedarām?

About Author

KOMENTĀRI

PAKARINĀT TAGUS

ŠIS RAKSTS TIKS PĀRSTRĀDĀTS

Related Stories

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps