Publié le 04-09-2008 08:09 sur la mailing-list Full Disclosure

Pub : 100 DVD vierges déjà pour 22,90 EUR

On Wed, 3 Sep 2008 16:31:25 +0700
"Samuel Beckett" <beckett.samuel@gmail.com> wrote:

> What would be the the worst case if you implement the following scenario for
> a credit card transaction:
[..snip..]
> After the successful credit card transaction, certain credit card details
> are then encrypted and stored within the database.

There is your worst case. Game over.

You process my transaction, you are done with my certain credit card
details the moment you get an auth or nack from your gateway. You as a
vendor should never see my credit card number to start with. You should
be passing my transaction to an originating bank. Alas, we know this
rarely happens.

So I grant the fact that you, the vendor, see (even if only briefly) my
credit card number. If you're hanging onto that in an "encrypted" format,
either you're doing so because you can also decrypt it later - in which
case, anyone else who gets ahold of your database can also decrypt it
later - or you're doing it for no reason at all. Both of these are bogus
justifications.

Yes, it's handy to be able to login to your site 6 months from now and
buy something else without re-entering my credit card. No, as far as I'm
concerned, it's not worth saving 16 keystrokes for you to keep my shit
on file and have it go walking off on someone's laptop 2 years after I
did a single transaction with your business.

If I give you my credit card number, it is for one single transaction in
the here and now. If you want to store my credit card number, you do it
at the risk of showing up in the media in a few months, ala TJX, as some
bunch of incompetent assholes who couldn't keep my shit safe.

Come to think of it, that happens just about every week and there never
seem to be any consequences, at least not here in the USA. Maybe we
should go into business together.

-s

/old school idiot

_______________________________________________
Full-Disclosure - We believe in it.
Charter: http://lists.grok.org.uk/full-disclosure-charter.html
Hosted and sponsored by Secunia - http://secunia.com/

États généraux : les masques tombent

Le syndicat national des journalistes communique : Les patrons de presse piaffent de plus en plus devant la cheminée où ils ont déposé leurs gros sabots.

Wizzgo vs NouvelObs : Deux poids deux mesures

L´application stricte de la loi DADVSI à l´encontre de Wizzgo. Le Nouvel Observateur va t il être aussi condamné à 480.000 euros d'amende ?

Alliance du mouvement de la jeunesse sur Internet

Les réseaux internet dédiés aux adolescents vont être utilisés pour combattre le crime et le terrorisme.

Jugement de plusieurs pirates de cartes bancaires

Deux anciens légionnaires, des chomeurs, un étudiant, un électricien et un agronome jugés dans une vaste fraude à la carte bancaire dans le sud de la France.

Trois nouvelles taxes pour l'Internet Français

Afin de trouver l´argent qui est censé faire survivre la télévision publique française, trois nouvelles taxes risquent d´arriver sur l'Internet hexagonal.

Clés USB: le Père-Noël est une ordure ?

Méfiez-vous des clés USB que vous allez acquérir pour Noël. Même le Pentagone Américain conseille de ne pas introduire ce genre de matériel dans son ordinateur.

Riposte graduée : Albanel délire

Comment rire avec Christine Albanel ? En l'écoutant expliquer que le retrait de l´amendement 138 était une - très bonne nouvelle -.

Un microcontrôleur pour cartes d´identité sécurisées

Le ST23YR80, un microcontrôleur équipé d'une technologies de cryptographie et d´une capacité de mémoire accrue pour le stockage des données biométriques.