「クレジットカード情報の非保持化は、脆弱性があれば意味がない」――徳丸浩氏が指摘

日本PHPユーザ会は2018年12月15日にPHP Conference 2018を開催した。本稿では、EGセキュアソリューションズ 代表取締役 徳丸浩氏の講演「安全なWebアプリケーションの作り方2018」の内容を要約してお伝えする。 徳丸氏は、割賦（かっぷ）販売法の改正や、経済産業省が推奨する「クレジットカード情報の非保持化」を紹介。重大なセキュリティリスクを無視した場合、クレジットカード情報（以下、カード情報）を非保持化するシステムでも、カード情報を盗まれる可能性があると指摘する。 クレジットカード周りのセキュリティ対策の動向 徳丸氏は、カード情報に関連する法律の動向として、割賦販売法改正と経済産業省の実行計画を抜粋して紹介。割賦販売法とは、クレジットカードなどによる信用取引に関する法律だ。2018年6月1日に改正され、クレジットカードを取り扱う事業者に対して、カード情報を漏えいさせ

[enemyoffreedom]

まぁデータ漏洩以外にも脅威は様々あるが、さすがにクレカのセキュリティコードまで保持してそれが万単位で漏洩するのは勘弁して欲しいので非保持化は進めて欲しい

[Kil]

本文読んだけど、「脆弱性があれば意味がない」なんて言ってなかった、要約の仕方が悪い。効果はあるけどそれだけやっていれば大丈夫、という訳ではないからね、という話。

[JULY]

リダイレクトで画面が変わると、というのはわからないでもないが、個人的には、3Dセキュアで使っているカード会社の画面が出る方が、信頼度が高く感じる。

[YarmUI]

リダイレクト式、それやってるところがpaypalみたいな決済画面のブランド構築をできていないだけやで・・・

[sin20xx]

非保持化は当然として、個人的にはワンタイム方式で都度決済用のカード番号が変更されればそれでいいような気もするんだよね。国内だと提供元が限定される上、使用できる先も限定されるので広まらないというジレンマ

[jaguarsan]

クレカ番号が流出する度にSQLiとCVV保存と決めつけられるけど、実際にはCVV保存してなくてもXSSで窃取可能って話でしょ。毎回ブコメで決めつけてる人は省みてほしい

[T-miura]

『リダイレクト式、それやってるところがpaypalみたいな決済画面のブランド構築をできていないだけやで』pappal知らない、わからないユーザってどれくらいいるんやろ。親族だと私以外全滅って感じ（父母妹妹旦那）

[sugimo2]

“リダイレクト型の方が安全なイメージだが、人気がない。その理由は、クレジットカード番号を入力しようとするとドメインや画面のデザインが変わり、不審に思ったユーザーが購入をやめてしまうからだ”

[tohokuaiki]

“カード情報を盗まれないために、アプリケーションに脆弱性を残さないという基本的なセキュリティ施策が求められるだろう”ってことの意訳か。こんな「当たり前じゃん」なこと徳丸さん言ったのかな？

[marmot1123]

図が見づらいんだよなあ。タップで拡大と言って拡大しないし。普通にピンチできるようにしてくれ。

[IGA-OS]

前提に脆弱性対策ありき。

[shag]

結局セキュリティに銀の弾丸はなくて、非保持化したから大丈夫とかいう単純化はできないよね。という話かな。

[dorje2009]

「カード情報の非保持化にも取り組むべきだが、まず、カード情報を盗まれないために、アプリケーションに脆弱性を残さないという基本的なセキュリティ施策が求められる」御意

[daishi_n]

Apple Payはトークン化をしてるけど、ハッシュトークンは再登録しない限り変化しないから、ショッピングサイトアプリに穴があれば不正購入はできるからな。カードをiPhoneから削除すればトークン消えるから対応しやすいが

[uunfo]

入力したカード情報の送信先が正しいかどうかを知る方法なんてないんだよな。3Dセキュアを使っても中継されてれば意味がない。あとはもうちょっとましな画面を用意しろ、と。

[diary193]

クレジットカード非保持化していてもアプリに脆弱性があるために漏洩。定期の脆弱性診断はやっぱいるよなー

[deep_one]

カード情報を保持している場合とは「データが漏れたのは何時から何時までにサイトを利用したユーザー」の「何時から何時まで」の範囲が変わるけど。／『アプリケーションに脆弱性を残さない』正しいけど…という気も