外部決済サービスを利用する上での脆弱ポイントと対策 / Vulnerable points and countermeasures for using external payment services

by Keiichi Nomura

Slide 1

Slide 1 text

֎෦ܾࡁαʔϏεΛར༻͢Δ্Ͱͷ੬ऑϙΠϯτͱରࡦ QSJTNBUJYࣄۀ෦໺ଜܒҰ

Slide 2

Slide 2 text

໨࣍

Slide 3

Slide 3 text

ΞδΣϯμ w ܾࡁͰΑ͋͘ΔભҠʹ͍ͭͯ w ͦͷதͰ੬ऑͱͳΓಘΔϙΠϯτ w ੬ऑϙΠϯτ΁ͷରࡦ

Slide 4

Slide 4 text

૝ఆࢹௌऀ w &$αΠτͳͲͷܾࡁػೳΛ։ൃ͢Δํ w ֎෦ͷܾࡁαʔϏε 4USJQF "NB[PO1BZͳͲ Λར༻

Slide 5

Slide 5 text

ࣗݾ঺հ

Slide 6

Slide 6 text

ࣗݾ঺հ ΫϥεϝιουQSJTNBUJYࣄۀ෦ QSJTNBUJY஫จܾࡁαʔϏε୲౰ ໺ଜܒҰ

Slide 7

Slide 7 text

QSJTNBUJYͷ͝঺հ ɾ&$$3.ಛԽܕ"1*ϓϥοτϑΥʔϜ ɾϚΠΫϩαʔϏεΫϥ΢υωΠςΟϒ ɾΫϥεϝιουͷ##ࣗࣾαʔϏε https://prismatix.jp/

Slide 8

Slide 8 text

ܾࡁͰΑ͋͘ΔભҠ

Slide 9

Slide 9 text

ྫʣΫϨδοτΧʔυͷ%ηΩϡΞܾࡁ https://www.veritrans.co.jp/user_support/3d-secure.html ΫϨδοτΧʔυͰຊਓೝূΛඞཁͱ͢Δܾࡁ ˞ΫϨδοτΧʔυܾࡁ୅ߦͷ%('5ʹΑΔઆ໌

Slide 10

Slide 10 text

ྫʣ"NB[PO1BZܾࡁ https://pay.amazon.co.jp/using-amazon-pay "NB[POͷΞΧ΢ϯτʹొ࿥ͨ͠ࢧ෷͍ํ๏Λར༻ͯ͠ ܾࡁͰ͖ΔαʔϏε ˞"NB[PO1BZߪೖऀ޲͚αΠτʹΑΔઆ໌

Slide 11

Slide 11 text

ڞ௨͢ΔભҠ ஫จʹ࢖͏ࢧ෷͍ ํ๏Λબ୒ͯ͠ ஫จΛड෇ ຊਓೝূ ར༻͢ΔΧʔυ ͳͲೖྗ ஫จ׬ྃ

Slide 12

Slide 12 text

&$αΠτͳͲɺࣗલͰ։ൃ͢Δػೳ ஫จʹ࢖͏ࢧ෷͍ ํ๏Λબ୒ͯ͠ ஫จΛड෇ ຊਓೝূ ར༻͢ΔΧʔυ ͳͲೖྗ ஫จ׬ྃ

Slide 13

Slide 13 text

֎෦αʔϏε͕ఏڙ͢Δػೳ ஫จʹ࢖͏ࢧ෷͍ ํ๏Λબ୒ͯ͠ ஫จΛड෇ ຊਓೝূ ར༻͢ΔΧʔυ ͳͲೖྗ ஫จ׬ྃ

Slide 14

Slide 14 text

஫จ׬ྃͷλΠϛϯά ஫จʹ࢖͏ࢧ෷͍ ํ๏Λબ୒ͯ͠ ஫จΛड෇ ຊਓೝূ ར༻͢ΔΧʔυ ͳͲೖྗ ஫จ׬ྃ ࠷ॳʹड͚෇͚ͨ஫จ͕੒ཱ͢Δ

Slide 15

Slide 15 text

ಉ͓͡٬༷͕ભҠ͢Δ͜ͱΛ૝ఆ ஫จʹ࢖͏ࢧ෷͍ ํ๏Λબ୒ͯ͠ ஫จΛड෇ ຊਓೝূ ར༻͢ΔΧʔυ ͳͲೖྗ ஫จ׬ྃ

Slide 16

Slide 16 text

ؾΛ͚ͭΔ΂͖ϙΠϯτ

Slide 17

Slide 17 text

஫จ׬ྃͷλΠϛϯάʢ࠶ܝ ஫จʹ࢖͏ࢧ෷͍ ํ๏Λબ୒ͯ͠ ஫จΛड෇ ຊਓೝূ ར༻͢ΔΧʔυ ͳͲೖྗ ஫จ׬ྃ ࠷ॳʹड͚෇͚ͨ஫จ͕੒ཱ͢Δ

Slide 18

Slide 18 text

ؾΛ͚ͭΔ΂͖ϙΠϯτ ஫จʹ࢖͏ࢧ෷͍ ํ๏Λબ୒ͯ͠ ஫จΛड෇ ຊਓೝূ ར༻͢ΔΧʔυ ͳͲೖྗ ஫จ׬ྃ ͜ͷભҠʹ஫໨ ࠷ॳʹड͚෇͚ͨ஫จ͕੒ཱ͢Δ

Slide 19

Slide 19 text

ؾΛ͚ͭΔ΂͖ϙΠϯτ ஫จ׬ྃʹભҠͰ͖Δͷ͸ ֎෦αʔϏεͱ͸ݶΓ·ͤΜ

Slide 20

Slide 20 text

ѱҙ͋ΔϢʔβʔͷૢ࡞ ຊਓೝূ ར༻͢ΔΧʔυ ͳͲೖྗ ஫จ׬ྃ ஫จʹ࢖͏ࢧ෷͍ ํ๏Λબ୒ͯ͠ ஫จΛड෇ ᶃ஫จड෇ঢ়ଶ·ͰਐΊΔ

Slide 21

Slide 21 text

ѱҙ͋ΔϢʔβʔͷૢ࡞ ຊਓೝূ ར༻͢ΔΧʔυ ͳͲೖྗ ஫จ׬ྃ ஫จʹ࢖͏ࢧ෷͍ ํ๏Λબ୒ͯ͠ ஫จΛड෇ ᶃ஫จड෇ঢ়ଶ·ͰਐΊΔ ᶄ֎෦αʔϏε͔ΒͷϦΫΤετͱ ِ૷ͯ͠஫จ׬ྃঢ়ଶʹ͢Δ

Slide 22

Slide 22 text

ѱҙ͋ΔϢʔβʔͷૢ࡞ ຊਓೝূ ར༻͢ΔΧʔυ ͳͲೖྗ ஫จ׬ྃ ஫จʹ࢖͏ࢧ෷͍ ํ๏Λબ୒ͯ͠ ஫จΛड෇ ϦΫΤετ͕໰୊ͳ͚Ε͹஫จ֬ఆ

Slide 23

Slide 23 text

ѱҙ͋ΔϢʔβʔͷૢ࡞ ຊਓೝূ ར༻͢ΔΧʔυ ͳͲೖྗ ஫จ׬ྃ ஫จʹ࢖͏ࢧ෷͍ ํ๏Λબ୒ͯ͠ ஫จΛड෇ ຊਓ৘ใ΍Χʔυ৘ใͳͲͷೖྗΛεΩοϓͯ͠ ஫จͰ͖Δʢʂʁʣ ϦΫΤετ͕໰୊ͳ͚Ε͹஫จ֬ఆ

Slide 24

Slide 24 text

Կ΋ରࡦ͍ͯ͠ͳ͍ͱ ϦΫΤετ಺༰͕໰୊ͳ͚Ε͹ ແ৚݅Ͱ஫จͰ͖Δ

Slide 25

Slide 25 text

֎෦αʔϏε͔Β݁ՌΛड͚औΔػೳͷྫ w ֎෦αʔϏε͔ΒͷίʔϧόοΫ ϦμΠϨΫτ ઌ ͱͳΔը໘ w ઌʹྫࣔͨ͠ʮ஫จ׬ྃը໘ʯͳͲ w ֎෦αʔϏε͕ൃߦͨ͠ΠϕϯτΛड͚औΔ   ΤϯυϙΠϯτ 8FCIPPL w ֎෦αʔϏε͔ΒΞΫηεՄೳͱ͢ΔͨΊ   ެ։͍ͯ͠Δ͜ͱ͕લఏɻ୭Ͱ΋ΞΫηεՄೳ

Slide 26

Slide 26 text

੬ऑϙΠϯτ΁ͷରࡦ

Slide 27

Slide 27 text

੬ऑϙΠϯτ΁ͷରࡦᶃ ૝ఆ͢Δૹ৴ݩͰ͋Δ͜ͱΛݕূ͢Δ

Slide 28

Slide 28 text

ૹ৴ݩݕূΛར༻ͨ͠ભҠ ஫จʹ࢖͏ࢧ෷͍ ํ๏Λબ୒ͯ͠ ஫จΛड෇ ຊਓೝূ ར༻͢ΔΧʔυ ͳͲೖྗ ஫จ׬ྃ ஫จ׬ྃ͢ΔલʹɺϦΫΤετݩ͕ ૝ఆͨ͠ૹ৴ݩͰ͋Δ͔֬ೝ

Slide 29

Slide 29 text

Slide 30

Slide 30 text

ѱҙ͋ΔϢʔβʔͷૢ࡞ΛϒϩοΫ ຊਓೝূ ར༻͢ΔΧʔυ ͳͲೖྗ ஫จ׬ྃ ஫จʹ࢖͏ࢧ෷͍ ํ๏Λબ୒ͯ͠ ஫จΛड෇ ᶃ஫จड෇ঢ়ଶ·ͰਐΊΔ ஫จ׬ྃ͢ΔલʹɺϦΫΤετݩ͕ ૝ఆͨ͠ૹ৴ݩͰ͋Δ͔֬ೝ ૝ఆ֎ͳΒϒϩοΫ × ᶄ֎෦αʔϏε͔ΒͷϦΫΤετͱ ِ૷ͯ͠஫จ׬ྃঢ়ଶʹ͢Δ

Slide 31

Slide 31 text

w ֎෦αʔϏεΛಛఆͰ͖Δ৘ใ͔Βݕূ͢Δ w *1ΞυϨεɺϦϑΝϥͳͲ w ͋Δ͍͸ɺ֎෦αʔϏε͕ఏڙ͢Δݕূํ๏Λར༻ ͢Δ w ྫʣ4USJQF͕ఏڙ͢Δݕূํ๏ w 8FCIPPLͷॺ໊Λ֬ೝ͢Δ ૝ఆ͢Δૹ৴ݩͰ͋Δ͜ͱΛݕূ͢Δํ๏ https://stripe.com/docs/webhooks/signatures

Slide 32

Slide 32 text

੬ऑϙΠϯτ΁ͷରࡦᶄ ೚ҙͷύϥϝʔλΛ࢖ͬͯݕূ͢Δ

Slide 33

Slide 33 text

೚ҙͷύϥϝʔλΛ࢖ͬͯݕূ͢Δ৔߹ͷભҠ ஫จʹ࢖͏ࢧ෷͍ ํ๏Λબ୒ͯ͠ ஫จΛड෇ ຊਓೝূ ར༻͢ΔΧʔυ ͳͲೖྗ ஫จ׬ྃ ᶃ೚ҙύϥϝʔλΛϥϯμϜͰੜ੒ɺอ࣋͢Δ

Slide 34

Slide 34 text

஫จʹ࢖͏ࢧ෷͍ ํ๏Λબ୒ͯ͠ ஫จΛड෇ ຊਓೝূ ར༻͢ΔΧʔυ ͳͲೖྗ ஫จ׬ྃ ᶃ೚ҙύϥϝʔλΛϥϯμϜͰੜ੒ɺอ࣋͢Δ ೚ҙͷύϥϝʔλΛ࢖ͬͯݕূ͢Δ৔߹ͷભҠ ᶄ஫จ׬ྃભҠઌʹɺੜ੒ͨ͠ύϥϝʔλ΋ૹΔΑ͏ ʹઃఆ͢Δ

Slide 35

Slide 35 text

஫จʹ࢖͏ࢧ෷͍ ํ๏Λબ୒ͯ͠ ஫จΛड෇ ຊਓೝূ ར༻͢ΔΧʔυ ͳͲೖྗ ஫จ׬ྃ ᶅอ࣋ͨ͠ύϥϝʔλͱɺ ֎෦αʔϏε͔ΒͷύϥϝʔλΛর߹ Ұக͍ͯ͠Ε͹0, ᶃ೚ҙύϥϝʔλΛϥϯμϜͰੜ੒ɺอ࣋͢Δ ᶄ஫จ׬ྃભҠઌʹɺੜ੒ͨ͠ύϥϝʔλ΋ૹΔΑ͏ ʹઃఆ͢Δ ೚ҙͷύϥϝʔλΛ࢖ͬͯݕূ͢Δ৔߹ͷભҠ

Slide 36

Slide 36 text

ѱҙ͋ΔϢʔβʔͷૢ࡞ ຊਓೝূ ར༻͢ΔΧʔυ ͳͲೖྗ ஫จ׬ྃ ஫จʹ࢖͏ࢧ෷͍ ํ๏Λબ୒ͯ͠ ஫จΛड෇ ᶃ஫จड෇ঢ়ଶ·ͰਐΊΔ

Slide 37

Slide 37 text

ѱҙ͋ΔϢʔβʔͷૢ࡞ ຊਓೝূ ར༻͢ΔΧʔυ ͳͲೖྗ ஫จ׬ྃ ஫จʹ࢖͏ࢧ෷͍ ํ๏Λબ୒ͯ͠ ஫จΛड෇ ᶃ஫จड෇ঢ়ଶ·ͰਐΊΔ ᶃͷૢ࡞ͷࡍʹ೚ҙύϥϝʔλΛϥϯμϜͰੜ੒ɺ อ࣋͢Δ

Slide 38

Slide 38 text

ѱҙ͋ΔϢʔβʔͷૢ࡞ ຊਓೝূ ར༻͢ΔΧʔυ ͳͲೖྗ ஫จ׬ྃ ஫จʹ࢖͏ࢧ෷͍ ํ๏Λબ୒ͯ͠ ஫จΛड෇ ᶃ஫จड෇ঢ়ଶ·ͰਐΊΔ ᶃͷૢ࡞ͷࡍʹ೚ҙύϥϝʔλΛϥϯμϜͰੜ੒ɺ อ࣋͢Δ ᶄ֎෦αʔϏε͔ΒͷϦΫΤετͱ ِ૷ͯ͠஫จ׬ྃঢ়ଶʹ͢Δ

Slide 39

Slide 39 text

஫จʹ࢖͏ࢧ෷͍ ํ๏Λબ୒ͯ͠ ஫จΛड෇ ᶃͷૢ࡞ͷࡍʹ೚ҙύϥϝʔλΛϥϯμϜͰੜ੒ɺ อ࣋͢Δ ѱҙ͋ΔϢʔβʔͷૢ࡞ΛϒϩοΫ ຊਓೝূ ར༻͢ΔΧʔυ ͳͲೖྗ ஫จ׬ྃ ᶃ஫จड෇ঢ়ଶ·ͰਐΊΔ อ͓͍࣋ͯͨ͠ύϥϝʔλͱɺِ૷ͨ͠ϦΫΤετͷ ύϥϝʔλΛൺֱɻҰகͯ͠ͳ͚Ε͹ϒϩοΫ × ᶄ֎෦αʔϏε͔ΒͷϦΫΤετͱ ِ૷ͯ͠஫จ׬ྃঢ়ଶʹ͢Δ

Slide 40

Slide 40 text

೚ҙͷύϥϝʔλΛ࢖ͬͯݕূ͢ΔରࡦͷޮՌ w $43'ͷରࡦͱͯ͠΋༗ޮ w ҆શͳ΢ΣϒαΠτͷ࡞Γํ$43'ʢΫϩ εαΠτɾϦΫΤετɾϑΥʔδΣϦʣɿ*1"ಠ ཱߦ੓๏ਓ৘ใॲཧਪਐػߏ https://www.ipa.go.jp/security/vuln/websecurity-HTML-1_6.html

Slide 41

Slide 41 text

·ͱΊ

Slide 42

Slide 42 text

·ͱΊ ֎෦ܾࡁαʔϏεΛؒʹڬΉܾࡁͷ৔߹ ܾࡁ݁ՌͷडऔΛ୭Ͱ΋࣮ߦͰ͖ͳ͍Α͏ʹ ରࡦ͠·͠ΐ͏

Slide 43

Slide 43 text

No content