Привет.

Возник вопросик такого плана: 

• Какие проблемные места могут возникнуть при использовании WebMoney.
• Что надо учесть, на что обратить внимание.

Опыта в этом деле у меня NULL и пока что все кажется дремучим лесом (а на деле там две сосны )

технически никаких проблем не замечал..только вот надо https у себя настроить. А остальное красиво и быстро реализуется..я во всяком случае за день справился с автоматически приемом платежей. А обращать внимание - конечно на безопасность 

azesmcar, а ты что использовал, Merchant?

MoLeX да, но для этого надо дохрена документов им отправить.. не знаю, если вы и вправду на Мадагаскаре придется туго  

Добавлено через 2 минуты и 29 секунд
Конкретно у меня была проблема с тем что в Армении ни один натариус не подтвердит документ на русском, нужен перевод..а переводить туда и обратно - вебмани не примет..пришлось немного помучатся..но в конце концов нашли закон который разрешает нотариусу подтверждать твою подпись а не суть документа. Вобще возня с документами и законами. А так - технически никаких проблем, все отлично работает

Добавлено через 4 минуты и 56 секунд
MoLeX надо будет - обращайся, могу даже исходниками помочь

эм, вроде нужен персональный аттестат?

для мерчанта - да..минимум персональный.

ну я не против буду   

Держи.
Настраиваешь в вебмани чтоб отправлял notification на файл php в котором этот код. Еще нужен какой нибудь succes.php error.php, они нужны просто перенаправления пользователя, на самом деле вебмани отправляет тебе запрос со своего сервера на этот файл, а пользователя перенаправляет на твой succes.php (зависит от настроек вебмани).



$_CONF["secret_key"] - твой секретный ключ, настраиваешь в вебмани и у себя одно и тоже чтобы хеш проверить.

а это форма перенаправления пользователей с твоего сайта на форму оплаты.


MoLeX одно важное замечание, если я не ошибаюсь твой УРЛ для notification-ов обязательно должен быть HTTPS. 

Это сообщение отредактировал(а) azesmcar - 27.3.2009, 15:08

зачем он???  
при чем он тут вообще? пользователь непосредственно с вашим сайтом никаких транзакций не проводит, не путайте человека
2ТС на сайте ВМ все подробно описано, есть примеры, почитайте, сразу все станет ясно

а затем что ВМ на ваш сайт отправляет NOTIFICATION, и как я уже сказал - если я правильно помню - он принимает ТОЛЬКО HTTPS. Если у вас есть источник информации где написано что это не так - приведите!

Добавлено через 5 минут и 32 секунды
да и еще, HTTPS вообще желателен и рекомендован для таких целей.

Вас запутало слово HTTPS?

 Не обязательно.

 Бех документов можно, будет подороже ;)


 Аттестат продавца. Он на одном уровне с персональным.


if ($a < 2) die('a слишком мало');
if ($a == 0) die('на всякий случай');

 Никаких notification не нужно.
Если не https, то отправляется хэш ключа и данных. По нему все нормально проверяется.

я не говорил что обязательно, и постом ниже написал что точно не помню. Но помню что у себя почему-то настроил, точно не для удовольствия, значит была где-то такая рекомендация.



отправляется что??? разве это не notification называется? перевод с англ. - уведомление. Уведомление о платеже. Может есть другие термины, но я это так называю. 


великолепное сравнение конечно. Но кроме как Secret Key никакой гарантии что платежь пришел от вебмани у вас нету, потому и проверка.

Это сообщение отредактировал(а) azesmcar - 27.3.2009, 16:51

 Уведомление на кипер? Отправляется и при http. Или prerequest? Конечно же и оно есть.

 Кроме того, что переменная A не мешьне двух, у тебя нет никаких гарантий, что она не равна нулю ;)

я и не утверждал что не отправляется. Но для безопасности лучше использовать HTTPS.



Ладно, задам вопрос. Что мне мешает отправить на result URL тот же самый запрос со своего компьютера? Дополнительная безопасность никому не мешает. А различие между моим и твоим примером хотя бы в том что если а = 0 то а однозначно меньше 2, а в моем примере, это вопрос безопасности, секретный ключ на то и секретный чтоб его никто не знал, но это не гарантирует того - что его никто не узнает..лишняя проверка не помешает.

 Отправь мне. Я тебе дам result url, ты мне подделаешь запрос.
Только мне интересно, как долго ты будешь подбирать 2^128 комбинаций.

 Каким образом его узнают?
Даже man-in-the-middle не спасет при передаче ключа: сертификат будет отличаться.

какой сертификат если запрос идет по HTTP. А ключ как узнают? А хрен его знает   догадаются например. Я не знаю, я не говорю что проверка обязательна..но во всяком случае если она хоть 0.0001 процент повышает безопасноть, она не помешает, и не настолько тормозит процесс обработки данных..а твой пример вообще ничего не повышает, он бессмысленен. Так что думаю сравнению не подлежит.   

 Сертификат при задании ключа на сайте webmoney.
Не на сайте магазина.


 Эта вероятность 2^128. т.е. бесконечна на текущем уровне развития. Даже если учитывать закон Мура и взять срок несколько десятков лет.

 Ровно как и твой.
Ты считаешь себя умнее специалистов, разработавших или применяющих https, что уверен, что злоумышленник спокойно может применить MITM? )
Без знания же ключа вероятность  = 0.

Если ты нен согласен - опровергни. Я дам сылку на магазин, подберешь ключ.


Это сообщение отредактировал(а) nerezus - 28.3.2009, 23:32

Это ключ который ты сам ввел, т.е. пароль. Я не знаю как его можно узнать. Но пароли иногда узнают.



нет, я не считаю себя умнее. Но причем тут вообще HTTPS? О чем мы сейчас говорим? На твоем сайте нету HTTPS вообще, там одна защита - секретный ключь. Без знания ключа - вероятность - 0, я согласен! но речь о том что ключь могут узнать..я не знаю как, может пьяный проболтаешся, может догадаются что это имя твоего любимого хомячка, может еще что, я не могу предугадать, потому на всякий случай ставлю проверку. Если теоретически хотя бы есть вероятность что секретный ключь могут узнать, моя проверка спасает, твой вариант - нет. Это теоретическия проверка. Пусть каждый поступает по своему, но я бы ее все равно не убрал. 

 Как ты его узнаешь, повторюсь?)
Я тебе говорить не буду, нигде в системе он не сохранен, передается по безопасному соединению.
Его НЕЛЬЗЯ узнать. И это факт.
Если несогласен - опровергни, только не надо говорить в стиле "у моей сестры же как то аську увели, как-то пароль 123456 узнали, значит все сломать могут."

 Про передачу ключа на сайт WM.

 Именно так.

 Моих хомячков не зовут 30значным набором рандомных символов. И тем более я не способен помнить такое. Ключ придумывается , вводится на сайте WM(через https), прописыввается в конфиг. Все, про него можно забыть. Запоминать и записывать его не нужно.

 Назови хоть 1 реальный способ, по которому его могут узнать? Я это десятый пост тебе твержу =)

Я вижу один: взломать сервер с сайтом.
Но при этом они могут подменить номер кошеля, так что смысла узнавать ключ, но оставлять старый номер у них нет.

Ех, еслиб я знал  



я просто пример привел. Хочешь реальный пример? Пожалуйста..Кейлогер. Простой кейлогер установленный на твоем компьютере, о котором твой антивирус не подозревает (и такое бывает) может свести на нет весь твой 30 символьный секретный ключь и SSL с его современными методами криптозащиты.



назвал  но наверняка это не единственный. Еслиб я знал все, я бы был не программистом а хакером  

nerezus я понимаю что есть фаерволы, антивирусы итд...но
1. Многие их не используют..
2. При большем желании можно обойти их всех, я могу тебе за пару дней написать програмку, которая отправит данные, обойдя все твои фаерволы если у тебя есть доступ к интернету вообще..ты же не запретишь доступ в интернет своему браузеру? Не буду тебе рассказывать как легко делать что-либо от имени любого запущенного процесса, ты наверняка это и без меня знаешь..под виндоуз - раз плюнуть...эта проверка не настолько замедляет процесс, чтобы быть лишней..во всяком случае по моему, хоть теоретически, хоть чуть чуть.. но гарантию безопасности она повышает..

Это сообщение отредактировал(а) azesmcar - 29.3.2009, 13:58

 Вот именно, ты пытаешься доказато то, что не знаешь.

см выше.

 И контроль компонентов это не запалит?)
Я не спорю, что FW обходятся, а антивири изначально ничего не могут сделать. Протсо не все так просто ;)

Тем более что ты сможешь узнать ключ лишь когда я пойду менять его на панели WM(т.е. никогда).

Я имел ввиду

я не хакер чтобы знать все способы, но один я тебе привел. Не думаю что ты их знаешь, и не думаю что на форуме сидит человек имеющий опыт взлома финансовых систем. Они в основном не сидят на форумах, они либо сидят на гаваях, либо в тюрьме   



не факт


я не говорил что просто, но ради денег можно постараться.



а ты не думал что может быть у тебя кейлогер стоит во время первого ввода?

Это сообщение отредактировал(а) azesmcar - 29.3.2009, 14:18

azesmcar, 
nerezus, беседа вышла у вас ну очень содержательная, тока вы пыл умерте. 

MoLeX ну я думаю мы к этому и стремимся..в спорах рождается истина. У нас тут родился спор, со специалистом мнение которого я со своим стажем на форуме уважаю, но в некоторых ситуациях появляются спорные вопросы, никто из нас не идеален, и все могут ошибатся.

nerezus я искренне надеюсь что ничем тебя не оскорбил во время нашей милой беседы и ни коим образом не собирался этого делать 
я всегда рад встретить конструктивную критику и рад учавствовать в аргументированных спорах.

не, это все хорошо но ИМХО в некоторых местах ваш спор проходил на грани фола (хотя могу и ошибаться   )

спор - это хорошо, особенно на форуме программистов. 

Если этого боишься - поставь второй системой Юникс, с него вводи все ключи...  А винда для дома... но увы твоя система не поможет  кейлогер может пароль от фтп свиснуть (или ссх и т.д.) а оттуда все стянуть или сделать что им угодно 

Djinn

Ну зачем начинать все заново?

Да конечно, столько всего можно придумать чтобы убрать один if. Может откроем отдельную тему и поизвращаемся там?


Такие проблемы решаются в два щелчка. Ту же самую проверка по IP можно внести в фаервол на сервере и к вашему FTP не будет иметь доступа никто кроме вас. Плюс использование SFTP и SCP вместо FTP (если уж говорите о безопасности). Плюс добавить кроме авторизации по паролю - авторизацию по RSA/DSA ключу.

Это сообщение отредактировал(а) azesmcar - 25.4.2009, 12:50

угу, у нас что к сайту что к фтп на сервер имеет человек тока из нашей сети, так что этот фариант идет лесом)