Pasando cadena de consulta a una API de banda

Question

Pasando cadena de consulta a una API de banda

#1 de Rens van der Heijden (2 votos)
#2 de korrigan (1 votos)

2

¿Qué tan seguro es pasar a un sitio web de Stripe (externo, no a nuestro propio sitio) algunos datos para rellenar un formulario a través de la cadena de consulta? Es un sitio externo, por lo que no podemos simplemente pasarlo encriptado como lo haríamos con nuestros propios datos de sitios.

Supongo que no sería tan malo, dado que su único uso es rellenar el formulario y la única forma en que otras personas pueden obtener dichos datos es iniciar sesión en una determinada empresa, de lo que tenemos seguridad. (permisos)

Datos de ejemplo (con la URL utilizada): https://connect.stripe.com/oauth/authorize?response_type=code&client_id=blahblahblahxxxxxxx&stripe_user[email][email protected]&stripe_user[first_name]="billy"

Añadiré más información si es necesario ...

[editar] Los datos no están restringidos solo a los que yo proporcioné, simplemente parecían adecuados en ese momento. Tenemos estas opciones para el negocio:

[correo electrónico] [url] [país] [número de teléfono] [Nombre del Negocio] [Tipo de negocio] [nombre de pila] [apellido] [dob_day] [dob_month] [dob_year] [Dirección] [ciudad] [estado] [cremallera] [producto fisico] [shipping_days] [categoria de producto] [Descripción del producto] [pago medio] [pasado_year_volume] [moneda]

Sin embargo, la información que ya tengo de ustedes es bastante clara. Las cosas que veo tan sensibles en esto son las direcciones (ciudad, estado, código postal, etc.) pero eso es todo ...

string

pregunta L_Church 22.02.2018 - 17:17

fuente

2 respuestas

2

La pregunta es qué consideras "malo" en este caso. Ya que solo puedo adivinar lo que se considera malo en su caso de uso:

Stripe tendrá acceso a los datos en la solicitud GET sin la intervención del usuario si la carga de la forma en que funciona su ejemplo: esto podría ser un problema de regulación de la privacidad según los detalles.
Cualquier persona que vea la URL ve los datos. Eso significa que el navegador de los usuarios, pero también cualquier persona que visite el sitio que contiene la URL.

Sin embargo, por lo que sé, Stripe ya ofrece a sus usuarios una función de llenado previo a través de un mensaje de texto / SMS al usuario cuando Stripe detecta que conoce su navegador. Recomendaría usarlo a menos que Tiene una razón muy específica para completar previamente estos datos.

respondido por el Rens van der Heijden 22.02.2018 - 18:22

fuente

Lea otras preguntas en las etiquetas string

diferenciar entre llamadas de red internas y externas Problema con metasploit RHOST LHOST

score 1 · Accepted Answer

Supongo que al "pasar datos" quiso decir "redirigir el navegador del usuario final a la siguiente URL de Stripe.com".

¿Qué tan seguro preguntas?

Si le preocupa la intercepción de la comunicación, el hecho de que esté redirigiendo a HTTPS significa que la cadena de consulta viajará encriptada entre el navegador del usuario y los servidores Stripe.

Lo más probable es que la cadena de consulta termine en el historial del navegador (¿quién más ejecuta su navegador de forma sistemática en modo de incógnito?). Probablemente sea más una preocupación de un usuario, pero tal vez sea un comportamiento inesperado por tu parte.

Ahora, si el usuario tiene un navegador comprometido, la cadena de consulta puede ser capturada por un código malicioso (por ejemplo, una extensión maliciosa). No creo que la confidencialidad de la cadena de consulta sea la principal preocupación del usuario final en este momento.

No debes transmitir ningún dato confidencial, como contraseñas o números de tarjetas de crédito, pero no propones hacerlo, por lo tanto.

Toda la transmisión de datos también debe cumplir con su política de privacidad, en caso de que ...