user3512967
2019-08-02 03:57:03 UTC
Jesteśmy firmą produkującą cegły i zaprawy ... dosłownie. Jesteśmy murarzami. W naszym biurze łączymy się z Internetem za pośrednictwem modemu kablowego dostarczonego nam przez firmę Spectrum Business.
Nasz Skarbnik używa czytnika kart Verifone vx520 do przetwarzania płatności kartami kredytowymi. Łączy się przez Ethernet. Nie przechowujemy danych kart kredytowych.
Otrzymaliśmy raport o lukach, z którego wynika, że nie jesteśmy zgodni z PCI.
Przeskanowali nasz modem kablowy.
Część 2b-1. 38173 - Certyfikat SSL - Weryfikacja podpisu nie powiodła się - Luka w zabezpieczeniach część 2b-6. 38628 - Serwer SSL / TLS obsługuje protokół TLSv1.0, część 2b-7. 38601 - SSL / TLS używa słabego szyfru RC4 (Arcfour) (CVE-2013-2566, CVE-2015-2808)
Nie rozumiem, co mają na myśli. Nie mamy serwera ani sklepu internetowego ani nic. Powiedziano mi, że przeskanowali naszą sieć i właśnie to znaleźli. Powiedzieli nam, abyśmy skontaktowali się z dostawcą usług internetowych w celu rozwiązania problemu.
W jaki sposób dostawca usług internetowych powinien uzyskać certyfikat SSL zainstalowany w modemie kablowym? Zadzwoniłem do naszego dostawcy usług internetowych i nie wiedział, co mi powiedzieć.
Po prostu używamy czytnika kart i łączy się on z naszym procesorem płatności.
Czy mam coś zrobić tutaj? Czy coś z tego dotyczy nas?
Czy próbowałeś umieścić swój publiczny adres IP w pasku adresu przeglądarki internetowej, aby sprawdzić, czy się z czymś połączy?Spróbuj użyć zarówno „http: // 1.1.1.1”, jak i „https: // 1.1.1.1” (zwróć uwagę na S w drugim adresie URL).
Ponadto, ponieważ używasz kart kredytowych, które fizycznie znajdują się w Twoim biurze, musisz zabezpieczyć swoją sieć, aby była zgodna ze standardem PCI.Prawdopodobnie będzie to tylko konfiguracja zapory ogniowej na modemie / routerze, chociaż odkładam odpowiedź na to pytanie w zależności od tego, co zobaczysz, próbując wyświetlić adres IP w przeglądarce.
Wpisałem nasz adres IP w przeglądarce.Został poproszony o podanie hasła użytkownika.Mamy serwer plików centos za zaporą ogniową.Sieć prywatna, która nie jest publicznie dostępna.Nie przechowujemy danych kart kredytowych.Dlaczego certyfikat SSL miałby być potrzebny, skoro nie ma do niego publicznego dostępu.
@user3512967, że certyfikatem i monitem użytkownika jest prawie na pewno zalogowanie się i kontrolowanie samego modemu.To naprawdę nie powinno być narażone na kontakt z Internetem w ogóle.
„Ponadto, ponieważ używasz kart kredytowych fizycznie zlokalizowanych w biurze, musisz zabezpieczyć swoją sieć, aby była zgodna ze standardem PCI”.To zależy od terminala karty, dobrzy dostawcy terminali ciężko pracują, aby sieć sklepów była poza zakresem PCI.
@user3512967 Szybkim rozwiązaniem byłoby poproszenie usługodawcy internetowego o przełączenie modemu w tryb mostu, a następnie uzyskanie dedykowanego urządzenia, które będzie działać jako zapora ogniowa (np. Serwer z pfSense).W ten sposób modem nie robi nic poza tłumaczeniem, np.światłowód do sieci Ethernet.Twoje nowe urządzenie poradzi sobie wtedy z obsługą sieci, a Ty w pełni ją kontrolujesz (np.otrzymujesz certyfikat SSL i zainstalujesz go na pfSense lub zablokujesz dostęp od strony WAN itp.).
Myślę, że obecne odpowiedzi są trochę brakuje po stronie nietechnicznej.Z nietechnicznej strony jest to, że informacje, które otrzymałeś od pracowników ochrony, są prawdopodobnie prawidłowe, tj. To wina twojego dostawcy usług internetowych.Dlatego należy kontynuować zgłaszanie błędów dostawcy usług internetowych, aż ktoś przyjrzy się problemowi i zrozumie problem.Dostawca usług internetowych może zamiast tego zdecydować o anulowaniu umowy, ale miejmy nadzieję, że powinieneś być w stanie znaleźć dostawcę usług internetowych, który zechce zapewnić ci bezpieczne połączenie.
FYI, gdy ktoś wykonuje tego rodzaju test (przeglądając serwer, który odpowiada na adres IP samej sieci), należy upewnić się, że test jest uruchamiany spoza sieci (z domu lub na telefonie komórkowym z danymi) jakwiele konfiguracji sieciowych nie pozwala na sprzężenie zwrotne NAT, chyba że wyraźnie tego wymagają.
Od kogo dostałeś ten raport?Czy próbowali ci coś sprzedać, żeby to naprawić?
Warto zauważyć, że większość (wszystkich?) Routerów internetowych zawiera serwer WWW, dzięki czemu można zarządzać ustawieniami.Nawet [Ekspres do kawy Wi-Fi] (https://www.slashgear.com/smarters-wifi-coffee-maker-adds-caffeine-to-iot-05361984/) będzie miał uruchomiony serwer, aby mógł odpowiadaćdo działań użytkownika.
Oprócz wszystkiego innego, co zostało powiedziane, jeśli masz niezabezpieczone WIFI, ktoś może go użyć, aby dostać się do Twojej sieci.Jeśli w swojej sieci przechodzą transakcje kartą kredytową, musisz się upewnić, że jest ona bezpieczna.Możesz zatrudnić kogoś do skonfigurowania bezpieczniejszej sieci.Zawiera WIFI klasy biznesowej, jeśli jej potrzebujesz, oraz router z zaporą ogniową.
Dostawca twojego czytnika powinien być w stanie powiedzieć ci, czy twoja sieć jest w zasięgu, czy nie.To zależy od wielu szczegółów, które tylko oni znają.Jest całkowicie możliwe, że sieć, do której jest podłączony czytnik kart, jest objęta zakresem i musi spełniać wymagania zgodności.
Czy jesteś właścicielem czytnika kart / terminala płatniczego, czy dzierżawisz go od dostawcy płatności?Jeśli wydzierżawiony, poproś ich o zmodernizowany terminal - nawet komórkowy może tu pomóc.
Dlaczego w tytule napisałeś „Nawet nie mam serwera”, kiedy w komentarzu jest napisane „Mamy serwer plików centos za zaporą ogniową” ??!?Musisz nie tylko uaktualnić przetwarzanie płatności do szyfrowania od końca do końca, ale także naprawić podatny modem lub pewnego dnia może się okazać, że zapora ogniowa została naruszona po tym, jak modem spędził ostatnie 27 miesięcy na ciągłym logowaniu brutalnympróby z prędkością sieci LAN.
potrzebujesz tylko lepszego modemu, chyba że twój modem może być skonfigurowany tak, aby blokował wszystkie połączenia przychodzące. W takim przypadku wystarczy skonfigurować modem.