Sicherheit von PHP-Scripten und Rechtsvorschriften bei Bankdatenspeicherung

#1 Hallo liebe Community,

ich habe da zwei Fragen die ihr mir hoffentlich beantworten könnt.

Erstens ist es über irgendeinen weg möglich PHP-Scripte einzusehen ohne den Webserver-Zugang zu hacken?

Und zweitens, ich muss die Kontodaten von Kunden in einer MySQL 5 Datenbank speichern. Nun konnte mir bisher nicht einmal die Bundesbank verraten (warte seit einer Woche auf die E-Mail) ob und wie ich die Daten verschlüsseln muss.
Aktuell habe ich mich für eine Blowfish-Verschlüsselung entschieden und dieser einen 1024 bit schlüssel verpasst und selbstverständlich läuft die Bezahlseite über SSL.

Vielleicht könnt ihr mir etwas dazu erzählen. ;-)

Vielen Dank und liebe Grüße
DarkLevi

#2

Zitat

DarkLevi postete
Hallo liebe Community,

ich habe da zwei Fragen die ihr mir hoffentlich beantworten könnt.

Erstens ist es über irgendeinen weg möglich PHP-Scripte einzusehen ohne den Webserver-Zugang zu hacken?

Wenn du alles richtig gemacht hast, dann eigentlich nein

Zitat

Und zweitens, ich muss die Kontodaten von Kunden in einer MySQL 5 Datenbank speichern. Nun konnte mir bisher nicht einmal die Bundesbank verraten (warte seit einer Woche auf die E-Mail) ob und wie ich die Daten verschlüsseln muss.
Aktuell habe ich mich für eine Blowfish-Verschlüsselung entschieden und dieser einen 1024 bit schlüssel verpasst und selbstverständlich läuft die Bezahlseite über SSL.

Vielleicht könnt ihr mir etwas dazu erzählen. ;-)

Vielen Dank und liebe Grüße
DarkLevi

Erlich gesagt, ich glaube nicht das es eine Vorschrift gibt die besagt wie und ob du Kontodaten verschlüsseln musst. Habe ich zumindest so in meinem Werdegang als Entwickler nie irgendwo gesehen. Etwas anders ist es bei Kreditkarten-Nummern, aber darum gehts ja nicht. Das ganze ist auch nicht ganz trivial, da der Schlüssel zum ent- und verschlüsseln ja irgendwo liegen muss und wenn es sicher sein soll darf das natürlich am Ende nicht das gleiche System sein. Ich hoffe deine Frage auf das einsehen des PHP-Skripts ziehlt nicht darauf ab. Schlüssel sollten nicht im Code rum liegen
__________
http://www.voptop.com anonyme und abhörsicher telefonieren, chaten Screen-Sharing und Videokonferenzen.

#3

Zitat

Negr0 postete
Erlich gesagt, ich glaube nicht das es eine Vorschrift gibt die besagt wie und ob du Kontodaten verschlüsseln musst. Habe ich zumindest so in meinem werdegang als Entwickler nie irgendwo gesehen. Etwas anders ist es bei Kreditkarten-Nummern, aber darum gehts ja nicht.

An dem Punkt bin ich auch mittlerweile aber eben nicht 100% sicher, dennoch bin ich sehr gespannt was die Bundesbank dazu sagt wenn sie es endlich fertig bringen mir zu antworten. Keine Angst, ihr seid die ersten die es dann erfahren

und zu

Zitat

Negr0 postete
Wenn du alles richtig gemacht hast

was kann man den SO falsch machen dass PHP-Scripte so zu lesen sind o.O
Die Frage kommt nämlich daher dass ich ja dass PW zum ver- und entschlüsseln der Bankdaten logischerweise im Klartext in einem Script stehen hab.

#4

Zitat

DarkLevi postete

Zitat

Negr0 postete
Erlich gesagt, ich glaube nicht das es eine Vorschrift gibt die besagt wie und ob du Kontodaten verschlüsseln musst. Habe ich zumindest so in meinem werdegang als Entwickler nie irgendwo gesehen. Etwas anders ist es bei Kreditkarten-Nummern, aber darum gehts ja nicht.

An dem Punkt bin ich auch mittlerweile aber eben nicht 100% sicher, dennoch bin ich sehr gespannt was die Bundesbank dazu sagt wenn sie es endlich fertig bringen mir zu antworten. Keine Angst, ihr seid die ersten die es dann erfahren

und zu

Zitat

Negr0 postete
Wenn du alles richtig gemacht hast

was kann man den SO falsch machen dass PHP-Scripte so zu lesen sind o.O

Der möglichkeiten viele, ich habe zum Beispiel mal einen Fall gesehen wo jemand mit einem PHP-Skipt eine File auf dem Filesystem ausgelesen hat, die auszulesende File wurde via GET Parameter übergeben. Der Effekt war das man auch den Namen eines PHP-Skripts übergeben konnte und damit der Inhalt ausgegeben wurde ^^.

Zitat

Die Frage kommt nämlich daher dass ich ja dass PW zum ver- und entschlüsseln der Bankdaten logischerweise im Klartext in einem Script stehen hab.

In dem Falle ist deine Verschlüsselung im Grunde wertlos. Du Verschlüsselst ja für den Fall das der Server kompromitiert wird und sich jemand die Datenbank unter den Nagel reist, was würde den Angreifer hindern sich auch die PHP-Skripts unter den Nagel zu reisen und es dann mit dem Schlüssel zu entschlüsseln?
__________
http://www.voptop.com anonyme und abhörsicher telefonieren, chaten Screen-Sharing und Videokonferenzen.

#5

Zitat

Der möglichkeiten viele, ich habe zum Beispiel mal einen Fall gesehen wo jemand mit einem PHP-Skipt eine File auf dem Filesystem ausgelesen hat, die auszulesende File wurde via GET Parameter übergeben. Der Effekt war das man auch den Namen eines PHP-Skripts übergeben konnte und damit der Inhalt ausgegeben wurde ^^.

o.O das ist krass... so schnell kanns gehn... aber auch tiefen respekt an denjenigen der auf die idee gekommen ist das script damit auszulesen

Zitat

In dem Falle ist deine Verschlüsselung im Grunde wertlos. Du Verschlüsselst ja für den Fall das der Server kompromitiert wird und sich jemand die Datenbank unter den Nagel reist, was würde den Angreifer hindern sich auch die PHP-Skripts unter den Nagel zu reisen und es dann mit dem Schlüssel zu entschlüsseln?

1. Liegt der MySQL nicht auf dem gleichen Host wie der Webspace
2. ist eine SQL-Injektion imo viel wahrscheinlicher und einfacher als den Webspace zu knacken
3. knackbar ist eigentlich alles, aber ich find es so auf jeden Fall besser als diese im Klartext abzuspeichern zumal bei einer BruteForce attacke mehere jahrhunderte eingeplant werden müssten xD

#6 Letztlich kann man darüber streiten. Ich an deiner stellte würde zusehen Webserver und Datenbank so sicher wie möglich zu machen und die Kontodaten nur so lange wie nötig auf zu bewahren, dann bist du ganz gut aufgestellt.
__________
http://www.voptop.com anonyme und abhörsicher telefonieren, chaten Screen-Sharing und Videokonferenzen.

#7 Dass versteht sich von selbst, das Problem ist dass es sich um Abonnements handelt ich also die Daten für die Dauer der Mitgliedschaft speichern muss die im Idealfall mehrere Jahrzente andauert.

Eine eventuelle Idee ist: da dass ganze Projekt eh noch einen Windows SBS 2011 Server bekommt die Daten täglich auf den lokalen Windows Server zu kopieren und vom anderen zu löschen. Die DB auf dem Windows Server würde dann ausschließlich zu den den "Backup" Zeitpunkten nach aussen Kommunizieren dürfen.

Ich bin mir noch nicht ganz sicher wie ich die Datenübertragung verwirklichen sollte falls es zu dieser Lösung kommt.

#8 Hi meine Lieben,

wie versprochen seid Ihr die ersten die die Offizielle Stellungnahme der Bindesbank zu dem Thema hören/lesen:

Zitat

Sehr geehrter Herr Drieschner,

vielen Dank für Ihre Anfrage.

Die konkrete Ausgestaltung der Verschlüsselung sensitiver bzw. vertraulicher Daten ist oft abhängig
vom verwendeten System bzw. der verwendeten Software. Zwingende Vorgaben für die eingesetzten
Algorithmen bzw. Schlüssellängen gibt es jedoch nicht.

Das Bundesamt für die Sicherheit in der Informationsverarbeitung (www.bsi.bund.de) gibt jedoch
Empfehlungen bezüglich als sicher zu erachtender Algorithmen heraus. Ein Anhaltspunkt können auch die
Informationen auf der Website des Projektes "BSI für Bürger" sein
(https://www.bsi-fuer-buerger.de/BSIFB/DE/MeinPC/Datenverschluesselung/datenverschluesselung_node.html
).

Liebe Grüße
DL

#9 Das war ja zu erwarten ^^, Sicherheit wird eben groß geschrieben
__________
http://www.voptop.com anonyme und abhörsicher telefonieren, chaten Screen-Sharing und Videokonferenzen.