iDEAL Advanced - Pronamic

iDEAL Advanced – Integratiehandleiding PHP
2 Veiligheid
Dit hoofdstuk gaat nader in op de veiligheidsaspecten van uw webshop. In de overige
hoofdstukken van deze integratiehandleiding zijn verscheidene praktische veiligheidsaanwijzingen
opgenomen, herkenbaar aan het symbool van een hangslotje ().
Dit document pretendeert overigens geenszins volledig te zijn ten aanzien van de veiligheid van
uw webwinkel. Dat is, gezien de omvang en complexiteit van het onderwerp, onmogelijk. Het doel
van dit hoofdstuk en van de elders opgenomen aanwijzingen is met name om u bewust te maken
van het onderwerp.
In boekvorm en op het internet is in ruime mate documentatie voorhanden over de bedreigingen
waaraan web applicaties bloot (kunnen) staan, en de te nemen preventieve en detectieve
maatregelen om de eigen webshop daarvan te vrijwaren. Wij raden u met klem aan kennis te
nemen van deze documentatie. Het succes van uw webshop is daarvan in hoge mate afhankelijk.
De door ING geleverde software voor iDEAL Advanced PHP is gebouwd op basis van alle
gangbare security best practices. Onjuiste integratie van deze software in uw webshop, en/of een
onveilige opbouw van overige onderdelen van uw webshop, kunnen desondanks leiden tot een
onveilige webwinkel.
Veiligheid als procesonderdeel
De eerste stap om dit te voorkomen, is het besef dat veiligheid alle stadia van het ontwikkelproces
van uw webshop raakt:
• Analyse & ontwerp: Reeds tijdens het ontwerpen van uw webshop dient u inzicht te verwerven
in de voor uw webshop relevante bedreigingen, en daarop maatregelen te formuleren.
• Development: Sommige code is per definitie onveilig. Veel van de beschikbare security
documentatie bevat expliciete voorbeelden van onveilige code, alsmede de aangeraden
vervanging ervan. Houd hier bij het bouwen van uw webshop rekening mee.
• Testen: Onderkende bedreigingen, en de bijbehorende tegenmaatregelen, dienen uiteraard
ook getest te worden. Hiervoor bestaande vele verschillende technieken en tools, variërend
per ontwikkelplatform.
• Deployment: Zorg er bij het deployen van uw webshop voor dat cruciale bestanden niet voor
onbevoegden toegankelijk zijn. Denk hierbij bijvoorbeeld aan de configuratie van uw
webshop, uw prive-sleutel, en uw database. Besteed hier extra aandacht aan als uw webshop
niet door uzelf wordt gehost.
OWASP
De tweede stap op weg naar een veilige(re) webshop, is kennis te nemen van de eerder
genoemde documentatie over de veiligheidsaspecten van web applicaties. Een goed startpunt
hierbij is de website van het Open Web Application Security Project (OWASP), te vinden op
www.owasp.org. De OWASP-site biedt uitgebreid inzicht in de kwetsbaarheden (vulnerabilities)
van software, en de te nemen maatregelen (countermeasures).
Copyright © ING. Versie 2.3, april 2010 Pag 6 van 26