application security and pci dss

22
!"""" ! ""!#" ## $ #%%&

Upload: security-ninja

Post on 24-Dec-2014

466 views

Category:

Technology


3 download

DESCRIPTION

Application security and PCI DSS by David Rook at an OWASP Ireland chapter meeting 2008.

TRANSCRIPT

Page 1: Application security and PCI DSS

��������� �� ��������������� �������������� �������������� �������������������� ���� �� ������ �������� ��

����������� �����

����

��!��""" �"��� ���

������������������������������������ ���������� ����������� ��������

������ ��!

�����"�"���!#�����"���

##�� ����$#%%&

Page 2: Application security and PCI DSS

$����

������%�������&

���� �����'������(��� ������������

�� � ���#%%)�� ��� ��'(��" �������*����$������� � ��������!

� ������� ��� ������ +��� � ����� ��� ������� ������ ����������������

Page 3: Application security and PCI DSS

'����

���������������(������ �%&

� ,-'���$$�������������� "�$$���������������� �������$� ����

� #-(����� * ����.����$� �� ���$������� �����"��������� �� ���������� ��

� /-��� ���� �������$� ����

� )-0������������������������$� ������������ �����$��� "��1�

� 2-3� ���� ��$��$����� ���.*�������"��

� 4-( * $������������� ��� ��� ��������$�������

Page 4: Application security and PCI DSS

)����

���������������(������ �%&

� 5-6 ������� ���������$� ����������� ��� �.�.1��"

� &-����������+� '(� ���� ����"������� ���� ��

� 7-6 �����������$��� ���������$� ����

� ,%-����1����������$$��� ���� "��1� ����� ����������$� ����

� ,,-6 ��$��$� �� �������� ��������� �� �

� ,#-8���������$��������� �� ������������ �����

Page 5: Application security and PCI DSS

*����

+������������������""""""""""

�$���� +��� � ��"�$$ �� ������������"��1 �*����� �

���� ���������� � +��� � ����� �$���� ��� * $�� ��

'���9��������$ ������������ �������� ������� ��� ��

Page 6: Application security and PCI DSS

,����

�-.�%��/��������� �������! �/&

6 +��� � �4:� ��*������ -!

4 / ( * $�����"�� ���$���������� ����������� ������� ������������� ����������� �������������� ���"�� � * $��� �$�� ���$

4 ) ��$$�"����� �����$���� ��� �����$$��� �������"�� ����������������� �

4 2 ( * $���$$" ����$���������� ���� ��� ���������� $�� �������� �� �� ����$������� ��������9 ����� $�� � 6 *� "��������$��������� ��� ����������*�$� ����$�� �

4 4 0���� ���$$" �.���������$��������� ��� � �������1��"����1������$���� �� � ; ���$��� � *� "�����$������$ * $��� "�$$

Page 7: Application security and PCI DSS

0����

�-.�%��/������%������� �������! �/&

6 +��� � �/

/ #(������ � ����* ��� �������������� +� ��������<����: * ��� ����� �-

/ / 8��1��="� �����$�� �:� ������;���$������������� � ��;�������� ���������� ����$�� �-

/ ) 6 �� ���=������������� ����$ ���"� � ������ �:���$���������������$ �����$� �������1��� ������$����������� � �* ���������� ���"�� $ ��� "��1�-

Page 8: Application security and PCI DSS

1����

����.��������%���2�������"""""

6 +��� � �,% #

,% # '��$ � ������ ��������$�����$$��� �

������ ���� �������� ��$$�"��� * ��!

� ,% # , �$$����*����$�� ���� �� ��������$� ����

� ,% # # �$$�������1 ����������*����$"�����������������*

���*�$ � �

� ,% # / ��� ����$$�������$�

� ,% # ) '�*�$��$�����$��� ��� ���

� ,% #2 3� ���� ��������������� �������� ��������

� ,% # 4 '����$�<������� ����$���

� ,% # 5 �� �������� $ �������� �.$ * $��9 ��

Page 9: Application security and PCI DSS

3����

4�%��� ������5

6 +��� � �,% /

,% /6 �����$ ��� ��$$�"����������$ ��� ����

�$$��� ������� ����� ��� * �!

� ,% / , 3� ��� ���������

� ,% / # ��� �� * �

� ,% / / (� �����

� ,% / ) ���� �������$�� ���������

� ,% / 2 ������������ * �

� ,% / 4 '� �������� ����� � �������� ������� ����

� �����

Page 10: Application security and PCI DSS

67����

8��%����� ��9%�����:

�$"�������� �� !.-

� ���>� ��� ? ����� ;�������$1!

@�����A�� ����� ���������:���B-

@����* ������������� "���������$"��� �����������

@����$$�"� �������� �������:� (��A9�������$$������ �� ���� ��� � ���� -

� ��9 ��* ,� ������ ������� ������� � � � #��; ������ � �

���������* "���� ��� $��� ���� $�� /� $����� ����� ��

����;� � )��� � ����������1�����$���� � 2:����$�� ��

� ����-��*������*������������� ���� ������ �

����� C �;����0��$���(��������

Page 11: Application security and PCI DSS

66����

���%�2�� ��������� ����� ���������%�����&

=��$"���������$ � � ����� �$�� ��"�$$

� � ��$$������* � ����������

��$��� � ���� ������ ��������$���

�������$������������

��'����$�� ���������������������

�������"������� ��� ���9������$���

Page 12: Application security and PCI DSS

6$����

;� �����%�� ������� �.�2���2�������

� � � ���� �������$���"��$�� ������1 �

�� �" � ����$���"��������$� ����� �����!� � ����/C ��� �������$� �����������

� � ����)C ��� �������$� ������������* ����$����� �� "��1�

) 4��$$����������� ����$ �

8�$"�� ������� � �* ����$ ��. ����� �������� �6'D��0 � "��1

Page 13: Application security and PCI DSS

6'����

�/��2����%���������%%�%�/����<���������� �

������� ��

)%��$$����������� ��$��

E� ��������� ���������'� �����������

����� �" �����$ ;�$�� �*���F�'�9 ����

������� � �� ���'"��$���* � $� ��� * �� �� ���

�GH

,%%��$$����������� ��$��

� � �������$���C D'���$$�" �� �������� ���� �����

����� "��1� ���������� ��" �1 ��������

������� � �� ���'"��$���* � $� ��� * �� �� ���

Page 14: Application security and PCI DSS

6)����

8�%� �������=���!� ����������&

� �GH���� ���� ��� ���������� �G������#%%5

Page 15: Application security and PCI DSS

6*����

��������������������� �%��2������&

'����$ � � ����� �$���������"�$$�����* ��� ����������

I������* ����� ���������������

�������������� ������ ���� �����������$������� ��������'���� �J���$���

0����� ��� ��� ���$$ ��$�� ��� � ��� ���� ������ �� * ����

Page 16: Application security and PCI DSS

6,����

�������������2������ �%��2������&

F��� �$�*�$� ����$������9�����A������

�����$� �� ����A������� ���� ;���������� *�$� ����$������

���1��� ����� ��*��$��$ :� ���1� �-

���� ��������� � ���������� �#%%)

� ����)�� J����������� ���

Page 17: Application security and PCI DSS

60����

;�/������2���������������� �&

'� ��������� �����$ * $!� � * $,���� ������* �4��$$�������������� �� ��

� �����$���� ����

� F��� �$�� "��1����

� � * $#���� ������ " �,���4��$$�������������� �� ��

� �����$� $���� ��� ���'+� �������

� F��� �$�� "��1����

� � * $/���� ������ " �#%�%%%���,��$$�������������� � � ��

� �����$� $���� ��� ���'+� �������

� F��� �$�� "��1����

� � * $)���� ��������#%�%%%����������� �� ��

� �����$� $���� ��� ���'+� �������

� )���� �����:� � �����"�������"������� ��-K

� �����$� "��1����

Page 18: Application security and PCI DSS

61����

��� �������>���� ��� ���%��/������������

�F��:F��$��� �� �������� ����-"�$$� ������������ $ ��F���"��1"��

6 *� ">$ �����$ ���? ������ *����� �������

:���*��$��$ -

� ������������$������� ����"� � ���� �

������*

��;� ������ ���� �

Page 19: Application security and PCI DSS

63����

?���.��� ����� �� %���������5

� * $,� �����������* �������$���� ����

�� ������"�$$����$ ��� ������� �� ������� ���� ��"�����* � � ,#� +��� � ��

@������ �� ���������"�$������� ��'(���������� ��� ������ �

�6 ���������$���� :6��-"�$$� �� � ��������� ����� *� "

@��"�$$� �:���� ������� �-� ����� ������ ������$����

Page 20: Application security and PCI DSS

$7����

����%�� ��������������! �/ ��%��+"""""

�� ��'������$������� �$��" 1� �"�$$�1 �"� �������� ��E��������

'"�$$� ��� � ��(��

=�� ���������� +��� � ���'A���� �"�$$� ����

��* ��������� �"�����*�� ���� ����� ��������"��

Page 21: Application security and PCI DSS

$6����

����������� ���2��/�� ��������� �������

�� ��(����1 �� � � �� ��$����������� ��'(��

��'(������� ������ ����� �����

��(������� ��������� �����$�������"�� �� �� ������� ����� �����

Page 22: Application security and PCI DSS

$$����