PayPalとセキュリティの関係について

PayPalと
セキュリティの関係について
2017.6.16 @FinTech X Security-JAWS 勉強会#01

Who‘s who？
2
Junichi Okamura (@benzookapi)
PayPal Integration Manager/Evangelist
Scala/Java/Node.js/Python/Ruby/PHP/../Mobile/../ppt
Rock/Beer/DQ/JOJO/I18N/Marketing/Payment
API愛好家、農業IT化支援、漫画家

© 2014 PayPal Inc. All rights reserved. Confidential and proprietary.
1998年設立。
17年以上の決済事業における実績を持つシリコンバレーのテックカンパ
ニーであり、約2億人が200以上の国と地域、100通貨以上で利用してい
る、Eコマースにおけるグローバルスタンダード
出発点はオンライン上でだれでも簡単に支払ったり、支払いを受けつけら
れる仕組みを提供し、起業家や中小企業を支援
規模に関わらず、世界中のバイヤーとセラーを安心・安全につなげて、
国境、通貨、デバイスに関係なく、生活やビジネスを簡単に
 日本では2010年より本格営業稼動。オフィスは青山・表参道に所在

PayPal は E コマースにおけるグローバルスタンダードです

本日お話ししたいこと
FintechのパイオニアであるPayPalとセキュリティの関係について
３つのキーワードに基づきご説明したいと思います
©2016 PayPal Inc. Confidential and proprietary. 6

Fintechにおける３つのセキュリティキーワード
1. PCIDSS
2. Tokenization
3. Anti-Fraud

1. PCIDSS

PCIDSSとは？
Payment Card Industry Data Security Standard
• 国際カードブランド５社が定めたセキュリティ基準
• ISMSと似た基準だが、より範囲が狭くかつ深い（厳しい）
• カード情報を伝達・保存する業者は取得しないとカード決済は本来導入できない
• PayPalをはじめ決済サービスは取得している（決済以外の大手企業も）
• 扱うデータやその方法で取得するランクがある
• 維持に多額のコストがかかる
• バージョンがある（追従しないとそのうち非準拠となる）

PCIDSSの具体的な内容
• 公式ドキュメント
− https://www.pcisecuritystandards.org/documents/Understanding_SAQs_PCI_DSS_v3.pdf
• よく問題になるのは「SAQ A」と「SAQ A-EP」の違い（参考元：Qiita記事）
− http://qiita.com/hokkai7go/items/3705120cf73b07570f9e

PCIDSSがもたらす恩恵
• 情報漏洩の防止
− 運用にコストや場合によっては不便さもあるが、準拠することで情報漏洩の可能性は格段に下がる
− カード情報漏洩事件などを起こす業者は準拠していない
• 信頼の獲得
− 厳しいセキュリティ基準のため、決済ベンダー以外でもセキュリティへの信頼誇示に役立つ

2. Tokenization

Tokenizationとは？
カード情報などの機密情報を直接やりとりせず一時的引き換え券（トークン）で行う仕組み
• 決済だけのものではない（OAuthのトークンとかお馴染み）
• 最近決済の手法にも一般的に取り入れられてきた
• トークンを介すことでJavaScriptやモバイルといったクライアントの差異を吸収した決済処理
が可能

Tokenizationを使ったPayPalの新しいSDK – Braintree SDK -
• Client SDK
− JavaScript/iOS/Android : 決済開始、PayPal画面表示
• Server Side SDK
− Java/.Net/Node.js/PHP/Python/Ruby : 決済完了
たった２ステップの実装で、ウェブ、スマホアプリ同じように決済導入可能！
PayPal Developer サイトの「Express
Checkout」参照（日本語情報準備中）

Client SDK ( JavaScript)の例
JSファイルを読み込んで、こんな感じでほぼコピペで出来ちゃいます

Server Side SDK ( Ruby)の例
Gemで簡単にインストールできて、たったこんだけで決済完了

動くサンプルコード（Node.js）
https://github.com/benzookapi/VZeroNodeDemo
• GitHubで「VZeroNodeDemo」で検索
• http://localhost:3000 で動くよ！

Braintree SDKの技術的特徴
• Client Side (JavaScript、Mobile）にほとんどの実装を寄せている
• Tokenization（トークン化）によってセキュリティ担保とサーバー処理の独立・簡素化
Payment Request APIと似た発想

Braintree SDKのTokenization
• ①Access Token
− Credentialsで生成したトークンです。サーバー側で管理します。
• ②Client Token
− Access Tokenを元にサーバー側で生成します。クライアント（WEBページやアプリの決済画面）で使います。
• ③(Payment Method )Nonce
− クライアントがClient Tokenを使って、ユーザー操作の後に生成します。
• ④サーバー側の決済処理
− Access TokenとPayment Method Nonceを使って行います。両者が正しくないと処理できません。
• セキュリティ的な順位付け
− Credentials > Access Token > Client Token > Nonce
©2016 PayPal Inc. Confidential and proprietary.
２つのTokenと１つのNonce（ワンタイムトークン）を使って行います

3. Anti-Fraud

Anti-Fraudとは？
詐欺防止、決済においては不正取引防止
• PayPal Developer Siteのセキュリティガイドライン
− https://developer.paypal.com/docs/classic/lifecycle/info-security-guidelines/?mark=security
• 同じくDeveloper SiteのFraud Managementの説明（クレジットカード決済に利用）
− https://developer.paypal.com/docs/classic/fmf/integration-guide/FMFSummary/?mark=faud

昨今のOSS脆弱性にいち早く身を切った取り組み
2016-1027の全世界規模でのセキュリティアップグレード計画
• APIやその他通信の強制アップグレード
− TLS 1.2 HTTP 1.1へのアップグレード
− SSL証明書アップグレード
− 通知確認用URLなどすべての接続のHTTPサポート終了
− …など
− https://www.paypal-
knowledge.com/infocenter/index?page=content&id=FAQ1913&expand=true&locale=ja_JP

PayPalの不正対策
システム検知とオペレーションのハイブリッドで24/365対応
ごめんなさい、詳しく言えないのでイメージとして以下の動画を見てくだい
http://www.cbs.com/shows/cbs_this_morning/video/k_ELVn3PCohOhE4qR5KJDc_figX8
betm/behind-paypal-s-operation-to-stop-cybertheft/

PayPalの不正に対する（実はあまり知られてない？）制度
先ほどのオペレーションに該当
売り手保護制度
（買い手もあります）
https://www.paypal.com/jp/webapps/mpp/merchant/how-to-protect-seller

まとめ
安心・安全の決済サービスでペイパろー！

ちょっとだけ宣伝
（JAWS-UGみたいな）ユーザーグループ
PPUGできました！
再来週第３回勉強会開催！
connpassで「PPUG」で検索！
facebook groupもあるよ！

PayPalとセキュリティの関係について

Recommandé

Recommandé

Contenu connexe

Tendances

Tendances (15)

Similaire à PayPalとセキュリティの関係について

Similaire à PayPalとセキュリティの関係について (19)

Plus de Junichi Okamura

Plus de Junichi Okamura (10)

PayPalとセキュリティの関係について

Notes de l'éditeur