Тестирование на проникновение и безопасность для финтеха
В финтехе сходятся деньги, регулирование и API, и одна сломанная проверка авторизации может позволить перевести чужие средства или раскрыть данные всех клиентов. Мы тестируем платёжные потоки, публичные и партнёрские API и средства контроля, которых ждут ваши аудиторы и партнёры. С упором на ручную работу, в рамках NDA и с бесплатной повторной проверкой в срок, указанный в SoW.
Что поставлено на карту в финтехе
Самые серьёзные находки в финтехе редко сводятся к отсутствующему патчу. Обычно это логические ошибки и ошибки авторизации в процессах, которые работают с деньгами и личными финансовыми данными. Именно их пропускают автоматические сканеры.
Логика движения денег
Состояния гонки, обход лимитов и подмена сумм в платежах и переводах. На поиск таких логических уязвимостей и рассчитано ручное тестирование.
Сломанная авторизация между арендаторами
BOLA/IDOR, при которых один клиент может читать выписки, балансы или счета другого. Это самая распространённая уязвимость API высокой критичности.
Раскрытие данных держателей карт
Слабое определение области или сегментация вокруг среды данных держателей карт, где PCI DSS требует активного тестирования, а не сканирования.
Открытый банкинг и партнёрские API
Обработка токенов, согласий и областей доступа в сторонних интеграциях, где один неверно ограниченный грант может чрезмерно раскрыть данные.
Как мы тестируем финтех-системы
Начинаем с работ, которые находят действительно опасные для финансового продукта ошибки: тестирование API с аутентификацией в нескольких ролях, проверка самого приложения, сети и сегментации вокруг CDE, а также подготовка к PCI DSS, когда соответствие нужно подтвердить.
Основано на стандартах, которым подчиняется финтех
Тестирование приложений и API ведётся по OWASP WSTG v4.2, OWASP API Security Top 10 (2023) и OWASP ASVS 5.0; тестирование сети и сегментации помогает выполнить требования PCI DSS v4.0.1 Requirement 11.4. Мы обеспечиваем подготовку и тестирование, но не являемся QSA и не выпускаем Report on Compliance. Находки оцениваются по CVSS 3.1.
Чего ожидать от финтех-проекта
Vexaro не только тестирует, но и сама создаёт программное обеспечение и инфраструктуру. Благодаря этому взгляду изнутри наши отчёты расставляют приоритеты по бизнес-риску, а не по шуму сканера. Мы не называем клиентов.
- Ручное тестирование платёжных потоков и API с несколькими ролями
- Тестирование с упором на ручную работу, находящее логические ошибки движения денег и авторизации
- Подготовка к PCI DSS и тестирование по Requirement 11.4, от которого она зависит
- Отчёты, приоритизирующие бизнес-риск, с бесплатной повторной проверкой исправлений в срок, указанный в SoW
- NDA до любого доступа; доказательства шифруются, затем удаляются или возвращаются