セキュリティ、技術面について決済システムを御提供頂いております、
株式会社ゼウス様に詳細をお尋ねしました
馬券ドットコムはお客様の財産の安全を第一に考えます。
現在インターネット上の有料競馬サイトには
法的に定められている運営者の所在を明らかにする為の 法定表記を掲示していない
などの問題が多くあり、そのような運営をしている有料サイトの安全性は
非常にグレーなものと考えられます。
競馬サイトという枠だけではなく全てのインターネット上の有料サイトに言える問題です
馬券ドットコムのサポートは全ての条件を満たしたものとなっております。
以下からゼウス様からの回答
2003年8月6日に日本経済新聞夕刊で、経済産業省系の研究機関である産業
技術総合研究所の調査結果が1面で公表されました。本調査はCookieの機能
を利用した盗聴によるWebアプリケーションハイジャックの危険性を記述
したものでございますが、本件を分かりやすく解説し、加盟店様のゼウスの
システム対する安全性についての疑問に、お答えしたいと思います。
１．産業技術総合研究所の調査結果と原因分析
(1)概要
インターネット通販の有力２２サイトの内、２０サイトでクレジットカード
番号、氏名、注文履歴などが不正に閲覧できた。
(2)cookieとは
Webサーバーとクライアントブラウザー間でやり取りされる各種情報を
含んだファイルの事を言います。ショッピングサイトなどで一回目に登録を
行えば、二回目以降ユーザーが個人情報などを入力する手間を省きます。
その反面、パスワードなどの重要な情報をやり取りした場合、それを盗聴
され悪用される恐れもあります。
(3)具体的には
cookieの内容が暗号化されていない場合、ユーザーに個別につけられるID
を盗聴され、それを利用し別のユーザーがIDを詐称すればそのIDの本当の
持ち主になりすまし、不正に商品・サービスを享受することが可能と
なります。
(4)cookieの利用例
・ショッピングカート
・カスタマイズされた個人向けホームページ
(5)設定
cookieの受け取りはユーザー側で決めることができます。通常はデフォルト
で受け取るように設定されています。
(6)cookieとゼウス
ゼウスでは決済の際cookieのやり取りを購入者様と行っておらず、決済の
度にSSLの画面にて、ユーザーに情報を入力して頂き、それをCGIで受け
取る流れとなります。そのような環境の為、情報が漏洩することはござい
ません。
２．ゼウスのセキュリティシステム
全体概要をご説明申し上げます。
(1)業務
カード番号の閲覧は、社内においても売り上げ照会業務等、業務上必要が
有る者のみ閲覧可能
(2)専用端末
顧客またはカード会社からの売り上げ照会業務については、ローカルの
専用端末を利用
(3)ファイアーウォール
２重化
(4)データベースサーバ
カード情報などのデータベースサーバは、インターネットへ接続しており
ません
(5)加盟店様との接続
SSL 128bit、40bitを採用。また米国Cardservice International社との
暗号化通信はRSA1024bitを採用
(6)回線
サービス用専用線とクレジットカード情報送信用専用線は別回線
(7)フルタイム有人監視
(8)リンクポイントＣＧＩ
加盟店様へは、決済後にＣＧＩにて指定ＵＲＬ先に決済結果を返します
が送信先は受信時のＵＲＬとは異なり、ハッキングの防止が可能
(9)不正利用・２重決済防止
５分以内の同一IPや同一データからの申し込みの受け付け拒否。
（不正利用者が使用可能なカード情報を取得するための不正利用防止）
(10)優良/不良会員管理
顧客チェック機能を保有
(11)ネガデータ
カード会社からの不良会員データを管理。カード会社への送信前の
チェック機能
(12)高セキュリティの施設・設備
・非フロンガスによる消化設備完備
・停電対策としての自家発電装置の保有。
・徹底した温湿度（室温：摂氏２４度、湿度：４０〜４５％）管理と
空調設備の２重化。
・入居ビル自体が耐震設計。また、システム設置スペースの免震化
上記環境をご提供申し上げております。ご安心して決済をお任せ頂きたく
存じます。
また、本システムの運転正常化を目的と致しまして、毎週月曜日／木曜日
のＡＭ１０：００〜１０：３０までの３０分間再起動を行っており、決済が
中断致します。
ご迷惑をおかけ致しますが、安定性の確保の為何卒ご理解を賜りますよう
お願い申し上げます。