🔴 PayHere වැඩ පෙන්නයි! 65GB ක දත්ත ලීක් කරගනී!

[කඩ්ඩ බැරි එකා]

මෙතන ලොකු අවුලක් තියනවා. මම testing වලට හදාගත්ත mail එකක් තියනවා එකෙන් මම කිසිම payment එකක් කරල නෑ එත් එකත් breach එකේ තියනවා එකෙන් තේරෙන්නෙ මුං plugin එකෙන් payment එකක් කරා නැතා userbase එක අදිනවා
[/QUOTE]

හෙනම කැරි වැඩක් එහෙම කරලනම්. සයිට් වල ඇඩ්මින්ලවත් දැන්නැතිව ඇති බං. එහෙම සයිට් වල ඩේට අදින එක නම් පට්ට චා. මුන්නම් අනේ මංද..

 

[Heshan Daminda]

මීට සතියකට දෙකකට කලිනුත් payhere එකේ data breach එකක් වුනා කියල මැසේජ් එකක් ආව නේද කට්ටියට. පස්සේ ධනිකය කිව නේද එහෙම දෙයක් වෙලා නෑ අපේ sms gateway එක hack කරලා තමා කට්ටියට එහෙම මැසේජ් දාලා තියෙන්නේ කියල. ඒ වෙලාවේදීවත් මූ ටිකක් ඇලර්ට් එකේ ඉඳල නැද්ද ඊළඟට වෙන්නේ මේක තමා කියල.

 

[Edward Kenway]

මෙතන ලොකු අවුලක් තියනවා. මම testing වලට හදාගත්ත mail එකක් තියනවා එකෙන් මම කිසිම payment එකක් කරල නෑ එත් එකත් breach එකේ තියනවා එකෙන් තේරෙන්නෙ මුං plugin එකෙන් payment එකක් කරා නැතා userbase එක අදිනවා

මට තියන ලොකුම ප්‍රශ්නේ මුන්ට partial card numbers කොහෙන්ද කියන එක. මට හරියටම sure නෑ ඒත් PCI DSS නැතුව card number කොටසක්වත් save කරගන්න බෑ මම හිතන්නේ. එහෙම නම් මුන් බරපතල වැරද්දක් කරලා තියෙන්නේ.

@HAneo Can they legally store partial card numbers without PCI DSS?

 

[හෙළයෙක්]

මෙතන ලොකු අවුලක් තියනවා. මම testing වලට හදාගත්ත mail එකක් තියනවා එකෙන් මම කිසිම payment එකක් කරල නෑ එත් එකත් breach එකේ තියනවා එකෙන් තේරෙන්නෙ මුං plugin එකෙන් payment එකක් කරා නැතා userbase එක අදිනවා

මේක සිරානන් හෙන අවුල් වැඩේ.

 

[aliman]

මෙතන ලොකු අවුලක් තියනවා. මම testing වලට හදාගත්ත mail එකක් තියනවා එකෙන් මම කිසිම payment එකක් කරල නෑ එත් එකත් breach එකේ තියනවා එකෙන් තේරෙන්නෙ මුං plugin එකෙන් payment එකක් කරා නැතා userbase එක අදිනවා

හෙනම කැරි වැඩක් එහෙම කරලනම්. සයිට් වල ඇඩ්මින්ලවත් දැන්නැතිව ඇති බං. එහෙම සයිට් වල ඩේට අදින එක නම් පට්ට චා. මුන්නම් අනේ මංද..

මට 1000% sure මචන්

 

[HAneo]

Who on earth use the same salt for every password? if that's the case then why would they store the salt with hash? It'll be rows upon rows of same value wouldn't it??

Agree. Sad truth is i have seen this many times. that cus they don't get the meaning of salting.

Well the problem with using HSM is two fold.

Encryption is less secure because it has to facilitate reversing whatever it does. Hashes are not.

Agreed to this point

https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html

2) More you access your HSM, larger the attack surface is. if you store passwords in HSM that means you need to access it every time user logs in. Unnecessary action that can jeopardise the security of items that you actually need to store in the HSM.

Ok let's do one example of this in every time you enter your card to an ATM , Session Initialization will happen. that means Round trip to the HSM to Validate the Card's Track and User Data(PIN Validation). so it's like login to a system. so frequent Round Trips with HSM all the time.

if you store passwords in HSM that means you need to access it every time user logs in.

I don't get the idea User Logged in to a payment System. it's the merchant who Initiate trans with a payment system not the user. and user logged in to the Marchant's System

 

[thaweesha]

අදුරණ කිසිම එකෙක්ට ඔය හිඟන වේසිගෙ පුතාලගෙ කිසිම ඇප් එකක් use කරන්න දුන්නේ නෑ. පට්ට සතුටුයි. දැන් නම් උන්ට මාව හෙන පොරක්. ඒත් වැඩක් නෑ. එපා කියද්දි දාගෙන හුකාගෙන. කැරී පොන්නයන්ගේ ගේට්වේ තියන කිසිම සයිට් එකකින් පේමන්ට් කරලා නෑ. මට ඔය හුත්තෙ email එක ආවෙත් නෑ. පට්ට සතුටුයි.

 

[HAneo]

මුන්ගෙ මොන HSM ද බන්. clear text තියෙන්න ඇති encrypt keys source එකේ. මුන් හරිනම් හැම එකාමට මේල් ගහන්න ඕන Password එක රීසෙට් කරගන්න කියල. මුන් කොහෙද ඕව අටවන්නේ.

Ehenam Hash and salt gana katha karalath wadak na.

 

[aliman]

මේක සිරානන් හෙන අවුල් වැඩේ.

මට sure මචන් මන් එකෙන් payment එකක් කරලා නෑ

 

[HAneo]

මට තියන ලොකුම ප්‍රශ්නේ මුන්ට partial card numbers කොහෙන්ද කියන එක. මට හරියටම sure නෑ ඒත් PCI DSS නැතුව card number කොටසක්වත් save කරගන්න බෑ මම හිතන්නේ. එහෙම නම් මුන් බරපතල වැරද්දක් කරලා තියෙන්නේ.

@HAneo Can they legally store partial card numbers without PCI DSS?

NOOOOO only Issuer has rights to do that. my question is how they get the card numbers at the first place
They told customers that they are using Direct-Debit. so what's the point of using Card number? DD uses Account number and directly debit from the account????????

 

[Casinoboy]

Ehenam Hash and salt gana katha karalath wadak na.

database එක ලීක් කරලද තියෙන්න‍ේ දැන් ?

 

[Nadun26]

මචන්ලා මම Payhere එකේ Helapay Use කලා මගේ සයිට් එකේ @aliman කිව්වට පස්සේ මම බැලුවේ මගේ සයිට් එකේ මම ටෙස්ට් කරන්න දාපු E-mail එකක් තියෙනවා මම එක කොහෙවත් දාලා නෑ. එක අර ලිස්ට් එකේ තියෙනවා උන් අපේ සයිට් වල තියෙන දේවල් Plugin එකෙන් ඇදලා වගේ නැත්තම් කොහොමද ඒ E-mail එක පිටට ගියේ ?

 

[කඩ්ඩ බැරි එකා]

Ehenam Hash and salt gana katha karalath wadak na.

ඕකෙ ඇති දෙයක් නෑ මචං. නිකන්ම නිකන් සිම්පල් වෙබ් ඇප් එකක්. මුන් කරේ බැංකුව එක්ක ඩීල් එකක් ගහල උන්ගෙ payment gateway එක සර්විස් එකක් විදියට මුන්ගෙ වගේ දුන්න එක. නෝමල් ඩේටබේස් එකක් මේන්ටේන් කරන්න ඇති. ඒව වල පාස්වර්ඩ් හෑෂ් ෆන්ක්ෂන් එකකින් හෑෂ් කරන්න ඇති. කීස් .env or config file එකක clear text තියෙන්න ඇති. එච්චරයි ලොකු දෙයක් නෑ. මුන් පේමන්ට් එකක් කරද්දි ඒකෙ ඔක්කොම ඩීටේල්ස් ටික Plugin එකෙන් ඇදල ඩේට බේස් එකට ගහල. keys තියන්න වෙනමම සිස්ටම් එකක් මේන්ටේන් කරල නෑ ලොවෙත්. නිකන්ම නිකන් වෙබ් ඇප් එකක්. pure or laravel php වෙන්න ඇති.

මේකෙ අනවශ්‍යම වැඩේ මුන් කාඩ් වල මුල් නම්බර් ටික ලොග් කරපු එක. ඒක වැරදි වැඩක් කාඩ් වල ඩීටේල්ස් තියාගන්න ප්‍රමිතීන් තියෙනව. ඕන ඕන විදියට අරන් තියාගන්න බෑ. මුං මහ කිසිම රෙස්පොන්සිබිලිටි එකක් නැති ගොන්නු ටිකක්. මුන් මේ කරපු දේට හරිනම් sue කරන්න ඕන.

 

[හෙළයෙක්]

NOOOOO only Issuer has rights to do that. my question is how they get the card numbers at the first place
They told customers that they are using Direct-Debit. so what's the point of using Card number? DD uses Account number and directly debit from the account????????

How the full card numbers were not compromised?

• We do not store full card numbers in our database, since the card payments are directly processed by our partner banks.
• We only get access to the masked card numbers (first 6 digits & last 4 digits) & expiry dates which are returned by partner banks after processing card payments.

මෙතන කියන කතාවෙත් කන්ට්‍රඩික්ශන් එකක් තියෙනව තමා. ඩිරෙක්ට් බැන්ක් වලින් නන් ප්‍රොසෙස් කරන්නෙ අපේ ඩීටේල්ස් දෙන්න ඕනි එහෙනන් බෑන්ක් එක මුන් කියන ව්දියට.

 

[Edward Kenway]

Agree. Sad truth is i have seen this many times. that cus they don't get the meaning of salting.


Agreed to this point

Ok let's do one example of this in every time you enter your card to an ATM , Session Initialization will happen. that means Round trip to the HSM to Validate the Card's Track and User Data(PIN Validation). so it's like login to a system. so frequent Round Trips with HSM all the time.


I don't get the idea User Logged in to a payment System. it's the merchant who Initiate trans with a payment system not the user. and user logged in to the Marchant's System

Yeah true, I was taking a hypothetical scenario for "user login" to elaborate my point. And for a password (which users unfortunately reuse on multiple places) it's bad practise to store it in a way that even you yourself can get back to plain text.

For other data that you have to gain access later on, yes HSM is the way to go.

NOOOOO only Issuer has rights to do that. my question is how they get the card numbers at the first place
They told customers that they are using Direct-Debit. so what's the point of using Card number? DD uses Account number and directly debit from the account????????

Direct-debit is for the folks who saved their cards on their payhere crap eh? They seems to collect this information from users who just used their crappy payment service to pay. That's whole another level of unacceptability.

All they have to do is redirect to the actual IPG who has the right to collect card information.

This fucker need to be hanged.

 

[HAneo]

database එක ලීක් කරලද තියෙන්න‍ේ දැන් ?

මම කතා කරන්නේ ඔය ඩේටා බ්‍රිච් එකේ සයිස් එක උපරිමයි කියල හිතාගෙන. උබලට කන්ෆුයුස් වෙනවා ඇත්තේ එකයි. මොකද මුන් පෙන විදිහට බොරු කියන්නේ. එක පාර direct debit කියනවා ඊට පස්සේ පාෂල් කාඩ් නම්බර්ස් ලීක් උනා කියනවා . direct debit නම් කාඩ් නම්බර්ස් ඕනේ නැ . උබ මර්චන්ට් නම් උබ බෑන්ක් එක එක්ක අග්රිමන්ට් එකක් තියනවා. එකේදී උබට මර්චන්ට් අයිඩි එකයි තව ඩේටා ටිකකුයි දෙනවා. එකෙන් ට්‍රාන් එකක් ඉනිශියෙට් කරන්න පුළුවන්. දැන් මුන් කියන විදිහට උබලා හෙලකුරු එකට අකවුන්ට් නම්බර් එක දීලා එකේ opt එක දාන්න කිව්වම බෑන්ක් සයිට් එකෙන් ඒ ආක එකට කී එකක් දෙනවා. මම කියන්නේ ඔන්න ඔය කී එක ඩේටා බේස් එකක දාන එක වැරදි. ඒ කි එකෙන් තමා උබලා අර බටන් එක එබුවාම ෆින්ගර් ප්‍රින්ට් එක විතරක් ඉල්ලලා සල්ලි කැපෙන්නේ . ඉතින් direct debit නම් යන්නේ තත්වේ බයානකයි. හැබැයි මුන්ට කිසිම රයිට් එකක් නැ කාඩ් නම්බර් සේව් කරගන්න. එක නම් නඩු යනවා මයි.

මේ තියෙන්නේ යවන්න ඕනේ ඩේටා උබ මර්චන්ට් (හෙලකුරු ) සයිඩ් එකේ ඉදන් බෑන්ක් එකට
ඔය ලොකු කරලා තියන 2 ඩේටා බේස් වල සේව් කිරීම සපුරා තහනම්

--Edited
<add key="Password" value="123456"/>
<add key="Key" value="MzIwMDEzNjAwMDEwMDc0MTQzYjY3YzUyYi1jMWM1........"/>


@Edward Kenway FYI machan this Key acts like a password and Password is the salt. it's different way they are using to confuse the values

 

[කඩ්ඩ බැරි එකා]

මෙතන කියන කතාවෙත් කන්ට්‍රඩික්ශන් එකක් තියෙනව තමා. ඩිරෙක්ට් බැන්ක් වලින් නන් ප්‍රොසෙස් කරන්නෙ අපේ ඩීටේල්ස් දෙන්න ඕනි එහෙනන් බෑන්ක් එක මුන් කියන ව්දියට.

මුන් කියන විදියට බෑන්ක් එක දීල තියෙන්නෙ. මේක මේ කස්ටම් ඇග්රීමන්ට් එකක්ද කොහෙද. අපි උබල බැංකුවකින් payment gateway එකක් ගත්තම පේමන්ට් එකක් සක්සස් උනාම මාක්ස්ක්ඩ් කාඩ් ඩේට return වෙන්නෑනේ??? මේ බංකු පාවා මහ ගොබ්බයි බලං ගියාම. නොදකින්.

 

[IceBear]

මූ අනිවා මේ නූල බලනව.

He is a bhaiya so obviously watches this thread. If this was Europe that idiot will be in jail now.

 

[කඩ්ඩ බැරි එකා]

Yeah true, I was taking a hypothetical scenario for "user login" to elaborate my point. And for a password (which users unfortunately reuse on multiple places) it's bad practise to store it in a way that even you yourself can get back to plain text.

For other data that you have to gain access later on, yes HSM is the way to go.



Direct-debit is for the folks who saved their cards on their payhere crap eh? They seems to collect this information from users who just used their crappy payment service to pay. That's whole another level of unacceptability.

All they have to do is redirect to the actual IPG who has the right to collect card information.

This fucker need to be hanged.

ඔව් මූ මහ කැරි වැඩක් කරල තියෙන්නේ. පේමන්ට් එක කරද්දි ඇත්ත පේමන්ට් Provider ට රීඩිරෙක්ට් නොකර මූ පුලුවන් තරම් ඩේට ඇදල. මුගේ හෙළකුරු ඇප් එකෙන් කොච්චර ඩේට ඇදිනව ඇත්ත.

 

[IceBear]

මචන්ලා මම Payhere එකේ Helapay Use කලා මගේ සයිට් එකේ @aliman කිව්වට පස්සේ මම බැලුවේ මගේ සයිට් එකේ මම ටෙස්ට් කරන්න දාපු E-mail එකක් තියෙනවා මම එක කොහෙවත් දාලා නෑ. එක අර ලිස්ට් එකේ තියෙනවා උන් අපේ සයිට් වල තියෙන දේවල් Plugin එකෙන් ඇදලා වගේ නැත්තම් කොහොමද ඒ E-mail එක පිටට ගියේ ?

Immediately cancel Helapay amd PayHere