Споделяне отново — съдържание от Romaric PINSET LEPRETRE
Исках да тествам сигурността на електронното фактуриране и ето какво открих.
Правилен формат, правилен доставчик, грешна банкова сметка и грешен подател!
Сценарият е прост.
Измамник се представя за вашия истински доставчик. Електронната му фактура използва неговото име, неговия SIREN и неговия номер по ДДС. Променя се само едно нещо: IBAN, който е негов.
Ако премине през вашите вътрешни контроли, те получават плащането.
Стига до вас, защото одобрената платформа удостоверява самоличността на подателя на файла. Но в самата фактура (UBL, CII или Factur-X) продавачът просто е деклариран. И стандартният Odoo никога не сравнява двете.
Това се нарича SPOOFING: измамен начин за фалшифициране на подателя.
Odoo създава IBAN в записа на контакта, без процедура за засилена проверка; вие валидирате въз основа на фактурата и плащате.
Откриването е техническо и невидимо за вас:
– трябва да погледнете кой всъщност е изпратил фактурата: подателят, удостоверен от платформата
– сравнете неговия SIREN с правната идентичност на продавача, записана във фактурата (идентификатор, юридическо лице, ДДС)
– ако не съвпадат, блокирайте фактурата преди плащане
Точно това прави моят модул, за Odoo 17 до 20:
– в случай на несъответствие: червен банер, бележка в историята и двойно валидиране преди потвърждаване/осчетоводяване
Искате ли модула?
Коментирайте SPOOFING и ще ви изпратя Odoo модула
#Odoo #RFE #CyberSecurity FNFE #Spoofing #ElectronicInvoicing #Accounting #PEPPOL
Clement Julien Julien
LinkedIn източници
- Профил: Pierre Jean Duvivier dit Sage (LinkedIn)
- Споделен автор: Romaric PINSET LEPRETRE (LinkedIn)
Публикацията Исках да тествам сигурността на електронното фактуриране и ето какво открих. се появи първо на les plumes qui mordent.
Често задавани въпроси
ЧЗВ Тестване на сигурността на електронното фактуриране
1 Какво е електронно фактуриране
Електронното фактуриране е автоматизираното създаване, изпращане и обработка на фактури в цифров формат между предприятия или между предприятие и държавна система, без участие на хартия
2 Защо някой би тествал сигурността на система за електронно фактуриране
За да открие слабости преди нападателите. Фактурите съдържат чувствителни финансови и лични данни, така че тестването помага за предотвратяване на измами, изтичане на данни и манипулации
3 Кои са най-честите проблеми със сигурността в системите за електронно фактуриране
Слабо удостоверяване, нешифровани данни при пренос или съхранение, липсваща проверка на подписа, манипулиране на фактури и инжектиране на фалшиви фактури по модела на фишинг
4 Какво означава манипулиране на фактура
Това е, когато някой промени данни от фактурата — като суми, номера на банкови сметки или информация за получателя — било то при пренос или при съхранение, така че плащането да отиде там, където не трябва
5 Как мога да разбера дали дадена фактура е била манипулирана
Проверете за валиден цифров подпис и го сверте със сертификата на подателя. Ако подписът липсва, е невалиден или не съвпада със съдържанието, третирайте фактурата като подозрителна
6 Какво е цифров подпис в електронното фактуриране
Криптографски печат, който доказва кой е създал фактурата и че тя не е била променяна след това. Това е основната защита срещу манипулиране и подмяна на самоличност
7 Нуждая ли се от криптиране, ако вече използвам цифрови подписи
Да. Подписите доказват цялост и произход, криптирането защитава поверителността. Обикновено са ви нужни и двете
8 Каква е разликата между удостоверяване и оторизация тук
Удостоверяването потвърждава кой е даден потребител или система. Оторизацията определя какво им е разрешено да правят след проверката
9 Каква е често срещана грешка на начинаещи при тестване на сигурността на електронното фактуриране
Тестване само на нормалния сценарий — изпращане на валидна фактура и потвърждаване, че пристига. Истинското тестване означава изпробване на невалидни подписи, неправилно форматирани файлове, дублирани фактури и неоторизиран достъп
10 Как да тествам дали дадена система за електронно фактуриране отхвърля фалшиви фактури
Изпращайте тестови фактури с невалидни или липсващи подписи, променени суми и подправени данни за подателя. Системата трябва да отхвърли или маркира всяка една от тях
11 Какво е измама с фактури и как се свързва с тестването на сигурността
Измамата с фактури е заблуждаване на бизнес
