재공유 — Romaric PINSET LEPRETRE의 콘텐츠
전자 인보이싱의 보안을 테스트하고 싶었고, 제가 발견한 것은 다음과 같습니다.
올바른 형식, 올바른 공급업체, 잘못된 은행 계좌, 잘못된 발신자!
시나리오는 간단합니다.
사기꾼이 실제 공급업체인 척합니다. 그들의 전자 인보이스는 그들의 이름, SIREN, VAT 번호를 사용합니다. 단 한 가지만 바뀝니다: 그들의 IBAN입니다.
내부 통제를 통과하면, 그들이 지급받습니다.
승인된 플랫폼이 파일의 발신자를 인증하기 때문에 인보이스가 도달합니다. 그러나 인보이스 자체(UBL, CII 또는 Factur-X)에서 판매자는 단순히 선언됩니다. 그리고 표준 Odoo는 절대 둘을 비교하지 않습니다.
이것이 바로 SPOOFING이라고 불리는 것입니다: 발신자를 위조하는 사기적인 방법.
Odoo는 강화된 검증 절차 없이 연락처 레코드에 IBAN을 생성합니다; 인보이스를 기반으로 검증하고 지급합니다.
탐지는 기술적이며 당신에게 보이지 않습니다:
– 인보이스를 실제로 누가 보냈는지 확인해야 합니다: 플랫폼이 인증한 발신자
– 그들의 SIREN을 인보이스에 기재된 판매자의 법적 신원(식별자, 법인, VAT)과 비교합니다
– 일치하지 않으면, 지급 전에 인보이스를 차단합니다
이것이 바로 제 모듈이 하는 일이며, Odoo 17부터 20까지 지원합니다:
– 불일치 시: 빨간 배너, 이력에 메모, 확인/회계 처리 전 이중 검증
모듈을 원하시나요?
SPOOFING이라고 댓글을 달면 Odoo 모듈을 보내드리겠습니다
#Odoo #RFE #CyberSecurity FNFE #Spoofing #ElectronicInvoicing #Accounting #PEPPOL
Clement Julien Julien
LinkedIn 출처
- 프로필: Pierre Jean Duvivier dit Sage (LinkedIn)
- 공유 작성자: Romaric PINSET LEPRETRE (LinkedIn)
게시물 전자 인보이싱의 보안을 테스트하고 싶었고, 제가 발견한 것은 다음과 같습니다.는 les plumes qui mordent에 처음 게시되었습니다.
자주 묻는 질문
FAQ 전자 인보이싱의 보안 테스트
1 전자 인보이싱이란 무엇인가
전자 인보이싱은 기업 간 또는 기업과 정부 시스템 간에 디지털 형식으로 인보이스를 자동 생성, 전송, 처리하는 것으로 종이가 필요 없습니다
2 왜 누군가가 전자 인보이싱 시스템의 보안을 테스트할까
공격자가 발견하기 전에 약점을 찾기 위해서입니다 인보이스에는 민감한 금융 및 개인 데이터가 포함되어 있으므로 테스트는 사기, 데이터 유출, 변조를 방지하는 데 도움이 됩니다
3 전자 인보이싱 시스템에서 가장 흔한 보안 문제는 무엇인가
약한 인증, 전송 중 또는 저장 중 암호화되지 않은 데이터, 서명 검증 누락, 인보이스 변조, 피싱 스타일의 가짜 인보이스 주입
4 인보이스 변조란 무엇인가
누군가가 금액, 은행 계좌 번호, 수신자 정보와 같은 인보이스 세부 정보를 전송 중 또는 저장 중에 변경하여 지급이 가서는 안 될 곳으로 가게 하는 것입니다
5 인보이스가 변조되었는지 어떻게 알 수 있나
유효한 디지털 서명을 확인하고 발신자의 인증서와 대조하여 검증하십시오 서명이 없거나 유효하지 않거나 내용과 일치하지 않으면 인보이스를 의심스러운 것으로 처리하십시오
6 전자 인보이싱에서 디지털 서명이란 무엇인가
인보이스를 누가 생성했고 이후 변경되지 않았음을 증명하는 암호화 봉인입니다 변조와 사칭에 대한 주요 방어 수단입니다
7 이미 디지털 서명을 사용하고 있다면 암호화가 필요한가
예 서명은 무결성과 출처를 증명하고 암호화는 기밀성을 보호합니다 일반적으로 둘 다 필요합니다
8 여기서 인증과 권한 부여의 차이는 무엇인가
인증은 사용자나 시스템이 누구인지 확인합니다 권한 부여는 확인된 후 그들이 무엇을 할 수 있는지 결정합니다
9 전자 인보이싱 보안을 테스트할 때 흔한 초보자 실수는 무엇인가
정상 경로만 테스트하는 것—유효한 인보이스를 보내고 도착하는지 확인하는 것 실제 테스트는 유효하지 않은 서명, 잘못된 형식의 파일, 중복 인보이스, 무단 접근을 시도하는 것을 의미합니다
10 전자 인보이싱 시스템이 가짜 인보이스를 거부하는지 어떻게 테스트하나
유효하지 않거나 누락된 서명, 변경된 금액, 스푸핑된 발신자 세부 정보가 있는 테스트 인보이스를 보내십시오 시스템은 각각을 거부하거나 플래그해야 합니다
11 인보이스 사기란 무엇이며 보안 테스트와 어떻게 관련되나
인보이스 사기는 기업을 속이는 것입니다
