Mit Abstimmung mit unseren Sicherheitsexperten verwendet Computop drei Arten der Verschlüsselung. Diese wurden weiterhin im Zuge des aktuellen PCI-Audits geprüft und als sicher eingestuft. Eine Übersicht über diese Verschlüssenlungstechniken finden Sie untenstehend, jeweils mit einer Referenz zu weiterführenden Informationen.
Im Zuge der Entwicklung neuer Schnittstellen, werden die verwendeten Verschlüsselungstechniken sowie generelle Sicherheitsmaßnahmen selbstverständlich stetig überprüft. Dies geschieht bspw. im Zuge des PCI-Audits um sicherzustellen, dass wir auf moderne und sichere Verschlüsselungstechniken setzen.
1. HTTPS Transport Layer Security (TLS 1.2 und TLS 1.3)
Die Kommunikation mit dem Paygate erfolgt über TCP/IP und HTTP (HyperText Transfer Protocol) mit 128 / 256 Bit TLS-Verschlüsselung (HTTPS). Weiterführende Informationen
Dafür zugelassene Cipher:
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
2. Blowfish
Alle Daten, die für eine Zahlungsabwicklung notwendig sind, werden als Parameter an die Schnittstelle übergeben. Damit weder der Kunde noch ein Dritter die Daten manipulieren kann, werden die Parameter mit Blowfish verschlüsselt und durch eine HMAC-Authentisierung (siehe nachfolgend) geschützt.
Beim Aufruf des Formulars entschlüsselt das Paygate die Parameter und zeigt die HTML-Seite mit den Eingabefeldern der entsprechenden Zahlungsart an. Dort gibt der Kunde seine Daten ein und startet den Zahlungsprozess per Mausklick auf die Schaltfläche Bezahlen.
Nach Durchführung der Zahlung leitet das Paygate den Kunden per HTTPS GET oder HTTPS POST auf eine Shop-Seite zurück (URLSuccess, URLFailure) und übergibt dabei das Zahlungsergebnis als Blowfish-verschlüsselte Parameter. Zusätzlich übermittelt das Paygate das Ergebnis per HTTPS POST an die Notify-Seite des Shops (URLNotify). Der Shop nimmt das Zahlungsergebnis entgegen und entschlüsselt die Daten, um den Kunden über den Status zu informieren. Weiterführende Informationen
2.1 AES
Das Computop Paygate bietet neben der bewährten Blowfish-Verschlüsselung auch die Möglichkeit, Nachrichten mit AES zu verschlüsseln. Technische Details finden Sie in unserer Dokumentation.
3. Keyed-Hash Message Authentication Code (HMAC)
Zum Schutz vor unbefugter Manipulation Ihrer Zahlungstransaktionen prüft das Computop Paygate mit Hilfe eines Hash Message Authentication Codes (HMAC), ob Ihre Zahlungsanfrage authentisch ist und nicht manipuliert wurde. Zu diesem Zweck übergeben Sie bei jeder Transaktion im Parameter MAC einen HMAC-Wert an das Paygate.
Hintergrund: Anders als das HMAC-Verfahren hat jede Verschlüsselungsmethode den Nachteil, dass es eine passende Entschlüsselungsmethode gibt. Wer den richtigen Schlüssel besitzt oder die Verschlüsselung knackt, kann die Daten lesen und manipulieren. Eine Verschlüsselungsmethode ist daher nie zu 100% sicher. Beim Hash-Verfahren ist eine Entschlüsselung hingegen nicht möglich, so dass ein Hash-Wert die Authentizität der Nachricht zweifelsfrei bestätigen kann.
Um die Authentizität Ihrer Zahlungen zu überprüfen, nutzt das Computop Paygate einen Hash Message Authentication Code (HMAC). Dafür wird der Algorithmus MACSHA-256 mit einer 32stelligen Schlüssellänge (256 Bit) verwendet. Durch das zusätzliche Passwort ist das HMAC-Verfahren besonders sicher. Weiterführende Informationen