Přechod z GP Webpay (MUZO) na novou bránu ČSOB rubrika: Programování: PHP

8 rmaslo
položil/-a 24.7.2015

Zdravím,
zajímalo by mě zda s tím má někdo zkušenosti. Měl bych zřejmě jet dle popisu z https://github.com/csob/paymentgateway/wiki/P%C5%99echod-z-ji%C5%BE-pou%...

Na první pohled to dle manuálu vypadá vše snadno, nicméně stávající klíče v shopu jsou ve formátu .pem (a to jak veřejný klíč brány, tak klíč shopu), ale nový veřejný klíč brány je v .pub nebo .cer a nový soukromý klíč shopu mám v .key a veřejný v .pub

Dotaz:
Mám to nějak převédst do .pem (a v návodu to nepíší protože předpokládají, že každý ví jak) ?
Nebo je to zadání nějak špatně a nejedná se o tento typ přechodu ?
Nebo se dnes již .pem nepoužívá a je to potřeba nějak přepsat ?

Předem se omlouvám jestli je to nějaká trivialita, ale weby nejsou zrovna můj obor.

odkaz Vyřešeno
2 Jirka Zamazal
odpověděl/-a 25.7.2015

Při přechodu na novou platební bránu csob se generuje nový klíč (soukromý i veřejný). Postup je stejný jako při zakládání nového účtu. Dělal jsem to před 14 dny :-) klíče se generují pomocí webové appky, odkaz najdeš na wiki csob.

Komentáře

  • rmaslo : Klíče jsem vygeneroval atd... všechno OK, požadavek vytvořím, brána ho přijme, zaplacení se provede, odpověď z brány přijde. Ale když chci zkontrolovat podpis zda odpověď od brány není podvržená tak mi nesouhlasí (kontrola dle DIGEST). Začal jsme tedy zkoumat co mi v odpovědi posílají a zjistil jsem dvě odchylky oproti manuálu na http://gpwebpay.cz/Content/downloads/GP_webpay_Seznameni_se_systemem_072.... 1. Posílají v odpovědi navíc pole MERCHANTNUMBER. Což by se nemělo (str.12 v namuálu). Tím se bezpečnost podpisu DIGEST1 sníží na úroveň DIGEST. 2. Neposílají pole RESULTTEXT. tj. textový popis chyby. To z předchozí brány chodilo dokonce i v případě úspěšného zaplacení - s textem "OK" (manuál str. 15). Textový popis chyby v principu nepotřebuji, pro ověření zaplacení mi stačí PRCODE a SRCODE, ale podpis se počítá i z něj. Dotazy: Ověřuješ i podpis brány? Zkoumal jsi jaká pole Ti posílaji? Podpis brány kontroluješ dle DIGEST nebo DIGEST1 nebo obou? — 31.7.2015
  • Jirka Zamazal : Ahoj, omlouvám se za pozdní odpověď (dovolená...). Je pravda, že je rozpor mezi dokumentací a realitou v případě gpwebpay i v případě čsob. Ověřuji oba podpisy. Stálo mě to trochu experimentování, než jsem zjistil, jak to vlastně ČSOB podepisuje. Správné pořadí parametrů pro jednotlivé podpisy pro platební bránu ČSOB v režimu starého gpwebpay (je nutné je spojit znakem '|'): DIGEST = OPERATION + ORDERNUMBER + MERORDERNUM + MD + PRCODE + SRCODE. DIGEST1 = OPERATION + ORDERNUMBER + MERORDERNUM + MD + PRCODE + SRCODE + MERCHANT_NUMBER. MERCHANT_NUMBER ani neberu z příchozích parametrů. Id obchodníka si tahám z vlastní databáze, protože ho znám již z ID objednávky. Snad ti to nějak pomůže :-) — 28.8.2015
  • rmaslo : Je velice dobře, že MERCHANT_NUMBER nebereš z příchozích parametrů. Tím, že MERCHANT_NUMBER posílali, tak vlastně bezpečnost DIGEST1 snížili na stejnou úroveň jako je bezpečnost klíče DIGEST. Protože jediný bezpečnostní rozdíl mezi DIGEST a DIGEST1 je v tom, že při DEGEST1 se přičítá i tento potenciálnímu útočníkovi neznámý parametr. Takže napsal jsme jim to, už to opravili a neposílaj to (aspoň mě ne), takže aspoň tohle je i v souladu s manuálem. To že neposílají RESULTTEXT je podle mě v rozporu s manuálem, ale experimentama jsme taky přišel na to, že ho tam nepřičítaji (ani jako prázdný string tj. zdvojené '||'). Na moji výtku, že oproti manuálu neposílají RESULTTEXT už nijak nereagovali... což je asi logické, protože kdyby ho tam přidali, tak by to sice začali dobře podepisovat podle manuálu, ale všem co to rozchodili "experimentálně" by to začalo hlásit chybný podpis :-) — 28.8.2015
  • Jirka Zamazal : @rmaslo Jen pro "pobavení": Stalo se přesně to, co jsi napsal v poslední větě. RESULTTEXT začali posílat (je to asi tak 3 týdny) a mě kvůli tomu přestalo fungovat podepisování. Samozřejmě na produkci a řešil jsem to teď večer. Chvíli mi trvalo, než jsem zjistil, kde je zakopaný pes... — 21.10.2015
  • rmaslo : @Jirka Zamazal: Mě to taky samozřejmě přestalo fungovat, zatím mám kontrolu podepisování vypnutou a v mailu asi 150 přeposlaných POSTů co posílaji z brány. Jsou to fakt komici. Chystal jsem se to časem prozkoumat jestli už ta struktura toho jejich POSTu je stabilní. — 22.10.2015

Pro zobrazení všech 3 odpovědí se prosím přihlaste:

Rychlé přihlášení přes sociální sítě:

Nebo se přihlaste jménem a heslem:

Zadejte prosím svou e-mailovou adresu.
Zadejte své heslo.

Aktuální otázky v rubrice Programování: PHP

Otázky uživatele rmaslo