电汇Syetms和设备的思考

2008年8月5日 银行和EFTPoS安全

设备和系统而有所不同商,国家和 / 汇集。
以下是你可能要考虑的问题。 这份名单是从我的头顶部因此,这可能是不完整。

看产品和关系,我们通常是一个良好的开端。

需要考虑的事项:

需要修补的DNS哈克-严重的问题

2008年7月10号 安全性

这一直保密的操作系统和厂商在过去的几个星期,现在补丁终于被释放的多种应用软件和设备。
如果您提供或依靠DNZ服务(外部和内部)你应该考虑尽快您的服务器/设备。

尽管内部服务器可能无法接触到 ,我们看到有更多的内部攻击大型机构涉及 或服务内建立安装防火墙信任的 因此,这种电梯的程度的内部系统/服务,因此必须采取有效及时地

还考虑要求的问题,您的主机设备,上游 DNS提供商,看看他们是否都已经修复了其服务器和转发器。

http://www.doxpara.com/?p=1162此连结也有 DNS检查。
http://afp.google.com/article/ALeqM5hwFqcnWAuDWlcqfvfyHu5PGG9RMQ
http://www.kb.cert.org/vuls/id/800113

这是一个完整清单,供应商的链接
http://www.betanews.com/article/Major_fix_to_DNS_vulnerability_impacts_Windows_Debian/1215551008

祝您好运

打破签证号码

2008年7月2日 银行和EFTPoS

以下是一篇文章,我发现最近。 这其中一个最全面的说明 值(

我想复制在这里为我的地方参考。

正如评论作了语法中所使用原始 ,我已经纠正了一些明显的错误,同时保持背景下的原始材料。

http://69.46.26.132/ 〜 biggold1/fastget2you/tutorial 。

--- ----

前言
你曾经不知道会发生什么,如果你失去你的 ,并有人认为。 此人将能提取现金从ATM机猜测,不知何故, 此外,如果你是谁发现某人的你会尝试猜测 ,并有机会获得一些轻松 当然,这两个问题的答案应该是“没有” 。 这项工作不涉及第二个问题,这是一个 现将我尝试回答第一个问题。

所有的信息用于这方面的工作是公开和可自由在 其余的一个问题是和编程,因此,我们可以学到 ,并且有一定的乐趣。 本人透露任何秘密。 此外,我们的目标(和最后的 )这方面的工作,以证明算法仍然强大到足以提供足够的 我们都知道并不

这项工作分析最常见的算法 VISA卡 ,被许多卡) ,并试图找出抗药性是猜测攻击。 由“猜测: ”我不意味着选择一个随机 ,并试图在自动取款机。 众所周知,通常给我们连续三年进入审判的权利 ,如果我们不能保持自动柜员机 是四位数长很容易推断的机会随机猜测是万分之三= 0.0003 ,似乎足够低的安全,这意味着你需要失去您的超过3000次(或失去超过3000卡在同一时间: ) ,直到有一个合理的

我真正含义“猜测”是打破了 ,以便提供任何您可以立即知道相关的 因此,本文件研究这种可能性,分析了 ,并提出了一种对此次 最后给出了工具,实施目前的估计结果的机会,打破制度。 请注意,只要其他 相关算法(其他格式,如IBM公司验证签名,如或CVC的)类似 ,同样的分析可以做到高产,几乎在同样的结果和结论。



最常见的算法是 价值( ) 。 客户是一个 编码的是一个四位数的编号,称为 这个数字是一个加密签名的和其他有关的 当用户输入他/她的的ATM读取 ,加密和发送所有这些资料的中央计算机。 有一个审判是计算客户输入信息的加密 审判是与存储在 ,如果它们匹配的中央计算机返回到自动柜员机授权 查看更详细。

说明的 中可以找到这两个文件中的链接前一页。 总之它的一个8字节( 64位)的字符串的 ,所谓的转化参数(总悬浮颗粒物) ,与 (络)在密码本模式(欧洲央行)使用一个秘密的64位密钥。 来自产出的过程,这是一个8字节的字符串。 这四个数字 (从左至右)符合前四个小数(从左至右)的输出时视为一个16十六进制字符( 16 × 4位= 64位)的字符串。 如果没有4个小数之间的16个十六进制字符然后完成采取的(从左至右)非十进制字符和decimalizing他们使用转换一个“ 0的B - ” 1架C - “ 2 , D - “ 3 ,电子商务” 4架F - “ 5 。 下面是一个例子:

输出 : 0FAB9CDEFFE7DCBA

: 0975

该战略是避免十进制跳过4个字符,直到找到小数(这恰恰是几乎所有的时间,我们将见下文) ,是非常聪明的,因为它避免了重要的偏见分配中的数字已被证明是致命的用于其他系统,但这一制度的影响将大大降低。 查看相关的问题也没有申请

的TSP问题,看作是一个16十六进制字符( 64位)的字符串,是形成(从左至右)在11右边的数字潘( 号码) ,除最后一位数(检查码) ,一个数字从1至6其中选择加密的秘密钥匙和最后的四位数字的 下面是一个例子:

潘: 1234 5678 9012 3445
关键的选择: 1
: 2468

TSP问题: 5678901234412468

很明显的问题,打破 组成的秘密找到加密密钥 该方法是做蛮力搜索的主要空间。 请注意,这是不是唯一的方法,我们可以试图找到弱点络,许多尝试,但仍然是旧标准中的广泛使用(现已改为AES和 ,虽然) 。 这表明它是不足以使蛮力是唯一可行的方法(也有一些更好的袭击,但没有在我们的实际情况,总结见LASEC备忘录和肮脏详情见比哈姆与沙米尔1990年,比哈姆与沙米尔1991年,松井1993年, 1994年比哈姆& Biryukov和Heys 2001年) 。

关键选择数字很可能推出,以支付的可能性,一个关键的妥协。 在这种情况下,他们只需要发行新卡使用的另一个关键选择。 旧卡可以取代新的或简单的ATM可以透明地谱写新的 (相应的新的关键并保持相同的 )下一次的客户使用他/她的 为摆脱的所有用户,应当要求改变其引脚,但是那将是令人尴尬的解释的原因,所以很可能他们不会作出这样的要求。

准备


阿蛮力包含在加密1重钙与已知使用一切可能的加密密钥和比较每个获得与已知 当找到匹配我们有一个候选人的关键。 但是,有多少项,我们必须尝试? 正如我们在上述问题的关键是64位长,这就意味着我们必须尝试2 ^ 64项。 然而,这是不正确的。 实际上只有56位是有效的密钥,因为1位(最不重要的)的每一个字节是历史上保留作为校验的其他人;在实践中这些8位(每个8字节)将被忽略。

因此, 密钥空间包括2 ^ 56项。 如果我们试图将所有这些按键我们发现的唯一一场比赛,相应的密钥? 当然不是。 我们将获得许多配对键。 这是因为是只有一小部分(四分之一)的输出。 此外, 是堕落,因为有些数字(这些介于0和5日的最后,从左至右,两位数的6至9 )可能来自一个十进制数字或从十进制十六进制数字的输出。 因此,许多钥匙将产生产出收益率相同的匹配

那么我们怎样做才能找到真正的关键在那些其他假阳性键? 只要我们有加密第二个不同的TSP ,也与已知 ,但只使用其中的候选键给予了积极配合第一的TSP - 一双。 但是也不能保证我们不会再次许多误报随着真正的关键。 如果是这样,我们将需要一个第三方的TSP - 一双,重复上面的过程,等等。

在我们开始我们的 ,我们必须知道有多少的TSP - 对我们的需要。 为此,我们必须计算随机输出产量匹配公正的机会。 有几种方法来计算这个数字在这里我将使用一个简单的办法很容易理解,但是这需要一些背景

总是可以被看作是良好的比率情况下,可能的情况。 在我们的问题的一些可能的情况下,给出了的16要素( 0至F十六进制数字)的一组16人( 16个十六进制数字的输出) 。 这是由16 ^ 16 〜 1.8 * 10 ^ 19这当然符合2 ^ 64 (不同数目的64位) 。 这组数字可分为五类:

那些有至少四个十进制数字( 0到9 )的16个十六进制数字( 0至F )的输出。

这些完全只有三个小数。

这些完全只有两个小数。

这些完全只有一个小数位数。

那些没有小数(所有之间和F ) 。

让我们计算出有多少数量下降的每一类。 如果我们公司的16个十六进制数字的输出X1到x16那么我们可以标签头四个小数任何特定数目的第一类为西安,新疆, Xk和XL 。 在许多不同的组合与该配置文件是由该产品6的i - 1 * 10 * 6j - 1 - 1 * 10 * 6k -的J - 1 * 10 * 6路- 1 * 10 * 1616 - 1在6 '县来自一些可能性为A至F两位数, 10的来自可能性为0到9的数字,以及来自16的可能性为0至F两位数。 现在的总人数中的第一类是简单的总结提供此产品的字母i ,强,钾,升1日至16日,但与i “ j ” k “湖 如果你做一些数学的工作你会看到这等于给产品的六分之一百○四的总和超过一的4至16 ( I型-1 ) * ( 1 - 2 ) * ( 1 - 3 ) * 6i - 4 * 16 16 - 1 〜 1.8 * 1019 。

类推的案件数目在第二类是所提供的字母i总和,强,钾从1到16 ,与i “ j ” K的产品6i - 1 * 10 * 6j - 1 - 1 * 10 * 6k约翰逊-1 * 10 * 616 - K报表,您可以工作到16岁! / ( 3 ! * ( 16-13 ) ! ) * 103 * 6 13 = 16 * 15 * 14 / ( 3 * 2 ) * 103 * 613 = 56 * 104 * 613 〜 7.3 * 1015 。 同样的第三类,我们总结了字母i ,强从1到16 ,与i “杂志6的i - 1 * 10 * 6j - 1 - 1 * 10 * 616约翰逊即16 ! / ( 2 ! * ( 16-14 ) ! ) * 102 * 614 = 2 * 103 * 615 〜 9.4 * 1014年。 同样,第四类,我们在总结了一的1至16 6i - 1 * 10 * 616 - 1 = 160 * 615 〜 7.5 * 1013 。 最后案件的数量在第五类是所给予六要素( A至F位)在一组16个,也就是616 〜 2.8 * 1012 。

我希望你之后的计算达到这一步,最困难的部分已经完成。 现在,作为一个证明,一切都是正确的,您可以总结案件的数量在5个类别,并看到它等于总人数的可能情况下,我们计算的。 这样的业务使用64位数字或四舍五入(为浮筒)或溢流(为整数)的错误不会让你得到确切的结果。

到现在为止,我们计算了一些可能的情况下每年的5个类别,但我们感兴趣的是获得一些有利的情况下代替。 这是很容易获得,后者从前者,因为这是刚刚确定的四个相结合的小数(或所需的十六进制数字,如果没有4个小数)的而不是让他们自由。 这意味着在实践中把10的公式中上述成1的和所需的6的成1的,如果没有4个小数。 这就是,我们已经分裂的第一个结果是104 ,第二个是103 * 6 ,第三个是102 * 62 ,第四个10 * 63和第五1 64 。 然后,一些有利的情况下在5个类别的约1.8 * 1015 1.2 * 1012年, 2.6 * 1011 3.5 * 1010年,分别为2.2 * 109 。

现在,我们能够获得什么样的输出匹配的机会。 我们只需要购买5个数字的有利情况下,分化它的总人数可能的情况。 这样做,我们得到的是非常约0.0001或三分之一的10000 。 这是很奇怪以及四舍五入结果如何呢? 不,只要看看我们的数字计算以上。 第一类主要由几个数量级的数量和可能的情况下有利。 这是相当直观的,因为它似乎很清楚,这是极不可能没有四个小数( 10机会了百分之十六位)之间的16个十六进制数字。 我们看到了以前的关系的一些可能的和有利的情况下在第一类是一个分裂的10 ^ 4 ,这就是我们的结果P值0.0001来自。

我们的目标,所有这些计算是找到多少的TSP - 对我们需要进行一个成功的蛮力 现在,我们能够计算出预期的一些误报在第一次搜索:这将是审判数量次的为单一随机假阳性,即吨*铁其中T = 2 ^ 56的大小,关键空间。 这相当于大约7.2 * 10 ^ 12 ,一个相当大的数目。 预计一些误报在第二个搜索(仅限于积极键发现在第一个搜索)将(吨*规划) *磷,第三搜索将是( (吨*规划) *规划) * p和等等。 因此氮搜查预期一些误报将吨*铁^北路

我们能够获得的搜索结果数量预计需要一个假阳性表示方程吨*铁^ 1例和解决的注 所以ñ等于的基1 /吨,这是它性能的对数收益率每组日志( 1 /吨) /日志(规划) 〜 4.2 。 因为我们不能做的分数搜索方便围捕这个数字。 因此,什么是预期一些误报,如果我们执行五个搜索? 它是T *铁^ 5 〜 0.0007或大约1个1400年。 因此,使用五年的TSP - 对是安全的,以取得真正的密钥,没有误报。


一旦我们知道我们需要五年的TSP - 对,我们如何让他们? 当然,我们需要至少一与已知 ,由于性质 ,这是我们唯一需要。 与其他系统,如IBM ,我们将需要5个卡,但是这是没有必要 VISA 我们只需要读取然后更改 4倍,但阅读后,每一个变更。

要读 获得和加密的关键选择。 你可以购买一个商业 ,或一个自己以下的指示,你可以找到的前一页的链接有。 一旦你得到了一个看到此说明的标准磁轨道找出如何让读取。 在该文件中的领域的轨道1和第2款被认为是5个字符长,但实际上真正的组成的最后四个数字。 第一个5位数的关键是选择。 我只看到卡,价值1在这个数字,这是符合标准和密钥从未受到损害(因此它们并不需要移动到另一个关键改变选择) 。

我没有一个简单的C程序, getpvvkey.c ,进行 它是一个循环尝试所有可能的密钥来加密的第一个总悬浮颗粒物,如果衍生比赛的真正是一个新的TSP的审判,并依此进行,直至有一个不匹配,在这种情况下,关键是摒弃和一个新的是审判,或五个产生的相应PVVs比赛真正PVVs ,在这种情况下,我们可以假设,我们得到了密钥,但是循环推移,直到它废气的主要空间。 这样做是为了保证我们发现真正的关键,因为有机会(尽管非常低)的第一个关键发现是假阳性。

预计该计划将需要一个很长的时间来完成,并尽量减少风险的停电,电脑挂出,等它的检查站,进入文件getpvvkey.dat不时(确切的时间取决于速度计算机,这是约1小时,为目前速度最快的计算机中使用) 。 出于同样的原因,如果一个积极的关键是找到这是写在文件getpvvkey.key 。 该项目仅显示一个邮件的开头,开始采取的立场从检查点文件如果有的话,之后,更是没有任何显示。

是一个关键点的计划,因此,很重要的优化其速度。 我测试了几个实现: libdes , SSLeay ,的openssl , cryptlib ,高中, libgcrypt ,地下墓穴, libtomcrypt , cryptopp , ufc -隐窝。 功能的前四个都是基于同样的代码由Eric Young和是其中表现最好(包括优化的C语言和x86汇编代码) 。 因此我选择libdes这是原来的执行和凝聚所有有关文件中的代码encrypt.c (丙版)和x86encrypt.s (的X86汇编语言版) 。 该代码是略作修改,以实现某种功能的蛮力 :初次是一个固定的共同陡峭每个TSP的 ,因此,可以只在开始的时间。 另一项改进是,我写了一个全新setkey功能(我称之为nextkey )这是最佳的蛮力循环。

要获得该计划的工作你只需要相应的位置5 TSPs及其PVVs然后编译它。 我已经测试,只有在UNIX平台,使用的makefile Makegetpvvkey汇编(使用命令“使氟Makegetpvvkey ” ) 。 它可能对其他系统的编译,但您可能需要修正一些东西。 可以肯定的定义, long64对应的64位整数。 在原则上没有依赖于字节序的处理器。 我已经成功地编译和运行它的奔腾的Linux , α - Tru64为MIPS - Irix和Sparc - Solaris操作系统。 如果您没有和不想安装的Linux (你不知道你失踪;-)你还可以选择运行Linux的CD ,并使用我的程序,见我的网页上运行Linux ,但不进行安装它。

一旦您找到了秘密关键如果您要查找 PIN任意你只是写了类似的计划(抱歉,我已经不写它,我太懒惰: ) ,将尽一切10 ^ 4码通过创造相应的TSP问题,加密的(不再)密钥,产生的和比较它与 您将获得一场比赛的真正 只有一场比赛? 请记住我们所看到的上述情况,我们有机会的0.0001 ,一个随机匹配 我们正在努力10000引脚(因此TSPs )因此,我们期望10000 * 0.0001 = 1假阳性的平均水平。

这是一个非常有趣的结果,这意味着,平均而言,每个有两个有效的管脚:客户和预期的假阳性。 我把它称为“假” ,但指出,只要它产生的真正这是一个一样有效的客户之一。 此外,也没有办法知道这是它,甚至对ATM机;只有客户知道。 即使假阳性是不能作为有效后,您仍然有三个审判的ATM反正不够平均。 因此, 计算在本月初文件关于随机猜测的必须得到纠正。 实际上它的两倍的价值,即它是0.0006或有三分之一的1600多人,仍安全低。

结果


重要的是要优化汇编程序并运行它以最快的处理器,由于长期预期运行时间。 我发现,编译器优化国旗氧得到更好的性能,认为情况有所改善,实现增加- fomit帧指针国旗的奔腾- Linux的穗国旗的α - Tru64的,国际音标国旗的MIPS - Irix和快速的国旗在Sparc - Solaris操作系统。 特别旗帜( - DDES_PTR - DDES_RISC1 - DDES_RISC2 - DDES_UNROLL - DASM )的代码普遍好处。 所有这些国旗已经过测试,我选择的最佳组合为每个处理器(见Makefile中) ,但您可以尝试进行微调其他旗帜。

根据我的测试中的最好成绩是取得了AMD Athlon 1600 MHz处理器,超过三百四点零万键每秒。 有趣的是得到更好的结果比英特尔奔腾IV 1800 MHz和2000年兆赫(见图所示,点击放大) 。 我认为这是由于某些I / O饱和,当然缓存或内存 ,即AMD处理器(其中一半缓存的Pentium )或主板,其中正在运行,管理,以避免。 在第一个图所示,您可以看到, 打破所有处理器速度或多或少的线性关系的处理器速度,除了这两个英特尔奔腾我在前面提到的。 这是合乎逻辑的,这意味着一个双处理器的速度就会增加一倍的速度突破,但提防饱和效应,在这种情况下,最好是AMD速龙1600兆赫,这将是更便宜超过1800兆赫的英特尔奔腾或2000兆赫。

在第二个数字,我们可以看到更详细,我们将要求内在打破权力的处理器。 我得到这个值只是除以打破速度的处理器速度,也就是说,我们得到一些密钥试图每秒每兆赫。 这是一个衡量处理器的效能独立的速度。 结果表明,最好的处理器完成这个任务,是AMD速龙,然后来了Alpha和非常接近后,它是英特尔奔腾(除高速那些表现极差由于饱和效应) 。 其次是MIPS处理器,在过去的地方是的Sparc 。 有些Alpha和MIPS处理器位于底部的规模,因为他们提前释放不包括增强的后期版本。 请注意,我的表现包括x86处理器的C和汇编代码是有很大的 看来,海湾合作委员会不是一个好发电机优化机器代码,但我们当然不知道手动优化的汇编代码的其他处理器(阿尔法为MIPS , Sparc的)将提高其结果比较,本地ç编译(我没有使用海湾合作委员会对这些其他平台) ,因为它发生的x86处理器。

更新

这是一篇文章,这些技术可能被用来。

http://redtape.msnbc.com/2008/08/could-a-hacker.html

电子商务词汇

2008年6月18号 银行和EFTPoS

收购制度
持有的 partaking在金融 ,通常是第一家参与

程序
一个小型的计算机程序提供了便利的表现特别任务。

带宽
的能力,一台进行或处理信息。 更高的带宽的速度越快图形拉丹下载。

浏览器
短期 Web浏览器,应用软件用于查找并显示 两种最流行的浏览器是Netscape Navigator和 Internet Explorer中 。 这两项的图形浏览器,这意味着他们可以显示图形和 In addition, most modern browsers can present multimedia information, including sound and video, though they require plug-ins for some formats.

Caching
The automatic copying and storage of frequently used information onto a computer system – Typically caching is seen whilst surfing the (graphics, etc.) and used by Services Providers ( ’s) to reduce the amount of requested from the user onto the .

Issuer
The which issued the cardholder’s and .

Cardholder
The individual participating in the financial whose is being credited or debited.


The additional information printed on the to be processed. This is used to verify if the was present when the was initiated.  This is the additional digits imprinted on the usually on the reverse side for & Mastercard and on the front for AMEX.

Certificate
An x.509 certificate used to entities such as Merchants and Gateways. Certificates can be used to identify and/or encrypt sensitive such as numbers and personal cardholder information.

CGI
Common Gateway : A protocol that allows a page to run a program on a . Forms, counters, and guest books are common examples of CGI programs.

Any piece of software can be a CGI program if it handles input and output according to the CGI standard. Usually a CGI program is a small program that takes from a and does with it, like putting the content of a form into an e-mail message, or turning the into a database query. CGI “scripts” are just scripts which use CGI. CGI is often confused with Perl, which is a programming language, while CGI is an to the from a particular program.

Client
A computer or software that requests a service of another computer system or process (a “ ”). For example, a workstation requesting the contents of a file from a file is a client of the file . A browser is commonly referred to as a client.

Clients and Servers
In general, all of the machines on the can be categorised as two types: servers and clients. Those machines that provide services (like servers or FTP servers) to other machines are servers. And the machines that are used to connect to those services are clients.

When you connect to Yahoo at www.google.com to read a page, Google is providing a machine (probably a cluster of very large machines), for use on the , to service your request. Google is providing a . Your machine, on the other hand, is probably providing no services to anyone else on the . Therefore, it is a user machine, also known as a client. It is possible and common for a machine to be both a and a client !

Cookie
A file sent by some servers to your computer’s hard drive to enable you to quickly and easily return to particular sites. Cookies give rise to concerns as they are often used to store information used for marketing purposes.

The main purpose of cookies is to identify users and possibly prepare customised pages for them. When you enter a site using cookies, you may be asked to fill out a form providing such information as your name and interests. This information is packaged into a cookie and sent to your browser which stores it for later use. The next time you go to the same site, your browser will send the cookie to the . The can use this information to present you with custom pages. So, for example, instead of seeing just a generic welcome page you might see a welcome page with your name on it.

CRN
The Customer Receipt Number (CRN) is used to assist the holder, the gateway and the to confirm the has been processed and to track the throughout the end-to-end process. This is often used when making enquiries about a or for tracking.

Cybersquatting
Bad faith, abusive domain name registration. Cybersquatters register company and product names as domain names with a view to selling them at inflated prices to the “rightful” owners.

/CVC
The additional information printed on the to be processed. This is used to verify if the was present when the was initiated.  This is the additional digits imprinted on the usually on the reverse side for & Mastercard and on the front for AMEX.

Database
A collection of : part numbers, product codes, customer information, etc. It usually refers to organised and stored on a computer that can be searched and retrieved by a computer program.

Deep link
A hypertext link directly to a page, often bypassing home pages or other identifying pages.

Certificate
A pop up window that allows you to identify the level of used to secure a particular site.

Signature
A complex numeric “signature” designed to be used, in conjunction with special software, to the sender of a message and guarantee that the contents of the message have not been altered during to the recipient. The EU has adopted legislation which makes signatures legally valid. The Bill (Cth) 1999 has the same effect in .

Domain Name
The plain English name given to a host destination on the , for example, www.madrock.net. The suffix, dot.com is known as the generic top level domain, the prefix madrock. The domain name forms part of the Address or URL.

A name that identifies one or more IP addresses. For example, the domain name .com represents about a dozen IP addresses. Domain names are used in URLs to identify particular pages. For example, in the URL http://www.madrock.net, the domain name is madrock.net.

Download
To transfer information from one computer to your computer.

Dynamic page
A document that is created from a database in real-time or “on the fly” at the same time it is being viewed, providing a continuous flow of new information and giving visitors a new experience each time they visit the site.

Dynamic sites offer the user the ability to interact with the site. This interaction can take place in the form of a search for products, a questionnaire that automatically posts results or polls. Basically, dynamic pages and content are generated from the input of the user.

EC
.

Often referred to as simply e- , business that is conducted over the using any of the applications that rely on the , such as e-mail, instant messaging, shopping carts, services, and FTP, among others. can be between two businesses transmitting funds, goods, services and/or or between a business and a customer.

ECI
The Indicator (ECI), is used to determine the source of the original request. This is a program that the banks have developed and have mandated it’s use.

Interchange (EDI)
Systems set up by businesses, which facilitate the exchange of information.


The process of scrambling to prevent it being viewed by unauthorized persons.

Expiry Date
The date printed on the indicating when the will expire. Not to be confused with the issue date found on some cards.

Firewall
An barrier and/or traffic filter.

Forms
Forms are pages comprised of and “fields” for a user to fill in with information. They are an excellent way of collecting and information from people visiting a site, as well as allowing them to interact with pages. Forms are written in HTML and processed by CGI programs.

Frame
A means of dividing a screen into a number of compartments. Frames may give rise to legal disputes if sites created by third parties are framed as your own.

FTP servers
One of the oldest of the services, File Transfer Protocol makes it possible to move one or more files securely between computers while providing file and organisation as well as transfer control.

Fulfilment
1. Process of supplying goods after an order has been received.
2. Process of reacting to a customer’s request, covering everything that has to happen from the time the customer places an order until they are completely satisfied.

Host
Any computer on a that provides services or information to other computers on the . A host is also called a .


The software and/or business processes which combine the ’s (website, back office, etc.) order system with the System.

IP address
Every computer connected to the is assigned a unique number known as an Protocol (IP) address. Since these numbers are usually assigned in country-based blocks, an IP address can often be used to identify the country from which a computer is connecting to the .

Gateway
A system allowing incompatible computer networks to send and receive information.

HTML (Hypertext Markup Language)
Language used to translate documents into a form which can be sent over the .

Hyperlink
A highlighted phrase in a document which permits linking to another document or part of a document.

Content Host (ICH)
Those who host or propose to host content on the . Anybody who is responsible for a site, news group or bulletin board that contains articles, graphics or other content provided by others. The host may/may not also produce their own content and/or provide to the through a carriage service, ie they may also be an .

Service Provider ( )
A company that provides an connection through some kind of carriage service, for example Sprint, Chello Broadband, Telstra Bigpond, Adam , Internode. ’s may/may not also be ICHs.

Mail servers
Almost as ubiquitous and crucial as servers, mail servers move and store mail over networks (via LANs and WANs) and across the .


This is an set up with a to process orders from customers.


The entity receiving payments for goods and/or services.


The ’s into which transactions are credited or debited.


The software installed on the ’s sites or back office system to enable real-time or batched of financial transactions.

Administrator
The individual(s) responsible for the maintenance of the , including issuing and importing certificates.

MTL
Layer (MTL)

PAN
Primary Number (PAN) is the number printed on the customers to reference the cardholder’s financial . This is typically the number.

Gateway
The Gateway provides a central point of contact/ switching with the for the software or devices. The Networks gateway provides advanced integrated , services (Mainframe, Mini, Windows, UNIX, OS400, Desktop/ , PoS Terminals. Loyalty systems, etc.) and / customised solutions not offered by regional or global institutions.

An system for real-time charging of cards when a customer places an order. Normally requires a .

A common question f