Abstract-Web-applikationer integrerar i allt högre grad tjänster från tredje part. Integrationen innebär nya säkerhetsutmaningar på grund av komplexiteten i en ansökan om att samordna sina interna stater med komponenttjänsterna och webbklienten på Internet. I detta dokument studerar vi säkerhetskonsekvenserna av detta problem till handlares webbplatser som accepterar betalningar via tredje part kassörer (t.ex. PayPal, Amazon betalningar och Google Checkout), som vi kallar Cashier-as-a-Service eller CaaS. Vi fann att ledande handelsapplikationer (t.ex., NopCommerce och Interspire), populära nätbutiker (t.ex., Buy.com och JR.com) och en prestigefylld CaaS leverantör (Amazon Payments) alla innehåller allvarliga logiska brister som kan utnyttjas för att orsaka inkonsekvenser mellan staterna CaaS och handlaren. Som ett resultat, en skadlig shoppare kan köpa en vara till ett godtyckligt lågt pris, handla gratis efter att ha betalat för en vara, eller ens undvika betalning. Vi rapporterade våra resultat till de drabbade parterna. De uppdaterade antingen sin sårbara programvara eller fortsatte att arbeta med korrigeringarna med hög prioritet. Vi studerade vidare komplexiteten i att hitta denna typ av logiska brister i typiska CaaS-baserade kassasystem, och fick en preliminär förståelse för de ansträngningar som behöver göras för att förbättra säkerheten för sådana system under deras utveckling och testprocesser.
Wang REF utförde en säkerhetsanalys av kassör-som-en-tjänst-baserade webbbutiker och fann flera logiska brister som kan tillåta en angripare att köpa ett objekt till ett godtyckligt lågt pris.
How to Shop for Free Online -- Security Analysis of Cashier-as-a-Service Based Web Stores
{'venue': '2011 IEEE Symposium on Security and Privacy', 'journal': '2011 IEEE Symposium on Security and Privacy', 'mag_field_of_study': ['Computer Science']}