Her er sagen: N\u00e5r du trykker \u201cindbetal\u201d p\u00e5 en betting\u2011side, starter en digital rutschebanetur, og du er med p\u00e5 en kryptografisk lufthavn. Du ser kun den bl\u00e5 knap, men bag den gemmer sig AES\u2011256, TLS\u20111.3 og en hel schweizisk l\u00e5ge af n\u00f8gleudveksling. Kortet er ikke l\u00e6ngere et stykke plast; det er en datapunkt\u2011raket, der flyver gennem et tunnelnet af certificerede servere.<\/p>\n
Bookmakeren starter med at tvinge en HTTPS\u2011forbindelse p\u00e5 dig. Ingen klar\u2011tekst passerer her, kun krypteret trafik, som om du taler gennem en maskeret mikrofon. TLS\u2011handshaken udveksler offentlige n\u00f8gler, og derefter benytter den symmetrisk kryptering (normalt 256\u2011bit). Det er i den fase, at din browser og bookmakeren siger \u201cjeg kan stole p\u00e5 dig\u201d \u2013 en essentiel sikkerhedssikring, som mange fejlagtigt tror er nok i sig selv.<\/p>\n
Se, her kommer 3\u2011D Secure ind i billedet, ogs\u00e5 kaldet \u201cVerified by Visa\u201d eller \u201cMastercard Identity Check\u201d. Det er en ekstra godkendelsesdialog, hvor du typisk indtaster en engangskode fra din mobil. Den handling virker som en simpel check\u2011box, men den er faktisk en dynamisk token\u2011generator, der forhindrer \u201cman-in-the-middle\u201d. N\u00e5r koden er bekr\u00e6ftet, giver den en midlertidig session\u2011token, som er gyldig kun i sekunder.<\/p>\n
Nu er du inde i transaktions\u2011pipeline. Dataene \u2013 dit kortnummer, udl\u00f8bsdato og CVV \u2013 pakkes ind i en PKCS\u2011#7\u2011struktur, og s\u00e5 krypteres de med en session\u2011key. Session\u2011key\u2019en er i sig selv krypteret med bookmakeren\u2019s offentlige RSA\u2011n\u00f8gle (2048\u2011bit eller h\u00f8jere). N\u00e5r serveren modtager pakken, dekrypterer den session\u2011key\u2019en med sin private key og f\u00e5r adgang til de r\u00e5 kortdata i en kort levetid.<\/p>\n
Alle legitime bookmakere m\u00e5 f\u00f8lge PCI\u2011DSS\u2011kravene. Det betyder, at de ikke m\u00e5 gemme CVV i deres databaser, at de anvender firewall\u2011segmentering, og at de udf\u00f8rer kvartalsvise penetration tests. Det er som at holde en f\u00e6ngselscelle med flere l\u00e5se \u2013 \u00e9n l\u00e5s kan brudtes, men med flere er chancen for indbrud minimal.<\/p>\n